Certification professionnelle

Objectifs et contexte de la certification :

Selon l’International Information System Security Certification Consortium (ISC2), la cybersécurité pèserait 4,5 Millions de personnes au niveau mondial sous quelques années. Le marché étant actuellement d’1 Million, c’est 3,5 Millions de spécialistes en cybersécurité́ sont qui sont attendus (Skills Expectations in Cybersecurity: Semantic Network Analysis of Job Advertisements C. Matt Graham a and Yonggang Lub - FURNELL, Steven. The cybersecurity workforce and skills. Computers & Security, 2021, vol. 100, p. 102080).

En France, en 2021, selon une étude conduite par l’APEC et le Pôle d’Excellence Cyber, ce sont 15% des offres qui sont non couvertes sur les 7 000 offres d’emplois de cadres cybersécurité proposées.

Cette pénurie évolue chaque année de +12%. Un an plus tôt, la filière industrielle de sécurité (CSF) estimait le marché de l’emploi pour les prochaines années à 15 000 offres en cyber. Elle lance dès 2020 un appel à la création de plus de 4 000 formations, favorisant le bac à bac+3, mais également les formations d’experts et d’ingénieurs, ce qui ouvre des perspectives énormes pour l’ensemble des métiers de l’ingénierie en cybersécurité.

Les entreprises recherche majoritairement des profils à la fois généraliste, pour prendre en charge la cybersécurité dans l’entièreté de l’organisation, et opérationnels pour entreprendre des activités de confiance au quotidien, comme les fonctions de déploiement des services de sécurité (« build ») ou de leur surveillance (« run »)

Étant donné le tissu industriel et de services du territoire, la formation vise, entre autre, la mise en place d’une cybersécurité adaptée aux besoins des petites et moyennes organisations qui repose sur une approche à la fois système et par composant. Cette question est cruciale, car ces structures n’ont a priori ni les structures ni les moyens ou même la posture pour anticiper, détecter, lever le doute, corriger les cyberattaques. Elles n’ont en outre que peu l’occasion de capitaliser sur ces cyberattaques comme le ferait une structure aguerrie à ces incidents de sécurité.

Activités visées :

L’ingénieur disposant de la certification Ingénieur du CNAM dans la spécialité́ « Informatique et Cybersécurité́ » couvre les différents domaines de la cybersécurité : l’analyse de sécurité et des risques opérationnels cyber, la conception « by design », l’optimisation (« durcissement » ou « hardening »), la supervision (SOC, CERT), il a vocation à assurer les activités suivantes :

• L’analyse de sécurité et du risque cyber de systèmes informatiques ou de systèmes d’informations complexes, incluant l’analyse de la menace, des vulnérabilités et des attaques au profit d’organisations à dimension internationale.
• La conception, la modélisation et l’élaboration de dispositifs informatiques de sécurité́ sur l’ensemble des domaines cyber, pour l’optimisation ou « hardening » ou un centre de sécurité opérationnel (SOC).
• Le pilotage du projet d'intégration d'un dispositif informatique de sécurité, dans le contexte d'une organisation complexe, à dimension internationale, sur l’ensemble des domaines cyber.
• L’organisation, l’intégration et la mise en œuvre de mesures de « durcissement » (« hardening ») de dispositifs de sécurité dans des systèmes d’informations complexes, au profit d’organisations à dimension internationale, couvrant les différents domaines cyber.
• L’organisation, les choix, la préparation et le pilotage de grands projets de centres de supervision (SOC, CERT) ainsi que la mise en œuvre du processus de cybersécurité au sein d’organisations à dimension internationales.

Compétences attestées :

L’ingénieur cyber du Conservatoire national des Arts et Métiers a trois types de compétences :

1. L’ingénieur cyber mobilise ses connaissances scientifiques et fondamentaux pour la maitrise des méthodes et techniques dans les différents domaines cyber de l’analyse de sécurité et des risques cyber, la conception « by design », la supervision (SOC, CERT) et l’optimisation (« durcissement ») de la cybersécurité :

