Les certifications cybersécurité qui comptent vraiment quand on recrute

« Combien de certifications faut-il ? » est la mauvaise question. La bonne est : qu’est-ce que celle-ci prouve, et à qui ?

Une certification sert trois publics différents — le recruteur, le client final, l’organisme d’audit — et ces trois-là n’attendent pas la même chose. Voici comment nous les lisons, côté cabinet.

Ce qu’une certification prouve réellement

Elle prouve trois choses, et pas davantage : que le candidat possède un vocabulaire commun, qu’il a investi du temps et de l’argent, et qu’il a validé un examen à un instant donné.

Elle ne prouve ni l’expérience de terrain, ni la capacité à conduire une mission, ni le jugement. Un certifié qui n’a jamais mené d’audit reste quelqu’un qui n’a jamais mené d’audit.

D’où la règle que nous appliquons en entretien : la certification ouvre la conversation, elle ne la conclut pas. La question qui suit est toujours « racontez-moi une mission où vous avez appliqué ça ».

Les certifications de management de la sécurité

ISO/IEC 27001 Lead Implementer — la plus utile pour un profil conseil. Elle atteste la capacité à construire un système de management : périmètre, analyse de risques, déclaration d’applicabilité, plan de traitement. C’est la certification que réclament le plus souvent nos clients dans les appels d’offres.

ISO/IEC 27001 Lead Auditor — orientée contrôle. Indispensable pour intervenir en audit interne ou préparer une certification. Complémentaire de la précédente, pas redondante : implanter et auditer sont deux métiers.

ISO/IEC 27001 Foundation — un point d’entrée. Elle ne suffit pas à qualifier un consultant, mais sur un dossier de reconversion elle signale un investissement réel.

Les certifications d’analyse de risques

EBIOS Risk Manager — très recherchée en France, parce que c’est la méthode de référence de l’ANSSI et qu’elle apparaît dans un grand nombre de cahiers des charges publics. Pour un consultant qui vise le secteur public ou les opérateurs d’importance vitale, elle est quasi incontournable.

ISO/IEC 27005 — l’approche normative de la gestion du risque. Utile en complément d’ISO 27001, particulièrement dans les groupes internationaux où EBIOS n’est pas connue.

Les certifications généralistes de carrière

CISSP — large, exigeante, et surtout adossée à une condition d’expérience professionnelle vérifiée. C’est ce qui fait sa valeur : elle ne s’obtient pas en sortie d’école. Très lisible à l’international, moins discriminante sur le marché français du conseil que les certifications ISO.

CISM — orientée management et gouvernance. Pertinente pour un profil qui vise un poste de responsable plutôt que de consultant technique.

Les certifications offensives

OSCP — la plus respectée dans le milieu du test d’intrusion, parce que l’examen est pratique et long : il faut réellement compromettre des machines. Elle ne se bluffe pas.

Pour un profil offensif, c’est un signal fort. Pour un profil GRC, elle n’apporte presque rien — et un candidat qui l’affiche pour un poste de conformité se trompe de message.

Ce qui pèse plus qu’une certification

Dans nos recrutements, quatre éléments passent devant.

La capacité à écrire. Un consultant produit des livrables lus par des directions. Un rapport confus annule la qualité du travail technique. Nous faisons systématiquement écrire les candidats.

La capacité à tenir une position. Ce métier consiste à annoncer des faiblesses à des gens compétents, puis à obtenir qu’ils agissent. Certains excellents techniciens ne le supportent pas.

La compréhension du métier du client. Un consultant qui ne sait pas comment son client gagne de l’argent produit des recommandations inapplicables.

La curiosité entretenue. Le domaine bouge. Un candidat qui n’a rien appris de neuf depuis sa dernière certification est un candidat qui se périme.

Comment lire un CV surchargé

Dix certifications sur un CV de trois ans d’expérience est un signal, mais pas celui qu’on croit. Cela indique souvent quelqu’un qui accumule des validations plutôt que de la pratique.

Nous préférons deux certifications pertinentes et trois missions racontables à huit acronymes sans contexte.

Côté employeur : ce qu’il faut financer

Une certification utile est une certification qui sert une mission identifiée. Financer une formation ISO 27001 Lead Implementer à quelqu’un qui va effectivement piloter un projet de certification a un retour immédiat. La financer « pour l’employabilité », sans mise en pratique dans l’année, revient à payer un diplôme qui s’oubliera.

La règle simple : certifier au moment où le besoin arrive, pas avant.

Aller plus loin

Nos formations certifiantes couvrent les parcours ISO 27001, ISO 22301, EBIOS, NIS 2 et DORA, en présentiel à Paris ou en distanciel. Voir aussi notre article sur les voies d’accès au métier sans profil de développeur, et nos offres en cours.