Enseigner la cybersécurité en BTS SIO (SLAM et SISR) : référentiel, TP et compétences

Le BTS Services Informatiques aux Organisations est l'un des diplômes technologiques les plus répandus dans le paysage informatique français. Avec ses deux options — SLAM (Solutions Logicielles et Applications Métiers) et SISR (Solutions d'Infrastructure, Systèmes et Réseaux) — il forme chaque année des milliers de techniciens qui rejoindront directement le marché du travail ou poursuivront en licence ou bachelor. La cybersécurité occupe une place croissante dans ces deux parcours, et les enseignants comme les formateurs qui interviennent en BTS SIO doivent savoir comment l'aborder de manière réaliste, avec des contraintes de temps, de budget et de niveau d'entrée bien spécifiques.

Cet article est un guide pratique pour structurer l'enseignement de la cybersécurité dans un BTS SIO, en s'appuyant sur le référentiel officiel, des TP concrets et des outils accessibles.

La cybersécurité dans le BTS SIO : un contexte réglementaire précis

Le BTS SIO est encadré par un référentiel national qui définit les compétences attendues pour chaque option. La cybersécurité n'est pas un module facultatif : elle est intégrée dans les blocs de compétences des deux options, et sa présence dans les épreuves professionnelles est explicite.

Le référentiel et les épreuves professionnelles

L'épreuve E4, au cœur du BTS SIO, porte sur les « situations professionnelles » issues du stage ou de l'alternance. Ces situations professionnelles, réunies dans le tableau de synthèse de l'étudiant, doivent couvrir des compétences représentatives des deux années. Pour SISR, une situation professionnelle portant sur la sécurisation d'un réseau ou la mise en place d'un pare-feu est légitime et attendue. Pour SLAM, une situation portant sur la sécurisation d'une application (gestion des sessions, protection contre les injections) est tout aussi valide.

L'épreuve E5, qui évalue la culture professionnelle et juridique, inclut systématiquement des questions relatives à la protection des données, à la responsabilité informatique et à la réglementation (notamment le RGPD). Les étudiants qui ont été formés à ces dimensions sont clairement avantagés.

Un contexte professionnel qui exige des compétences réelles

Les entreprises qui accueillent des stagiaires et alternants BTS SIO signalent régulièrement qu'elles attendent des profils capables de comprendre les enjeux de sécurité de base, même à ce niveau. Configurer un pare-feu, auditer les droits d'accès, reconnaître une tentative de phishing, comprendre les bases du chiffrement : ces compétences ne sont plus optionnelles dans un environnement informatique professionnel. Les enseignants ont donc une responsabilité réelle d'outiller leurs étudiants sur ces sujets, même avec un volume horaire limité.

Option SLAM : sécurité applicative au cœur du code

Pour les étudiants en option SLAM, la cybersécurité se traduit principalement par la sécurité du code et des applications. L'objectif n'est pas de former des pentesters, mais des développeurs qui intègrent les réflexes de sécurité dès la conception.

Compétences clés pour SLAM

Une approche concrète : le TP "correction de vulnérabilités"

Un format particulièrement efficace en SLAM consiste à fournir une application web volontairement vulnérable (DVWA — Damn Vulnerable Web Application — ou OWASP WebGoat) et à demander aux étudiants d'identifier les failles, de les comprendre, puis de corriger le code source. Ce cycle exploit → compréhension → correction ancre bien mieux les apprentissages qu'un cours théorique sur l'OWASP Top 10.

Pour un TP de 2h30 :

1. 30 minutes : présentation des 3 vulnérabilités à étudier (injection SQL, XSS stocké, authentification faible)
2. 45 minutes : exploitation guidée avec Burp Suite Community ou simplement le navigateur
3. 45 minutes : analyse du code source vulnérable et identification du problème
4. 30 minutes : correction du code et test de validation

L'évaluation peut porter sur un rapport de 2 pages décrivant la vulnérabilité, son impact et la correction apportée.

Option SISR : sécurité réseau et infrastructure

Pour les étudiants SISR, la cybersécurité couvre un spectre plus large : filtrage réseau, durcissement des systèmes, surveillance, gestion des accès et réponse aux incidents de base. C'est l'option la plus directement connectée aux métiers de la sécurité réseau.

