Réussir le CISSP sans expérience en cybersécurité : ce que racontent les candidats

Oui, on peut réussir l’examen CISSP sans travailler en cybersécurité, et des candidats le racontent : jeunes diplômés, auditeurs, consultants en risque, reconversions. « Peut-on passer le CISSP sans travailler en cybersécurité ? » est une des questions les plus posées par les candidats francophones, et l’archive de trois ans de témoignages publics permet d’y répondre par des cas concrets. Une précision : réussir l’examen ne suffit pas à être certifié, ISC2 exigeant par ailleurs une validation d’expérience professionnelle dont les règles sont détaillées sur isc2.org. Tout ce qui suit porte sur l’épreuve elle-même.

Peut-on réussir l’examen sans travailler en cybersécurité ?

Oui. Sur les 200 récits publiés en texte intégral, une dizaine émanent de candidats déclarant n’occuper aucun poste en cybersécurité au moment de l’épreuve — environ un récit sur vingt. Ce sont des récits volontaires, pas une statistique de candidats.

Le titre le plus explicite est celui d’un candidat annonçant n’avoir « aucune expérience en cybersécurité » et avoir été reçu du premier coup à 150 questions, après quatre semaines de préparation, avec une expérience informatique de base et un master en cybersécurité tout juste terminé. Un autre, spécialiste informatique dans un hôpital depuis deux ans, écrit :

« I wanted to write this to tell everyone who thinks that they shouldn’t take this, or can’t take this, if they don’t have the experience, that you can. »

« Je voulais écrire ceci pour dire à tous ceux qui pensent qu’ils ne devraient pas, ou ne peuvent pas, passer cet examen faute d’expérience : vous le pouvez. »

L’inverse est tout aussi documenté : le témoignage des candidats consacré aux échecs contient des candidats bien plus expérimentés, et qui ont échoué. L’absence d’expérience n’interdit pas la réussite ; sa présence ne la garantit pas.

Quels profils sans expérience réussissent dans les récits ?

Les cas recensés se regroupent en quatre familles.

Les jeunes diplômés. Un candidat titulaire d’une licence en comptabilité et d’un master en business analytics, sans aucune expérience professionnelle, a passé le CISSP avant de rejoindre un cabinet d’audit. Un autre, deux ans d’informatique générale et une licence en cybersécurité, l’a passé pour tenter d’entrer dans le métier.

Les profils gouvernance, audit et risque. Ce sont les plus nombreux. Un consultant en management et gestion des risques d’entreprise, douze ans de carrière, décrit sa situation sans détour :

« I’ve never provisioned accounts, troubleshot network issues, or worked with cryptography. However, my experience in risk management helped me understand what’s best for the business. »

« Je n’ai jamais créé de comptes, jamais diagnostiqué de problème réseau, jamais travaillé sur de la cryptographie. En revanche, mon expérience en gestion des risques m’a aidé à comprendre ce qui est le mieux pour l’entreprise. »

Les métiers connexes. Un ingénieur avant-vente d’une plateforme de sécurité, entré en poste avec « très peu d’expérience en sécurité », a bâti un plan de dix semaines ; un professionnel du management de la qualité en dispositifs médicaux, devenu architecte PLM, a visé la certification pour discuter sécurité avec ses clients.

Les reconversions. Un candidat résume son parcours en trois mots — « pas de bagage, reconversion » — et précise être parti d’un niveau où le mot « noyau » ne lui évoquait rien. Il a été reçu à sa seconde tentative.

Quelle est la difficulté d’un profil non technique ?

Elle est concentrée sur les domaines techniques, et les auteurs la nomment. Un candidat issu de la gouvernance, du risque et de la conformité, sans formation informatique, décrit son point de départ : un seul domaine au-dessus du seuil avant de commencer à réviser, celui de la sécurité et de la gestion du risque. Les domaines cités comme les plus coûteux sont ceux de l’architecture, des communications et de la sécurité réseau, et du développement logiciel.

La deuxième difficulté est psychologique. Le syndrome de l’imposteur revient explicitement dans plusieurs de ces témoignages, dont celui d’une professionnelle qui commençait ses réunions en annonçant qu’elle « n’était pas technique ».

