Cet entretien s’inscrit dans la série Global Cyber Leadership du média panafricain Cybercory Cybersecurity Magazine, qui interroge chaque mois un dirigeant de la région sur un enjeu structurant de la cybersécurité.
Sur près de vingt questions, Hervé Bah, Managing Partner de CIBEROBS CONSULTING, revient sur un sujet dont notre secteur parle beaucoup mais qu’il formule rarement correctement : la question du capital humain sur le continent. L’exercice se lit moins comme une revue d’expertise que comme une prise de position, argumentée à partir de treize années passées entre cabinets de conseil, entreprises et accompagnement de jeunes professionnels.
Nous republions ci‑dessous l’intégralité de la version française transmise à la rédaction. La version originale en anglais reste consultable sur cybercory.com.
Entretien réalisé par la rédaction de Cybercory Cybersecurity Magazine. Publication originale le 20 août 2026.
Cybercory : Pouvez-vous vous présenter à nos lecteurs et partager votre parcours professionnel, votre rôle actuel ainsi que votre implication dans le domaine de la cybersécurité et du développement des talents numériques ?
Hervé Bah : Je dirige Ciberobs Consulting, un cabinet de conseil en cybersécurité basé à Abidjan, qui intervient en Afrique de l’Ouest et en Afrique centrale. À l’origine, je suis ingénieur en génie logiciel. Je n’ai finalement pas fait carrière dans le développement, mais cette formation continue de façonner ma manière d’aborder les problèmes : comprendre le système avant de vouloir le sécuriser.
J’ai commencé en audit et en conseil chez PwC. J’ai ensuite rejoint la Société Générale, puis Orange Côte d’Ivoire, avant de revenir au conseil chez Deloitte Côte d’Ivoire, où j’ai dirigé les activités Technology, Data et Cyber Risks Advisory. Ce passage de part et d’autre de la table m’a beaucoup appris. Vu de l’audit, certaines décisions peuvent sembler incohérentes. Lorsqu’on travaille dans l’entreprise, on comprend qu’elles résultent souvent d’arbitrages entre le risque, le budget, les opérations et le temps disponible.
Aujourd’hui, je vois surtout la cybersécurité comme une discipline de gestion du risque. Il faut comprendre ce qui peut empêcher l’organisation d’atteindre ses objectifs, mesurer les conséquences possibles, puis décider où concentrer des moyens qui seront toujours limités. La technologie et les référentiels sont essentiels, mais ils restent au service de cette décision.
Pour autant, la technique reste indispensable. On évalue mal un risque que l’on ne comprend pas. Mon socle d’ingénieur me sert encore chaque jour, même si je n’écris plus de code depuis longtemps. Ce métier demande surtout du jugement. Or le jugement se construit au contact de situations réelles, avec quelqu’un qui relit votre travail, vous corrige et vous explique ce que vous n’avez pas vu.
C’est pour cela que nous avons créé CyberForge. Nous accueillons de jeunes profils, nous les faisons travailler sur des cas réels dans un cadre sécurisé et nous les accompagnons de près. Pour nous, ce programme fait partie du métier. Dans notre marché, un cabinet qui veut grandir durablement doit participer lui-même à la formation de ses futurs talents.
Cybercory : Comment décririez-vous aujourd’hui l’état du capital humain en cybersécurité sur le continent africain ?
Hervé Bah : Je ne dirais pas que l’Afrique manque de compétences. Nous avons une jeunesse nombreuse, connectée, souvent autodidacte, ainsi que des communautés techniques très actives. Il y a un vrai vivier.
En revanche, notre pyramide est déséquilibrée. Nous avons beaucoup de juniors, peu de profils intermédiaires réellement autonomes et encore moins de seniors capables d’arbitrer, de structurer une fonction et de transmettre. Lorsque le haut de la pyramide est trop étroit, la progression de toute la génération suivante ralentit. C’est cela qui m’inquiète le plus.
Les compétences sont aussi concentrées dans quelques grandes villes, et nous disposons de peu de données fiables pour les mesurer. Combien de professionnels exercent aujourd’hui dans les huit pays de l’UEMOA ? Dans quels métiers et avec quel niveau d’expérience ? Nous n’avons pas de réponse suffisamment solide. Nous parlons donc souvent de la pénurie africaine à partir de statistiques produites pour d’autres marchés.
Cybercory : Pourquoi la pénurie de professionnels qualifiés est-elle devenue un enjeu stratégique pour les entreprises, les gouvernements et les institutions africaines ?
Hervé Bah : Parce que le risque cyber est désormais un risque d’entreprise à part entière, au même titre que le risque de crédit ou le risque opérationnel. Une organisation ne peut pas piloter sérieusement un risque qu’elle ne sait ni comprendre ni évaluer.
