Spécialiste en cybersécurité

Comprendre ce qu'une organisation doit protéger, évaluer son hygiène numérique et proposer des mesures réalistes, classées par priorité.

Une PME de logistique de 80 salariés, répartie entre Dakar et Lyon, vient de subir une tentative de fraude au virement. Sa directrice vous demande un premier diagnostic avant d'engager un budget sécurité. À partir du dossier fourni (organigramme, liste du matériel, extraits de configuration, réponses à un questionnaire interne), vous dressez l'inventaire des actifs et vous identifiez ceux qui sont critiques pour l'activité. Vous évaluez ensuite l'entreprise sur une quinzaine de mesures d'hygiène : comptes et mots de passe, double authentification, mises à jour, sauvegardes, postes nomades, sensibilisation. Vos constats doivent être factuels et reliés à un risque compréhensible par la direction. Vous terminez par un plan d'action sur 90 jours qui distingue les gains rapides des chantiers de fond. En soutenance, vous présentez ce plan en dix minutes comme si vous étiez face à la directrice.

Concevoir une architecture réseau segmentée, filtrer les flux au plus juste et vérifier par des tests que les règles produisent l'effet attendu.

La même PME ouvre un entrepôt à Thiès. Aujourd'hui, les postes administratifs, les terminaux de scan, les caméras et le Wi-Fi invités partagent un seul réseau plat. Dans un laboratoire virtualisé fourni par Formuloo, vous concevez puis mettez en place une architecture cible : zones séparées, pare-feu entre les zones, accès distant par VPN vers le siège et Wi-Fi invités isolé. Vous écrivez une matrice des flux autorisés en partant du principe que tout ce qui n'est pas nécessaire est interdit. Vous démontrez ensuite que votre configuration tient : captures de trafic, tentatives de connexion entre zones, vérification du tunnel VPN. Chaque règle de filtrage doit être justifiée par un besoin métier. En soutenance, le mentor vous demandera d'ouvrir un nouveau flux en direct et d'expliquer l'impact de cette ouverture.

Réduire la surface d'attaque de serveurs Linux et Windows et d'un domaine Active Directory, de façon reproductible et mesurable.

Une clinique privée de Douala dispose d'un domaine Active Directory, d'un serveur de fichiers Windows et de deux serveurs Linux qui hébergent son logiciel de rendez-vous. Rien n'a été durci depuis l'installation. Dans le laboratoire, vous réalisez d'abord un audit de départ à l'aide d'un référentiel de durcissement reconnu et d'outils d'audit open source. Vous appliquez ensuite les mesures retenues : comptes et privilèges, services inutiles, journalisation, politique de mots de passe, stratégies de groupe, protection des comptes à privilèges du domaine. Tout ce qui peut l'être est automatisé par des scripts versionnés dans un dépôt Git, afin que l'équipe informatique de la clinique puisse rejouer le durcissement sur un nouveau serveur. Vous mesurez l'écart entre l'audit de départ et l'audit final et vous expliquez les mesures que vous avez volontairement écartées, car elles gênaient l'activité.

Choisir des mécanismes de chiffrement adaptés, mettre en place une infrastructure de certificats interne et organiser le cycle de vie des clés.

Un réseau de douze agences de microfinance utilise des certificats autosignés pour son intranet et laisse ses ordinateurs portables sans chiffrement de disque. L'auditeur de la banque centrale l'a relevé. Vous concevez et déployez en laboratoire une infrastructure de certificats à deux niveaux : une autorité racine conservée hors ligne et une autorité intermédiaire qui délivre les certificats des serveurs et des postes. Vous configurez le TLS de l'intranet selon les recommandations actuelles et vous vérifiez la note obtenue avec un outil d'analyse. Vous rédigez enfin la procédure de cycle de vie : demande, émission, renouvellement, révocation, perte d'une clé. Vous recommandez une solution de chiffrement des disques des portables et une méthode de conservation des clés de secours. En soutenance, vous simulez la révocation d'un certificat compromis.