• Analyser le besoin client en matière de conception des mesures et contremesures de cybersécurité et d'investigation des cyberattaques dans les évènements de sécurité (SIEM), d'outils en s'appuyant sur les sciences fondamentales : mathématiques (représentation matricielle, théorie des graphes et des treillis, congruence, théorie des ensembles, algorithmie, langages d'automates finis, statistiques et probabilités, etc.), physique, calcul scientifique, etc.
• Piloter le projet de modélisation, conception, mise en œuvre, test et validation d’un modèle, protocole, architecture d’un dispositif de cybersécurité, en s’appuyant sur la méthode scientifique et les ressources des champs scientifiques et techniques de l'informatique et des mathématiques, comprenant le champ de la science des données pour la maitrise des techniques de recherche, d’évaluation et d’exploitation de l’information.
• Effectuer des activités de recherche, fondamentale ou appliquée du domaine de la cybersécurité à l'aide de méthodes, outils logiciels et services innovants (cryptographie, aléas, graphe d’attaques, arbres de décision, « problème d'atteignabilité », etc.), afin de concevoir « by design », concrétiser, tester (rétroingénierie) et valider des solutions de sécurité informatique.
• Mobiliser les méthodes et outils de l'ingénieur : identification, modélisation et résolution de problèmes complexes et émergents, à l’aide d’une approche systémique et holistique, afin de piloter l'amélioration continue du dispositif de sécurité et coordonner les activités d'analyse des cyber­-risques et de la cyber-menace.
• Intégrer diverses disciplines scientifiques (apprentissage des langues, sciences cognitives, sciences de la décision, neurosciences, sciences humaines et sociales), afin de coordonner l'activité d'une équipe pluridisciplinaire et potentiellement à l'international, en anglais et de déléguer diverses responsabilités, en tenant compte des enjeux des relations au travail, la diversité, l’éthique, le professionnalisme, la sécurité et la santé au travail, en situation de crise.

2. L’ingénieur cyber maitrise les méthodes et technologies afin de mener de grands projets de cybersécurité comme l’évaluation du niveau de sécurité des organisations vulnérables, la gestion d’appels d’offres de solutions cyber et le pilotage de projets de centres de sécurité opérationnels (SOC, CSIRT) :

• Évaluer et modéliser les phénomènes cyber liés aux techniques offensives d’ingénierie sociale, dans le respect total de l’éthique (mécanismes d’« attaque-défense », « threat modeling », « Red team », « blue team », « purple team »), afin de rédiger le cahier des recommandations en prenant en compte les normes techniques (OWASP, calcul CVSS), et les dimensions sociales, géo-politiques, sociétales, organisationnelles et environnementales de l’organisation.
• Concevoir, dimensionner, concrétiser, tester et valider un dispositif de sécurité́ informatique complexe et innovants, à partir des normes et standard des modèles, protocoles et architectures dans les différents domaines de la cybersécurité : anticipation, et prévention (risque, CTI), supervision (SOC), remédiation (CSIRT), en choisissant des méthodes de rétroconception (ingénierie inverse) et d’écoconception adaptées, en réponse aux enjeux divers de l’organisation.
• Développer une méthodologie de R&D et effectuer une veille continue, une analyse comparative à l’état de l’art, adaptée au contexte fortement dynamique de la cybersécurité (CI/CC, DevOps et SecDevOps), le test de solutions (« Threat modeling »), la preuve de concept (PoC), le prototypage (MVP-TRL),
• Intégrer les enjeux environnementaux et sociétaux dans le cadre du déploiement de projets de cybersécurité et accompagner l’organisation dans toutes les transitions, en mettant en œuvre des choix technologiques adaptés aux grands enjeux sociétaux actuels, naturellement en matière de protection des systèmes d’information (LPM, NIS, ISO 27x, homologation, ANSSI), de vie privée (RGPD), mais également par une démarche vertueuse et respectueuse de l’éthique et la RSE de l’organisation vis-à-vis des exigences commerciales, économiques, de compétitivité et de productivité de l'entreprise.
• Évaluer et élever le niveau de sécurité globale cyber de l’organisation, à partir d’outils d’audits, de cartographie des actifs (ebios, EGERIE), de détection de vulnérabilités et d’anomalies (IDS,TENABLE) ou d’analyse postmortem (SIEM)), afin d’intégrer les propres contraintes, besoins, exigences de sécurité de l’organisation, les traduire en termes techniques, par l’élaboration d’une politique de sécurité (PSSI), la, planification et la mise en œuvre de recommandations concrètes (CWPP, Cloud Workload Protection Platform, DMZ, gestion des identités, MFA, etc.), puis de les rédiger, les présenter et les défendre, en langue anglaise, dans un environnement multiculturel.
• Piloter l'amélioration continue du dispositif de sécurité́ ou de la sécurité du SI de l’organisation, coordonner les activités de tests de robustesse (« White » », « Gray », « black » box mode), à partir d’analyses cyber risques et des méthodes et outils de l’ingénieur pour l’identification, la modélisation et la résolution de problèmes complexes, prendre des responsabilités d’animation en intelligence collective en situation de crise cyber, tout en assurant le respect des relations de travail, de la diversité, l’éthique, la sécurité et la santé au travail.
• Définir des indicateurs de performance de la sécurité d’un système informatique (IoC, CVSS, etc.) afin d'organiser et mettre en place le reporting technique, administratif et financier en intégrant par une approche holistique les impératifs environnementaux (énergétiques, écologiques et climatiques).
• Capitaliser sur les expériences des experts cybersécurité à l’aide d’une démarche scientifique (Datascience), afin d’organiser et enrichir les bases de connaissances de nouvelles techniques d'attaques et de transmettre les principes de cyberdéfense.
• Travailler en contexte international et multiculturel avec la maitrise d’une ou plusieurs langues étrangères et ouverture culturelle associée, capacité d’adaptation aux contextes internationaux.
• Communiquer et gérer au sein d’équipes pluridisciplinaires (clients, architectes, fournisseurs, sous-traitant), les appels d’offre de projets de transformation cyber, et, les mettre en œuvre à partir de méthodes et outils de conception, d’optimisation (« hardening ») et de supervision de la cybersécurité de systèmes d’information complexes et émergents (« Cloud computing », « fog » et « edge computing »).