Notre exposition a beaucoup augmenté. La numérisation des services financiers, de l’administration et des infrastructures critiques a élargi la surface d’attaque beaucoup plus vite que notre capacité à la protéger. Le paiement mobile est une réussite africaine majeure, mais cette réussite en a aussi fait une cible de premier plan. Les exigences réglementaires ont également progressé, qu’il s’agisse de gouvernance de la sécurité, de protection des données personnelles ou de continuité d’activité. C’est nécessaire, mais chaque nouvelle obligation crée un besoin de compétences que le marché du travail peine encore à satisfaire.
Enfin, il y a un enjeu de souveraineté. Lorsqu’une organisation ne possède aucune compétence en interne, elle ne délègue pas seulement une prestation : elle délègue la compréhension de son propre risque. Pour une entreprise, c’est déjà préoccupant. Pour un État, cela devient stratégique.
Cybercory : Quels sont les principaux facteurs qui expliquent ce déficit de talents : manque de formations spécialisées, faible sensibilisation, fuite des compétences, manque d’opportunités professionnelles ou autres facteurs ?
Hervé Bah : Ils jouent tous un rôle, mais je ne placerais pas le manque de formations en tête. Le marché absorbe très mal les débutants. Les entreprises recherchent des profils expérimentés et ouvrent très peu de postes juniors. Il n’est pas rare de voir trois à cinq années d’expérience exigées pour une fonction d’entrée. Nous avons donc des candidats motivés, parfois bien formés, mais trop peu d’endroits où ils peuvent acquérir une véritable expérience. C’est là que la chaîne se casse.
Nous avons aussi du mal à évaluer les compétences. Faute de référentiel commun, le recrutement repose beaucoup sur les diplômes et les certifications. Ce sont des signaux utiles, mais ils ne disent pas tout. Plusieurs des meilleurs profils que nous avons recrutés ces dernières années n’étaient pas les plus impressionnants sur le papier. Beaucoup de formations restent trop éloignées de la pratique. Les jeunes connaissent les concepts sans avoir eu l’occasion de travailler sur un système de production, avec ses contraintes, ses exceptions et ses compromis.
La fuite des compétences existe, sous deux formes. Il y a la migration classique vers l’Europe, l’Amérique du Nord ou le Golfe. Il y a aussi ce que j’appelle l’exportation sans expatriation : des ingénieurs qui vivent toujours à Abidjan, Dakar ou Douala, mais travaillent à distance pour des employeurs étrangers à des niveaux de rémunération difficiles à suivre localement. Le talent reste physiquement en Afrique, mais il ne contribue plus vraiment à l’économie locale.
Il faut enfin parler du budget. Beaucoup d’organisations investissent dans des licences et des équipements, mais ne prévoient presque rien pour former, encadrer et faire progresser les équipes qui doivent les utiliser. Créer de nouvelles formations peut être utile, mais cela ne suffira pas. Tant que nous ne financerons pas le premier emploi, l’encadrement et la progression vers des niveaux intermédiaires, nous continuerons à former des candidats sans résoudre la pénurie.
Cybercory : Existe-t-il aujourd’hui un décalage entre les compétences enseignées dans les universités et centres de formation africains et les besoins réels du marché de la cybersécurité ?
Hervé Bah : Oui, ce décalage existe, mais il ne porte pas d’abord sur les connaissances théoriques.
Les programmes couvrent généralement les fondamentaux : réseaux, systèmes, cryptographie, sécurité des applications et premiers référentiels. Un jeune diplômé ivoirien ou sénégalais peut avoir une base tout à fait sérieuse.
Ce qui lui manque souvent, c’est l’exposition à un système d’information réel. En production, il faut composer avec la dette technique, les exceptions accumulées, les contraintes budgétaires et les arbitrages internes. L’étudiant apprend la règle, mais rarement la manière dont elle se négocie et s’applique dans une organisation. Les jeunes doivent aussi apprendre à restituer leur travail. Il ne suffit pas d’identifier une vulnérabilité. Il faut expliquer le risque de manière à permettre à une direction de décider. Je rencontre de jeunes professionnels capables de démontrer une faille avec beaucoup de maîtrise, mais qui peinent à en présenter les conséquences à un comité de direction. Savoir écrire et expliquer clairement fait pleinement partie du métier. Les écoles ont aussi un problème de rythme : un programme prend du temps à être conçu et validé, alors que les technologies et les architectures évoluent en continu.
Je ne fais donc pas le procès de l’université. Elle apporte les bases et la structure de pensée. L’expérience, elle, ne peut se construire qu’au contact du terrain. CyberForge sert précisément à faire ce lien : les jeunes travaillent sur des situations réelles, sous la supervision de professionnels qui relisent, corrigent et expliquent. La priorité n’est pas seulement de réformer les programmes. Il faut mieux organiser le relais entre l’école et l’entreprise, parce que c’est dans ce passage que se perd aujourd’hui une grande partie du potentiel.
