Créer un programme cybersécurité en école d'ingénieurs : REX sur 3 ans

Créer une majeure cybersécurité dans une école d'ingénieurs, ce n'est pas seulement rédiger un syllabus et recruter un intervenant. C'est un projet institutionnel à part entière, qui demande de la patience, de la négociation et une bonne dose de pragmatisme.

Voici le retour d'expérience de l'équipe qui a construit, puis affiné, un programme cyber sur trois années complètes. Nous partageons ce qui a fonctionné, ce qui a été difficile, et surtout ce que nous referions différemment dès le premier jour.

Phase 1 (année 1) : poser le socle et construire la légitimité interne

Le point de départ : un besoin sans réponse structurée

Au moment où nous avons lancé le projet, l'école disposait déjà de quelques modules de sécurité informatique dispersés dans le tronc commun — une dizaine d'heures sur la cryptographie ici, un cours réseau avec un chapitre sur les pare-feu là. Ce qui manquait, c'était un fil conducteur pédagogique et une identité claire aux yeux des étudiants comme des recruteurs.

Le signal déclencheur a été simple : plusieurs entreprises partenaires nous faisaient remonter que les jeunes diplômés manquaient de réflexes opérationnels en sécurité, même ceux issus de filières réseaux ou systèmes. La demande de marché existait ; il fallait y répondre avec cohérence.

Cartographier l'existant avant de créer du neuf

Notre première erreur aurait été de partir d'une page blanche en ignorant ce qui existait déjà. Nous avons donc commencé par un audit interne :

• Recenser chaque module existant comportant une dimension sécurité (réseau, développement, système).
• Identifier les enseignants déjà sensibilisés au sujet et potentiellement moteurs.
• Évaluer les ressources disponibles : budget pédagogique, salles, accès à des environnements virtualisés.

Ce travail de cartographie a pris environ un mois. Il a permis d'éviter les doublons et, surtout, de montrer à la direction que nous ne demandions pas à reconstruire de zéro — mais à consolider et prolonger ce qui existait.

Rédiger le premier syllabus : la discipline du choix

Avec une équipe réduite, la tentation est forte de vouloir tout couvrir : pentest, SOC, gouvernance, cloud, forensic, IoT… Le résultat serait un catalogue superficiel, utile à personne.

Nous avons fait des choix assumés pour la première année :

• Un tronc commun de 60 heures, centré sur les fondamentaux opérationnels (protocoles, reconnaissance, exploitation web de base, introduction à la défense).
• Deux modules optionnels de 20 heures chacun, l'un orienté sécurité offensive, l'autre gouvernance et conformité.
• Une évaluation par livrable (rapport d'audit + soutenance), pas par QCM.

Ce syllabus minimal nous a permis de le faire valider rapidement en conseil pédagogique, sans nous enliser dans des débats de contenu. Nous avons clairement annoncé que ce programme évoluerait chaque année en fonction des retours.

Ce qui a bien marché en année 1

• Impliquer des intervenants professionnels dès le départ. Faire venir un praticien en activité — même ponctuellement — a immédiatement crédibilisé le programme aux yeux des étudiants. La différence entre un cours théorique et un retour d'expérience vécu est immédiatement perceptible.
• Communiquer sur les débouchés. Nous avons invité des alumni récents et des recruteurs à une table ronde en fin de semestre. Les étudiants ont découvert la diversité des métiers — analyste SOC, consultant, RSSI, architecte sécurité — et la demande réelle du marché.
• Créer un espace de partage interne. Un simple canal de messagerie entre étudiants et enseignants, où l'on partagait des CTF, des veilles et des articles techniques, a renforcé le sentiment d'appartenance à une communauté.

Ce qui a été difficile

La légitimité interne est le vrai combat de la première année. Certains collègues voyaient la majeure cyber comme un doublon des cours réseau. D'autres craignaient que les étudiants ne passent leur temps à "pirater le réseau de l'école". Il a fallu expliquer, rassurer, et montrer des résultats concrets — projets des étudiants, retours des partenaires, premières offres de stage signées — avant d'obtenir un soutien réel.

Phase 2 (année 2) : labs, partenaires industriels et alternance

Monter l'infrastructure de labs : l'investissement qui change tout

À la fin de l'année 1, nous avions un programme cohérent mais des labs insuffisants. Les étudiants travaillaient sur leurs propres machines, avec des configurations hétérogènes qui transformaient chaque TP en séance de débogage technique.

L'année 2 a été celle de l'infrastructure.

Nous avons opté pour une solution de virtualisation mutualisée, accessible en ligne depuis l'école et depuis chez les étudiants. Chaque apprenant disposait ainsi d'un environnement identique, réinitialisable à la demande, incluant :

• Une machine d'attaque préconfigurée (Kali Linux).
• Des cibles représentatives des vulnérabilités enseignées.
• Un réseau isolé, sans aucun accès à Internet ni aux systèmes de l'établissement.

