CERT-C12-A · Auditeur en cybersécurité des installations de sûreté

Référentiel de certification · version 2026.1

1. Domaine d'application

Cette certification atteste que son titulaire sait conduire seul l'audit de cybersécurité d'une installation de sûreté existante, en établir les écarts, en apprécier la gravité, proposer une remédiation réaliste et défendre ses conclusions devant l'exploitant.

Par installation de sûreté, on entend l'ensemble formé par les équipements de vidéoprotection, de contrôle d'accès et de détection d'intrusion, leurs enregistreurs et serveurs, leur réseau, leurs postes d'administration et leurs accès distants.

Elle ne couvre pas l'audit du système d'information général de l'organisation, qui relève d'autres référentiels du marché. Elle ne couvre pas non plus le test d'intrusion, qui est un autre métier et suppose une autorisation écrite spécifique. Elle ne confère aucune habilitation réglementaire.

Le public visé est le technicien supérieur confirmé, le chargé d'affaires expérimenté, le responsable technique multi-sites et le consultant qui interviennent sur des installations déjà en service.

2. Analyse du métier

2.1 Sur quoi cette analyse repose

Trois sources, qu'il faut distinguer parce qu'elles n'ont pas le même poids.

Les interventions réelles conduites par un bureau d'études en sûreté électronique sur des installations en service. C'est la source première : elle donne les tâches, leur ordre et le temps qu'elles prennent.

Les recommandations publiées par l'autorité française de sécurité des systèmes d'information sur la sécurisation des systèmes de contrôle d'accès physique et de vidéoprotection. Elles fixent l'état de l'art attendu, non la manière de conduire un audit.

Les écarts constatés lors de réceptions d'installations neuves. Ils disent ce qui échappe systématiquement, et donc ce qu'un auditeur doit chercher en premier sur un parc existant.

L'analyse est datée et sera revue tous les deux ans. Une révision qui se contenterait d'ajouter des technologies nouvelles manquerait son objet : ce qui change vite, c'est la manière dont les installations sont exploitées, pas la liste des équipements.

2.2 Les dix tâches du métier

La criticité exprime les conséquences d'une exécution défaillante, jamais la difficulté. Une tâche facile peut être très critique, et c'est le cas de la première.

2.3 La fréquence déclarée et la fréquence réelle

Les dix tâches sont dites de chaque mission, et elles le sont en théorie. En pratique, trois d'entre elles sautent régulièrement, et ce sont toujours les mêmes : l'identification de qui détient et maintient, la vérification de la journalisation, et la protection du rapport. Elles ont un point commun, aucune ne produit de constat spectaculaire.

Un candidat qui les traite consciencieusement se distingue immédiatement d'un candidat qui court aux mots de passe par défaut.

2.4 Quatre enseignements qui gouvernent le référentiel

Le premier est que la tâche la plus critique n'est pas technique. C'est le cadrage et l'autorisation. Un audit techniquement irréprochable conduit hors mandat n'a aucune valeur et expose son auteur.

Le deuxième est que la valeur de l'audit ne tient pas à la longueur de la liste d'écarts, mais à la capacité du rapport à être exécuté par l'exploitant. Un rapport de quatre-vingts pages qui ne nomme ni responsable ni délai produit moins qu'une page qui en nomme.

Le troisième est que l'auditeur constate et ne répare pas. Toucher à une configuration, même pour bien faire, détruit l'état de départ, brouille la responsabilité et place l'auditeur en conflit d'intérêts sur les travaux qu'il prescrit.

Le quatrième est que ce qui n'a pas pu être vu doit être écrit comme tel. Un blanc annoncé protège l'exploitant ; un blanc comblé par une hypothèse vraisemblable le laisse découvrir le problème lors d'un incident.

3. Référentiel de compétences

Domaine C1 · Cadrer une mission d'audit

C1.1 Établir le périmètre écrit de l'audit. Réussi si le document nomme les sites, les équipements, les réseaux inclus et exclus, la période d'intervention et les limites d'action, et s'il est signé des deux parties avant toute connexion.

Ce qu'elle produit : Un document de périmètre signé des deux parties avant toute connexion, nommant les sites, les équipements, les réseaux inclus et exclus, la période et les actions interdites.