Cybercory : Quelles compétences techniques et non techniques les futurs professionnels africains de la cybersécurité doivent-ils développer pour répondre aux nouvelles menaces ?
Hervé Bah : Je conseille d’abord de construire un socle solide avant de se spécialiser : systèmes et réseaux, administration, annuaires, identités et accès, bases du cloud, un peu de scripting, lecture des journaux, notions de développement sécurisé et connaissance des principaux référentiels. Ce socle donne de la crédibilité à l’analyse du risque. Quelqu’un qui n’a jamais observé le fonctionnement du système qu’il évalue risque de produire une cotation très propre, mais peu utile. J’ai vu de jeunes professionnels parfaitement à l’aise avec une matrice de criticité et beaucoup moins lorsqu’il fallait comprendre ce qui se passait réellement sur un serveur.
Les métiers sont très différents : sécurité offensive, détection, architecture, cryptographie, gouvernance. Pourtant, ils poursuivent le même objectif à des niveaux différents : réduire l’incertitude de l’organisation sur ce qui peut lui arriver. Aucun de ces métiers n’est supérieur aux autres, et aucun ne devrait travailler isolément. Il faut donc que ces profils sachent se parler. Le professionnel qui vient de la gouvernance doit entretenir une culture technique, sinon il finit par produire des documents déconnectés du réel. Celui qui vient de la technique doit apprendre le langage du risque et de l’entreprise, sinon ses constats resteront sans suite. J’ai déjà vu d’excellents rapports de test d’intrusion dormir pendant des mois simplement parce que personne ne les avait traduits en décisions.
Parmi les compétences non techniques, j’insiste beaucoup sur l’écriture. Un rapport confus peut annuler la valeur d’un excellent travail. Il faut aussi savoir relier une faiblesse technique à un impact métier, reconnaître ce que l’on ne sait pas et le documenter, puis tenir une ligne éthique claire. Nous avons accès à des informations sensibles et cette confiance ne supporte pas l’à-peu-près.
Dans la région, on apprend aussi à travailler avec des outils et des budgets limités. Cette contrainte oblige à comprendre l’essentiel, à prioriser et à improviser avec méthode. Lorsqu’on donne ensuite davantage de moyens à ces professionnels, cette expérience devient un véritable avantage.
Cybercory : Comment les universités, les entreprises technologiques et les gouvernements peuvent-ils mieux collaborer afin de créer des programmes de formation adaptés aux réalités du marché ?
Hervé Bah : Nous signons beaucoup de conventions de partenariat, mais trop peu d’entre elles changent réellement le parcours d’un étudiant. La collaboration doit se traduire par des personnes qui circulent, du temps consacré et des financements identifiés.
Des praticiens devraient pouvoir enseigner des modules réellement intégrés aux cursus. À l’inverse, des enseignants pourraient participer ponctuellement à des missions ou à des projets appliqués. Pour que cela fonctionne, il faut rémunérer les premiers et libérer du temps aux seconds. Il faut également passer du stage d’observation à des formats d’alternance plus longs, crédités et encadrés, avec de vrais objectifs et des livrables. Un stage pendant lequel le jeune reste à côté de l’activité ne forme personne.
À mon avis, la mesure la plus utile serait de financer le premier emploi. Si la puissance publique prenait en charge une partie du coût de la première année d’un junior en cybersécurité, elle interviendrait exactement au point où la chaîne se bloque. Ce serait probablement plus efficace et moins coûteux que de multiplier les programmes sans débouchés. Il faudrait aussi travailler sur un référentiel régional de compétences, partagé par les écoles et les recruteurs, et mutualiser les plateaux techniques. Un environnement régional d’entraînement bien équipé serait plus utile que plusieurs laboratoires sous-utilisés.
Pour que cela fonctionne, chacun doit prendre sa part : l’université sur les fondamentaux, l’entreprise sur l’expérience réelle et l’État sur les conditions qui rendent la première embauche possible.
Cybercory : Les certifications internationales jouent-elles un rôle important dans le développement des talents africains ? Quelles certifications ou parcours recommanderiez-vous ?
Hervé Bah : Je préfère raisonner en parcours plutôt que dresser une liste de certifications. Les recommandations dépendent beaucoup du point de départ, du métier visé et du marché dans lequel la personne veut travailler.
Les certifications ont néanmoins une vraie utilité. Dans un environnement où les compétences sont encore difficiles à comparer, elles servent de repère aux recruteurs, aux clients et parfois aux régulateurs. Elles montrent qu’une personne a fourni un effort et qu’elle maîtrise un vocabulaire commun. Elles ne prouvent pas, à elles seules, qu’elle sait exercer le métier. Pour un débutant, je recommande de consolider d’abord les réseaux et les systèmes, puis de suivre une certification généraliste en sécurité. La spécialisation vient ensuite : offensive avec un parcours qui oblige à pratiquer, défensive avec un accent sur l’analyse et la détection, ou cloud sur une plateforme réellement utilisée par les employeurs de son marché. Les certifications de gouvernance, de management et d’audit prennent davantage de sens après quelques années d’expérience. Cela ne veut pas dire qu’un jeune ne peut pas commencer dans ces métiers. Cela signifie simplement qu’il faut avoir observé des situations réelles avant de prétendre piloter la sécurité d’une organisation. Une certification donne une méthode ; l’expérience permet de savoir quand et comment l’appliquer.
