Discussion :

[ptah35]

Quand je lis ce titre, je me demande si l'on peut vraiment être "jeune" et faire de la "cybersécurité". Il me semble que c'est un domaine qui demande des compétences de très haut niveau, entendez par là, des compétences nécessitant la mobilisation d'une foule de compétences qui sont elles-mêmes de haut niveau, et il faut du temps pour intégrer toutes ces compétences... Mais sans doute peut-on s'y intéresser jeune pour se lancer dans voie qui y mène.

[gangsoleil]

Quand je lis ce titre, je me demande si l'on peut vraiment être "jeune" et faire de la "cybersécurité".

On peut, et il y en a. Les "hackers" en herbe que tu vois dans les films ne sont pas que le fantasme de scenaristes, ils existent. K. Mitnick en etait un par exemple.

Ce qu'attendent ces entreprises, c'est de voir des files d'attentes de hackers qui demandent de travailler pour eux. Mais ce qu'elles ne comprennent pas, c'est que ces jeunes profils ne sont pas du tout tentees par la vie en entreprise : ils preferent de loin continuer leur truc dans leur coin plutot que d'etre bride par un superieur et une entreprise.

[ptah35]

On peut, et il y en a. Les "hackers" en herbe que tu vois dans les films ne sont pas que le fantasme de scenaristes, ils existent. K. Mitnick en etait un par exemple.

Je ne mets pas en doute leurs compétences qui sont sans doute bien supérieures aux miennes, mais pour avoir travaillé dans le domaine, je peux dire qu'il y a un monde entre l'activité de cracker et celle de sécuriser. La première consiste à trouver une faille et à l'exploiter (plus ou moins difficile -- peut-être plus aujourd'hui qu'hier -- mais toujours possible... nul besoin d'en faire la démonstration), la seconde consiste à penser à tout ce qui pourrait éventuellement constituer une faille et trouver un moyen pour qu'elle n'en soit plus une (difficile et vouée à l'échec... c'est une course perpétuelle). En revanche, il est certain que la première est une voie royale pour aller vers la seconde.

[malgach]

Qu'est-ce qui, selon vous, pourrait expliquer ce désintérêt que montre la jeunesse pour un secteur pourtant prometteur ?

1 On est diplômé d'un Bac+5 mais on vous répond que vous n'avez aucune expérience professionnelle... euh, pour vous embaucher ça va être dur.
2 On a au moins 5 ans d'expérience professionnelle mais on vous répond que sans diplôme... euh, pour vous embaucher ça va être dur.
3 Mais si vous souhaitez travailler, on a des postes à pourvoir, légèrement au dessus du SMIC pour le même taf !

La cybersécurité renvoie en effet à des compétences de haut niveau et des connaissances diverses (dev, réseau, système), mais être efficace c'est avoir une spécialité et le temps pour la faire fructifier.
L'informatique est vaste et les entreprises doivent prendre en considération ce point, les jeunes de la cybersécurité voue leur temps à leur spécialité et sont/seront nettement plus productifs comparés à d'autres généralistes déjà embauchés.

Les employeurs n'ont pas confiance pour embaucher ? ... non! préserver leur argent, voilà leur motivation < +1 gangsoleil (restons dans notre coin jusqu'au prochain ddos, les entreprise seront plus réceptives et là nous pourrons postuler à notre avantage ).

[SOPHIELEAC]

