Projet Professionnel : RSSI ?

[gruik]

une fois n'est pas coutume je me fends d'un post à rallonge,

alors bon, je ne travaille pas dans la sécurité mais de ce que j'ai pu constater et y compris des nombreux retours d'expérience de gars qui en ont fait leur métier t'as on va dire grosso-modo 3 grandes catégories de "monsieur sécu"

- l'auditeur sécu/le "pentester", des attaques il en fait régulièrement, toujours dans un cadre très délimité surtout au niveau timing, le propos n'est pas d'être exhaustif mais de montrer au client qu'il a bien fait de faire appel aux services de ta boite, ses principales compétences... les injections SQL et le social engineering sur la secrétaire ? son temps il le dispatch a peu près à part égale entre l'intrusion et le rapport à fournir au client, souvent ça va être couplé avec donner des formations "hacking" ou de la R&D mais rien de réellement transcendant à ce niveau j'ai l'impression.
techniquement pas besoin d'être un cador, juste besoin de savoir faire des intrusions en mode vitevite, ça recrute à brain -2 dans certaines boites honnêtement, évidement il y a toujours des exceptions...

- le chercheur en sécurité, lui à priori fait des trucs bien plus intéressants à peu près tout le temps, techniquement c'est une brutasse, en termes de diplômes souvent aussi, c'est à mon avis le seul boulot où l'ASM peut encore être réellement utile, ce sont les gars qui trouvent les vulnérabilités, les exploitent, donnent des conférences etc. mais pas seulement les {Free,SFR,Orange,etc.}box sont souvent design par ces gars là également, tout comme certains outils utilisés en interne par l'entreprise
c'est un boulot à mon avis super intéressant, et très prenant, la plupart de ceux que je connais sont célib et sont des connards invétérés ont un égo à la hauteur de leurs compétences...

- l'"ingénieur sécurité", ou les métiers de la "gouvernance des SI", c'est celui qui oblige les admins à bosser sur du windows, les développeurs à utiliser des outils qu'ils n'ont pas codé eux-même comme putty, qui sont responsables en cas d'incident, disent à tout le monde comment faire et mettent au final assez rarement les doigts dans la technique, globalement ils font chier tout le SI et sont souvent perçus comme les empêcheurs de rooter en rond, pour en avoir côtoyé de près et de part leur position centrale dans le SI, leur situation dans l'entreprise est souvent assez complexe, leur meilleur ami étant les normes ISO 2700x
niveau diplômes j'y ai vu aussi bien du docteur en sécurité (RSSI ou futur RSSI) que de l'ingénieur ancien réseaux ou système ou autre

dans tous les cas je pense que la voie royale c'est au minimum le diplôme d'ingénieur, spécialisé sécu c'est encore mieux (alors je dis ça mais avec un master sécu ça le fait surement tout autant hein..), un doctorat c'est le top
reste que tout n'est pas tracé non plus et heureusement, la très large majorité des opportunités dans ta carrière viendra potentiellement d'offres internes à l'entreprise, c'est à dire d'évolution ou de migration de poste, tout est affaire de savoir mettre en avant ses compétences, lesquelles au delà des considérations purement "hackzor-iennes" doivent surtout être pertinentes, efficaces, et dans cette optique on privilégiera les techniques pour défendre un système plutôt que pour l'attaquer, cqfd