Le coût est aussi un critère important pour un étudiant de la sous-région. À budget limité, je conseille de choisir une certification qui impose un vrai travail pratique et produit une preuve visible de compétence, plutôt que d’accumuler des titres.
Cybercory : Comment pouvons-nous encourager davantage de jeunes Africains, notamment les femmes et les profils issus de secteurs non techniques, à rejoindre les métiers de la cybersécurité ?
Hervé Bah : Je suis engagé comme « He for She ». Sur ce sujet, je crois surtout aux mesures concrètes. Mon propre parcours montre déjà qu’il n’existe pas une seule porte d’entrée.
Je suis ingénieur en génie logiciel, mais je n’ai jamais été développeur. Je suis passé assez tôt vers l’audit, le risque et la gouvernance. Pourtant, notre manière de présenter la cybersécurité renvoie encore souvent l’image d’un métier jeune, masculin, très technique et disponible en permanence. Une juriste spécialisée en protection des données, un auditeur interne, un qualiticien ou un gestionnaire de risques peut ne pas s’y reconnaître, alors que son expérience est directement utile.
Les femmes sont déjà présentes dans le droit, l’audit, la qualité, la donnée et de plus en plus dans les écoles d’ingénieurs. Mais une partie d’entre elles se perd entre le diplôme et le premier poste. Le problème n’est donc pas seulement d’éveiller des vocations ; il faut regarder la manière dont nous sélectionnons et accueillons les candidates. Le problème, c’est que certains biais passent facilement inaperçus. Une annonce peut décrire un profil si étroit que beaucoup de candidates ne se projettent pas. Un entretien technique peut récompenser surtout la rapidité de réponse et l’assurance affichée, alors que le métier exige souvent de la prudence. Et les conditions d’exercice, comme les astreintes, les déplacements ou les réunions tardives, sont rarement questionnées alors qu’elles peuvent écarter silencieusement certains profils.
Chez nous, environ une candidature sur huit vient d’une femme. C’est déjà significatif, mais cela veut aussi dire que, même avec une sélection parfaitement équitable, le déséquilibre resterait important. L’action doit donc commencer avant le recrutement. Il faut aller présenter ces métiers dans les écoles, travailler avec les associations étudiantes et consacrer du temps à identifier les profils qui ne se porteront pas spontanément candidats. Je me méfie aussi d’un compliment qui finit par enfermer : l’idée selon laquelle les femmes apporteraient surtout de l’écoute, de la rigueur ou de la communication. C’est souvent une manière involontaire de les orienter vers la sensibilisation et la gouvernance. Elles doivent avoir le même accès au test d’intrusion, à la réponse à incident ou à l’architecture. Le sujet n’est pas de dévaloriser la gouvernance, qui est mon propre métier, mais de laisser à chacune la possibilité de choisir. Concrètement, on peut rédiger les postes en compétences plutôt qu’en accumulation de diplômes et d’années d’expérience, utiliser une grille d’entretien comparable pour tous, demander des listes de candidatures réellement mixtes et rendre visibles des parcours féminins dans tous les métiers de la cybersécurité.
Les hommes du secteur ont aussi une responsabilité très concrète. Nous pouvons refuser une liste de candidats qui ne comporte aucune femme, proposer des consoeurs lorsqu’on nous sollicite pour un panel et veiller à ce que la personne qui a fait le travail puisse le présenter. C’est ainsi que je comprends mon engagement HeForShe. Je suis père de deux garçons et je considère aussi que mon rôle est de leur montrer, par les actes, ce qui devrait être normal.
Il faut également mieux faire connaître la diversité réelle de la cybersécurité. Ce métier demande de la technique, bien sûr, mais aussi du droit, de l’analyse, de la gestion du risque, de la pédagogie et une bonne compréhension des organisations.
Cybercory : De nombreuses organisations africaines rencontrent des difficultés à recruter et retenir des experts cybersécurité. Quelles stratégies peuvent-elles adopter ?
Hervé Bah : La première chose est de renoncer au profil idéal. Je vois des organisations chercher pendant un an un expert introuvable, alors qu’elles auraient pu faire progresser, dans le même temps, deux profils prometteurs. Nous refusons souvent de former, puis nous nous étonnons de ne pas trouver de candidats expérimentés. Il faut aussi regarder à l’intérieur de l’entreprise. La reconversion fonctionne bien parce que personne n’arrive réellement de zéro. Un développeur peut évoluer vers la sécurité applicative, un administrateur système vers le durcissement ou la détection, un auditeur ou un juriste vers la conformité, un responsable d’exploitation vers la continuité d’activité. Chacun apporte déjà une expérience utile.
