Les erreurs les plus fréquentes des formateurs en cybersécurité (et comment les anticiper)

Quand l'expertise technique ne garantit pas l'efficacité pédagogique

Former en cybersécurité est un métier à part entière, distinct de la pratique terrain. Un pentesteur capable de compromettre un Active Directory en quelques heures peut se retrouver face à 25 étudiants perdus après 20 minutes de cours, non pas parce que ses connaissances sont insuffisantes, mais parce que le passage de l'expert au pédagogue ne se fait pas automatiquement.

Les erreurs décrites dans cet article ne sont pas des lacunes de compétences techniques. Ce sont des erreurs de méthode, de préparation et de posture que la plupart des formateurs commettent au moins une fois — souvent les premières fois. Les identifier en amont permet d'y remédier sans avoir à les subir.

Erreur 1 — Sous-estimer la préparation des labs

C'est l'erreur la plus coûteuse en temps et en crédibilité. Un lab fonctionne sur la machine du formateur depuis des mois ; il est configuré finement, avec les bonnes versions d'outils, les bons alias, les bons raccourcis. Le jour J, dans la salle de cours, c'est un autre environnement : réseau différent, proxies, pare-feux, machines avec des versions de système obsolètes, VMs qui mettent 10 minutes à démarrer.

Ce qui se passe concrètement

• Un TP sur Metasploit nécessite que les étudiants soient sur le même sous-réseau que la machine cible. Si le réseau de l'école ne le permet pas, le TP est bloqué.
• Une machine cible vulnérable (DVWA, VulnHub) suppose que la VM est démarrée, accessible et que les étudiants ont les droits suffisants pour s'y connecter.
• Les outils de lab (Burp Suite, Nmap, Wireshark) nécessitent parfois des droits administrateur que les étudiants n'ont pas par défaut.

La solution : la check-list de validation J-48

Voici la check-list minimale à exécuter 48 heures avant chaque séance, depuis la salle de cours ou depuis une machine représentative :

RÉSEAU
□ La machine cible est accessible depuis le poste étudiant (ping + port scan)
□ Le réseau est isolé d'Internet si le TP utilise des outils offensifs
□ Le VPN ou le sous-réseau lab est configuré pour tous les postes

OUTILS
□ Chaque outil listé dans le TP est installé et fonctionne (version vérifiée)
□ Les droits nécessaires (admin, sudo) sont disponibles pour les étudiants
□ Les captures, scripts et fichiers de TP sont copiés sur les postes ou accessibles

MACHINES CIBLES
□ La VM cible est démarrée et accessible
□ Les services vulnérables sont actifs (Apache, FTP, SSH selon le TP)
□ Un snapshot "état initial" est créé pour pouvoir restaurer en cours de séance

TIMING
□ Le déroulé du TP complet a été exécuté une fois par le formateur
□ Le temps estimé est réaliste avec des étudiants qui découvrent le sujet
□ Un plan B existe si un composant critique tombe en panne

Les cours de pentest sont particulièrement sensibles à ces problèmes de lab. Un intervenant qui les anticipe gagne immédiatement en crédibilité.

Erreur 2 — Surévaluer le niveau réel du groupe

Un cours de sécurité réseau en M2 ne signifie pas que tous les étudiants maîtrisent TCP/IP. Un bootcamp "développeurs avancés" peut comprendre des personnes qui n'ont jamais ouvert de terminal. Les intitulés de formation sont souvent trompeurs ; les niveaux réels sont toujours plus hétérogènes que prévu.

Le coût de cette erreur

• Les étudiants avancés s'ennuient pendant les parties trop basiques.
• Les étudiants débutants décrochent dès la première difficulté.
• Le formateur continue à avancer au rythme prévu, sans s'apercevoir que la moitié de la salle n'a pas compris les fondements.

La solution : le diagnostic en 30 minutes

Avant le premier cours : envoyer un questionnaire de 5 questions ouvertes (pas un QCM). Exemple pour un cours sur la sécurité web :

1. Expliquez en 3 lignes ce qu'est une injection SQL.
2. Qu'avez-vous installé sur votre machine pour faire de la sécurité ? (nommez les outils)
3. Décrivez une situation où vous avez dû analyser un problème de sécurité, même minime.
4. Quel est votre niveau sur une échelle de 1 à 5 en sécurité web ? Justifiez.
5. Qu'attendez-vous de ce cours que vous ne trouvez pas dans les tutoriels en ligne ?