Je vous prie de m'excuser de ce temps de latence. Je n'ai pris connaissance de cet article que récemment.
Je souhaite répondre à chacun des internautes qui ont réagi à la lecture de cet article.
à FABIEN : En France, contrairement aux pays anglo-saxons, on privilégie les diplômes aux compétences. C'est culturel. Les Français ne sont pas pragmatiques...
à GROM 1736 : Tout dépend du discours que vous avez tenu lors de l'entretien ou de la présentation de vos connaissances et compétences dans le CV. Votre technicité a été peut-être noyée dans un océan théorique et a pu par conséquent échapper à votre interlocuteur. Dans le domaine de l'ethical hacking il vaut mieux mettre en valeur les aspects techniques ou même souligner les éléments qui relèvent d'un certain art. Car l'ethical hacking ne se réduit pas à un corpus théorique et à de la technique. C'est plus que cela émoticône wink
à BENJANI 13 : Tout à fait exact, la séc info ne s'apprend pas en quelques mois. Les meilleurs sont ceux qui ont baigné dans ce domaine depuis l'adolescence (entre 14 et 15 ans et parfois même avant).
Ceux que j'appelle les J.E.S.I. (Les Jeunes experts en Sécurité Informatique) ont des aptitudes spécifiques liées à leur pratique mais aussi à leur personnalité. Je vous invite à consulter cette page :
http://www.leac-recrutement.com/aptitudes.html
Des études cliniques ont été menées aux Etats-Unis et en Allemagne. La population des Jeunes Experts en Sécurité Informatique présentent des caractéristiques rarement rencontrées dans la population générale (selon le test MBTI (Myers Briggs Type Indicator).
Ce n'est pas en France qu'on encouragerait les J.E.S.I. à poursuivre leur auto-formation. Les adolescent "grey hat" qui se veulent "white hat" sont détruits psychologiquement et broyés par le système juidiciaro-policier.
à ISITECH : Les ethical hackers et les J.E.S.I. ne prennent plaisir que dans la sécurité informatique. Les autres domaines de l'informatique ne les intéressent pas pour la grande majorité. Beaucoup d'ailleurs refusent de faire des études en informatique pour cette raison. Je loue le courage de ceux qui ont eu la force de les entreprendre...
à AILLYN : Si vous hackez la NASA, la CIA, le KGB, attendez-vous à quelques surprises... Votre juge d'instruction, bien intentionné, vous déconseillera tout voyage hors du territoire par mesure de prudence. Des gens disparaissent... Je ne dis pas que vous seriez kidnappé à coup sûr... Tout dépend du contexte, de l'âge, de votre intention, de votre idéologie...
à KOYOSAMA : Nous accusons un retard catastrophique dans le domaine de la cybersécurité. Mais à qui la faute? Des entreprises françaises renommées au niveau international sont obligées de quitter le territoire national pour s'implanter dans des pays où la mentalité est un peu moins "arriérée"...
à SQUISQUI : Il ne faut pas se leurrer. Les organisations privées et publiques françaises ne recrutent pas au DEFCON! émoticône grin Nous n'avons encore rien compris. Et ce qui nous arrivera sera mérité : Comme on fait son lit, on se couche! émoticône wink
à HERSPACE : Au risque de me répéter, je réaffirme qu'on apprend pas l'ethical hacking dans les écoles d'ingé. Que peut-on apprendre en 8 mois? Et comme je l'ai fait remarquer ci-dessus, les ingé ne présentent pas les traits de personnalité des J.E.S.I et n'ont plus les réflexes acquis précocement (gestion de l'incertitude et de l'inconnu entre autres).
Si l'ingénieur a beaucoup joué aux jeux vidéo, il sera meilleur que ses camarades cependant ( voir les études effectuées par Daphné BAVELIER

