Pourquoi former ses équipes à la cybersécurité ?
Parce que la technologie seule ne suffit pas. Un pare-feu bien configuré n'empêche pas un collaborateur de saisir son mot de passe sur une fausse page de connexion, ni un administrateur de laisser un service exposé par méconnaissance. Une grande partie des incidents de sécurité implique, à un moment ou à un autre, une erreur humaine, un manque de vigilance ou une compétence manquante. Former ses équipes, c'est réduire cette surface d'attaque humaine et rendre les outils déjà achetés réellement efficaces.
Au Maroc, trois autres facteurs pèsent. D'abord, la loi 05-20 relative à la cybersécurité et les référentiels de la DGSSI, dont la DNSSI, imposent aux entités concernées (administrations, établissements publics, infrastructures d'importance vitale, certains opérateurs) des mesures de sécurité qui supposent des compétences internes ; et ces exigences se répercutent souvent sur leurs prestataires. Ensuite, les clients, notamment européens pour les entreprises d'offshoring et de services, demandent de plus en plus de garanties : politiques de sécurité, personnel formé, parfois une certification ISO 27001. Enfin, de nombreux appels d'offres valorisent ou exigent des profils certifiés dans l'équipe projet.
Comment évaluer les besoins de formation selon les rôles ?
La première erreur consiste à envoyer tout le monde suivre la même formation. Les besoins diffèrent fortement selon le poste. Partez d'une cartographie simple : qui fait quoi dans votre système d'information, quels risques sont prioritaires, et quelles compétences manquent aujourd'hui. Un audit, un incident récent ou une exigence client donnent souvent un bon point de départ.
- Équipe informatique (système, réseau, support) : durcissement, gestion des correctifs et des accès, sécurité réseau, détection des premiers signaux d'incident.
- SOC et analystes sécurité : analyse d'alertes, chasse aux menaces, gestion des vulnérabilités, réponse aux incidents.
- Développeurs : développement sécurisé, principales vulnérabilités web (injections, authentification, contrôle d'accès), revue de code et tests de sécurité.
- Management, RSSI et conformité : gouvernance, analyse de risques, politique de sécurité, conformité à la loi 05-20 et à l'ISO 27001, gestion de crise.
- Ensemble du personnel : sensibilisation à l'hameçonnage, aux mots de passe, à l'ingénierie sociale, à la protection des données et aux réflexes à adopter en cas d'incident.
Quelles certifications choisir pour chaque profil ?
Les certifications reconnues ont un double intérêt : elles structurent l'apprentissage autour d'un référentiel éprouvé et elles constituent une preuve opposable auprès des clients, des auditeurs et des acheteurs publics. Voici les correspondances les plus courantes, avec nos tarifs publics (voucher d'examen inclus).
- Administrateurs système et réseau : CND v3 d'EC-Council (5 jours, à partir de 15 900 MAD), centrée sur la défense du réseau, ou CompTIA Security+ pour un socle généraliste.
- Analystes SOC : CompTIA CySA+ (5 jours, à partir de 12 900 MAD), orientée détection, analyse et réponse aux incidents.
- Équipes offensives, auditeurs techniques et profils qui doivent comprendre l'attaquant : CEH v13 (5 jours, à partir de 21 900 MAD).
- RSSI, responsables conformité et chefs de projet SMSI : ISO 27001 Lead Implementer (5 jours, à partir de 17 900 MAD), pour mettre en place un système de management de la sécurité.
- Managers sécurité confirmés : CISM d'ISACA (4 jours, à partir de 19 900 MAD), axée gouvernance, risques et pilotage d'un programme de sécurité.
- Développeurs et personnel non technique : formations ciblées (développement sécurisé, sensibilisation) plutôt qu'une certification lourde.
Formation intra ou inter-entreprise : quel format choisir ?
En inter-entreprise, vos collaborateurs rejoignent une session publique avec des participants d'autres organisations. C'est le format adapté pour une ou deux personnes, avec l'avantage d'échanger avec des pairs d'autres secteurs. Le calendrier est en revanche fixé à l'avance.
En intra-entreprise, la session est réservée à vos équipes, dans vos locaux ou en classe virtuelle. Elle devient intéressante à partir d'un petit groupe : le calendrier s'adapte à vos contraintes, les exemples peuvent porter sur votre contexte et les échanges sont plus libres, car on peut parler de son propre système d'information. Pour des sujets sensibles, c'est souvent le format privilégié.
- 1 à 2 participants : inter-entreprise.
- Groupe de plusieurs personnes sur la même certification : intra-entreprise ou inscription groupée à une session inter.
- Équipes réparties sur plusieurs villes du Maroc : classe virtuelle.
- Sensibilisation de tout le personnel : sessions courtes et répétées en interne, plutôt qu'un événement ponctuel.
Quel budget prévoir et comment mesurer le retour sur investissement ?
Le budget dépend du nombre de collaborateurs, des certifications visées et du format. Raisonnez en coût complet : formation, examen, temps passé hors production, éventuelles cotisations de maintien des certifications et révisions. Une approche progressive, qui priorise les rôles les plus exposés, permet d'étaler l'effort sur plusieurs exercices.