Nous raisonnons encore presque exclusivement en formation initiale, comme si les talents ne pouvaient venir que des écoles. Pourtant, nos entreprises comptent des ingénieurs réseau, des développeurs, des auditeurs internes et des chefs de projet qui connaissent déjà l’organisation, ses outils et ses contraintes. Ce sont souvent les personnes que l’on peut rendre opérationnelles le plus rapidement.
La reconversion permet aussi de renforcer plus vite le milieu de la pyramide. La formation initiale est indispensable, mais il faudra plusieurs années avant que les juniors deviennent autonomes. Un administrateur système expérimenté peut, avec un parcours bien encadré, prendre en charge une fonction de sécurité en dix-huit mois. La compétence existe déjà ; il faut l’orienter et la compléter.
Pour fidéliser, il faut ensuite comprendre les raisons des départs. D’après mon expérience, la rémunération n’arrive pas toujours en premier. L’ennui, l’absence de perspectives et le sentiment que les alertes ne sont jamais suivies pèsent beaucoup. Un expert qui documente un risque majeur et voit son travail ignoré pendant deux ans finira par partir, même s’il est correctement payé. Je l’ai moi-même compris trop tard dans une situation où la solution ne demandait pourtant pas beaucoup de moyens. Il faut également créer une vraie filière d’évolution technique, parallèle à la filière managériale. Aujourd’hui, un excellent technicien doit souvent devenir manager pour progresser, donc s’éloigner progressivement de ce qu’il aime et de ce qu’il fait le mieux. C’est ainsi que nous perdons une partie de nos meilleurs praticiens.
Le positionnement dans l’organisation compte aussi. Un responsable de la sécurité placé trop bas n’a ni l’information ni le mandat nécessaires, et il s’en rend vite compte. Le reste ne se résume pas au salaire : temps de veille protégé, budget de formation réellement utilisé, missions stimulantes, possibilité de publier et de participer à la communauté professionnelle.
Cybercory : Comment l’Afrique peut-elle créer un environnement capable de retenir ses meilleurs profils ?
Hervé Bah : Je parlerais moins de rétention que de circulation des talents.
La mobilité est devenue irréversible, et elle peut aussi être bénéfique. Un ingénieur ivoirien qui passe plusieurs années dans un centre opérationnel européen acquiert une expérience difficile à construire localement. Le problème commence lorsque le lien se coupe définitivement. Nous considérons trop souvent la diaspora comme une perte, alors qu’elle peut devenir une ressource de transmission. Un expert installé à Montréal peut très bien encadrer des juniors à Abidjan sans avoir besoin de rentrer immédiatement.
Il faut en parallèle créer ici des raisons professionnelles de rester ou de revenir. Le salaire compte, mais il n’explique pas tout. La qualité des sujets, l’encadrement, l’accès à des environnements techniques sérieux et l’existence d’une communauté pèsent énormément. Un marché qui ne propose que de la conformité documentaire finira par perdre ses meilleurs techniciens, même s’il améliore les rémunérations.
L’exportation sans expatriation est plus difficile à traiter. Des professionnels restent sur le continent tout en travaillant à distance pour des entreprises étrangères. Nous ne gagnerons pas uniquement sur le taux horaire. Les employeurs locaux doivent offrir autre chose : du sens, une progression visible, de la responsabilité et la possibilité de peser réellement sur les décisions.
L’État peut enfin agir par la commande publique. Des marchés exigeants confiés à des acteurs locaux qualifiés créent des missions à forte valeur ajoutée, font grandir les équipes et donnent aux professionnels de bonnes raisons de poursuivre leur carrière sur le continent.
Cybercory : Les petites et moyennes entreprises africaines disposent souvent de ressources limitées. Comment peuvent-elles développer leurs capacités internes en cybersécurité ?
Hervé Bah : Une PME n’a pas nécessairement besoin d’un responsable de la sécurité à temps plein. En revanche, elle doit conserver la responsabilité du risque. Décider d’accepter une exposition, de la réduire ou de la transférer relève du dirigeant ; ce choix ne peut pas être entièrement délégué à un prestataire.
Concrètement, l’entreprise peut désigner un référent interne, même à temps partiel, avec un mandat clair, un budget de formation et un accès direct à la direction. Tant qu’aucun nom n’est associé au sujet, la sécurité finit par n’être la responsabilité de personne. C’est aussi un bon point d’entrée pour faire progresser un profil junior. Il vaut ensuite mieux tenir durablement quelques mesures essentielles que d’afficher un programme trop ambitieux : authentification multifacteur, sauvegardes testées et conservées hors ligne, mise à jour des systèmes exposés, gestion rigoureuse des comptes et des départs, cloisonnement réseau, sensibilisation régulière et procédure simple de réponse à incident. La difficulté n’est pas de connaître ces mesures ; c’est de les maintenir dans le temps.
