Technique · Analyse · Organisation ✳ mise à jour le 8 septembre 2026

Auditeur sécurité

Aussi appelé : Auditeur de sécurité technique (intitulé du panorama des métiers de l'ANSSI), Auditeur organisationnel SSI, Auditeur sécurité des systèmes d'information, Consultant audit cybersécurité, Pentester (variante audit technique, test d'intrusion), Auditeur PASSI (chez un prestataire qualifié par l'ANSSI).

Il vérifie, preuves à l'appui, que la sécurité annoncée est bien celle qui existe : dans les configurations, dans les procédures, dans les pratiques.

Ce que fait vraiment un auditeur sécurité

• Cadrer l'audit avec le client : périmètre, objectifs, règles d'engagement, calendrier
• Auditer une organisation face à un référentiel (ISO 27001, guide d'hygiène informatique de l'ANSSI, politique de sécurité interne) par entretiens et lecture de documents
• Auditer des configurations : serveurs, Active Directory, équipements réseau, environnements cloud
• Tester des applications ou des infrastructures (tests d'intrusion) quand le poste est orienté technique
• Qualifier les écarts constatés et les hiérarchiser selon le risque réel, pas selon leur nombre
• Rédiger un rapport lisible par la direction et exploitable par les équipes techniques
• Restituer les conclusions à l'oral et défendre chaque constat face au client
• Suivre le plan de remédiation et, parfois, contre-auditer quelques mois plus tard

Journée type

9 h : réunion de lancement chez le client, cadrage du périmètre et des règles. Matinée : entretiens avec le responsable infrastructure et le RSSI, collecte de documents (politique de sécurité, procédures de sauvegarde). Après-midi : revue des exports de configuration Active Directory, croisement avec le guide ANSSI, premiers écarts consignés dans la grille. Fin de journée : rédaction de trois constats avec leurs preuves. Le rapport final se construit sur plusieurs jours ; la restitution orale vient clore la mission.

Faut-il savoir coder ?

Pas pour l'audit organisationnel. Pour l'audit technique et le test d'intrusion, oui : lire du code, écrire des scripts (Python, Bash, PowerShell) pour automatiser des vérifications. Un auditeur de configuration doit au minimum savoir lire un fichier de configuration et travailler en ligne de commande.

Les profils qui réussissent

Les profils qui préfèrent vérifier plutôt que croire. Ancien auditeur financier ou contrôleur interne : la méthode d'audit est la même, seul l'objet change (échantillonnage, preuves, écarts, rapport). Ancien administrateur système ou réseau : il connaît les configurations par cœur et sait où elles cassent. Ancien qualiticien ou responsable conformité : lecture de référentiels, gestion de preuves, rédaction d'écarts. Ancien consultant : aisance en entretien et en restitution. Traits utiles : rigueur, goût de la preuve, capacité à dire non poliment, plaisir à rédiger, résistance à la pression d'un client qui n'aime pas ce qu'il entend. L'audit organisationnel est plus ouvert aux reconversions (accessibilité proche de 3) ; l'audit technique demande un socle système et réseau préalable.

Compétences transférables

• Méthode d'audit : échantillonnage, collecte de preuves, traçabilité des constats (audit financier, qualité, contrôle interne)
• Lecture et application de référentiels (ISO 9001, normes comptables, réglementations sectorielles)
• Rédaction de rapports structurés et de synthèses pour une direction
• Conduite d'entretiens et écoute active (RH, conseil, journalisme)
• Administration système ou réseau : connaissance des configurations réelles et de leurs dérives
• Esprit critique et gestion des désaccords sans conflit

Compétences à acquérir

• Référentiels de sécurité : ISO 27001 et 27002, guide d'hygiène informatique de l'ANSSI, politiques de sécurité
• Fonctionnement concret d'un système d'information : réseau, Active Directory, cloud, sauvegardes, accès distants
• Méthodes d'audit de configuration et outils associés (scanners de vulnérabilités, outils d'analyse d'annuaire)
• Pour la voie technique : bases du test d'intrusion et scripting
• Cotation du risque : distinguer le grave du cosmétique
• Rédaction d'un constat d'audit : fait, preuve, risque, recommandation

Voies d’accès et certifications

• Cabinet d'audit ou de conseil : poste d'auditeur junior, souvent en binôme avec un senior la première année
• Reconversion depuis l'audit financier, le contrôle interne ou la qualité : viser d'abord l'audit organisationnel
• Reconversion depuis l'administration système ou réseau : viser l'audit de configuration ou le test d'intrusion
• Formation : master ou mastère spécialisé en cybersécurité, ou titre professionnel reconnu, complété par une certification ISO 27001 Lead Auditor
• Alternance chez un prestataire d'audit ou dans la direction sécurité d'un grand groupe

Certifications utiles

ISO/IEC 27001 Lead Auditor · EBIOS Risk Manager (méthode d'analyse de risques de l'ANSSI) · CompTIA Security+ (socle technique) · OSCP (voie test d'intrusion) · CEH (voie test d'intrusion, plus théorique) · Exercer chez un prestataire qualifié PASSI par l'ANSSI : la qualification porte sur l'entreprise, pas sur l'individu, mais elle structure les pratiques

Salaire indicatif

42 075 à 62 375 € brut annuel (25e à 75e percentile), moyenne 50 650 € (Glassdoor, intitulé auditeur sécurité informatique, juin 2026). Données déclaratives, à croiser avec les offres d'emploi.

Source ✳ Glassdoor, juin 2026 (données déclaratives) · lien

Repère indicatif, jamais une promesse. Les fourchettes varient selon la région, l’expérience et la source ; nous n’affichons que des chiffres dont la source est visible.

L’idée reçue

« L'auditeur, c'est le pentester qui casse tout. » En réalité, une large part des audits sont organisationnels ou de configuration : on lit, on interroge, on compare à un référentiel, on documente. Le test d'intrusion n'est qu'une des formes de l'audit, et pas la plus fréquente.