Le retour sur investissement d'une formation en sécurité se mesure rarement en dirhams de manière précise, car on cherche surtout à éviter des incidents. Des indicateurs qualitatifs et opérationnels restent toutefois parlants :
- Taux de clic lors des campagnes de simulation d'hameçonnage, avant et après sensibilisation.
- Délai de détection et de traitement des incidents par l'équipe informatique ou le SOC.
- Nombre de non-conformités relevées lors des audits internes ou externes.
- Capacité à répondre aux questionnaires de sécurité des clients et aux exigences des appels d'offres.
- Moindre dépendance envers des prestataires pour des tâches courantes, et fidélisation des talents formés.
Quels dispositifs de financement existent au Maroc ?
Les entreprises marocaines assujetties à la taxe de formation professionnelle peuvent, sous conditions, bénéficier d'un remboursement partiel de certaines actions de formation dans le cadre des contrats spéciaux de formation (CSF), gérés avec l'OFPPT. Les règles d'éligibilité, les plafonds et les démarches (notamment les délais de dépôt des dossiers et la planification préalable des actions) évoluent : renseignez-vous directement auprès des organismes compétents ou de votre fédération professionnelle avant d'engager la dépense, et intégrez ce point dès la conception de votre plan de formation.
Au-delà des dispositifs publics, pensez aux leviers internes : budget formation annuel, tarifs de groupe, regroupement de plusieurs services sur une même session et étalement des certifications sur l'année.
Comment construire un plan de formation annuel en cybersécurité ?
Un plan annuel évite les formations décidées dans l'urgence après un incident. Il relie chaque action à un risque ou à une exigence identifiée et facilite les démarches de financement.
- Diagnostic : cartographier les rôles, les risques prioritaires et les écarts de compétences (audit, incidents, exigences clients, loi 05-20).
- Priorisation : commencer par les fonctions les plus exposées ou les plus critiques pour la conformité.
- Calendrier : répartir les certifications sur l'année en tenant compte des périodes de forte activité, et réserver tôt les sessions.
- Sensibilisation continue : prévoir des rappels réguliers pour l'ensemble du personnel plutôt qu'une session unique.
- Suivi : définir les indicateurs dès le départ et faire un bilan en fin d'année pour ajuster le plan suivant.
Former vos équipes avec GATech
GATech accompagne les entreprises marocaines avec des formations certifiantes qui incluent le voucher d'examen officiel, en inter-entreprise à Casablanca ou à Rabat, en classe virtuelle, ou en intra-entreprise dans vos locaux partout au Maroc. Pour vos plans de formation, le tarif groupe offre 15 % de remise dès 3 participants d'une même entreprise inscrits à la même session, et l'inscription anticipée 10 % de remise pour tout règlement au moins 4 semaines avant le début de la session. Les remises ne se cumulent pas.
Pour les collaborateurs qui financent eux-mêmes leur parcours, le paiement en 3 fois sans frais et la remise de 15 % pour les étudiants et jeunes diplômés restent disponibles. Contactez-nous pour établir un devis aligné sur votre plan de formation annuel.
Questions fréquentes
Quelles équipes former en priorité à la cybersécurité ?
Commencez par les fonctions les plus exposées ou les plus critiques : l'équipe informatique qui administre les systèmes, le SOC s'il existe, et les responsables de la conformité. Prévoyez en parallèle une sensibilisation de l'ensemble du personnel, car l'hameçonnage vise tout le monde.
La loi 05-20 oblige-t-elle les entreprises à former leur personnel ?
La loi 05-20 et les référentiels de la DGSSI imposent des mesures de sécurité aux entités concernées (administrations, établissements publics, infrastructures d'importance vitale, certains opérateurs). Ces mesures supposent des compétences et une sensibilisation du personnel. Vérifiez précisément les obligations applicables à votre organisation et à vos clients.
À partir de combien de participants une formation intra-entreprise est-elle intéressante ?
Dès un petit groupe de collaborateurs visant la même certification, l'intra-entreprise devient pertinente : calendrier adapté, exemples tirés de votre contexte et échanges confidentiels. Pour une ou deux personnes, une session inter-entreprise reste généralement plus simple.
Une formation cybersécurité peut-elle être financée via les CSF de l'OFPPT ?
Les entreprises assujetties à la taxe de formation professionnelle peuvent, sous conditions, prétendre à un remboursement partiel de certaines actions via les contrats spéciaux de formation. L'éligibilité et les démarches dépendent des règles en vigueur : renseignez-vous auprès des organismes compétents avant d'engager la formation.
Quelle certification pour un RSSI ou un responsable conformité ?
ISO 27001 Lead Implementer (à partir de 17 900 MAD) convient pour piloter la mise en place d'un SMSI. Pour un manager sécurité expérimenté, le CISM (à partir de 19 900 MAD) couvre la gouvernance, les risques et la gestion d'un programme de sécurité.
Équipe pédagogique GATech
Formateurs et consultants en cybersécurité qui préparent aux certifications CEH, OSCP+, CISSP, CompTIA et ISO 27001 au Maroc.
Publié le
