C'est en dernière année d'école d'ingénieur que je décidais de faire mon stage de 6 mois dans une société de sécurité informatique. Je n'avais à cette époque là qu'un seul objectif en tête : devenir pentester (réaliser des tests d'intrusion).

Étudiant, je trouvais ce job gratifiant, et j'avais l'impression qu'il conférait pas mal de pouvoirs. C'était selon moi un job sexy pour geek curieux à la recherche du frisson. Faire semblant de jouer au méchant et se la péter devant le client en disant que le niveau de sécurité de son système d'informations est pitoyable. Que demande le peuple ? (Niark Niark).

Après avoir fait du tri entre les différentes sociétés qui proposaient de faire du pentest, j'envoyais mon CV et ma superbe lettre de motivation. Je n'eus qu'une seule réponse en tout et pour tout sur une trentaine de mails. Je venais de me rendre compte que faire du pentest pour un jeune sorti d'école, c'était à cette époque là galère ...

Aussi je décidais de renvoyer mon CV une deuxième fois à quelques jours d'intervalle. Et là, JACKPOT ...

Après 2 semaines actives de recherche, j'arrivai enfin à décrocher un stage de 6 mois dans une société de sécurité informatique composée d'environ 120 personnes. J'intégrai le pôle conseil avec la chance à cette époque de faire du pentest à temps plein dans un groupe de 4/5 personnes dédié à cette activité.

J'étais très content et les premiers mois de mon stage me permirent de :

  • me perfectionner techniquement auprès de consultants confirmés,
  • connaître les étapes nécessaires à la bonne réussite d'un test d'intrusion,
  • comprendre que pas loin de 40% de mon temps, j'allais le passer sous Word à rédiger du rapport à gogo ...

Autre aspect inévitable du métier (que je redoutais beaucoup au départ) : le contact avec le client. Difficile en tant que geek de se mettre en costard pour aller discuter de sécurité avec des gens hauts placés (RSSI, DSI et décideurs de grand groupe). Encadré par un très bon maître de stage, mes peurs se sont vite dissipées.

Tout s'est donc très bien passé pendant mon stage, hormis quelques petits plantages chez certains clients ici ou là! Cela fait parti du métier! Aussi lorsque on est venu me proposer un CDI, j'ai signé assez rapidement même si le salaire n'était pas mirobolant à l'époque. (J'ai su plus tard qu'il était dans la norme). L'ambiance conviviale me plaisait ainsi que les blagues pourries et vaseuses de mes collègues.

Le début de mon CDI fut dans la lignée de mon stage. Pentests chez de grands comptes enchaînés assez rapidement. La période de rush de Septembre à Décembre tenait ses promesses...

J'ai donc pu rapidement découvrir pas mal de technologies différentes sur lesquelles j'avais peu de connaissances en sortant de l'école. Techniquement parlant c'était le pied, je me plaisais vraiment malgré les gros coups de stress / fatigues.

La boite fonctionnait dans une bonne ambiance, relativement familiale. Les choses n'étaient pas encore très carrées. Je dois dire avec le recul que les rapports que nous rédigions laissaient à désirer (même s'ils étaient dans la norme de ce qui se faisait à l'époque).

Des changements eurent lieux dans l'équipe au bout de 10 mois. Deux managers prirent la poudre d'escampette, ainsi que 2 consultants (Côté fonctionnel). Mon manager direct de cette époque décidait donc de partir (disons ça pour le politiquement correct).

Tout le monde s'en réjouissait, à part apporter une sale réputation à la société, poster des articles bourrés de fautes sur des sites de merde et se faire mousser ... Il ne nous apportait pas grand chose à part son phénoménal carnet d'adresses ...

Comme manager, il était nul, en 7/8 mois de travail il n'avait du prendre de mes nouvelles qu'une fois pour me proposer une mission de merde.

Pour palier à ces départs, le directeur du pôle conseil a donc rapidement nommé 2 nouveaux managers, dont un collègue avec qui je bossais depuis le début. C'était vraiment mérité. Techniquement au top, super professionnel, super réglo, un peu froid aux premiers abords mais très sympa avec la blague pourrie en toute situation! Le second manager n'était autre que mon maître de stage qui est une crème!

Grâce à eux, le pôle s'est stabilisé, pendant pas mal de temps les départs ne se sont pas enchaînés au rythme effréné d'une SSII classique (Ouaiche Xav si tu me lis). L'activité s'est également accrue, l'équipe s'est agrandie avec de jeunes pentesters boutonneux! (Je vais me faire frapper là).