Ce dernier point est non négociable : l'isolation du réseau de lab est à la fois une mesure de sécurité et un cadre pédagogique. L'étudiant sait qu'il peut casser sans risque, et il comprend intuitivement la notion de périmètre autorisé — un réflexe fondamental dans le métier.

Le coût de cette infrastructure a représenté l'investissement le plus significatif de la phase 2. Nous y revenons dans la section gouvernance et budget.

Pour les contenus, nous avons aussi étoffé l'offre avec un cours architecture sécurisée dédié aux choix de conception en amont des failles — un complément indispensable aux modules purement offensifs.

Tisser le réseau de partenaires industriels

Un programme cyber sans lien avec l'industrie reste un exercice académique. L'objectif de l'année 2 était de nouer trois à cinq partenariats actifs — pas seulement des conventions de stage, mais de véritables collaborations pédagogiques.

Ce que nous avons proposé aux entreprises partenaires :

• Intervention d'experts métier dans les cours (deux à quatre heures par semestre par partenaire).
• Co-construction de cas pratiques à partir de problématiques réelles anonymisées.
• Accueil en priorité des étudiants du programme pour les stages et les contrats d'alternance.

En contrepartie, les entreprises bénéficiaient d'une visibilité directe sur les talents en formation et d'un droit de regard sur les sujets enseignés — ce qui garantissait l'alignement avec les besoins du marché.

Le recrutement des premiers partenaires a été artisanal : sollicitations directes via notre réseau, participation à des événements sectoriels, recommandations d'anciens diplômés déjà en poste. Aucune formule magique — simplement de la persévérance.

Ouvrir la voie de l'alternance

L'alternance en cybersécurité présente une particularité : les missions confiées aux alternants par les entreprises peuvent rapidement dépasser le niveau attendu d'un étudiant en formation initiale. Certaines entreprises cherchent un opérateur immédiatement autonome ; d'autres investissent vraiment dans la montée en compétences.

Notre rôle a été de qualifier les entreprises partenaires avant d'y envoyer des alternants. Nous avons établi une grille de critères minimaux :

• Présence d'un tuteur technique en cybersécurité (pas seulement RH ou manager généraliste).
• Diversité des missions confiées (pas d'alternant réduit à de la rédaction documentaire pendant deux ans).
• Accord pour accueillir l'alternant en séances de terrain — revues de code, audits internes, exercices de réponse à incident.

Cette rigueur dans le choix des entreprises a permis d'éviter les mauvaises surprises et d'obtenir des retours d'alternance très positifs dès la première promotion concernée.

Phase 3 (année 3) : spécialisations et ouverture vers la recherche

Trois parcours de spécialisation

La maturité du programme, en troisième année, nous a permis de proposer des parcours différenciés en dernière année. Plutôt que d'imposer un curriculum unique, nous avons structuré trois spécialisations :

• Sécurité offensive — pentest applicatif et infrastructure, red team, préparation à la certification OSCP.
• Défense et opérations — SOC, réponse à incident, forensic, threat intelligence.
• Gouvernance, risque et conformité — management de la sécurité, normes sectorielles, préparation à l'ISO 27001 Lead Implementer.

Chaque parcours représentait environ 80 heures d'enseignement spécialisé en plus du tronc commun maintenu. Cette structuration a eu un effet immédiat sur le recrutement : les étudiants pouvaient enfin se positionner clairement auprès des recruteurs, et les entreprises savaient précisément quel profil elles allaient accueillir.

S'ouvrir à la recherche

L'intégration d'une dimension recherche n'était pas une priorité initiale — et c'est une erreur que nous reconnaissons volontiers. En troisième année, nous avons instauré un partenariat avec un laboratoire universitaire voisin pour co-encadrer des projets de fin d'études sur des problématiques de cybersécurité appliquée.

Les bénéfices ont été doubles :

• Certains étudiants, qui ne se projetaient pas en thèse, ont découvert l'attrait de la recherche appliquée sur des sujets opérationnels.
• Le programme a gagné en visibilité académique, ce qui a facilité des accréditations ultérieures.

Intégrer les certifications industrielles dans le cursus

Une question récurrente de la part des étudiants et des recruteurs : "Vos diplômés ont-ils des certifications reconnues ?" En troisième année, nous avons formalisé l'intégration des certifications dans le cursus — non pas en les rendant obligatoires (le coût de passage resterait à la charge de l'étudiant ou de l'entreprise en alternance), mais en alignant nos enseignements sur les référentiels de certification.

Un étudiant ayant suivi le parcours offensif était, à l'issue du programme, suffisamment préparé pour se présenter à l'OSCP avec de solides bases. Un étudiant du parcours GRC avait couvert l'essentiel du corpus de l'ISO 27001 Lead Implementer.

Gouvernance, budget et pièges à éviter

La structure de gouvernance

Un programme cyber sans pilotage structuré dérive rapidement. Nous avons mis en place trois instances légères mais régulières :

• Un comité pédagogique interne (bimestriel) — enseignants permanents et intervenants principaux — pour ajuster les contenus, traiter les difficultés des étudiants et arbitrer les évolutions du programme.
• Un comité partenaires (annuel) — représentants des entreprises partenaires et anciens diplômés — pour un retour d'expérience extérieur sur la pertinence du programme.
• Un suivi individuel des alternants (mensuel entre l'étudiant, le tuteur entreprise et l'enseignant-référent) — le dispositif le plus chronophage mais aussi le plus utile pour détecter les problèmes tôt.