Les compétences rares peuvent être externalisées : audit, test d’intrusion, veille, réponse à incident ou responsable de la sécurité à temps partagé. Un contrat pluriannuel bien cadré avec un prestataire qualifié peut coûter nettement moins cher qu’un recrutement senior tout en donnant accès aux bonnes expertises au bon moment. Les PME peuvent aussi mutualiser certains services par filière. Les associations professionnelles, les groupements sectoriels et les chambres consulaires peuvent porter des dispositifs partagés, y compris des capacités de détection. Elles devraient également mieux utiliser les mécanismes publics de financement de la formation professionnelle, qui existent dans plusieurs pays de la sous-région mais restent peu mobilisés pour la cybersécurité.
Cybercory : Avec l’essor de l’intelligence artificielle, du cloud, de l’IoT et des nouvelles architectures, quelles seront les compétences cybersécurité les plus recherchées ?
Hervé Bah : Je me méfie toujours un peu des exercices de prospective parce qu’ils vieillissent vite. Mais certaines tendances sont déjà suffisamment visibles.
La sécurité des identités et des accès arrive en tête, parce que l’identité devient progressivement le véritable périmètre de défense. La sécurité du cloud suivra, avec une demande forte pour des professionnels capables de sécuriser concrètement une plateforme, et pas seulement d’en connaître les principes. L’ingénierie de détection va également prendre de l’importance : savoir écrire, tester et maintenir ses propres règles de détection, plutôt que se contenter de traiter les alertes générées par les outils. Cette compétence reste encore rare dans notre région.
Il faudra aussi des spécialistes de la sécurité des données et de l’intelligence artificielle, capables d’évaluer les modèles, les risques de fuite et les fournisseurs. La sécurité de la chaîne d’approvisionnement logicielle sera essentielle dans une région très dépendante de solutions tierces. Enfin, les environnements industriels et les objets connectés vont créer des besoins importants dans l’énergie, les mines, les télécommunications et les infrastructures portuaires.
J’ajouterais le renseignement sur les menaces adapté aux réalités africaines. Nous consommons encore beaucoup d’analyses produites pour d’autres contextes. Les fraudes et les modes opératoires qui touchent nos écosystèmes de paiement mobile ont leurs particularités. Si nous ne documentons pas nous-mêmes ces menaces, personne ne le fera à notre place. Nous allons de plus en plus devoir sécuriser des systèmes que nous n’administrons pas directement. Avec le cloud, les services externalisés et les chaînes de fournisseurs, cette situation va devenir la norme.
Cybercory : L’intelligence artificielle peut-elle contribuer à réduire la pénurie de talents, ou risque-t-elle au contraire d’augmenter la complexité des besoins ?
Hervé Bah : L’intelligence artificielle fera les deux : elle réduira une partie de la charge de travail, tout en rendant certaines compétences plus importantes et en créant de nouveaux risques. Elle est déjà très efficace sur des tâches comme le tri et l’enrichissement des alertes, la corrélation, la revue de configuration, la première analyse, la rédaction de comptes rendus ou la veille. Nous constatons nous mêmes des gains de productivité réels sur ces usages.
En revanche, elle ne remplace pas l’arbitrage, la compréhension du contexte métier, la décision en situation d’incertitude ou la responsabilité devant un conseil d’administration. Une machine peut suggérer une conclusion ; elle ne peut pas en répondre. Dans la gestion du risque, cette responsabilité humaine reste centrale. Le point qui m’inquiète concerne les postes d’entrée. Les premières tâches automatisées sont souvent celles sur lesquelles les juniors apprenaient le métier : trier des alertes, documenter un incident, effectuer une première revue. Si nous supprimons toutes ces étapes au nom de l’efficacité, nous risquons de casser le parcours qui permettait à un débutant de développer son intuition. Dans quelques années, nous chercherons des seniors qui n’auront jamais eu l’occasion de se former sur le terrain.
Les organisations devraient donc conserver volontairement une part de ces tâches pour des juniors encadrés, même lorsque l’IA pourrait les exécuter plus vite. Le temps consacré à la relecture et à la correction doit être considéré comme un investissement de formation. C’est un choix moins optimal à court terme, mais indispensable pour préparer la relève.
L’IA crée en même temps sa propre demande de sécurité. L’adoption rapide d’assistants et d’agents dans les entreprises ouvre de nouveaux risques : fuite de données, usages non maîtrisés, dépendance aux fournisseurs, manipulation des modèles. Elle peut alléger la charge, mais elle ne dispense personne de comprendre ce qu’il sécurise.