) mais jamais à la hauteur de l'ex teen-hacker ou JESI. Si vous ne connaissez pas les méthodes des "pirates", vous n'êtes pas crédibles pour une entreprise. Pour une fois je suis d'accord avec les chargés de recrutement... C'est assez rare que je le sois!
à NULEINFO : vous n'êtes pas si nul que cela! émoticône tongue... Non ça ne peut être répétitif car chaque cas est particulier pour le véritable ethical hacker. Ce que le hacker apprécie par-dessus tout est le défi. Et plus la mission est difficile et plus ça sera "fun"... L'ennui, il ne le supporte pas! Maintenant si vous évoquez l'expert en sécurité lambda, c'est autre chose. L'utilisation exclusive de logiciels ne relève pas du hacking. Dans le milieu on parle de script kiddies (wikipédia : Script kiddie ou encore lamer est un terme péjoratif d'origine anglo-saxonne désignant les néophytes qui, dépourvus des principales compétences en matière de gestion de la sécurité informatique, passent l'essentiel de leur temps à essayer d'infiltrer des systèmes, en utilisant des scripts ou programmes mis au point par d'autres. L'expression signifie « gamin à script », mais le terme n'est pas traduit par les informaticiens francophones) J'ai entendu un teen hacker parler de "méthodes artisanales"... C'est dire la différence entre hacker et expert en sécurité informatique formé dans les écoles! Des JESI peuvent devenir des experts en sécurité informatique mais ils constituent la minorité de cette corporation. Je pense que ces JESI devraient avoir un titre spécifique. Ils ont bien plus qu'un BAC + 5. Très jeunes ils ont dû assimiler une masse de connaissances, souvent en anglais d'ailleurs, seuls, avec seulement une aide ponctuelle via des réseaux spécialisés. Quand ils accèdent à une diplôme BAC+5, ils ont en réalité un BAC+ 8 ou 10. Les passionnés ne cessent de s'auto-former. Et ce n'est ni reconnu ni valorisé. Très grande erreur!
à Stéphane Le Calme : On fait tout l'inverse. On détruit le plus souvent nos talents. Le traitement qu'on leur inflige est proprement scandaleux.
à GANGSOLEIL : C'est de l'auto-formation à la base. Maintenant si les entreprises ne demandent que des diplômés, c'est qu'ils n'ont rien compris! Je pense sincèrement qu'on devrait créer une formation spécifique pour les ex-teen hackers ou ex-JESI. Il ont tellement été "busy" à se former, qu'ils peuvent présenter des lacunes dans les matières académiques. Et enfin qu'ils ne perdent du temps à ce qu'ils connaissent déjà, on pourrait élaborer un programme spécifique à leur intention en mathématiques, management, gestion de projets etc. Mais le pragmatisme ne verra pas tout de suite le jour en France.
Au lieu de poursuivre les hackers qui révèlent des failles, ils devraient être rémunérés par les sociétés à qui ils ont rendu service. On aurait fait un grand pas dans la rationalité.
Mon désir est de militer ardemment pour le "responsible disclosure".
Mot de la fin : pour notre survie, changeons les mentalités!...

[gangsoleil]

...En France, contrairement aux pays anglo-saxons, on privilégie les diplômes aux compétences. C'est culturel. Les Français ne sont pas pragmatiques...
...
Ce n'est pas en France qu'on encouragerait les J.E.S.I. à poursuivre leur auto-formation. Les adolescent "grey hat" qui se veulent "white hat" sont détruits psychologiquement et broyés par le système juidiciaro-policier.
...
Nous accusons un retard catastrophique dans le domaine de la cybersécurité. Mais à qui la faute? Des entreprises françaises renommées au niveau international sont obligées de quitter le territoire national pour s'implanter dans des pays où la mentalité est un peu moins "arriérée"...
...
Quand ils accèdent à une diplôme BAC+5, ils ont en réalité un BAC+ 8 ou 10. Les passionnés ne cessent de s'auto-former. Et ce n'est ni reconnu ni valorisé. Très grande erreur!
...
C'est de l'auto-formation à la base. Maintenant si les entreprises ne demandent que des diplômés, c'est qu'ils n'ont rien compris!
...
Mais le pragmatisme ne verra pas tout de suite le jour en France.
Au lieu de poursuivre les hackers qui révèlent des failles, ils devraient être rémunérés par les sociétés à qui ils ont rendu service. On aurait fait un grand pas dans la rationalité.
...
Mot de la fin : pour notre survie, changeons les mentalités!...

Vous critiquez beaucoup la France et le système francais, mais je ne suis pas certain qu'il y ait tant de différence que vous le sous-entendez avec des pays anglo-saxons : les entreprises états-uniennes sont les premières à poursuivre les "hackers" qui sont entrés dans leurs systèmes, et le temps où les responsables de la sécurité étaient recrutés parmi les responsables d'intrusions est loin derrière eux ; maintenant, il faut que les DSI sortent de Harvard ou du MIT.

Vous dites que nous sommes très en retard niveau sécurité, mais sur les 12 000 portables perdus dans les aéroports chaque semaine aux états-unis, combien ont des disques durs chiffrés, combien ont des vrais mots de passe, etc...

Bref, je trouve que vous tapez beaucoup sur le système francais sans voir que le reste est aussi pourri

[red57]

Concernant le manque d'enthousiasme des jeunes pour la cybersécurité, c'est encore un moyen pour faire baisser les salaires.

