Cybersécurité : diplôme universitaire ou certification, que disent les données publiées ?

Lisez l'écart de main-d'œuvre de l'ISC2 avec précaution

Selon l'étude 2024 de l'ISC2, publiée le 11 septembre 2024, l'écart de main-d'œuvre en cybersécurité a augmenté de 19 % sur un an pour atteindre 4,8 millions de postes. L'organisme présente cet écart comme la différence entre l'effectif existant et l'effectif jugé nécessaire.

L'ISC2 est une association de professionnels qui délivre des certifications. Elle a donc un intérêt à documenter la pénurie. Cela ne rend pas l'étude fausse, mais cela invite à lire le chiffre comme une estimation fondée sur un sondage, et non comme un nombre d'offres d'emploi. La méthode de calcul de l'écart se lit dans le rapport complet.

L'étude indique aussi que 90 % des organisations déclarent des lacunes de compétences dans leurs équipes de sécurité, et que 64 % jugent le manque de compétences plus grave que le manque de personnel.

Repérez ce que l'étude dit sur l'embauche

L'étude 2024 fournit des données sur la structure des équipes. Selon elle, 31 % des répondants disent que leur équipe de sécurité n'a aucun employé de niveau d'entrée, et 15 % aucun employé de niveau junior (un à trois ans d'expérience). L'étude indique que 62 % des gestionnaires interrogés avaient des postes à pourvoir. Elle souligne que les recrutements privilégient les profils intermédiaires et avancés.

Ces chiffres sont importants pour un nouveau diplômé. Ils suggèrent que la pénurie est surtout une pénurie de personnes expérimentées. Le marché des postes d'entrée peut rester difficile, même quand l'écart global est grand.

L'étude signale aussi que près d'un quart des répondants d'Amérique du Nord et d'Europe ont connu des mises à pied en cybersécurité au cours des douze derniers mois, et 29 % au Moyen-Orient et en Afrique. Elle les attribue aux contraintes économiques.

Lisez les projections américaines

Le BLS projette une croissance de 21 % de l'emploi des analystes en sécurité de l'information entre 2025 et 2035, classée comme beaucoup plus rapide que la moyenne de l'ensemble des professions. Leur salaire médian était de 129 180 $ US en mai 2025.

Pour l'entrée dans la profession, le BLS indique typiquement un baccalauréat en informatique ou dans un domaine proche, comme le génie ou les mathématiques. Il précise que certains travailleurs entrent avec un diplôme d'études secondaires, de la formation et des certifications. Il note que de nombreux employeurs préfèrent des candidats détenant une certification en sécurité de l'information, sans nommer de certification précise.

Ces chiffres décrivent le marché américain pour une catégorie professionnelle précise. Ils ne remplacent pas les statistiques du pays visé.

Comparez diplôme et certification dans un tableau

Le tableau ci-dessous reprend les rôles généralement attribués au diplôme et à la certification. Il s'agit d'une grille de lecture fondée sur les sources citées, non d'un classement.

Ce tableau simplifie. Un diplôme en informatique n'apporte pas automatiquement les compétences de sécurité, et une certification n'apporte pas la profondeur théorique d'un diplôme. Les deux se complètent plutôt qu'ils ne s'opposent. Le BLS lui-même mentionne les deux : le baccalauréat comme formation d'entrée typique, les certifications comme préférence de nombreux employeurs, y compris pour des postes de débutants.

Vérifiez les conditions des certifications

Les certifications ne sont pas équivalentes. Certaines visent les débutants, d'autres supposent des années d'expérience. L'ISC2 propose par exemple la certification Certified in Cybersecurity (CC), présentée sur sa page comme une certification d'entrée de gamme qui n'exige aucune expérience de travail. À l'autre bout, la page de la certification CISSP mentionne une exigence d'expérience de cinq ans, avec des domaines admissibles et des exceptions pour les stages ; les détails de ces règles doivent être lus directement sur le site de l'organisme, car ils évoluent.