Cybercory : Comment les professionnels africains peuvent-ils se préparer aux nouveaux métiers comme analyste SOC, ingénieur cloud security, spécialiste threat intelligence, expert GRC ou architecte Zero Trust ?
Hervé Bah : Je leur conseille d’abord de choisir une trajectoire et de s’y tenir pendant au moins douze mois. La dispersion est l’une des principales difficultés des parcours autodidactes. On passe d’un outil à une certification, puis à une autre spécialité, sans aller assez loin pour devenir réellement compétent.
Le socle reste commun : systèmes, réseaux, identités et capacité à automatiser certaines tâches. Ensuite, chaque métier demande un approfondissement. L’analyste SOC doit maîtriser les journaux, une plateforme de corrélation et les principaux référentiels de tactiques d’attaque. L’ingénieur en sécurité du cloud doit connaître une plateforme en profondeur, la gestion de l’infrastructure par le code et la sécurité des identités. Le spécialiste du renseignement sur les menaces a besoin de langues, de méthode analytique et d’une connaissance fine de l’écosystème criminel régional. L’expert GRC doit maîtriser les référentiels, la réglementation locale et la rédaction. Quant à l’architecte, il devrait avoir exploité des systèmes avant de prétendre les concevoir.
Il faut aussi pratiquer et rendre ce travail visible : laboratoire personnel, exercices, comptes rendus techniques, contributions à des projets ouverts. Dans un marché qui mesure encore mal les compétences, un portefeuille de travaux concrets est souvent plus parlant qu’une ligne supplémentaire sur un curriculum vitae. Enfin, il faut chercher un environnement où quelqu’un prendra le temps de corriger votre travail. Les outils d’IA peuvent aider à apprendre, mais ils ne remplacent pas encore le regard d’un professionnel expérimenté qui connaît le contexte et vous dit précisément où votre raisonnement a dévié.
Cybercory : Quelle vision stratégique recommanderiez-vous aux décideurs africains pour construire une véritable industrie locale de la cybersécurité ?
Hervé Bah : Nous avons beaucoup parlé de cybersécurité et beaucoup investi dans la sensibilisation. Ce travail reste utile, mais il faut maintenant créer les conditions pour produire durablement des compétences, des services et des entreprises locales.
Avant de décider, il faut savoir de quelles compétences nous disposons réellement. Nous avons besoin d’un recensement fiable, par pays, par métier et par niveau d’expérience, actualisé régulièrement. Sans cette base, nous continuerons à bâtir des politiques publiques à partir de statistiques importées.
Le financement du premier emploi est, selon moi, une priorité. Une prise en charge partielle de la première année d’un junior permettrait de débloquer le point le plus fragile du parcours. Je financerais aussi davantage les reconversions, car un professionnel de trente-cinq ans qui rejoint la cybersécurité avec dix années d’expérience dans un métier voisin peut répondre rapidement à un besoin réel. La commande publique peut également faire une vraie différence. En exigeant des prestataires qualifiés, en valorisant les équipes locales et en prévoyant des obligations de transfert de compétences, l’État peut créer un marché suffisamment exigeant pour faire grandir une industrie. Les acteurs locaux ont besoin de vraies missions, pas seulement de subventions.
Et tout cela doit se penser à l’échelle régionale, car la plupart de nos marchés nationaux sont trop petits pour atteindre seuls une taille critique. Des référentiels communs, des mécanismes de qualification reconnus entre pays et des infrastructures partagées permettraient de créer un véritable espace professionnel. Je pense notamment à des environnements régionaux d’entraînement, à des équipes sectorielles de réponse aux incidents et au partage de données d’incidents anonymisées.
Nous devons aussi arrêter d’enchaîner des projets pilotes qui disparaissent avec leur financement. Sur les compétences, la continuité compte davantage que l’effet d’annonce. C’est un chantier de long terme : les décisions prises aujourd’hui produiront leurs résultats les plus visibles autour de 2035, bien au-delà des échéances politiques habituelles.
Cybercory : Quels rôles doivent jouer les gouvernements, le secteur privé, les organisations internationales et les communautés cybersécurité ?
Hervé Bah : Les rôles ne sont pas les mêmes, et aucun de ces acteurs ne peut régler le problème seul.
Les gouvernements peuvent fixer les règles, financer l’amorçage, utiliser la commande publique et organiser la collecte des données d’incidents. Leur rôle n’est pas nécessairement de former eux-mêmes, mais de rendre l’investissement dans la formation viable pour les écoles, les entreprises et les professionnels.
Les entreprises, elles, détiennent ce qui ne peut pas être reproduit dans une salle de cours : l’expérience réelle. Elles doivent ouvrir davantage de postes juniors et consacrer du temps à l’encadrement. Cela représente un coût, mais ce coût doit être assumé comme un investissement collectif dans la filière.
