Il n’existe pas un métier de la cyber. Il en existe des dizaines.

Il trouve, convainc et accompagne les profils cyber que les entreprises peinent à recruter, dans un marché où les candidats qualifiés sont plus sollicités que les postes.

Il rend la cybersécurité lisible : il écrit, met en forme et diffuse ce que l'entreprise, l'éditeur ou l'institution veut faire comprendre à ses publics.

Le consultant GRC aide une organisation à décider de quoi elle doit se protéger, à organiser sa sécurité et à prouver qu'elle respecte les règles (ISO 27001, NIS 2, RGPD, DORA).

Il vend des solutions ou des prestations de cybersécurité à des entreprises, ce qui suppose de comprendre leurs risques avant de parler produit.

Il fait connaître une solution ou une offre de cybersécurité auprès de décideurs qui ne sont pas experts, et fournit aux commerciaux des prospects et des arguments.

Il s'assure que le client utilise vraiment la solution ou le service de sécurité qu'il a acheté, en tire de la valeur, et renouvelle.

Il fait changer les comportements des collaborateurs face aux risques cyber, par des programmes de sensibilisation, des formations et des campagnes de test.

Il traduit le droit (RGPD, NIS 2, DORA, droit pénal du numérique) en obligations concrètes pour l'organisation, et s'assure qu'elles sont tenues.

Il fait aboutir les projets de sécurité : déploiement d'un outil, mise en conformité, plan de remédiation après audit, avec un budget, un planning et des équipes qui ont toutes autre chose à faire.

Il traduit les obligations réglementaires et les référentiels de sécurité en règles, preuves et plans d'action, et tient l'entreprise prête pour les contrôles et les audits.

Il identifie et évalue les risques cyber de l'entreprise, les traduit en impacts compréhensibles par la direction, et suit les décisions prises pour les réduire.

L'analyste SOC surveille les alertes de sécurité d'une organisation, trie ce qui est grave de ce qui ne l'est pas, et déclenche la réponse quand une attaque est réelle.

L'analyste CTI étudie les attaquants : qui ils sont, comment ils opèrent, qui ils visent, pour que l'organisation se défende contre les menaces réelles plutôt que contre des menaces imaginaires.

Il aide une organisation à savoir où elle en est, ce qu'elle risque et ce qu'elle doit faire en priorité, puis l'accompagne pour le faire.

Il accompagne le commercial chez le client pour comprendre le besoin, démontrer la solution et construire une proposition technique crédible.

Il décide ce que le produit de sécurité doit faire, dans quel ordre et pour qui, entre les demandes des clients, la réalité de l'équipe technique et le marché.

Le RSSI porte la sécurité d'une organisation : il définit la stratégie, arbitre les risques, obtient les budgets et répond de la situation devant la direction.

Quand une organisation est attaquée, c'est lui qui reconstitue ce qui s'est passé, stoppe l'attaquant et remet le système en état, sous pression et avec méthode.

Il vérifie, preuves à l'appui, que la sécurité annoncée est bien celle qui existe : dans les configurations, dans les procédures, dans les pratiques.

L'ingénieur IAM fait en sorte que chaque personne, et chaque machine, n'accède qu'à ce dont elle a besoin, ni plus ni moins, du premier jour au départ.

Le pentester attaque, avec autorisation, les systèmes d'une organisation pour trouver les failles avant les attaquants, puis explique comment les corriger.

L'ingénieur sécurité cloud sécurise les environnements hébergés chez AWS, Microsoft Azure ou Google Cloud : configurations, identités, réseaux, chaînes de déploiement, avec le code comme outil principal.

Il conçoit la sécurité des systèmes avant qu'ils existent : choix des briques, des flux, des accès et des règles, pour que la protection soit dans la structure plutôt qu'ajoutée après coup.