Sélection de la langue

Government of Canada / Gouvernement du Canada

Testeurs ou testeuses de pénétration

De : Centre canadien pour la cybersécurité

Le ou la titulaire du poste effectue des tests officiels et contrôlés ainsi que des évaluations de la sécurité physique sur des applications Web, des réseaux et d’autres systèmes, au besoin, pour détecter et exploiter les vulnérabilités de sécurité.

Sur cette page

Référence au cadre de la NICE

Aucune.

Conséquence d’une erreur ou risque

Une erreur, une négligence, une information désuète, un manque d’attention aux détails ou un mauvais jugement pourrait faire en sorte que des vulnérabilités ne soient pas détectées ou soient identifiées de façon erronée, ce qui pourrait donner lieu à une compromission. Cela peut avoir des répercussions importantes sur les systèmes, les capacités et les fonctions informatiques de l’organisation.

Parcours de perfectionnement

Il s’agit souvent d’un poste de niveau 2 ou 3 dans un environnement des opérations de cybersécurité qui est généralement précédé par une expérience considérable (de trois à cinq ans) dans un poste lié aux opérations de cybersécurité, notamment en analyse des vulnérabilités, en analyse des maliciels ou en analyse technique des systèmes de sécurité. Il s’agit d’un rôle technique qui peut mener à une spécialisation technique ou à des rôles de leadership et de gestion dans des équipes de testeurs.

Autres titres

  • Spécialistes des tests et de l’évaluation de la sécurité
  • Analystes spécialisés/spécialisées dans l’évaluation des vulnérabilités

Classifications nationale des professions connexes

2171 - Analystes et consultants/consultantes en informatique

2147 – Ingénieurs informaticiens/ingénieures informaticiennes (sauf ingénieurs/ingénieures et concepteurs/conceptrices en logiciel)

2173 – Ingénieurs/ingénieures et concepteurs/conceptrices en log

Tâches

  • Effectuer des tests de pénétration sur des applications Web, des connexions réseau et des systèmes informatiques afin de déterminer les cybermenaces et les vulnérabilités techniques
  • Effectuer des évaluations de la sécurité physique du réseau, des dispositifs, des serveurs et des systèmes d’une organisation
  • Concevoir des tests de pénétration et les outils nécessaires à leur exécution (p. ex. normes, risques, mesures d’atténuation)
  • Enquêter sur les vulnérabilités et les failles de sécurité inconnues dans les applications Web, les réseaux et les systèmes pertinents que des auteurs de cybermenace peuvent facilement exploite
  • Rédiger et tenir à jour des documents sur les résultats des tests de pénétration exécutés
  • Utiliser le piratage psychologique pour mettre au jour les lacunes en matière de sécurité
  • Définir et examiner les exigences relatives aux solutions de sécurité de l’information
  • Analyser et documenter les constatations en matière de sécurité et en discuter avec la direction et le personnel technique
  • Fournir des recommandations et des lignes directrices sur la façon d’améliorer les pratiques de sécurité d’une organisation
  • Élaborer et fournir le matériel de formation, et surveiller les efforts d’éducation

Compétences requises pour l’éducation

Études postsecondaires (diplôme en informatique ou dans un domaine des technologies de l’information connexe)

Formation requise

Formation axée sur les outils, les techniques et les procédures d’analyse des vulnérabilités et de tests de pénétration.

Expérience professionnelle requise

De deux à trois ans d’expérience à un poste spécialisé lié aux opérations de cybersécurité et, de préférence, de l’expérience en EV.

Outils et technologies

  • Politiques, procédures et pratiques de sécurité organisationnelle
  • Mappage des systèmes organisationnels et architecture des réseaux
  • Outils d’évaluation des vulnérabilités
  • Politiques, processus et pratiques en matière de gestion des vulnérabilités
  • Bases de données des vulnérabilités communes
  • Outils et protocole relatifs aux tests de pénétration

Compétences

Les connaissances, compétences et aptitudes suivantes s’appliquent à un niveau avancé :

  • Architecture de sécurité des réseaux
  • Outils, techniques et protocoles avancés utilisés par les auteurs de menace
  • Principes, outils et techniques relatifs aux tests de pénétration
  • Processus de gestion des risques visant à évaluer et à atténuer les risques
  • Concepts d’administration des systèmes
  • Concepts de la cryptographie et de la gestion des clés cryptographiques
  • Cryptologie
  • Établissement des problèmes de sécurité en fonction de l’analyse des données sur les vulnérabilités et la configuration
  • Politiques, processus et pratiques en matière de gestion des vulnérabilité
  • Planification des tests de pénétration, dont les risques qui pèsent sur les systèmes et les mesures d’atténuation connexes
  • Menaces et vulnérabilités pour la sécurité des systèmes et des applications
  • Techniques d’administration des systèmes et techniques de renforcement des réseaux et des systèmes d’exploitation
  • Analyse des paquets à l’aide des outils appropriés
  • Conduite d’analyses des vulnérabilités et établissement des vulnérabilités dans les systèmes de sécurité
  • Exécution d’évaluations des vulnérabilités, des répercussions et des risques
  • Examen des registres du système pour repérer les traces d’intrusion
  • Utilisation d’outils d’analyse réseau pour déterminer les vulnérabilités

Futures tendances ayant une incidence sur les compétences clés

  • La dépendance accrue aux services virtuels ou « basés sur l’infonuagique » exigera une connaissance des responsabilités du fournisseur de services, notamment de ses responsabilités pour ce qui est de détecter les incidents de cybersécurité, d’intervenir dans de telles circonstances et d’assurer la reprise des activités
  • Si le rôle est exercé au sein de l’organisation, il sera nécessaire de comprendre pleinement les répercussions de l’option « Prenez vos appareils personnels » (PAP). Cela signifie que, peu importe les capacités de l’appareil, il faudra évaluer les risques qui pèsent sur l’organisation, mettre en œuvre des mesures d’atténuation pour tenir compte des possibles compromissions qui pourraient résulter de l’utilisation d’appareils personnels et déterminer les mesures que le Centre des opérations de sécurité (COS) devra prendre advenant un incident
  • L’utilisation accrue des outils automatisés, facilitée par l’intelligence artificielle, nécessitera une bonne compréhension de la façon dont ces outils s’intégreront au COS, ce qui comprend la mise en œuvre des changements liés au personnel et aux processus.
  • L’utilisation accrue des outils automatisés par les auteurs de menace pose des problèmes aux organisations qui ne disposent pas d’outils défensifs complémentaires. Des stratégies d’atténuation créatives et pertinentes seront donc nécessaires localement. Cela exigera une bonne maîtrise de la pensée critique et abstraite.
  • Des mécanismes visant à soutenir le degré requis de confiance et de risque organisationnel devront être mis en place pour soutenir le suivi et la communication des résultats des outils automatisés. Par conséquent, il faudra mieux comprendre les risques qui pèsent sur l’organisation et les possibles réponses dans l’environnement dynamique de la menace.
  • L’émergence et l’utilisation des technologies quantiques par les auteurs de menace modifieront fondamentalement la sécurité du chiffrement. Cela nécessitera des connaissances et des compétences pour ce qui est de la mise en œuvre d’une stratégie post-quantique, de la compréhension des vulnérabilités du système et de la manière d’atténuer les menaces de nature quantique.
Date de modification :