Les organisations internationales peuvent financer les premières années et faciliter l’harmonisation entre États. Leur contribution sera plus utile si elle soutient des dispositifs durables plutôt qu’une succession d’événements ponctuels.
Les communautés techniques font déjà beaucoup pour la transmission entre pairs, l’entraide et la visibilité des parcours. Elles constituent souvent le premier lieu d’apprentissage pratique pour les jeunes, tout en restant insuffisamment reconnues et soutenues.
Nous manquons surtout de coordination. Les mêmes publics sont parfois sollicités par plusieurs initiatives qui ne se parlent pas, et un même participant peut être comptabilisé dans différents rapports d’impact. Je ne propose pas de créer une structure supplémentaire. Une cartographie régionale annuelle des programmes existants, portée par une institution déjà en place, permettrait déjà d’identifier les doublons et les zones insuffisamment couvertes.
Cybercory : Si vous aviez un message à adresser aux jeunes Africains qui souhaitent commencer une carrière en cybersécurité, quel conseil leur donneriez-vous ?
Hervé Bah : Commencez.
N’attendez pas de vous sentir parfaitement prêt, parce que ce moment n’arrive jamais vraiment. La confiance vient en pratiquant.
Apprenez aussi à écrire. J’ai insisté sur ce point tout au long de cet entretien parce qu’il fait une différence considérable. Savoir expliquer clairement un problème complexe accélère une carrière bien plus qu’on ne l’imagine au début.
Pendant les premières années, privilégiez l’encadrement. Une équipe qui relit votre travail et vous corrige peut avoir plus de valeur qu’une rémunération immédiatement plus élevée dans un environnement où vous serez laissé seul. Le salaire peut se rattraper ; les années sans apprentissage beaucoup moins.
Ne confondez pas la maîtrise d’un outil avec la compétence. Les outils changent vite, alors que la méthode, la capacité d’analyse et la compréhension du risque restent. Gardez aussi en tête que l’organisation a d’autres priorités que la sécurité. Comprendre ces contraintes permet de mieux défendre ses recommandations.
Soyez exigeants sur l’éthique dès le premier jour. Nous travaillons avec des informations sensibles, dans un marché où les réputations circulent vite. Une carrière se construit lentement et peut être abîmée par une seule mauvaise décision.
Enfin, acceptez que la progression prenne du temps, mais travaillez avec régularité. Dans ce métier, la constance finit presque toujours par compter davantage que le talent brut.
Cybercory : Comment imaginez-vous l’avenir des talents cybersécurité en Afrique à l’horizon 2030 ? L’Afrique peut-elle devenir un acteur mondial majeur ?
Hervé Bah : 2030 est beaucoup plus proche qu’on ne le croit : nous y serons dans moins de quatre ans.
La plupart des professionnels qui seront nos seniors en 2030 travaillent déjà aujourd’hui. Une personne qui commence sa formation cette année n’aura pas encore dix ans d’expérience à cette échéance. Cela signifie qu’une grande partie de la situation de 2030 est déjà déterminée. Les politiques que nous lançons maintenant prépareront surtout 2035.
On peut tout de même agir rapidement sur quelques sujets. La reconversion peut rendre opérationnel en dix-huit mois un professionnel qui possède déjà une expérience utile. La diaspora peut encadrer des équipes à distance dès maintenant. La commande publique peut, dès le prochain budget, créer des missions qui font progresser les acteurs locaux. Pour le reste, il faut accepter de travailler sur une décennie.
Oui, l’Afrique peut devenir un acteur important, mais je ne pense pas que ce sera uniquement par le volume. Notre meilleure chance réside dans quelques domaines où nous avons déjà une expérience particulière. Le paiement mobile et les services financiers numériques sont probablement notre domaine le plus évident. Le continent est en avance sur ces usages et fait face, en conséquence, à des formes de fraude que d’autres marchés rencontrent plus tard. Cette exposition a déjà fait naître une expertise que nous pourrions mieux structurer et exporter.
Nous savons également sécuriser des environnements contraints. Nos équipes protègent des systèmes avec des budgets limités, des outils incomplets et peu de ressources humaines. Cette capacité intéresse bien au-delà de l’Afrique, mais nous la présentons rarement comme une expertise à part entière.
Notre démographie est un autre atout. L’Afrique peut devenir une source importante de professionnels de la cybersécurité pour le marché mondial, à condition d’organiser leur formation, leur progression et leur contribution aux économies locales. Là encore, les résultats les plus solides se verront davantage autour de 2035.
D’ici 2030, je pense que nous pouvons raisonnablement voir émerger quelques pôles régionaux mieux structurés, une industrie locale de services crédible et une expertise africaine reconnue sur le paiement mobile. La génération de seniors formés sur le continent arrivera ensuite. Les talents existent déjà ; la vraie question est de savoir si nous sommes prêts à investir avec une échéance plus longue que le mandat de ceux qui prennent aujourd’hui les décisions.