Ce qui la fait échouer : Recopier la lettre de mission du client au lieu d'écrire un périmètre. Le client décrit ce qu'il veut ; l'auditeur écrit ce qu'il fera et ce qu'il ne fera pas.

C1.2 Obtenir et vérifier l'autorisation d'intervention. Réussi si l'autorisation émane d'une personne habilitée à engager l'exploitant, si elle nomme les actions permises et interdites, et si le candidat sait dire ce qu'il ne fera pas faute d'autorisation.

Ce qu'elle produit : Une autorisation écrite émanant d'une personne habilitée à engager l'exploitant, avec la liste des actions permises et interdites.

Ce qui la fait échouer : Se contenter de l'accord du responsable technique présent sur le site. Il connaît l'installation, il n'engage pas l'entreprise.

C1.3 Identifier le responsable du traitement et les obligations relatives aux données personnelles. Réussi si le candidat distingue l'exploitant, l'installateur et le mainteneur, et si les mesures de protection des images consultées pendant l'audit sont écrites.

Ce qu'elle produit : Une désignation écrite du responsable du traitement, la qualification de l'installateur et du mainteneur, et les mesures de protection des images consultées pendant l'audit.

Ce qui la fait échouer : Confondre celui qui détient les images et celui qui décide de la finalité. La qualification suit la décision, jamais la détention.

Domaine C2 · Établir l'état des lieux

C2.1 Dresser l'inventaire des équipements. Réussi si l'inventaire porte, pour chaque équipement, la marque, le modèle, la version de micrologiciel, l'adresse réseau, l'emplacement et la fonction, et si les équipements non identifiés sont explicitement listés comme tels.

Ce qu'elle produit : Un inventaire ligne par ligne portant marque, modèle, version, adresse, emplacement et fonction, avec une liste distincte des équipements non identifiés.

Ce qui la fait échouer : Fondre les non identifiés dans le total. Un inventaire qui annonce un chiffre rond a toujours comblé un trou.

C2.2 Cartographier l'installation. Réussi si le schéma montre les équipements, les liaisons, les équipements d'interconnexion, les frontières avec le réseau de l'organisation et les points de sortie vers l'extérieur.

Ce qu'elle produit : Un schéma montrant les équipements, les liaisons, les équipements d'interconnexion, les frontières avec le réseau de l'organisation et les sorties vers l'extérieur.

Ce qui la fait échouer : Reprendre le schéma du dossier d'installation. Il décrit ce qui était prévu, pas ce qui est en service.

C2.3 Relever la configuration de référence des équipements. Réussi si le relevé couvre les comptes, les services actifs, les protocoles, le chiffrement des flux, la journalisation et les paramètres laissés à leur valeur d'origine.

Ce qu'elle produit : Un relevé couvrant les comptes, les services actifs, les protocoles, le chiffrement des flux, la journalisation et les paramètres restés à leur valeur d'origine, refaisable à l'identique par un tiers.

Ce qui la fait échouer : Relever sur la documentation du constructeur plutôt que sur l'équipement. La notice dit ce que l'appareil sait faire, pas ce qu'il fait.

Domaine C3 · Analyser l'exposition

C3.1 Apprécier le cloisonnement. Réussi si le candidat établit si le réseau de sûreté est séparé du réseau bureautique, par quel moyen, et si cette séparation est effective et non seulement déclarée.

Ce qu'elle produit : Une conclusion motivée sur l'existence d'une séparation, le moyen employé, et son caractère effectif ou seulement déclaré.

Ce qui la fait échouer : Prendre le plan d'adressage pour une preuve. Deux plages distinctes peuvent être routées l'une vers l'autre sans aucun filtrage.

C3.2 Analyser les flux autorisés. Réussi si les flux entrants et sortants sont listés avec leur origine, leur destination, leur protocole et leur justification, et si les flux sans justification sont signalés.

Ce qu'elle produit : La liste des flux entrants et sortants avec origine, destination, protocole et justification, les flux sans justification étant signalés comme tels.