Trouver, qualifier et faire corriger les vulnérabilités d'une application web, puis aider l'équipe de développement à ne plus les reproduire.

Une boutique en ligne de produits artisanaux, qui vend au Cameroun et en Belgique, prépare une forte campagne de fin d'année. Son développeur veut savoir si l'application résiste. Formuloo vous fournit une copie de l'application en laboratoire et l'accès à son code source. Vous menez un audit combiné : tests manuels guidés par les catégories de l'OWASP, analyse automatique du code et revue ciblée des parties sensibles (authentification, paiement, gestion des fichiers envoyés). Chaque vulnérabilité est décrite avec ses étapes de reproduction, son impact et une note de gravité. Pour les trois plus graves, vous proposez une correction sous forme de pull request. Vous terminez par une liste de contrôle de développement sécurisé que l'équipe pourra appliquer à chaque nouvelle fonctionnalité.

Entrer dans votre spécialisation sur un même scénario : construire la détection en SOC, éprouver les défenses en pentest ou analyser les risques en GRC.

Une fintech qui opère une plateforme de paiement mobile en Afrique de l'Ouest et en France veut mieux connaître son exposition. Le scénario, l'environnement de laboratoire et la documentation sont communs à tous ; **le projet s'adapte à la spécialisation que vous avez choisie**. - **SOC** : vous collectez les journaux des serveurs, du pare-feu et de l'application dans le SIEM du laboratoire, vous écrivez des règles de détection pour une dizaine de techniques d'attaque probables et vous construisez le tableau de bord des analystes. - **Pentest** : vous menez un test d'intrusion interne dans un périmètre convenu, de la reconnaissance jusqu'aux premiers accès, en respectant les règles d'engagement. - **GRC** : vous conduisez une analyse de risques selon la méthode EBIOS Risk Manager, des valeurs métier jusqu'aux scénarios opérationnels. Dans les trois cas, vous livrez une note de synthèse destinée au comité de direction.

Aller au bout de votre spécialisation : traiter un incident en SOC, exploiter et rendre compte en pentest, ou bâtir un système de management de la sécurité en GRC.

Vous poursuivez la mission du sprint précédent. Un événement fait monter la tension : un compte d'administration a été utilisé à une heure inhabituelle. **Le projet s'adapte à la spécialisation que vous avez choisie.** - **SOC** : vous menez la réponse à incident sur les traces fournies (journaux, image disque, capture mémoire), vous reconstituez la chronologie de l'attaque, vous contenez la menace et vous rédigez le retour d'expérience. - **Pentest** : vous exploitez les accès obtenus pour démontrer l'impact réel, sans dépasser le périmètre, puis vous rédigez le rapport complet et vous préparez la restitution à l'équipe technique. - **GRC** : vous posez les bases d'un système de management conforme à l'ISO 27001 : périmètre, politique de sécurité, déclaration d'applicabilité et programme d'audit interne. La soutenance prend la forme d'une restitution au client, jouée par votre mentor.

Mener un audit de sécurité sur un besoin client réel issu d'une mission Formuloo, dans les conditions d'une mission professionnelle, puis passer la soutenance finale.

Pour ce dernier sprint, vous quittez le laboratoire. Formuloo vous confie **un besoin client réel issu d'une de ses missions** : un système en production ou sur le point de l'être, dont le propriétaire souhaite connaître le niveau de sécurité. Vous commencez par une réunion de cadrage avec le responsable du système et votre mentor, qui aboutit à une lettre de mission : périmètre, règles d'engagement, livrables attendus et calendrier. Vous menez ensuite l'audit avec l'angle de votre spécialisation : revue de la détection et de la journalisation, test d'intrusion encadré ou évaluation de la conformité et des risques. Toutes les données manipulées restent confidentielles et ne quittent pas l'environnement fourni. Vous terminez par la soutenance finale devant un jury Formuloo : présentation de l'audit, réponses aux questions, puis échange sur votre portfolio.