Testeurs ou testeuses de pénétration

De : Centre canadien pour la cybersécurité

Le ou la titulaire du poste effectue des tests officiels et contrôlés ainsi que des évaluations de la sécurité physique sur des applications Web, des réseaux et d’autres systèmes, au besoin, pour détecter et exploiter les vulnérabilités de sécurité.

Sur cette page

Référence au cadre de la NICE

Aucune.

Conséquence d’une erreur ou risque

Une erreur, une négligence, une information désuète, un manque d’attention aux détails ou un mauvais jugement pourrait faire en sorte que des vulnérabilités ne soient pas détectées ou soient identifiées de façon erronée, ce qui pourrait donner lieu à une compromission. Cela peut avoir des répercussions importantes sur les systèmes, les capacités et les fonctions informatiques de l’organisation.

Parcours de perfectionnement

Il s’agit souvent d’un poste de niveau 2 ou 3 dans un environnement des opérations de cybersécurité qui est généralement précédé par une expérience considérable (de trois à cinq ans) dans un poste lié aux opérations de cybersécurité, notamment en analyse des vulnérabilités, en analyse des maliciels ou en analyse technique des systèmes de sécurité. Il s’agit d’un rôle technique qui peut mener à une spécialisation technique ou à des rôles de leadership et de gestion dans des équipes de testeurs.

Autres titres

Spécialistes des tests et de l’évaluation de la sécurité
Analystes spécialisés/spécialisées dans l’évaluation des vulnérabilités

Classifications nationale des professions connexes

2171 - Analystes et consultants/consultantes en informatique

2147 – Ingénieurs informaticiens/ingénieures informaticiennes (sauf ingénieurs/ingénieures et concepteurs/conceptrices en logiciel)

2173 – Ingénieurs/ingénieures et concepteurs/conceptrices en log

Tâches

Effectuer des tests de pénétration sur des applications Web, des connexions réseau et des systèmes informatiques afin de déterminer les cybermenaces et les vulnérabilités techniques
Effectuer des évaluations de la sécurité physique du réseau, des dispositifs, des serveurs et des systèmes d’une organisation
Concevoir des tests de pénétration et les outils nécessaires à leur exécution (p. ex. normes, risques, mesures d’atténuation)
Enquêter sur les vulnérabilités et les failles de sécurité inconnues dans les applications Web, les réseaux et les systèmes pertinents que des auteurs de cybermenace peuvent facilement exploite
Rédiger et tenir à jour des documents sur les résultats des tests de pénétration exécutés
Utiliser le piratage psychologique pour mettre au jour les lacunes en matière de sécurité
Définir et examiner les exigences relatives aux solutions de sécurité de l’information
Analyser et documenter les constatations en matière de sécurité et en discuter avec la direction et le personnel technique
Fournir des recommandations et des lignes directrices sur la façon d’améliorer les pratiques de sécurité d’une organisation
Élaborer et fournir le matériel de formation, et surveiller les efforts d’éducation

Compétences requises pour l’éducation

Études postsecondaires (diplôme en informatique ou dans un domaine des technologies de l’information connexe)

Formation requise

Formation axée sur les outils, les techniques et les procédures d’analyse des vulnérabilités et de tests de pénétration.

Expérience professionnelle requise

De deux à trois ans d’expérience à un poste spécialisé lié aux opérations de cybersécurité et, de préférence, de l’expérience en EV.

Outils et technologies

Politiques, procédures et pratiques de sécurité organisationnelle
Mappage des systèmes organisationnels et architecture des réseaux
Outils d’évaluation des vulnérabilités
Politiques, processus et pratiques en matière de gestion des vulnérabilités
Bases de données des vulnérabilités communes
Outils et protocole relatifs aux tests de pénétration

Compétences

Les connaissances, compétences et aptitudes suivantes s’appliquent à un niveau avancé :

Architecture de sécurité des réseaux
Outils, techniques et protocoles avancés utilisés par les auteurs de menace
Principes, outils et techniques relatifs aux tests de pénétration
Processus de gestion des risques visant à évaluer et à atténuer les risques
Concepts d’administration des systèmes
Concepts de la cryptographie et de la gestion des clés cryptographiques
Cryptologie
Établissement des problèmes de sécurité en fonction de l’analyse des données sur les vulnérabilités et la configuration
Politiques, processus et pratiques en matière de gestion des vulnérabilité
Planification des tests de pénétration, dont les risques qui pèsent sur les systèmes et les mesures d’atténuation connexes
Menaces et vulnérabilités pour la sécurité des systèmes et des applications
Techniques d’administration des systèmes et techniques de renforcement des réseaux et des systèmes d’exploitation
Analyse des paquets à l’aide des outils appropriés
Conduite d’analyses des vulnérabilités et établissement des vulnérabilités dans les systèmes de sécurité
Exécution d’évaluations des vulnérabilités, des répercussions et des risques
Examen des registres du système pour repérer les traces d’intrusion
Utilisation d’outils d’analyse réseau pour déterminer les vulnérabilités

Futures tendances ayant une incidence sur les compétences clés

La dépendance accrue aux services virtuels ou « basés sur l’infonuagique » exigera une connaissance des responsabilités du fournisseur de services, notamment de ses responsabilités pour ce qui est de détecter les incidents de cybersécurité, d’intervenir dans de telles circonstances et d’assurer la reprise des activités
Si le rôle est exercé au sein de l’organisation, il sera nécessaire de comprendre pleinement les répercussions de l’option « Prenez vos appareils personnels » (PAP). Cela signifie que, peu importe les capacités de l’appareil, il faudra évaluer les risques qui pèsent sur l’organisation, mettre en œuvre des mesures d’atténuation pour tenir compte des possibles compromissions qui pourraient résulter de l’utilisation d’appareils personnels et déterminer les mesures que le Centre des opérations de sécurité (COS) devra prendre advenant un incident
L’utilisation accrue des outils automatisés, facilitée par l’intelligence artificielle, nécessitera une bonne compréhension de la façon dont ces outils s’intégreront au COS, ce qui comprend la mise en œuvre des changements liés au personnel et aux processus.
L’utilisation accrue des outils automatisés par les auteurs de menace pose des problèmes aux organisations qui ne disposent pas d’outils défensifs complémentaires. Des stratégies d’atténuation créatives et pertinentes seront donc nécessaires localement. Cela exigera une bonne maîtrise de la pensée critique et abstraite.
Des mécanismes visant à soutenir le degré requis de confiance et de risque organisationnel devront être mis en place pour soutenir le suivi et la communication des résultats des outils automatisés. Par conséquent, il faudra mieux comprendre les risques qui pèsent sur l’organisation et les possibles réponses dans l’environnement dynamique de la menace.
L’émergence et l’utilisation des technologies quantiques par les auteurs de menace modifieront fondamentalement la sécurité du chiffrement. Cela nécessitera des connaissances et des compétences pour ce qui est de la mise en œuvre d’une stratégie post-quantique, de la compréhension des vulnérabilités du système et de la manière d’atténuer les menaces de nature quantique.

Sélection de la langue

Recherche