Cybersécurité et sécurité physique sont des domaines vastes. Que vous visiez CISSP, appreniez le pentest, ou conceviez de la vidéosurveillance d'entreprise, voici une feuille de route structurée organisée par style d'apprentissage et stade de carrière.
1. Certifications reconnues par l'industrie (Titres carrière)
| Certification | Focus | Niveau | Idéal pour |
|---|
| CISSP (ISC²) | Gestion sécurité, 8 domaines | Senior | Track CISO, rôles leadership |
| Security+ (CompTIA) | Concepts fondamentaux | Entrée | Première cert sécurité, DoD 8570 |
| CEH (EC-Council) | Méthodologie hacking éthique | Intermédiaire | Entrée pentest |
| OSCP (OffSec) | Exploitation pratique | Avancé | Prouver compétences hacking pratiques |
| CCSP (ISC²) | Sécurité cloud | Senior | Architectes, ingénieurs cloud |
| GCIH/GSEC (GIAC/SANS) | Gestion incidents, fondamentaux | Intermédiaire | Blue team, analystes SOC |
| CPP/PSP (ASIS) | Sécurité physique, enquêtes | Intermédiaire/Senior | Gestion sécurité entreprise |
2. Plateformes apprentissage en ligne
- SANS : Formation standard or (7K$/cours). Live, OnDemand, ou work-study. Certs GIAC inclus.
- Coursera/edX : Cours universitaires (Stanford, Maryland, ETH Zurich). Audit gratuit ; certificats 49–150 $.
- OffSec (PWK, PEN-200) : Prépa OSCP. Brutal, pratique, révéré.
- Hack The Box / TryHackMe : Labs gamifiés. HTB pour intermédiaire+ ; THM pour débutants. 10–14 $/mois.
- Pluralsight / A Cloud Guru : Focus compétences tech. Bien pour cloud security, DevSecOps.
- Cybrary / INE : Bibliothèques spé sécurité. Environnements labs inclus.
3. Conférences (Networking + Pointe)
- Black Hat / DEF CON (Las Vegas, août) : Présentations recherche + culture hacker. Briefings vs villages.
- RSA Conference (SF, printemps) : Lourd vendeurs, keynotes C-suite, pouls industrie large.
- BSides (Global, community-run) : Abordable, local, haut signal/bruit.
- ShmooCon (DC), THOTCON (Chicago), LayerOne (LA) : Pépites régionales.
- SANS Summits / Blue Team Con / PurpleCon : Focus spécialisé.
4. Lectures essentielles
- Fondamentaux : "Security Engineering" (Anderson), "Applied Cryptography" (Schneier), "The Web Application Hacker's Handbook"
- Offensif : "Practical Malware Analysis," "The Art of Exploitation," "Red Team Field Manual"
- Défensif : "Blue Team Handbook," "Incident Response & Computer Forensics," "Detection Engineering"
- Stratégie : "The CISO Handbook," "Measuring and Managing Information Risk" (FAIR)
5. Veille continue
- Newsletters : tl;dr sec, The Daily Swig, Risky Business, Krebs on Security
- Podcasts : Darknet Diaries, Security Now, Risky Business, Malicious Life
- Flux : The Hacker News, BleepingComputer, alertes CISA, avis vendeurs
6. Cadres gouvernementaux et industriels (Gratuits, autoritatifs)
- NIST CSF, 800-53, 800-171, 800-61 (IR)
- MITRE ATT&CK (comportements adversaires)
- CIS Benchmarks (configs sécurisées)
- OWASP Top 10 / ASVS / MASVS (app/api/mobile)
- ISO 27001/27002 (SMSI)
7. Pratique : Construire le portfolio
- Home lab : Proxmox/ESXi, pfSense, domaine AD, SIEM (Wazuh/Splunk), scanner vulnérabilités.
- CTFs : PicoCTF (débutant), calendrier CTFtime.org.
- Bug bounties : HackerOne, Bugcrowd, Intigriti. Commencez VDPs (pas payé, safe harbor).
- Contrib open source : Outils sécurité, docs, Sigstore, projets OpenSSF.
Sécurité physique spécifique
- ASIS International (certifications CPP, PSP, APP)
- IFPO (Certified Protection Officer)
- SIA (Security Industry Association) formations
- Formations fabricants : Axis, Hanwha, Genetec, Lenel, Avigilon certifications
Commencez ici : Définissez votre rôle cible → choisissez une cert + une plateforme pratique + une communauté. La constance bat l'intensité.