Compétences clés pour SISR

Un TP efficace pour SISR : scan de vulnérabilités sur Metasploitable

Metasploitable 2 est une machine virtuelle intentionnellement vulnérable, idéale pour les TP SISR. Un TP de 90 minutes structuré ainsi fonctionne très bien :

Préparation (10 min) : démarrage de la VM Metasploitable en réseau isolé (host-only), vérification de la connectivité depuis la VM Kali de l'étudiant.

Découverte (20 min) : scan Nmap pour identifier les ports ouverts et les services actifs. Les étudiants remplissent un tableau : port, protocole, version, état.

Scan de vulnérabilités (30 min) : lancement d'OpenVAS ou d'un scan Nessus Essentials (version gratuite) sur la cible. Identification des cinq vulnérabilités les plus critiques dans le rapport généré.

Analyse et recommandations (30 min) : pour chaque vulnérabilité identifiée, l'étudiant rédige une ligne : description, impact potentiel, action corrective recommandée.

Ce TP développe à la fois la compétence technique (utilisation d'un scanner) et la compétence analytique (comprendre et prioriser les risques), qui sont exactement les compétences attendues d'un futur analyste SOC de niveau 1.

Structurer des TP adaptés aux contraintes BTS

Les BTS SIO présentent des contraintes spécifiques que les enseignants doivent intégrer dans leur conception pédagogique :

• Volumes horaires serrés : les enseignants de spécialité disposent d'un nombre d'heures limité par semaine. Un TP de cybersécurité doit tenir en 2 à 3 heures, pas plus.
• Niveaux hétérogènes : les classes BTS accueillent souvent des profils très variés, de l'étudiant en réorientation post-bac à celui venant d'une terminale STI2D avec de bonnes bases réseau.
• Matériel partagé : les salles informatiques des lycées ne permettent pas toujours d'installer des outils complexes ou de modifier la configuration réseau physique.

Principes pour des TP réussis

Virtualiser systématiquement. Un environnement VirtualBox ou VMware sur le poste étudiant permet d'isoler les TP, de snapshotter l'état avant chaque manipulation et de remettre à zéro en quelques secondes. La plupart des lycées technologiques disposent de postes suffisamment puissants pour faire tourner deux VMs légères simultanément.

Documenter chaque étape. Un TP sans feuille de travail structurée aboutit souvent à des étudiants perdus après la deuxième instruction. Un document PDF avec les commandes à exécuter, les captures d'écran attendues et les questions d'analyse intermédiaires garantit que chaque étudiant avance au même rythme.

Prévoir les pannes. En TP réseau, les configurations peuvent échouer pour des raisons imprévues. Toujours avoir un état de VM "sauvegardé" avant la partie la plus délicate, et prévoir une variante si l'infrastructure tombe. Un TP qui se bloque sur un problème d'adressage IP pendant 40 minutes est une session perdue.

Isoler le réseau. Tout TP impliquant des outils offensifs (Kali, scanners, Metasploit) doit se dérouler sur un réseau isolé, sans accès à Internet ni au réseau du lycée. Un adaptateur host-only dans VirtualBox suffit dans la très grande majorité des cas.

Outils pédagogiques recommandés (budget réaliste)

La bonne nouvelle pour les enseignants de BTS SIO : les meilleurs outils pour enseigner la cybersécurité sont gratuits ou quasi-gratuits.

La plupart de ces outils tournent sur un poste avec 8 Go de RAM. TryHackMe mérite une mention spéciale : la plateforme propose des parcours structurés sur des salles (rooms) dédiées à des niveaux débutants, et les écoles peuvent bénéficier de tarifs réduits ou de comptes groupés.

Pour les licences Microsoft (Windows Server pour les TP Active Directory, par exemple), le programme Microsoft Imagine (Azure Dev Tools for Teaching) permet aux lycées d'accéder à des licences éducatives gratuites après enregistrement institutionnel.

Évaluation : intégrer la sécurité dans les E4/E5 sans surcharger

Évaluer la cybersécurité en BTS SIO ne requiert pas de créer des épreuves supplémentaires. Il s'agit d'intégrer les compétences de sécurité dans les situations professionnelles existantes.