Le point important est qu'une certification avancée ne remplace pas l'expérience. Un débutant ne peut pas l'obtenir intégralement, et il doit viser d'abord des certifications d'entrée, puis des postes qui permettent de cumuler l'expérience requise.

L'étude de l'ISC2 note que les gestionnaires s'attendent souvent à des combinaisons d'expérience et de certifications difficiles à réunir. Les candidats gagnent à lire les offres d'emploi réelles pour repérer les certifications demandées dans leur région.

Évaluez l'effet de l'intelligence artificielle

L'étude 2024 rapporte que plus d'un tiers des répondants nomment l'intelligence artificielle comme la plus grande lacune de compétence de leur équipe. Une autre question porte sur les compétences jugées importantes : l'IA est citée par 12 % des gestionnaires chargés du recrutement, contre 23 % des professionnels. Ces pourcentages ne mesurent donc pas la même chose que la lacune de compétence.

Cet écart suggère que les équipes et leurs gestionnaires n'ont pas la même perception du besoin. Il invite à la prudence : une compétence à la mode n'est pas nécessairement demandée dans les offres d'emploi.

Pour un étudiant, les bases solides restent les réseaux, les systèmes d'exploitation, la programmation, la cryptographie et la gestion des risques. Ces connaissances se transfèrent d'une technologie à l'autre.

Un autre signal à lire avec prudence : l'étude de l'ISC2 est un sondage de professionnels et de gestionnaires, donc une perception, et non une mesure objective des besoins. Les perceptions reflètent la position de chaque répondant dans l'organisation, et elles peuvent changer rapidement quand un nouvel outil apparaît. Pour choisir des cours, les descriptions de poste actuelles restent un meilleur guide que n'importe quelle étude de tendance.

Construisez une expérience concrète

Puisque la demande porte sur l'expérience, les stages, les projets et les compétitions jouent un rôle important. Les concours de type « capture du drapeau », les laboratoires personnels, les contributions à des projets ouverts et les stages en équipe de sécurité donnent des éléments à montrer à un employeur.

Les programmes universitaires qui intègrent des stages ou des projets d'équipe avec des organisations réelles réduisent l'écart entre le diplôme et le premier poste. Il est utile de demander à un programme où ses diplômés ont travaillé dans les deux dernières années.

Pour les personnes en réorientation, une formation courte peut compléter un diplôme existant en informatique, en réseaux ou en administration de systèmes. Elle fonctionne alors comme une spécialisation, pas comme un point de départ.

Voici des moyens concrets de documenter une compétence :

• un laboratoire personnel décrit par écrit, avec les outils utilisés et les résultats ;
• une participation à des compétitions de sécurité, avec le classement obtenu ;
• un stage ou un emploi d'été en équipe informatique, même sans titre de sécurité ;
• une contribution documentée à un projet ouvert.

Et au Canada ?

Les professions de la cybersécurité ne sont pas réglementées au Canada comme le sont le génie ou la santé. Le titre d'ingénieur, lui, est protégé : un diplômé qui souhaite l'utiliser doit passer par l'ordre provincial. Les employeurs, eux, demandent surtout des diplômes en informatique, des certifications et de l'expérience. Les statistiques d'emploi par profession sont publiées séparément par les organismes fédéraux ; elles ne se confondent pas avec les chiffres américains de cet article. Les certifications de l'ISC2 sont internationales : elles se passent au Canada comme ailleurs, sans dépendre du système universitaire, ce qui permet de les combiner avec un diplôme canadien.

StudyCanada propose notamment le programme d'informatique de l'Université de Waterloo et celui de l'Université d'Ottawa, ainsi que les programmes de cybersécurité de l'Université McGill et de l'Université de Montréal (gestion et sécurité des systèmes d'information). L'Université de Waterloo y figure pour l'informatique générale, non pour un programme dédié à la cybersécurité.