Ce qui la fait échouer : Ne regarder que l'entrant. Un équipement qui appelle lui-même l'extérieur établit la liaison de l'intérieur, et le filtrage entrant n'y peut rien.

C3.3 Examiner les accès distants. Réussi si tous les moyens d'accès à distance sont trouvés, y compris ceux qui ne figurent dans aucune documentation, et si leur mode d'authentification est établi.

Ce qu'elle produit : La liste de tous les moyens d'accès à distance trouvés, y compris ceux qui ne figurent dans aucune documentation, avec leur mode d'authentification.

Ce qui la fait échouer : S'en tenir à ce que le mainteneur déclare. Les accès qui comptent sont précisément ceux que personne n'a documentés.

C3.4 Examiner la gestion des comptes et des secrets. Réussi si les comptes partagés, les comptes d'origine restés actifs, les comptes d'anciens intervenants et l'absence de renouvellement des mots de passe sont identifiés.

Ce qu'elle produit : Le relevé des comptes partagés, des comptes d'origine restés actifs, des comptes d'anciens intervenants, et le constat sur le renouvellement des secrets.

Ce qui la fait échouer : Ne regarder que les comptes du serveur de supervision. Ceux des caméras et des contrôleurs sont locaux, personne ne les gère, et ils survivent aux départs.

C3.5 Apprécier le niveau de mise à jour. Réussi si l'écart entre les versions installées et les versions publiées est établi, et si l'existence ou l'absence d'une campagne de mise à jour est constatée.

Ce qu'elle produit : L'écart entre versions installées et versions publiées à la date de l'audit, et le constat de l'existence ou de l'absence d'une campagne de mise à jour.

Ce qui la fait échouer : Compter les versions de retard au lieu de qualifier ce que les correctifs manquants corrigent. Trois versions sans correctif de sécurité pèsent moins qu'une seule qui en porte un.

C3.6 Vérifier la journalisation et la conservation. Réussi si le candidat établit ce qui est journalisé, où, pendant combien de temps, qui peut y accéder, et si la durée de conservation des images correspond à celle qui est déclarée.

Ce qu'elle produit : Ce qui est journalisé, où, pendant combien de temps, qui y accède, et la durée de conservation des images réellement constatée, comparée à la durée déclarée.

Ce qui la fait échouer : Lire le paramètre de rétention au lieu de remonter à l'image la plus ancienne disponible. Le paramètre exprime une intention, la capacité décide.

Domaine C4 · Conclure et faire agir

C4.1 Qualifier chaque écart. Réussi si chaque écart porte une gravité motivée par sa conséquence et non par sa nature, et si la motivation tient en une phrase compréhensible par un non-technicien.

Ce qu'elle produit : Un tableau où chaque écart porte une gravité motivée par sa conséquence, en une phrase qu'un non-technicien comprend.

Ce qui la fait échouer : Motiver par la nature de l'écart. « Mot de passe par défaut, donc critique » décrit l'écart et ne dit rien de ce qu'il permet.

C4.2 Bâtir un plan de remédiation exécutable. Réussi si chaque action nomme son responsable, son délai, sa difficulté et son coût d'ordre de grandeur, et si l'ordre des actions tient compte des dépendances techniques.

Ce qu'elle produit : Un plan où chaque action nomme son responsable, son délai, sa difficulté et son ordre de grandeur de coût, ordonné selon les dépendances techniques.

Ce qui la fait échouer : Ordonner par gravité décroissante sans regarder les dépendances. Une action qui suppose un recensement non fait ne sera pas exécutée, quelle que soit sa place.

C4.3 Distinguer ce qui se corrige tout de suite de ce qui suppose un investissement. Réussi si le plan sépare explicitement les deux, car un exploitant qui reçoit une liste indifférenciée ne fait rien.

Ce qu'elle produit : Deux listes séparées : ce qui se corrige sans dépense, et ce qui suppose un investissement, chacune chiffrée dans son ordre de grandeur.

Ce qui la fait échouer : Rendre une liste unique. Un exploitant qui reçoit trente lignes mêlées n'en traite aucune, alors qu'il aurait fait les six gratuites le jour même.