Les réponses permettent d'identifier immédiatement les profils extrêmes. Calibrer le cours sur le niveau le plus bas observé, pas sur la moyenne : les étudiants avancés peuvent progresser plus vite ou approfondir en autonomie ; les débutants ne peuvent pas suivre à un rythme trop élevé.

Au début du premier cours : consacrer 20-30 minutes à un exercice de diagnostic en direct. Une courte question technique ouverte ("comment vérifieriez-vous si un port est ouvert sur une machine distante ?") en 5 minutes révèle l'écart de niveau plus efficacement que n'importe quel questionnaire.

Gérer les binômes hétérogènes

Composer les binômes délibérément : un étudiant avancé avec un étudiant débutant. Le premier consolide ses connaissances en expliquant ; le second bénéficie d'une explication par les pairs. Cette technique réduit la charge d'accompagnement du formateur sans sacrifier le niveau.

Erreur 3 — Négliger le cadre légal des démos

C'est l'erreur la plus grave, et celle qui arrive le plus souvent par imprudence plutôt que par intention. Un formateur en sécurité offensive doit opérer dans un cadre légal très précis, et le transmettre aux étudiants fait partie intégrante du cours.

Ce qui est illégal

En France, l'article 323-1 du Code pénal punit l'accès frauduleux à un système informatique, qu'il soit intentionnel ou par négligence. Concrètement :

• Utiliser une IP publique comme cible de scan sans autorisation explicite de son propriétaire est illégal.
• Montrer comment exploiter une vulnérabilité sur un système réel, même pour démonstration, sans autorisation est illégal.
• Laisser des étudiants scanner le réseau de l'école sans périmètre défini et documentation est illégal.

Les garde-fous à mettre en place

Pour les démos :

• Utiliser exclusivement des environnements isolés : VMs locales, plateformes dédiées (TryHackMe, Hack The Box Education, DVWA, Metasploitable).
• Ne jamais faire de démo sur Internet "juste pour montrer" — même si la cible paraît abandonnée.
• Si une démo utilise un vrai outil offensif, préciser explicitement à l'oral et par écrit le périmètre autorisé.

Pour les TP :

• S'assurer que la charte informatique de l'école a été signée par tous les étudiants avant le premier TP offensif.
• Définir par écrit le périmètre du TP : "les actions de ce TP sont limitées aux machines 10.0.0.0/24 du lab pédagogique. Toute action en dehors de ce périmètre est interdite."
• Archiver cette définition de périmètre avec la date et la signature du responsable pédagogique.

Pour l'ingénierie sociale et le phishing :

• Les scénarios de phishing pédagogique n'utilisent que des adresses email fictives et des destinataires consentants.
• Tout participant à un exercice d'ingénierie sociale doit avoir préalablement consenti par écrit.

Intégrer le cadre légal dans le contenu du cours

Le cadre légal n'est pas une contrainte administrative : c'est une compétence professionnelle. Les employeurs des diplômés exigent que leurs équipes sachent opérer dans le périmètre légal. Enseigner les limites légales des tests offensifs, c'est enseigner la vraie pratique professionnelle, pas la brider.

Erreur 4 — L'isolement vis-à-vis de l'équipe permanente

Un intervenant externe arrive, fait ses heures, repart. Si personne ne sait ce qui a été enseigné, comment cela a été évalué, et ce qui a posé problème, l'information se perd. La promotion suivante recommence de zéro ; les problèmes identifiés ne sont pas corrigés ; les points forts ne sont pas consolidés.

Ce que ça coûte

• Redondances : le même concept est enseigné dans deux modules différents sans cohérence.
• Trous de programme : un prérequis que tout le monde supposait acquis ne l'est en réalité pas.
• Perte de cas pédagogiques : les bons scénarios de cours ne sont pas partagés avec les collègues.
• Répétition des erreurs : les problèmes de lab ou de niveau rencontrés par un intervenant ne sont pas communiqués au suivant.

La solution : trois points de contact documentés

Avant le module : transmettre au référent pédagogique le syllabus détaillé (par séance, avec objectifs et exercices). Demander en retour ce qui a été enseigné dans les modules précédents et ce qui est prévu ensuite.