Pour l'épreuve E4 (situations professionnelles)

Une situation professionnelle peut légitimement porter sur :

• La sécurisation d'une application web développée en stage (SLAM)
• La mise en place d'une politique de filtrage réseau en entreprise (SISR)
• L'audit des droits d'accès sur un serveur de fichiers (SISR)
• L'implémentation d'un mécanisme d'authentification forte (SLAM/SISR)

Dans le dossier de l'étudiant, la description de la situation doit faire apparaître : le contexte, les enjeux de sécurité identifiés, les choix techniques effectués et les tests de validation réalisés. Le jury évaluera la cohérence et la maîtrise, pas la complexité.

Grille d'évaluation formative pour un TP sécurité

Pour les TP intra-cours, une grille simple sur 20 points peut être structurée ainsi :

Cette grille peut être complétée par un autodiagnostic de l'étudiant (« Qu'est-ce que vous avez compris ? Qu'est-ce qui reste flou ? »), qui aide l'enseignant à ajuster les séances suivantes.

Pour l'épreuve E5 (culture professionnelle et juridique)

Les notions de RGPD, de responsabilité pénale en cas d'accès non autorisé, et de protection des données personnelles sont évaluées dans cette épreuve. Les enseignants peuvent consacrer une à deux séances à ces aspects réglementaires, en s'appuyant sur des cas concrets (une fuite de données en entreprise, une mise en demeure CNIL) plutôt que sur une lecture linéaire du texte de loi.

Faire intervenir un professionnel en BTS : modalités pratiques

L'intervention d'un formateur cybersécurité externe dans un BTS SIO apporte une valeur que l'enseignant permanent ne peut pas toujours offrir : une connexion directe avec la réalité du terrain, des anecdotes professionnelles authentiques, et une crédibilité aux yeux des étudiants qui "voient quelqu'un du métier".

Cadre légal et administratif

Dans un lycée public sous contrat, l'intervention d'un professionnel extérieur peut se faire sous plusieurs formes :

• Vacataire horaire : recrutement par le proviseur pour un volume limité d'heures. Les démarches administratives sont modérées mais prennent quelques semaines.
• Conférence ponctuelle : une intervention de 2 à 3 heures sans lien contractuel de type enseignement. Plus simple à organiser, elle ne nécessite pas de convention d'emploi mais peut requérir une convention de partenariat avec l'établissement.
• Dans le cadre d'un partenariat entreprise : certains établissements ont des accords avec des entreprises locales qui envoient régulièrement des professionnels.

Ce qu'un professionnel peut apporter

Un consultant ou analyste SOC en activité peut illustrer en 2 heures des situations réelles que les TP simulés ne peuvent pas totalement reproduire :

• Comment se déroule une vraie investigation d'incident en entreprise
• Quels outils sont réellement utilisés en SOC niveau 1
• À quoi ressemble une journée type dans la cybersécurité opérationnelle

Pour que l'intervention soit pédagogiquement efficace, il faut briefer le professionnel en amont : niveau des étudiants, objectifs de la session, vocabulaire déjà connu, format (exposé ? démo ? questions-réponses ?). Une intervention non briefée risque d'être trop pointue ou trop générique.

Pour trouver des professionnels disponibles pour intervenir en BTS, la plateforme Cyber Teachers référence des intervenants habitués aux contextes académiques, y compris en lycée technologique.

Ce qu'il faut retenir

• Le BTS SIO intègre la cybersécurité dans ses deux options : SLAM pour la sécurité applicative, SISR pour la sécurité des infrastructures.
• Les TP sont le format le plus efficace : exploitation d'une app vulnérable (DVWA), scan de vulnérabilités sur Metasploitable, configuration de pare-feu en VM.
• Les outils pédagogiques essentiels sont gratuits : Kali Linux, VirtualBox, DVWA, OpenVAS, Wireshark.
• La cybersécurité s'intègre naturellement dans les situations professionnelles E4 et dans les questions de culture juridique E5.
• Un intervenant professionnel, correctement briefé, apporte une crédibilité et une vision terrain qui renforcent durablement la motivation des étudiants.

Vous cherchez un intervenant cybersécurité expérimenté, capable d'adapter son contenu au niveau BTS SIO ? Découvrez les profils disponibles sur Cyber Teachers et trouvez le professionnel qui fera le lien entre la salle de cours et le monde du travail.