C4.4 Rédiger un rapport exploitable par un tiers. Réussi si un lecteur qui n'a pas participé à l'audit peut, avec le seul rapport, comprendre le périmètre, retrouver les constats et engager les actions.

Ce qu'elle produit : Un rapport dont un lecteur qui n'a pas participé peut, seul, comprendre le périmètre, retrouver chaque constat et engager les actions.

Ce qui la fait échouer : Écrire pour soi-même. Le test est simple : donner le rapport à quelqu'un qui n'était pas là et lui demander de retrouver un constat.

C4.5 Restituer et défendre les conclusions. Réussi si le candidat soutient un constat contesté en revenant au fait relevé, s'il reconnaît une limite de son audit lorsqu'elle existe, et s'il ne conclut pas au-delà de ce qu'il a constaté.

Ce qu'elle produit : Une restitution où chaque constat contesté est ramené au fait relevé, où ce qui a été vérifié est distingué de ce qui a été déclaré, et où les limites sont énoncées.

Ce qui la fait échouer : Céder sur un constat pour obtenir un accord. L'accord obtenu ainsi ne vaut rien, et le constat abandonné reparaîtra au prochain incident.

4. Prérequis

4.1 Ce qui est exigé

Deux ans de pratique professionnelle sur des installations de sûreté électronique, ou une année accompagnée d'une certification de niveau Praticien du même domaine.

La maîtrise des notions de réseau nécessaires à la lecture d'une configuration, à savoir adressage, segmentation, filtrage et résolution de noms.

Aucune formation particulière n'est exigée. Le candidat qui possède ces acquis par la pratique se présente directement. Cette règle est ferme : conditionner l'accès à l'examen au suivi de la formation du même éditeur ruinerait la valeur du certificat et contreviendrait aux règles admises en matière de certification de personnes.

4.2 Comment la pratique se prouve

Par des attestations d'employeur ou de donneur d'ordre nommant les installations et la nature des interventions. Une fiche de poste ne suffit pas : elle décrit un emploi, pas une pratique.

Le licencié qui inscrit un candidat conserve ces pièces et les tient à disposition. Il ne les transmet pas au concepteur, qui n'a pas à détenir les dossiers individuels des candidats d'un licencié.

Un candidat dont l'expérience est proche du seuil sans l'atteindre peut être admis sur décision motivée du licencié, consignée au dossier. Cette faculté est bornée : au-delà d'un candidat sur dix admis ainsi, le licencié en rend compte au concepteur, faute de quoi le prérequis n'en est plus un.

4.3 Passerelles avec les autres certifications du catalogue

Une certification voisine dispense d'un prérequis, jamais d'une épreuve. Dispenser d'une épreuve reviendrait à délivrer un certificat sur la foi d'un autre, alors qu'aucun des deux n'a évalué la même chose.

Le sens de ces passerelles n'est pas symétrique. Un auditeur en cybersécurité qui vise la certification d'auditeur en sûreté y trouvera le même allègement, mais un auditeur en conformité qui vise l'expertise en gouvernance n'obtient rien : le niveau Expert exige trois ans et une pratique de décision que ces certifications ne vérifient pas.

5. Code de conduite

Le titulaire n'intervient sur une installation qu'avec une autorisation écrite d'une personne habilitée.

Il n'exploite ni ne divulgue les informations recueillies pendant un audit, ni les images consultées.

Il ne conclut pas au-delà de ce qu'il a constaté et signale les limites de son audit.

Il refuse une mission lorsqu'il est en situation de conflit d'intérêts, notamment lorsqu'il a conçu ou installé le système qu'on lui demande d'auditer.

Il ne se prévaut pas de sa certification pour laisser croire à une habilitation qu'il ne détient pas.

Le manquement à ce code entraîne la suspension ou le retrait du certificat.

6. Plan d'examen

L'examen dure six heures, réparties sur une journée.

Le questionnaire compte quarante questions à choix unique, corrigées automatiquement.

Une compétence peut figurer à deux épreuves sans être notée deux fois pour la même chose. Le questionnaire vérifie ce que le candidat sait, l'étude de cas ce qu'il en fait. La grille de correction, réservée au jury, attribue les points par pièce produite et non par compétence isolée, et le report de la note se fait pièce par pièce.