Le troisième piège est spécifique à ces profils : croire que raisonner « comme un manager » dispense des connaissances techniques. Un candidat de dix-neuf ans, avec environ trois ans d’expérience en cybersécurité, a construit toute sa préparation sur ce postulat et a échoué à la centième question :

« I decided to focus on the mindset foremost […] This was a huge mistake. I was utterly blindsided by questions asking for technical applications of concepts I had never heard of. »

« J’ai décidé de me concentrer d’abord sur l’état d’esprit […] Ce fut une énorme erreur. J’ai été totalement pris de court par des questions portant sur des applications techniques de concepts dont je n’avais jamais entendu parler. »

L’histoire ne s’arrête pas là, et il faut le préciser pour éviter toute confusion avec les récits d’Associates : le même auteur a repassé l’examen et l’a réussi à vingt ans, à la centième question elle aussi, après avoir repris le contenu au lieu de la seule posture. N’ayant pas les cinq années requises, il est devenu Associate of ISC2 et assume ce statut, qui suffisait à son employeur. Un seul candidat, donc, et deux étapes : l’échec cité ici, la réussite citée là-bas.

Une des formulations les plus reprises dans les témoignages des échecs est celle d’un commentaire très voté : connaître la matière comme un technicien, puis l’appliquer comme un décideur — les deux, pas l’un ou l’autre.

Un contrepoint, pour finir sur ce point. Manquer d’expérience n’est pas le seul handicap possible : le témoignage des candidats des échecs identifie au contraire la préparation trop technique comme la cause d’échec la plus fréquemment auto-diagnostiquée, avec des candidats de dix à vingt ans en réseau, en cloud ou en centre opérationnel qui échouent pour avoir répondu en exécutants plutôt qu’en conseils. Autrement dit, l’expérience de terrain ne vaut pas dispense de préparation, et son absence ne condamne pas. Ce versant-là n’est pas le sujet de cet article : il est traité dans pourquoi on échoue au CISSP.

Combien de temps ces candidats ont-ils travaillé ?

Les durées annoncées s’étalent de six semaines à plus d’un an, avec deux constantes.

Profil rapporté	Durée annoncée
Sans expérience informatique	1,5 mois intensif, en emploi
Jeune diplômé sans expérience	~2 mois à ~5 h par jour
Sans bagage technique	2,5 à 3 mois intensifs
Ingénieur avant-vente	Plan de 10 semaines
Audit et conseil en risque	11 mois, avec un échec
Aucune expérience cœur de métier	Plus d’un an, avec un échec

Première constante : ces préparations sont plus longues et plus denses que celles des profils expérimentés du même ensemble de témoignages, où des parcours de deux à trois semaines existent. Seconde constante : plusieurs de ces candidats vont bien au-delà de la centième question — 150 revient dans ces récits, et 175 dans les plus anciens, sous le format d’avant avril 2024. L’échantillon est trop petit pour en faire une règle, mais il justifie de prévoir l’épreuve dans sa version longue plutôt que d’espérer un arrêt précoce.

Faut-il commencer par une certification plus accessible ?

Ce n’est pas indispensable, et les récits donnent des arguments dans les deux sens.

Pour. Le jeune diplômé évoqué plus haut, pourtant reçu, conclut son récit par une mise en garde :

« Looking back […] the CISSP exam is probably not ideal for fresh graduates. I would recommend starting with something more foundational to build up your knowledge before tackling CISSP. »

« Avec le recul […] le CISSP n’est probablement pas idéal pour un jeune diplômé. Je recommanderais de commencer par quelque chose de plus fondamental pour construire ses bases avant de s’attaquer au CISSP. »

Un autre candidat, déjà titulaire d’une certification cloud du même organisme, estime qu’avoir passé un premier examen de cet éditeur lui a évité de découvrir le format le jour J. Plusieurs récits mentionnent un enchaînement progressif de certifications généralistes avant le CISSP, présenté comme la fondation qui a rendu la préparation supportable.

Contre. D’autres auteurs jugent le CISSP moins exigeant en mémorisation brute que certaines certifications réputées plus accessibles, et un candidat sans formation informatique l’a passé sans aucune certification préalable. Le consultant en gestion des risques cité plus haut adresse un message direct à ses semblables : ne pas se décourager d’un profil non technique ni de scores d’entraînement médiocres, dès lors qu’on sait appliquer les concepts à une décision d’entreprise.

Un candidat sans expérience directe conseille enfin de détenir une certification qui compte dans le dispositif d’expérience d’ISC2, afin de disposer de temps pour construire son parcours après l’examen. Cette équivalence est plafonnée à un an, tous justificatifs confondus, d’après la communauté : l’expérience requise pour le CISSP détaille ce que les candidats ont réussi à faire valoir. Les règles applicables, elles, sont à vérifier sur isc2.org.

Pour replacer ces cas dans l’ensemble des témoignages, voyez les 200 témoignages de réussite et notre méthode.