Un label pour la cybersécurité dans l’enseignement supérieur

C’est à partir du 5 septembre que les établissements d’enseignement supérieur pourront faire étudier par l’Agence nationale pour la sécurité des systèmes d’information (Anssi) leurs demandes de labellisation SecNumEdu de leurs formations. Publiant la documentation applicable à celle-ci, l’Anssi explique que son objectif « est d’apporter une assurance aux étudiants et employeurs qu’une formation dans le domaine de la sécurité du numérique répond à une charge et des critères définis par l’Anssi en collaboration avec les acteurs et professionnels du domaine (établissements d’enseignement supérieur, industriels, etc.) ».

Seize métiers sont visés pour les niveaux licence et master+ : de technicien de support à RSSI, en passant par consultant, expert et juriste spécialisé en cyberdéfense. Au niveau licence, celui d’expert en test d’intrusion requiert un niveau 3 sur une compétence, celle relative aux… tests d’intrusion. Experts et formateurs doivent également avoir atteint le niveau 3 dans le domaine concerné. Ailleurs, c’est le niveau 2 qui est requis au maximum.

L’Anssi explique que ce niveau correspond à la capacité à « réaliser des actes simples et certains actes complexes liés à la compétence ». Le niveau 1 relève de la seule « sensibilisation ». Le troisième niveau est la « maîtrise : réaliser des actes complexes ou tous les actes liés à une compétence ».

Le niveau 4 est le plus exigeant. Mais il se doit d’être « exceptionnel, pour une formation initiale » et ne concerne essentiellement que « certaines formations spécialisées ». Il n’apparaît en fait que pour les formations de niveau Master+, pour les métiers de formateur et d’expert – sauf en test d’intrusion – et de juriste spécialisé.

Les esprits chagrins relèveront que les systèmes industriels ne font pas l’objet de plus qu’une sensibilisation dans les métiers visés, à l’exception de ceux de formateurs ou d’experts dédiés. Mais peut-être aussi que, si une certaine polyvalence semble ressortir de la grille des compétences et des métiers, certains de ces derniers sont plus exigeants que d’autres, y compris à niveau master+. La grille ne fait notamment pas ressortir un niveau d’exigence très élevé pour celui d’analyse, que l’on attend sensibilisé à tout, mais uniquement réellement compétent (niveau 3) sur les fondamentaux et les aspects économiques de la cybersécurité. Les attentes sont un cran plus élevées pour les opérateurs et consultants.  

Pour obtenir la labélisation d’un cursus, les établissements doivent soumettre un dossier de demande complet traité sous au moins 2 mois calendaires, « juillet et août comptant pour un mois ». Le label est valable pour une durée de trois ans, mais l’Anssi est susceptible de procéder à des vérifications inopinées et la demande de renouvellement devra intervenir au plus tard 4 mois avant l’échéance.

Les organismes de formation souscrivent à plusieurs engagements, dont celui de signaler « tout événement qui serait de nature à modifier les conditions qui ont permis la labellisation » et de supprimer au maximum sous 6 mention toute mention du label s’il venait à être retiré. L’agence publiera la liste des formations labélisées sur son site Web.