N'est-il pas trop tard pour commencer une carrière en cybersécurité?

Quelqu'un pose cette question dans chaque forum de cybersécurité, chaque semaine, sans exception. Généralement, ils ont 27, 35 ou 45 ans et sont convaincus que tout le monde d'autre a eu une longueur d'avance de cinq ans. Ce n'est pas le cas. Voici les vrais chiffres sur le timing, plus un vrai chemin d'accès.

Pourquoi le domaine ne fonctionne pas comme une course

La cybersécurité n'est pas un nombre fixe d'emplois qui se remplissent et se ferment. De nouvelles surfaces d'attaque sont créées constamment : configurations cloud incorrectes, endpoints de modèles IA, firmware IoT, dépendances de chaîne d'approvisionnement. Chacune a besoin de gens pour la défendre. Le domaine se développe à peu près au rythme de la part du monde qui fonctionne sur des logiciels, et ce nombre continue d'augmenter, pas de diminuer. Un analyste SOC embauché en 2015 a traité un ensemble de menaces complètement différent d'un embauché en 2024 — le ransomware-as-a-service, les attaques par fatigue MFA et les techniques living-off-the-land n'existaient à peine ou avaient un aspect différent il y a dix ans. Donc la personne qui a « commencé tôt » n'est pas assise sur une avance accumulée qui vous rendrait inembauché. La moitié de leurs connaissances précoces sont déjà obsolètes.

Le manque de compétences est réel, pas du blabla marketing

Les études sur la main-d'œuvre d'ISC2 ont montré une pénurie persistante de professionnels de la sécurité qualifiés depuis des années, et les responsables du recrutement auxquels j'ai parlé le confirment de leur côté : ils reçoivent beaucoup de CV mais peu de candidats qui peuvent réellement démontrer une compétence pratique. Ce manque ne se ferme pas parce qu'il n'existe pas de pipeline magique de jeunes de 22 ans qui n'ont étudié que la sécurité depuis leur naissance. Il se ferme (lentement) par les changements de carrière — anciens sysadmins, développeurs, techniciens help desk, même professeurs et vétérans militaires — qui font un effort ciblé pendant 6 à 12 mois et deviennent compétents.

Ce qui compte vraiment au point d'entrée

Les responsables du recrutement pour les rôles d'analyste SOC, de sécurité IT ou de pentest junior ne vous demandent pas depuis combien de temps vous êtes « en cyber ». Ils vérifient des choses spécifiques et vérifiables :

• Pouvez-vous lire une capture de paquets dans Wireshark et expliquer ce qui se passe
• Comprenez-vous comment TCP/IP, DNS et HTTP fonctionnent réellement, pas seulement ce que les acronymes signifient
• Avez-vous construit ou cassé quelque chose — un home lab, un writeup CTF, une VM vulnérable que vous avez rootée
• Pouvez-vous rédiger un rapport d'incident clair ou expliquer une vulnérabilité à une personne non-technique
• Maîtrisez-vous la ligne de commande Linux sans avoir besoin d'un pense-bête pour les choses basiques

Aucun de ces éléments ne demande des années. Ça demande une pratique délibérée. Quelqu'un qui passe quatre mois ciblés à construire un home lab avec pfSense, Security Onion et deux ou trois machines intentionnellement vulnérables (TryHackMe, HackTheBox, VulnHub) battra souvent à l'entretien quelqu'un qui a passé trois ans à un poste de help desk à faire quelque chose sans lien avec la sécurité.

Un plan réaliste de six mois si vous partez de zéro

Mois 1-2 : notions fondamentales de réseaux et bases de Linux. Soyez à l'aise avec le subnetting, le modèle OSI et bash basique. Le matériel Network+ du Professor Messer et le wargame Bandit d'OverTheWire sont tous deux gratuits et de bons points de départ.

Mois 2-4 : choisissez une orientation — blue team ou offensive — et allez en profondeur sur une plateforme. Le parcours SOC Level 1 de TryHackMe ou le parcours Pre Security fonctionnent bien pour la blue team ; la Web Security Academy de PortSwigger est gratuite et excellente si vous penchez vers l'offensive/web.

Mois 4-6 : obtenez une certification qui correspond à votre orientation (Security+ pour une base large, ou eJPT si vous voulez quelque chose de plus pratique) et construisez deux ou trois projets documentés — une configuration SIEM maison, un blog de writeup CTF, un petit rapport de pentest sur un environnement de lab. Mettez-les sur GitHub ou un site simple. Les recruteurs parcourent les CV en trente secondes ; un lien vers un vrai travail change cette conversation.

La seule chose qui vous disqualifie réellement

L'âge ne vous disqualifie pas. Un diplôme non-informatique ne vous disqualifie pas. Ce qui le fait, c'est l'inconsistance — commencer un cours, s'arrêter après deux semaines, recommencer six mois plus tard avec un cours différent. Les gens qui percent ne sont pas ceux avec le plus de talent naturel, ce sont ceux qui ont continué à se présenter pendant quelques mois d'affilée. C'est vraiment tout le secret, aussi peu glamour que cela paraisse.

Si vous voulez que l'étape suivante soit cartographiée, les pistes Breaking In et Certifications de Korra Studio approfondissent les rôles d'entrée à cibler en premier et comment séquencer votre première certification.