La sécurité est arrivée dans des métiers qui ne l'ont jamais apprise.
Revue de code, gestion des secrets, durcissement du cloud, réponse à un questionnaire client. Ces sujets sont entrés dans le quotidien de gens qui ne les ont pas vus en formation initiale, et qui les découvrent le jour où ça casse. Zeroday existe pour ça, et ne fait que ça.
Ce qui est attaqué n'est pas ce qu'on croit
Dans le dernier panorama de l'ANSSI, les secteurs les plus touchés en France sont l'éducation et la recherche, les ministères et les collectivités, puis la santé. Ce ne sont pas des multinationales. Ce sont une mairie, un hôpital, un lycée : des services dont tout le monde dépend, et qui disposent des moyens les plus faibles pour se défendre.
Former des ingénieurs en entreprise ne règle pas ça. Ce qui déplace les choses, c'est le nombre de personnes capables de reconnaître une attaque et de savoir quoi faire, là où elles travaillent. C'est pour cette raison qu'une partie de ce que nous produisons n'est pas vendue.
- Plus de six cents articles en accès libreTout ce que nous publions sur la sécurité applicative, le pentest, le cloud ou la gouvernance est lisible sans compte et sans adresse à laisser. Un administrateur de collectivité qui cherche comment durcir un service le trouve, qu'il devienne client ou non.
- Gratuit pour les écoles et les associationsLes établissements partenaires et les structures à but non lucratif ouvrent l'accès à leurs étudiants et à leurs équipes sans rien payer. Un développeur qui a touché à la sécurité pendant ses études ne la découvre pas en production.
- Une veille écrite chaque semaineLes failles qui comptent, expliquées en français, recoupées avec le bulletin de leur éditeur avant publication. Beaucoup de gens qui la lisent ne seront jamais nos clients, et ce n'est pas un problème.
Ce que nous avons vu changer
- 01Le périmètre s'est élargi plus vite que les compétencesLa directive NIS 2 étend les obligations de sécurité à environ 15 000 entités en France, là où le régime précédent en visait de l'ordre de 500. Des organisations qui n'avaient jamais eu de fonction sécurité doivent en construire une, avec les gens déjà présents.
- 02Le sujet s'apprend presque toujours en anglaisLes plateformes d'entraînement, la documentation, les certifications : l'essentiel de ce qui existe suppose qu'on lise l'anglais technique couramment. C'est une barrière de plus, posée au mauvais endroit, devant des gens qui savent déjà faire le métier.
- 03On apprend la sécurité seul, et trop tardLe plus souvent après un incident, dans l'urgence, en recollant des articles trouvés le soir. Ce n'est pas une question de motivation, c'est une question de chemin : il n'y en avait pas de clair.
Ce que nous tenons
- La sécurité ne s'apprend pas sur des diapositivesOn apprend à défendre un système en l'attaquant, sur des environnements qui tombent vraiment. Nos travaux pratiques tournent sur des machines réelles, pas sur des captures d'écran commentées.
- Celui qui enseigne doit encore pratiquerUn formateur qui n'a pas touché à un système en production depuis cinq ans enseigne le métier d'il y a cinq ans. Nos contenus sont écrits et encadrés par un praticien, pas par un formateur de carrière.
- On annonce ce qu'on ne fait pasLes prérequis sont écrits avant le formulaire, pas après. Les limites de ce que délivre une attestation sont écrites noir sur blanc. Un candidat doit pouvoir se dire non tout seul, et c'est une marque de respect, pas un manque d'ambition.
- Un chiffre affiché doit pouvoir être vérifiéNous publions nos indicateurs, nous datons nos sources, et nous écrivons quand un chiffre est une estimation plutôt qu'un relevé. Quand une statistique du secteur ne tient pas, nous ne la reprenons pas, même quand elle nous arrange.
- Les professionnels de demain se forment aujourd'huiUn développeur qui a touché à la sécurité pendant ses études ne la découvre pas en production. C'est pour cette raison que nos contenus sont ouverts gratuitement aux étudiants des établissements partenaires et aux structures à but non lucratif.
Ce que nous ne promettons pas
- Aucun emploi, aucun placement, aucun revenu : nous formons, nous ne recrutons pas à votre place. Vous n'êtes pas seul pour autant : missions corrigées chaque semaine, classes virtuelles en direct, et quelqu'un à qui écrire quand vous bloquez.
- Aucune équivalence avec un titre délivré par un organisme tiers. Notre attestation est une attestation Zeroday, et elle le dit.
- Aucun raccourci. Le programme demande huit heures par semaine pendant seize semaines, et nous préférons le dire avant qu'après.
Qui porte ça
Naïm Aouaichia. Praticien cybersécurité. Parcours hybride : ex-DevOps, ex-DevSecOps (IN Groupe), expérience d'audit en environnement CAC 40. Master spécialisé ANSSI SecNumEdu. Fondateur de Hash24Security et de Zeroday Cyber Academy. Auteur de la newsletter Zeroday Notes (23 000+ abonnés).
Il ne porte pas ça seul. Une équipe de cinq personnes fait tourner la maison : la pédagogie, la plateforme et ses environnements d'entraînement, les partenariats avec les écoles et les entreprises, l'infrastructure. Leurs noms et leurs rôles sont sur la page équipe.
Zeroday Cyber Academy est la marque d'ITDEVFR IT DEV FRANCE, organisme de formation déclaré auprès de la DREETS Hauts-de-France sous le numéro 32 59 14229 59, et certifié Qualiopi au titre des actions de formation.
Parlons de votre besoin.
Que vous soyez un professionnel de la technique, une entreprise qui forme ses équipes, ou un établissement qui veut ouvrir l'accès à ses étudiants, le premier pas est le même : un échange.