Pendant le module : envoyer un compte rendu de 5 lignes après chaque séance (difficultés rencontrées, niveau réel du groupe, adaptations faites). Idéalement via un canal partagé (email de l'école, outil de suivi pédagogique).

Après le module : produire un rapport de fin de module d'une page :

• Ce qui a bien fonctionné (exercices, timing, niveau).
• Ce qui doit être adapté la prochaine fois (niveau initial trop bas/haut, lab défaillant, timing irréaliste).
• Suggestions pour améliorer le brief ou la maquette.

Ce rapport est aussi précieux pour l'école que les notes des étudiants. Les équipes pédagogiques qui systématisent cette pratique améliorent leur programme plus vite.

La check-liste brief cours peut être utilisée comme point de départ pour structurer cet échange entre le référent pédagogique et l'intervenant.

Erreur 5 — Sous-estimer la charge mentale et le feedback dur

Former une salle de 25 étudiants sur un sujet technique exigeant est épuisant. La concentration doit être totale pendant toute la séance ; les questions inattendues arrivent constamment ; le timing glisse. En fin de journée, les retours des étudiants peuvent être sévères, parfois brutaux.

Les sources de charge mentale spécifiques au cyber

• Le niveau hétérogène : gérer simultanément les étudiants bloqués et ceux qui ont terminé le TP demande une attention permanente.
• Les démos live : toute démo en sécurité offensive porte un risque d'échec visible. La pression est supérieure à une démo dans d'autres domaines.
• Les questions hors périmètre : les étudiants posent des questions sur des outils ou des techniques que le formateur ne maîtrise pas. La tentation de biaiser la réponse est réelle — et détectable.
• Les retours étudiants durs : une note de satisfaction de 3,2/5 après une séance investie fait mal.

Stratégies concrètes

Gérer l'énergie :

• Alterner les phases actives (TP, questions) et les phases passives (explications, démonstrations) toutes les 45 minutes.
• Prévoir une vraie pause au milieu de chaque demi-journée — pas optionnelle, pas réductible.
• Ne pas tenter de tout couvrir : un module de 3 heures avec 2 objectifs bien atteints vaut mieux qu'un module avec 5 objectifs survolés.

Gérer les questions hors périmètre :

• La réponse correcte est : "Je ne sais pas avec certitude, voici ce que j'en pense, et je validerai avant la prochaine séance." C'est une réponse professionnelle, pas un aveu de faiblesse.
• Tenir un canal de questions en différé (email, forum LMS) pour les questions complexes qui méritent une vraie réponse.

Traiter le feedback dur :

• Distinguer le feedback sur le contenu (souvent utile) du feedback sur le style (parfois subjectif).
• Identifier systématiquement si le problème vient d'une erreur corrigeable (lab, timing, niveau) ou d'une incompatibilité structurelle avec ce public particulier.
• Ne pas répondre émotionnellement à un retour étudiant. Prendre 24 heures, puis analyser.

Le profil de formateur cybersécurité qui dure dans le métier est celui qui a transformé ses premières erreurs en protocoles. La pédagogie s'apprend autant par la pratique que la sécurité elle-même.

Ce qu'il faut retenir

• La préparation du lab est la première responsabilité d'un formateur cyber : exécuter la check-list complète 48h avant, dans les conditions réelles de la salle.
• Le diagnostic de niveau doit précéder le premier cours : questionnaire ouvert avant, exercice de calibrage le jour J, binômes intentionnellement hétérogènes.
• Le cadre légal (périmètre des TP, charte signée, pas de scan sur Internet) n'est pas une formalité : c'est une compétence professionnelle à transmettre.
• L'isolement vis-à-vis de l'équipe permanente est évitable avec trois documents : syllabus partagé, comptes rendus de séance, rapport de fin de module.
• La charge mentale est réelle et prévisible : gérer l'énergie par alternance de formats, avoir une réponse professionnelle aux questions hors périmètre, traiter le feedback avec recul.

Vous êtes intervenant en cybersécurité ou vous recrutez un formateur qualifié ? Cyber Teachers met en relation les équipes pédagogiques avec des praticiens sélectionnés sur leurs compétences techniques ET pédagogiques.