Justement, je connais quelqu'un à la Sogeti qui passe son temps à me dire spécialise toi dans la sécurité, c'est très recherché, mais au final, il y'a pas beaucoup d'annonces.

Maintenant, je me méfie des traqueurs de tendance. Ils sont juges et parties.

[Glutinus]

J'aurai tendance à dire que oui, un expert sécurité coûte cher. Mais comme tu dis, le nombre de places est rare. Ce qui est rare est cher

[SOPHIELEAC]

Vous critiquez beaucoup la France et le système francais, mais je ne suis pas certain qu'il y ait tant de différence que vous le sous-entendez avec des pays anglo-saxons : les entreprises états-uniennes sont les premières à poursuivre les "hackers" qui sont entrés dans leurs systèmes, et le temps où les responsables de la sécurité étaient recrutés parmi les responsables d'intrusions est loin derrière eux ; maintenant, il faut que les DSI sortent de Harvard ou du MIT.

Vous dites que nous sommes très en retard niveau sécurité, mais sur les 12 000 portables perdus dans les aéroports chaque semaine aux états-unis, combien ont des disques durs chiffrés, combien ont des vrais mots de passe, etc...

Bref, je trouve que vous tapez beaucoup sur le système francais sans voir que le reste est aussi pourri

Je confirme, je honnis le système français, son système éducatif... Et je suis loin d'être la seule à penser ainsi. Je partage ainsi l'opinion de certains spécialistes de renommée internationale... que je ne nommerai pas...
Je ne dis pas que ce n'est pas pourri ailleurs, surtout aux Etats-Unis!
Mais force est de constater qu'ils ont une approche plus intelligente des hackers. En attestent ces deux articles (qui sont d'actualité) :

http://information.tv5monde.com/info...rmatiques-1868
http://www.telerama.fr/techno/au-def...gite,71785.php

[gangsoleil]

Bon, c'est vrai que je suis de mauvaise humeur, mais :

Mais force est de constater qu'ils ont une approche plus intelligente des hackers. En attestent ces deux articles (qui sont d'actualité) :

Le premier article date de 2014, et cite une personne qui parle de recrutement au DEFCON 1999 et 2000 -- autant dire il y a une eternite.
Le second article date de 2011, et aurait ete mis a jour en 2014, mais il n'y a pas la moindre mention de quelque chose de plus recent que defcon 19, qui s'est bien tenu en 2011.

Sinon, oui, il y a des recrutements de hackers par le gouvernement etats-unien, mais est-ce qu'on peut dire pour autant que c'est une generalite ? Je ne pense pas.

Quant au système éducatif que vous honnissez, quel modèle trouve grace à vos yeux ? Pour le système anglo-saxon, je vais tout suite citer Aaron Schwartz et le MIT pour tuer la discussion.

[SOPHIELEAC]

Bon, c'est vrai que je suis de mauvaise humeur, mais :



Le premier article date de 2014, et cite une personne qui parle de recrutement au DEFCON 1999 et 2000 -- autant dire il y a une eternite.
Le second article date de 2011, et aurait ete mis a jour en 2014, mais il n'y a pas la moindre mention de quelque chose de plus recent que defcon 19, qui s'est bien tenu en 2011.

Sinon, oui, il y a des recrutements de hackers par le gouvernement etats-unien, mais est-ce qu'on peut dire pour autant que c'est une generalite ? Je ne pense pas.

Quant au système éducatif que vous honnissez, quel modèle trouve grace à vos yeux ? Pour le système anglo-saxon, je vais tout suite citer Aaron Schwartz et le MIT pour tuer la discussion.

Effectivement les articles datent de 2014! C'est tout récent. Il n'y aura pas de révolution en 2015 à Las Vegas les 6-9 août. On recrute évidemment les meilleurs. Tous les hackers ne peuvent être recrutés, c'est une évidence. Aaron était avant tout un développeur, pas un hacker... Moi je voulais bien continuer la discussion, n'étant pas à court d'arguments Enfin il n'y a pas de modèle idéal. Mais on peut dire que le système éducatif français est particulièrement catastrophique.