L'étude de cas remet au candidat un dossier d'installation réelle anonymisée comprenant un plan de site, un inventaire partiel volontairement incomplet, des extraits de configuration, une copie d'écran de gestion des utilisateurs et un échange de courriels avec le mainteneur. Le candidat produit quatre pièces : le périmètre d'audit, la cartographie, le tableau des écarts qualifiés et le plan de remédiation. Le dossier comporte au moins un piège de cadrage, à savoir un équipement hors périmètre que le candidat ne doit pas auditer, et au moins un accès distant non documenté.

L'entretien porte sur les pièces produites. L'examinateur demande au candidat de justifier deux qualifications de gravité, de défendre l'ordre de son plan et d'expliquer ce qu'il n'a pas pu vérifier.

Le seuil de réussite est de soixante-dix pour cent sur l'ensemble. Une note inférieure à cinquante pour cent sur l'étude de cas est éliminatoire, quelle que soit la moyenne.

Un candidat qui, dans l'étude de cas, audite l'équipement hors périmètre sans le signaler est ajourné, quelle que soit la qualité du reste. Cette règle traduit la criticité établie au paragraphe 2.

7. Délivrance, refus, suspension et retrait

Le certificat est délivré par le concepteur, sur décision prise au vu du dossier complet et jamais par l'examinateur seul.

Le refus est motivé par écrit, compétence par compétence, et ouvre droit à un recours dans les trente jours, examiné par une personne n'ayant pas participé à la décision initiale.

Le certificat est suspendu en cas de manquement au code de conduite, le temps de l'instruction, et retiré si le manquement est établi. Le retrait est notifié par écrit et motivé.

Un candidat ajourné se représente après trois mois. Il ne repasse que les épreuves échouées, dans la limite de dix-huit mois après la première présentation.

8. Maintien et renouvellement

8.1 Durée et demande

Le certificat vaut trois ans à compter de sa date de délivrance.

Le renouvellement se demande dans les six mois qui précèdent l'échéance. Une demande déposée après l'échéance n'est pas un renouvellement : le titulaire repasse l'examen complet.

8.2 Ce qu'il faut justifier

Au moins trois missions d'audit conduites pendant la période, attestées par les donneurs d'ordre ou par l'employeur. Le seuil est volontairement bas : un auditeur qui en conduit moins d'une par an perd la main, et trois sur trois ans est le minimum en deçà duquel la compétence ne s'entretient pas.

L'attestation nomme le site, la date et l'objet, jamais les constats. Une attestation qui décrirait les écarts trouvés violerait le code de conduite du titulaire.

Une mission conduite en second, aux côtés d'un auditeur confirmé, compte pour une demi-mission. Deux missions en second ne suffisent donc pas à faire les trois.

8.3 L'épreuve de mise à jour

Deux heures, portant sur les évolutions du cadre applicable et de l'état de la technique depuis la délivrance. Elle comporte trois parties.

Un questionnaire de vingt questions sur ce qui a changé : textes, recommandations publiées, familles d'équipements dont le support s'est arrêté.

Une étude de cas courte, sur un dossier d'une heure, portant sur une situation que le référentiel d'origine ne traitait pas encore. C'est la partie qui pèse le plus.

Un retour du titulaire sur une de ses propres missions de la période : ce qu'il a trouvé, ce qu'il n'a pas pu établir, et ce qu'il ferait autrement. Cette partie ne se note pas sur le résultat de la mission mais sur la lucidité du retour.

Le seuil de réussite est de soixante pour cent. Un échec ouvre une seconde présentation dans les six mois, sans repasser l'examen complet ; un second échec y renvoie.

8.4 Absence de surveillance intermédiaire

Aucune surveillance intermédiaire n'est prévue entre deux renouvellements. Ce choix est délibéré : une surveillance annoncée et non tenue vaut moins que l'absence de surveillance.

Il connaît une exception. Un signalement écrit et motivé mettant en cause un titulaire au regard du code de conduite ouvre une instruction, qui peut conduire à la suspension puis au retrait. Le titulaire est entendu avant toute décision.