3. L’ingénieur cyber maitrise les techniques de l’ingénieur des domaines cyber pour atteindre une expertise cyber et intégrer des entreprises de services numériques, spécialisées dans la gestion des risques opérationnels cyber et/ou l’optimisation (« durcissement ») de la cybersécurité dans une organisation et/ou dans un centre de sécurité opérationnel (CSIRT, CERT, SOC) :

• Concevoir, dimensionner (« hardening ») et déployer le dispositif de sécurité́ (parefeu, DMZ, IDS, Scanner, Proxy, etc.), réaliser une représentation fonctionnelle du dispositif et les schémas d’architecture (Merise, UML, SYSML), rédiger les documents formalisant l’architecture, les spécifications détaillées et les notifications de changements d’architecture.
• Maintenir la sécurité du dispositif informatique en condition opérationnel, mettre en œuvre un outil de suivi des incidents de sécurité, suivre les demandes d'évolution, corriger les incidents techniques, proposer des solutions alternatives avant la correction (fenêtre de vulnérabilité, "zero day"), rédiger, partager et publier un bulletin d'alerte de sécurité,
• Conduire des analyses SOC « hunting », élaborer la détection précoce des incidents de sécurité (CTI), dans les évènements de sécurité́ (SIEM), mettre en place des outils DevOps (Ansible Playbooks, Puppet, etc.).
• Conduire des analyses SOC "red team", dans le respect total de l'éthique, pénétrer un système informatique à l'aide de tests d'intrusion (KALI), après avoir identifié et utilisé une faille de sécurité applicative, réseau ou système, réaliser le fuzzing d'un logiciel afin de tester la robustesse à l'injection de code malveillants, analyser les indicateurs de compromission (IoC), calculer un indicateur de vulnérabilité (CVSS), produire un arbre d'attaque, proposer des solutions de remédiation.
• Conduire des analyses SOC "postmortem", dans le respect total des règles de l'investigation numérique légale (ISO 27042 et suite), conserver les preuves de la cyber attaque afin de pouvoir les produire lors d'une expertise judiciaire, expliquer l'attaque (timeline, causalité), la publier dans des conférences techniques internationales (par exemple blackhat), expliquer et entrainer l'équipe SOC à ces principes d'analyse forensique légale, évaluer financièrement le risque d'une cyber attaque.
• Conduire des activités de réponse à incident cyber, mettre en place le plan de continuité d'activité et de reprise d'activité dans le respect de la norme ISO 22301, réaliser des analyses de contenu (DLP : Data Loss Prevention), calculer les indicateurs clé (RTO : Recovery Time Objective, RPO (Recovery Point Objective), avec des équipes internationales.
• S’insérer dans la vie professionnelle, collaborer, communiquer, animer et faire évoluer l’organisation en s’intégrant au sein d’équipes multiculturelles et pluridisciplinaires en exerçant la responsabilité́, l’engagement, le management, la position de référent technique, de chef ou directeur de projets.

Modalités d'évaluation :

• Contrôles continus et examens sur table.
• Rédaction d’un mémoire et soutenance orale des différentes options de l'architectures retenues dans le cas d'étude.
• Rédaction d’un mémoire et soutenance orale des Projets tuteurés des semestres 5/6 et des semestres 7/8
• Rédaction d’un mémoire de 15 pages environ sur un sujet scientifique et soutenance orale.
• Rédaction d’un mémoire et soutenance orale sur une étude de cas et une mise en situation afin de concevoir les applications et l'urbanisation d'un SOC, après avoir identifié les divers impacts.

Il y a dans chaque Centre Cnam en Régions (CCR) métropolitaines et outre-mer, un référent handicap qui accompagne les personnes concernées, en vue de mettre en place, dans le cadre des textes de loi afférentes à ce sujet, les aménagements d’études et d’examens accordés par le centre de formation après proposition d’un médecin agréé CDAPH.