Combien de temps faut-il pour apprendre les bases de la cybersécurité ?

Ce parcours s’adresse à une personne qui sait utiliser un navigateur, installer une application et manipuler des fichiers. Savoir programmer n’est pas un prérequis.

Le mot « cybersécurité » recouvre des activités très différentes. Le NICE Framework du NIST décrit le travail cyber à travers des tâches, des connaissances et des compétences. Il n’existe donc pas un nombre d’heures unique qui transformerait un débutant en spécialiste de tous les sujets.

Ici, « connaître les bases » signifie pouvoir :

• expliquer confidentialité, intégrité, disponibilité, menace, vulnérabilité, risque et impact ;
• décrire simplement le rôle d’une adresse IP, du DNS, d’un port et de HTTP ;
• distinguer utilisateur, administrateur, authentification et autorisation ;
• appliquer des mesures de base sur ses propres comptes et appareils ;
• observer quelques journaux et commandes sans modifier un système tiers ;
• documenter un exercice et reconnaître ce que l’on ne sait pas ;
• choisir une direction d’approfondissement.

Cette définition ne comprend ni la conduite autonome d’un test d’intrusion, ni l’administration d’un SOC, ni la réponse complète à un incident réel.

La durée dépend d'abord de ton expérience initiale. Une personne qui administre déjà des postes ou comprend TCP/IP avancera plus vite sur ces blocs, mais pourra découvrir la gouvernance ou l’analyse de risque. À l’inverse, un profil non technique devra consacrer davantage de temps au système de fichiers, aux comptes et au réseau.

La régularité des séances compte également. Des séances réparties dans la semaine facilitent les exercices, le rappel actif et la rédaction de notes, au lieu d’une consommation passive de vidéos.

Le troisième facteur est l’objectif. Sécuriser ses usages, comprendre un audit et préparer une orientation ne demandent pas la même profondeur. Fixe un résultat observable.

Enfin, un ordinateur disponible, des ressources accessibles et un cadre légal clair facilitent la progression. Un laboratoire trop complexe peut consommer une séance sans renforcer le concept visé.

Le NICE Framework du NIST illustre la diversité des rôles et des compétences, ce qui explique pourquoi une durée unique serait trompeuse.

Une boucle simple fonctionne mieux qu’une accumulation de cours :

1. Comprendre : lire une explication courte et une source de référence.
2. Observer : relier le concept à son propre appareil ou à un environnement de laboratoire.
3. Pratiquer : effectuer une action bornée et réversible.
4. Expliquer : reformuler le résultat avec ses mots.
5. Vérifier : comparer l’observation au critère annoncé.
6. Réviser : reprendre la notion quelques jours plus tard.

À la fin de chaque cycle, tu dois pouvoir montrer une observation ou un livrable et expliquer ce qu’il prouve, ainsi que ce qu’il ne permet pas de conclure.

Les cadres officiels aident à organiser les domaines. Le NIST Cybersecurity Framework 2.0 regroupe des résultats de cybersécurité autour de six fonctions : Govern, Identify, Protect, Detect, Respond et Recover. Ce cadre n’est pas un programme pour débutants, mais il rappelle qu’apprendre la sécurité ne consiste pas uniquement à attaquer des machines. Le guide d’hygiène informatique de l’ANSSI présente, lui, des mesures concrètes pour renforcer un système d’information.

Le Cybersecurity Framework 2.0 du NIST peut servir de carte générale pour relier gouvernance, identification, protection, détection, réponse et rétablissement.

La charge proposée est de 5 à 7 heures par semaine. Avec 2 à 3 heures, conserve l’ordre et étale le programme sur quatre à six mois.

Semaines 1 et 2 : système et fichiers

Objectifs : comprendre comptes, privilèges, processus, services, fichiers, permissions et mises à jour sur ta machine ou une machine virtuelle.

Résultat observable : tu retrouves la version du système, détermine si ton compte possède des droits d'administration, consulte les processus actifs et vérifie les réglages de mise à jour.

Semaines 3 et 4 : réseau et Web

Objectifs : distinguer réseau local et Internet, adresse IP et nom DNS, port et protocole, requête et réponse HTTP. L’objectif n’est pas de mémoriser tout le modèle OSI, mais de suivre le chemin d’une connexion simple.

Résultat observable : tu représentes d'abord la résolution du nom de domaine en adresse IP, puis l'établissement de la connexion HTTPS entre le navigateur et le serveur, puis observe une résolution DNS.

Semaines 5 et 6 : identité et protection

Objectifs : mots de passe uniques, gestionnaire de mots de passe, MFA, sauvegardes, chiffrement et mises à jour. Compare au moins deux méthodes MFA et prépare la récupération d’un compte de test.

Résultat observable : tu expliques pourquoi FIDO résiste mieux au phishing qu’un code recopié et documente une restauration de fichier.

