Day in the Life of a Cybersecurity Analyst

Tu t'imagines peut-être une journée remplie d'écrans noirs, de code vert et de pirates démasqués en direct. La réalité d'un analyste cybersécurité niveau intermédiaire est plus terne, plus morcelée, et beaucoup plus humaine. Voici ce qui se passe vraiment entre 8 h et 18 h.

Le lever de rideau : les alertes de la nuit#

La première heure est calme en apparence. Tu ouvres ta file d'alertes, celle qui a tourné pendant que tu dormais. Le SIEM a généré des dizaines de bruits et quelques vrais signaux.

Tu ne traites pas tout dans l'ordre. Tu triages d'abord par gravité et par exposition réelle de l'actif concerné. Un scan de ports sur un serveur de test, c'est un ticket bas. Un processus inconnu sur une machine du service comptabilité, c'est autre chose.

Cette phase demande de la méthode, pas du talent. Tu vérifies les logs de la machine, tu regardes le hash du fichier, tu consultes la base de renseignement sur les menaces à laquelle ta boîte est abonnée. Vingt minutes par alerte sérieuse, c'est un bon rythme.

Le creux du matin : le travail de fond#

Entre 9 h 30 et 11 h 30, tu touches à du travail qui demande de la concentration. C'est là que tu écris une règle de corrélation, que tu peaufines un playbook d'automatisation, ou que tu documentes un incident passé pour que la prochaine équipe ne perde pas deux heures à chercher la même chose.

Cette plage horaire disparaît vite quand l'équipe est sous-effectif. Un départ mal remplacé, une montée en charge, et tu te retrouves à éteindre des incendies toute la journée. Les projets de fond glissent alors de semaine en semaine. C'est le premier vrai déclic pour beaucoup de juniors : le travail stratégique ne se fait pas par magie, il se protège.

Les réunions : la part invisible du métier#

On sous-estime toujours le temps passé en réunion. Comptez facilement deux à trois heures par jour pour un analyste confirmé. Revue des incidents en cours avec le RSSI, point hebdomadaire avec l'équipe infrastructure, parfois une réunion avec un fournisseur qui a subi un incident de son côté.

Ces échanges ne sont pas du remplissage. C'est là que tu défends une décision, que tu expliques pourquoi un patch doit être prioritaire, ou que tu apprends qu'un projet IT va déployer une nouvelle application sans te prévenir. Un bon analyste sait parler à un directeur sans jargon et revenir dans le détail technique avec ses pairs.

Exemple concret : reformuler pour être compris

Disons que tu dois expliquer à un directeur pourquoi un serveur doit être isolé du réseau. Voici ce que tu pourrais dire :

"Ce serveur présente un comportement inhabituel depuis trois heures, avec des connexions sortantes vers une adresse IP signalée comme malveillante par notre fournisseur de renseignement. Je propose de l'isoler maintenant, ce qui coupera l'accès à un outil utilisé par une quinzaine de personnes pendant une heure, mais qui évitera une propagation possible vers la comptabilité. Si vous préférez attendre, je maintiens une surveillance renforcée et je reviens vers vous dans trente minutes."

C'est clair, c'est court, et ça laisse une décision au responsable.

Les outils que tu utilises vraiment#

Pas besoin d'une liste de vingt logiciels. Dans la pratique quotidienne, tu passes l'essentiel de ton temps dans cinq ou six outils, et le reste est du bricolage ponctuel.

• Un SIEM pour la recherche et la corrélation d'alertes, souvent Splunk, Elastic ou Microsoft Sentinel.
• Un EDR pour l'analyse des postes compromis, du type CrowdStrike, Defender ou SentinelOne.
• Un gestionnaire de tickets comme Jira ou ServiceNow, où tout incident doit être tracé.
• Un outil de renseignement sur les menaces pour vérifier les IOCs.
• Un tableur ou un dashboard maison, parce qu'on finit toujours par devoir extraire des chiffres à la main.
• Parfois un environnement de sandbox pour analyser un fichier suspect sans risquer ta machine.

Ce qui surprend, c'est le temps passé à chercher l'information plutôt qu'à la traiter. Entre deux systèmes qui ne se parlent pas, une donnée qui manque, ou un log qui n'a pas été activé, tu perds vite une heure.

Les points de pression réels#

Le stress ne vient pas des films d'action. Il vient de l'incertitude et du temps. Un incident en cours, une horloge qui tourne, et une décision à prendre avec des informations incomplètes. C'est ça, la vraie pression.

Il y a aussi la pression hiérarchique. Quand un directeur demande pourquoi un outil a été coupé pendant une heure, il faut assumer la réponse. Et la fatigue des astreintes, quand tu es réveillé à 2 h du matin pour un faux positif qui aurait pu attendre le matin.

Un point rarement évoqué : la charge émotionnelle de répéter les mêmes conseils. Dire pour la dixième fois de ne pas cliquer sur un lien douteux use plus qu'on ne croit.

