Se former en continu en cybersécurité : que lire, que suivre, que laisser tomber

« Il faut se former en permanence » est le conseil le plus donné et le moins opérationnel du secteur. Personne ne précise à quoi, ni à quel rythme, ni ce qu’on peut ignorer.

Or le temps disponible est limité, et la majorité de ce qui circule est du bruit commercial.

Distinguer ce qui périme de ce qui reste

C’est la clé de l’arbitrage.

Ce qui périme vite — quelques mois à deux ans : les versions de produits, les interfaces, les techniques d’attaque précises, l’actualité des campagnes. Utile pour l’opérationnel immédiat, sans valeur cumulative.

Ce qui reste — cinq à quinze ans : les principes d’architecture, le fonctionnement des protocoles, la logique des systèmes d’authentification, les méthodes d’analyse de risques, la structure des référentiels.

Un professionnel qui consacre tout son temps de veille à la première catégorie court après l’actualité et ne progresse pas. Celui qui investit dans la seconde comprend plus vite chaque nouveauté, parce qu’il en reconnaît les mécanismes.

La répartition qui fonctionne dans la durée : environ un tiers d’actualité, deux tiers de fond.

Les sources qui suffisent

Inutile de multiplier. Une poignée de sources fiables couvre l’essentiel — c’est la même logique que pour la veille sur les menaces.

Pour l’actualité technique française : les avis et alertes du CERT-FR, et les publications de l’ANSSI. Ces dernières sont sous-exploitées : ce sont des documents de référence gratuits, précis, et directement citables en mission.

Pour le fond méthodologique : les référentiels eux-mêmes. Lire réellement l’annexe A d’ISO/IEC 27002, la méthode EBIOS RM, ou NIST SP 800-207 apporte davantage que trente articles qui les commentent.

Pour la sécurité applicative : les projets OWASP, qui restent la référence gratuite la plus solide.

Pour la menace : MITRE ATT&CK, à parcourir régulièrement plutôt qu’à consulter ponctuellement. C’est un vocabulaire autant qu’un catalogue.

Pour le réglementaire : les textes originaux sur EUR-Lex, et les publications de la CNIL. Un article de blog sur NIS 2 vaut rarement la lecture directe de l’article 21.

Ce qu’on peut laisser tomber

Les livres blancs d’éditeurs. Leur fonction est commerciale. Il en existe d’excellents, mais le rapport signal sur bruit est mauvais et le tri coûte plus cher que le gain.

Les fils d’actualité en continu. Ils donnent l’impression d’être informé et produisent surtout de la fatigue. Une synthèse hebdomadaire vaut mieux qu’un flux permanent.

Les statistiques de rapports annuels. Coût moyen d’une violation, délai moyen de détection : ces chiffres varient d’un facteur trois selon la méthodologie et le périmètre. Ils font des slides, pas des décisions — raison pour laquelle je recommande de raisonner sur vos propres chiffres.

La course aux certifications. Voir les certifications qui comptent : deux pertinentes valent mieux que six génériques.

Un rythme tenable

Ce qui tient dans la durée, dans notre expérience :

• Quinze à trente minutes par semaine pour l’actualité — avis du CERT-FR, ce qui concerne vos produits.
• Deux heures par mois pour le fond — un chapitre de référentiel, une publication ANSSI, un document technique lu réellement.
• Deux à cinq jours par an de formation structurée, idéalement adossée à une certification quand elle sert une mission identifiée.
• Un sujet approfondi par an, choisi et travaillé sérieusement plutôt que survolé.

Ce rythme est modeste. Il est surtout tenable — ce qui n’est pas le cas des programmes ambitieux abandonnés au bout de six semaines.

La pratique, irremplaçable

Lire ne suffit pas. Trois formes de pratique donnent le meilleur retour :

Un environnement d’essai personnel. Monter, casser, reconstruire. C’est ainsi qu’on comprend ce qu’un article décrit.

Les exercices pratiques. Les plateformes d’entraînement, les épreuves de type capture de drapeau, les laboratoires guidés apprennent plus vite que la lecture — y compris pour des profils non offensifs, parce qu’ils montrent concrètement ce qu’un attaquant fait.

Écrire. Rédiger une note interne sur un sujet oblige à le comprendre réellement. C’est aussi un entraînement direct à la compétence la plus discriminante du métier — voir ce qui fait un bon livrable.

Côté employeur

Un budget formation non consommé n’est pas une économie : c’est un signal de départ. Trois conditions pour qu’il serve :

Des jours réellement pris. Une formation annulée deux fois pour cause de mission ne sera jamais suivie.

Une mise en pratique dans l’année. Financer une certification sans mission associée revient à payer un diplôme qui s’oubliera.

Du temps de veille reconnu. Une demi-journée par mois inscrite au planning coûte peu et change le rapport à l’apprentissage. Voir ce qui retient une équipe cyber.

Le piège du syndrome de l’imposteur

Le domaine est vaste au point que personne ne le maîtrise entièrement. Un spécialiste de la gouvernance ne sait pas faire de rétro-ingénierie, un pentesteur applicatif ne connaît pas les subtilités du RGPD, et c’est normal.

La compétence attendue d’un professionnel n’est pas de tout savoir. C’est de savoir ce qu’il ne sait pas, de le dire, et de savoir où chercher. C’est d’ailleurs l’un des critères que nous évaluons en recrutement.

Aller plus loin

Nos formations certifiantes couvrent les parcours structurants — ISO 27001, ISO 22301, EBIOS, NIS 2, DORA — en présentiel à Paris ou en distanciel, avec une partie du catalogue en e-learning.