Le budget : ce qu'il faut anticiper

Le tableau ci-dessous synthétise les grandes lignes budgétaires par phase. Les montants ne sont pas indiqués — ils varient trop selon la taille de l'école et l'existant — mais l'ordre de priorité est révélateur.

Les pièges à éviter absolument

Trois erreurs reviennent systématiquement dans les programmes que nous avons observés ou auxquels nous avons contribué :

• Recruter uniquement des enseignants académiques. La cybersécurité est une discipline de terrain. Un programme porté exclusivement par des profils universitaires sans expérience opérationnelle manquera de crédibilité auprès des étudiants et des recruteurs. L'offre Cyber Teachers pour les écoles d'ingénieurs existe précisément pour combler cet écart.
• Négliger la montée en compétences des permanents. Les intervenants extérieurs sont indispensables, mais un programme qui repose à 100 % sur des vacataires est fragile. Si un intervenant clé se désiste à J-15, le module s'effondre. Former et impliquer les permanents est un investissement de long terme.
• Ignorer le cadre éthique et juridique. Enseigner des techniques offensives sans cadre clair — règles d'engagement signées, réseau isolé, charte étudiante — expose l'établissement à des risques réels. Ce n'est pas une formalité : c'est la première leçon du métier.

Métriques : employabilité, satisfaction et indicateurs de qualité

Trois familles d'indicateurs

Mesurer la qualité d'un programme, c'est éviter deux pièges symétriques : se contenter des retours à chaud des étudiants (souvent biaisés positivement à la fin d'un bon module) ou ne regarder que l'insertion professionnelle à court terme (qui dépend aussi du marché).

Nous avons retenu trois familles d'indicateurs complémentaires :

Indicateurs d'insertion professionnelle

• Taux d'emploi à six mois post-diplôme dans un poste cyber identifié.
• Répartition des postes occupés (analyste SOC, consultant, RSSI, développeur sécurité…).
• Niveau de rémunération à l'embauche comparé à d'autres filières de l'école.

Indicateurs de satisfaction pédagogique

• Score de satisfaction en fin de module (méthode NPS adaptée).
• Enquête à six mois post-diplôme : les compétences acquises ont-elles été utiles en poste ?
• Taux de participation aux événements alumni du programme (indicateur de fidélité à la communauté).

Indicateurs de qualité du curriculum

• Taux de réussite aux certifications industrielles obtenues dans l'année suivant le diplôme.
• Nombre de stages et d'alternances renouvelés ou convertis en embauche par les partenaires.
• Retours qualitatifs des tuteurs entreprises en fin de contrat d'alternance.

Ce que les chiffres nous ont appris

Sans publier de données précises qui dépendraient de notre contexte particulier, voici les tendances observées :

• Les promotions ayant bénéficié d'intervenants professionnels réguliers (au moins un praticien par module) affichent systématiquement de meilleurs retours sur la pertinence perçue du programme.
• Les étudiants ayant effectué leur dernière année en alternance s'insèrent plus rapidement, avec des postes mieux alignés sur leurs compétences réelles.
• La satisfaction à six mois post-diplôme est toujours supérieure à la satisfaction à chaud — signe que les compétences enseignées résistent à l'épreuve du terrain.

Ces tendances orientent nos décisions d'évolution du programme chaque rentrée.

Ce qu'il faut retenir

Construire un programme cybersécurité en école d'ingénieurs est un projet sur le temps long. Voici les enseignements les plus solides de ces trois années :

• Année 1 : misez sur la légitimité. Un programme mal ancré en interne ne survivra pas à un changement de direction ou à un budget serré. Construisez vos alliés avant de construire votre curriculum.
• Année 2 : investissez dans l'infrastructure. Des labs fonctionnels et isolés sont la condition sine qua non d'un enseignement opérationnel crédible. C'est le poste à ne pas sacrifier sur le budget.
• Année 3 : différenciez-vous par les spécialisations. Le marché récompense la profondeur. Un diplômé capable de se positionner clairement (offensif, défense, GRC) trouvera un poste plus vite et sera plus satisfait dans sa prise de fonction.
• Sur les trois ans : mesurez, ajustez, documentez. Les métriques d'insertion et de satisfaction sont votre meilleur argument pour défendre le programme en interne et auprès des accréditations.
• Ne faites pas cavalier seul. L'écosystème des intervenants, partenaires industriels et plateformes spécialisées existe pour vous aider à tenir dans la durée.

Vous construisez ou faites évoluer un programme cybersécurité dans votre école ? Découvrez comment Cyber Teachers accompagne les établissements d'enseignement supérieur : intervenants praticiens, conception pédagogique sur-mesure et labs clés en main.