Analyste SOC ou pentesteur : quel métier de la cybersécurité choisir ?

Imagine que tu as fait tes premiers pas en réseau et en Linux, et que deux intitulés reviennent dans toutes les offres : analyste SOC et pentesteur. L'un défend, l'autre attaque, et les deux se disent « cyber ». Pourtant, le quotidien, le rythme et la porte d'entrée n'ont presque rien en commun.

Ici, on compare les deux métiers. Pour le parcours de départ, lis d'abord par où commencer une reconversion en cybersécurité, et pour les titres et leur financement, notre comparatif des formations en cybersécurité.

Quelle différence entre analyste SOC et pentesteur ?

L'analyste SOC travaille dans un centre opérationnel de sécurité (SOC, pour security operations center) : il repère les activités suspectes dans un outil de collecte des journaux (SIEM), juge leur gravité et rédige un rapport d'incident. Le pentesteur mène des tests d'intrusion autorisés pour trouver les failles d'un système avant un attaquant, puis restitue un plan d'action au client.

Métier	Mission principale	Cadre de travail	Livrable	Certification dédiée	Prérequis d'entrée en formation
Analyste SOC	Détecter, qualifier et rapporter les incidents	SOC interne ou prestataire, surveillance continue	Rapport d'incident, veille partagée	RS6806 « Analyser les incidents de sécurité informatique », active jusqu'au 01/10/2027	1 an d'expérience minimum comme technicien ou administrateur système et réseau
Pentesteur	Conduire des tests d'intrusion légalement autorisés	Missions pour des clients, sur site ou à distance	Rapport de vulnérabilités avec plan d'action	RS7394 « Réaliser des tests d'intrusion », active jusqu'au 27/11/2028	Bases en réseau, Linux ou Windows, virtualisation

Le titre RNCP42503 « Spécialiste en cybersécurité » (niveau 6, bac+3, actif jusqu'au 26/06/2029) couvre les deux : un bloc de tests d'intrusion, un bloc de détection d'événements, et il cite analyste SOC et pentester parmi les emplois visés.

Sur quels critères comparer les deux métiers ?

Cinq critères départagent vraiment analyste SOC et pentesteur pour une reconversion : la nature du travail, le rythme, la relation au client, le niveau technique attendu à l'entrée et le cadre légal. Le salaire n'en fait pas partie ici, faute de chiffre officiel que nous ayons pu consulter : aucune page publique d'une source officielle, ouverte pour cet article, ne publie de rémunération propre à chacun.

• La nature du travail : réagir à ce qui arrive (SOC) ou provoquer volontairement l'attaque (pentest). Ton tempérament compte plus que ton diplôme.
• Le rythme : un SOC surveille en continu, ce qui implique souvent, selon l'employeur, des horaires décalés ou des astreintes. Le pentest avance par missions, avec un début, une fin et un rapport.
• La relation au client : le pentesteur intervient « sur site ou à distance » pour le compte de clients, selon la fiche RNCP42503, et défend ses conclusions à l'oral.
• Le niveau d'entrée : la page de formation pentesting de M2I demande d'être déjà « spécialiste en sécurité informatique, systèmes, réseaux et infrastructure globale ».
• Le cadre légal : le test d'intrusion n'est légal qu'avec l'accord du client, sinon c'est un délit.

Pour qui est fait le métier d'analyste SOC ?

Le métier d'analyste SOC convient aux profils méthodiques qui aiment trier, prioriser et documenter, et qui supportent bien la répétition et une organisation en équipes. Il demande de passer du temps devant une console de SIEM, de distinguer le vrai incident du faux positif et d'écrire des rapports clairs, conformes à la politique de réponse aux incidents de l'entreprise.

Il te convient si tu viens d'un poste de technicien, de support ou d'administration réseau : la certification RS6806 exige justement un an d'expérience sur ce type de poste.

Il te convient moins si les horaires décalés, souvent demandés en SOC, sont incompatibles avec ta vie de famille, ou si tu as besoin de voir un projet aboutir : un incident clos laisse vite place au suivant.

Pour qui est fait le métier de pentesteur ?

Le métier de pentesteur convient aux profils curieux qui aiment comprendre comment un système casse, mais surtout l'expliquer : l'évaluation de la certification RS7394 comprend une étude de cas de 4 heures puis une soutenance devant un jury. Le livrable final est un rapport structuré, avec les vulnérabilités trouvées et les mesures de sécurité recommandées au client.

Il te convient si tu as déjà administré des systèmes et des réseaux, si l'écrit et l'oral ne te font pas peur, et si tu acceptes le rythme des missions chez des clients différents.

Il te convient moins si tu pars de zéro : on n'attaque bien que ce qu'on sait défendre. Pour beaucoup de reconversions, le pentest est une deuxième étape, après un premier poste en SOC ou en administration.

Que dit la loi sur les tests d'intrusion ?

Le Code pénal punit l'accès ou le maintien frauduleux dans un système informatique de 3 ans d'emprisonnement et 100 000 € d'amende, et de 5 ans et 150 000 € en cas de modification de données, selon l'article 323-1 sur Légifrance. Un pentesteur travaille donc toujours avec l'accord écrit et le périmètre défini par son client.

La fiche RS7394 inscrit d'ailleurs l'obtention du consentement dans la première compétence évaluée. Côté SOC, le cadre est celui de l'employeur : tu analyses les journaux d'un système que tu as le droit de surveiller.

Questions fréquentes

Peut-on devenir pentesteur directement en reconversion ?

C'est possible, rarement le plus court. Les formations au test d'intrusion supposent des bases solides en réseau, systèmes et virtualisation, et certaines visent des personnes déjà spécialistes de la sécurité. Si tu pars de zéro, construis d'abord ce socle, puis un premier poste technique, avant de te spécialiser.

Peut-on passer du SOC au pentest plus tard ?

Oui, et c'est un parcours logique : en SOC, tu apprends comment les attaques se manifestent dans les journaux, ce qui aide ensuite à les reproduire. Le titre RNCP42503 regroupe d'ailleurs détection et tests d'intrusion dans une même certification, validable bloc par bloc.

Lequel des deux métiers paie le mieux ?

Nous ne donnons pas de chiffre comparatif, faute d'une source officielle accessible qui publie un salaire pour chacun. La fiche métier analyste cybersécurité donne les repères sourcés disponibles pour les débuts en SOC.

Le Cnam propose-t-il une formation adaptée ?

Le certificat de compétence Analyste en cybersécurité du Cnam se suit à distance et à la carte, après un bac+2 en informatique (ou scientifique, avec une expérience en informatique). Sa page ne publie ni tarif ni numéro RNCP ou RS.

Faut-il un contrat en alternance pour se lancer ?

Ce n'est pas obligatoire, mais le titre RNCP42503 est accessible en contrat de professionnalisation, ouvert aux demandeurs d'emploi de 26 ans et plus, avec 15 à 25 % de formation sur la durée d'un CDD, selon Service-Public. L'entreprise d'accueil t'apporte alors l'expérience que demandent les certifications.