Semaines 7 et 8 : menaces, vulnérabilités et risque

Objectifs : distinguer les quatre notions, comprendre exposition et impact, lire un avis de sécurité sans réduire le risque à un score. Travaille sur des scénarios fictifs.

Résultat observable : tu rédiges une fiche d’une page reliant actif, menace, vulnérabilité, événement, impact, contrôle et risque résiduel.

Semaines 9 et 10 : journaux et détection

Objectifs : comprendre qu’un journal conserve des événements, identifier heure, source, action et résultat, puis chercher une connexion échouée sur un environnement que tu contrôles. Ne collecte pas de données de tiers.

Résultat observable : tu sais lire cinq événements, expliquer leur ordre et distinguer un signal isolé d’une conclusion. Tu notes les limites de visibilité du journal.

Semaines 11 et 12 : incident, éthique et orientation

Objectifs : connaître les premières réactions sûres, préserver des informations, demander de l’aide et respecter l’autorisation. Compare ensuite deux familles de travail par leurs tâches réelles.

Résultat observable : tu produis une fiche réflexe simple pour un compte compromis et un bilan de tes acquis, des points à revoir et d'un prochain exercice réalisable dans un environnement autorisé.

Pour compléter ce parcours avec des ressources publiques françaises, consulte la page officielle du MOOC SecNumacadémie et le guide d’hygiène informatique de l’ANSSI.

Cadre : utilise ton propre ordinateur et un compte de test. N’analyse pas un réseau, un site ou un appareil sans autorisation.

• 10 minutes : dessine comment ton navigateur atteint un site HTTPS.
• 10 minutes : expliques menace, vulnérabilité, risque et impact avec un exemple domestique.
• 10 minutes : liste les facteurs de connexion d’un compte de test et son moyen de récupération.
• 10 minutes : retrouve la version du système et l’état des mises à jour.
• 10 minutes : identifie l’emplacement d’un journal système, sans en extraire de données personnelles.
• 10 minutes : écris ce que tu sais expliquer, ce que tu as seulement reconnu et ce que tu ne sais pas encore faire.

Ce diagnostic sert à ajuster la durée. Révise rapidement un bloc déjà explicable et consacre davantage de temps à un bloc inconnu.

Après le parcours, choisis au hasard quatre notions parmi DNS, port, privilège, MFA, vulnérabilité, impact, journal et sauvegarde. Pour chacune, tu dois fournir une définition simple, un exemple, une limite et une observation réalisée dans un cadre autorisé. Tu dois aussi produire trois livrables : un schéma réseau élémentaire, une fiche de scénario de risque et un compte rendu de restauration d’un fichier de test.

Ces livrables doivent montrer ce que tu sais expliquer et pratiquer, puis t’aider à choisir le sujet suivant. Ils ne prouvent ni une autonomie professionnelle, ni une maîtrise générale, ni une aptitude à intervenir sur un système réel.

Avec une expérience IT, condense les blocs acquis mais conserve les livrables. Sans expérience technique, prévois 12 à 20 semaines et ajoute des séances sur les fichiers, le terminal et le réseau domestique.

Avec deux heures par semaine, vise un bloc toutes les deux semaines. Avec dix heures ou plus, approfondis les exercices et les révisions plutôt que de doubler les sujets.

Si l’objectif est professionnel, choisis ensuite un domaine, étudie ses tâches et réalise des projets dans un laboratoire ou sur un périmètre explicitement autorisé. La durée dépendra du rôle visé et de l’expérience acquise. Une formation ou un certificat peut structurer le chemin, mais ne garantit ni emploi ni compétence pratique.

• Compter seulement les heures de vidéo : regarder n’est pas démontrer une compréhension.
• Commencer par des outils offensifs complexes : l’outil masque souvent les lacunes de système et de réseau.
• Copier des commandes sans expliquer le résultat : conserve une note sur l’entrée, la sortie et la limite.
• Pratiquer hors cadre : même une curiosité technique peut devenir illégitime sans autorisation explicite.
• Chercher une durée universelle : la fourchette de 8 à 12 semaines correspond au parcours défini dans cet article, et non à une statistique officielle pour le socle défini ici, pas une statistique officielle.
• Confondre quiz réussi et capacité pratique : associe chaque notion à un livrable observable.
• Sauter la récupération et la défense : la cybersécurité ne se réduit pas au pentest.
• S'appuyer sur une ressource sans vérifier sa disponibilité : l’ANSSI indique que la plateforme est en refonte en 2026. Vérifie son état avant de l’intégrer à ton planning.

Les ressources et outils évoluent. Vérifie les pages officielles au moment de commencer et remplace un service temporairement indisponible par une ressource accessible, sans modifier l’objectif pédagogique.