Ce qui surprend les nouveaux arrivants#

Trois choses reviennent souvent. D'abord, la quantité de documentation. Tu écris autant que tu analyses, parce qu'un incident non documenté est un incident qui recommence.

Ensuite, la part de réunion et de coordination. On recrute pour des compétences techniques, on te demande ensuite de passer un tiers de ton temps à parler aux gens.

Enfin, la lenteur apparente des décisions. Un correctif évident peut attendre des semaines parce qu'un service métier refuse la coupure. Tu apprends à prioriser les risques, pas à tous les éliminer.

Junior contre senior : ce qui change vraiment#

Au début, tu traites des alertes qu'on te donne. Tu apprends les procédures, tu montes en compétence sur les outils, et tu demandes de l'aide souvent. C'est normal, c'est même attendu.

Au niveau intermédiaire, tu commences à orienter le triage, à améliorer les règles de détection, et à former les nouveaux. Tu sais quand escalader et quand garder la main.

Un analyste senior passe moins de temps sur les alertes et plus de temps sur l'architecture, la stratégie de détection, la relation avec la direction, et la gestion de crise. Le rapport technique et humain s'inverse. On attend de lui qu'il anticipe, pas qu'il réagisse.

Une journée type, heure par heure#

Voici une journée plausible, sans enjolivement :

• 8 h 00 : café, revue des alertes de la nuit, priorisation.
• 9 h 00 : traitement d'une alerte sérieuse sur un poste de la comptabilité, collecte de logs.
• 10 h 30 : travail de fond, écriture d'une règle de corrélation dans le SIEM.
• 11 h 30 : réunion hebdomadaire avec l'équipe infrastructure.
• 12 h 30 : pause déjeuner, souvent devant un article sur une vulnérabilité du moment.
• 13 h 30 : analyse d'un fichier suspect dans une sandbox, rédaction du rapport.
• 15 h 00 : appel avec un fournisseur concernant un incident de son côté.
• 16 h 00 : mise à jour d'un playbook d'automatisation, tests.
• 17 h 00 : revue des tickets ouverts, préparation de la passation pour l'astreinte.

Rien de spectaculaire. Mais c'est exactement ça, le métier.

La checklist du quotidien#

Si tu veux savoir si ce métier te correspond, vérifie ces points sur ta propre personnalité :

• Tu supportes de passer une heure sur un problème sans résultat immédiat.
• Tu acceptes de documenter ton travail même quand c'est répétitif.
• Tu sais expliquer un problème technique à quelqu'un qui n'y connaît rien.
• Tu gères l'incertitude sans paniquer ni faire l'autruche.
• Tu tiens le coup quand une décision t'échappe et que le risque reste ouvert.
• Tu continues à apprendre hors des heures de travail, parce que les menaces évoluent vite.

Si tu coches moins de quatre cases, creuse avant de te lancer. Le métier recrute, mais il use aussi vite ceux qui l'idéalisent.

Pour approfondir la préparation d'entretien dans ce domaine, nos autres guides sur le blog détaillent les attentes des recruteurs. Tu peux aussi consulter les offres actuelles pour analyste cybersécurité afin de voir les intitulés réellement utilisés par les entreprises.

Outils gratuits#

• jobrise.io/fr/free-ats-checker/
• jobrise.io/fr/free-jd-decoder/
• jobrise.io/fr/jobs/
• jobrise.io/fr/blog/

Questions fréquentes#

Quel est le salaire d'un analyste cybersécurité niveau intermédiaire en France ?

Les fourchettes rapportées tournent généralement entre 40 000 et 55 000 euros brut annuels, mais cela varie fortement selon la région, le secteur, et la taille de l'entreprise. Vérifie toujours les chiffres à jour sur les sources officielles et les offres récentes avant de négocier.

Faut-il des certifications pour évoluer dans ce métier ?

Des certifications comme CompTIA Security+, CySA+, ou des spécialisations éditeur aident à passer les filtres RH, surtout au début. Au-delà, ce sont l'expérience terrain et ta capacité à documenter et expliquer qui font la différence.

Combien de temps passe-t-on réellement en réunion ?

Comptez deux à trois heures par jour pour un profil confirmé, moins pour un junior qui reste plus sur la technique. C'est une part du métier souvent sous-estimée lors des candidatures.

Le télétravail est-il fréquent pour ce rôle ?

Beaucoup d'entreprises proposent un ou deux jours de télétravail par semaine, mais l'astreinte et les incidents critiques ramènent souvent l'équipe sur site. Les pratiques varient beaucoup selon les employeurs, demandez-le explicitement en entretien.

Peut-on passer de junior à senior en quelques années ?

Oui, si vous enchaînez les expériences techniques variées et que vous prenez de la responsabilité sur la documentation, la formation, et la relation avec les autres équipes. La progression est rarement automatique, elle se construit en acceptant des sujets qui dépassent le simple traitement d'alertes.