De 5 nous sommes passés à 12 pentesters à plein temps. On devait pas être loin d'être la plus grosse équipe de pentest en France je pense. Pas de boulet! Des gens avec un bon niveau technique, faisant consciencieusement leur boulot dans la bonne humeur! (Ça aide quand on est geek et qu'on a le même âge).

Avec notre manager direct, les choses sont devenus de plus en plus carrées, mais aussi de plus en plus difficiles avec l'industrialisation des pentests.

Le contenu des rapports s'est nettement amélioré, le nombre de missions a aussi pas mal augmenté. Le nombre de jours vendus quant à lui n'a pas changé .. Hélas, pour gagner une mission il faut ne pas être bien cher ...

Faire plus de qualité dans le même temps imparti est donc difficile. Le pentester doit prendre sur lui. C'était assez rigolo de voir les jeunes padawans déprimés en se prenant des retours de relecture dans la tête!

En contrepartie, les gens sérieux pouvaient espérer une bonne augmentation de salaire. Logique. "Tu fais du bon taff, tu es bien payé et tu progresses bien!". C'était pas sans compter sur le rachat de notre société et sur la crise...

...

Voilà déjà 1 an que nous nous sommes fait racheter par un grand groupe anglais. Bien entendu un peu comme dans tous les rachats nous l'avons appris par la presse. Ce rachat n'annonçait rien de bon et toutes nos prévisions se confirmèrent rapidement. Le but de ce rachat était de faire main mise sur la partie intégration sécurité de notre société.

La période de transition qui est sur le point de s'achever dura un an et s'est déroulée de manière catastrophique.

La lecture du mail d'accueil de notre nouveau PDG nous laissait déjà présager le pire. Du "performons ensemble" à tous les coins de phrase, des gros coups de pied au cul des managers pour qu'ils fassent bouger les chiffres déplorables du "Q4". Pas même une pensée pour le personnel.

Les mails de la direction qui suivirent ne furent pas beaucoup mieux ; des discours de marketeux, de gens hauts placés qui ne comprennent rien à leur société s'ils n'ont pas un tableau de rentabilité sous les yeux. Et ce qui devait arriver arriva donc... la crise aussi en prétexte.

Niveau boulot c'est assez facile à résumer :

  • Des objectifs inatteignables pour nos commerciaux,
  • Des décisions globales et irrévocables prisent par le N+42,
  • Une non compréhension totale de notre activité et de notre métier.
  • L'abandon de notre activité (volontaire ou pas).

Niveau social que du bonheur !

  • Gel total des embauches : ça le fait pas de voir des stagiaires formés partir à la concurrence ...
  • Gel des salaires : il faut payer les retraites des anglais!
  • Pas d'intéressement, pas de participation non plus tant qu'à faire.
  • Des remboursements de frais réduits : tu prends ton Etap hotel et tu fais pas chier. (Heureusement que notre super CDP est là!)
  • Pas de plan social, c'est plus facile de faire démissionner un consultant que de lui payer 1 ou 2 mois d'indemnité et qu'il touche son chômage.

Frustrant de voir tous ses acquis sociaux partir en fumée quand on bosse dur et qu'on a l'impression d'être une des seules parties rentables de la société. De nombreuses questions viennent donc nous titiller les neurones : Se défoncer pour qui, pour quoi? Pour des guignols en haut qui se foutent de nous en envoyant des mails grotesques ?

Difficile aussi de ne pas créer des tensions au sein de notre groupe de pentesters. Ne pas augmenter correctement les pentesters juniors est souvent synonyme de départ. Le métier est contraignant, et un des seuls avantages et de voir son salaire progresser rapidement.

En général, sur Paris, un junior commence entre 33KE et 37KE. Au bout de 2 ans, il atteint une fourchette entre 37KE et 42KE. De 3 ans à 4 ans d'expérience, il passe confirmé et gagne entre 42KE et 47KE.

Au bout de 5 ans avec le grade de senior on peut espérer gagner entre 47KE et 52KE. Bien entendu, on ne peut rester pentester dans le sens noble et technique du terme qu'à un niveau confirmé. Le senior passera 50% de son boulot à faire de la gestion de projet ou à faire le boulot du manager.

Donc malgré ces gels, en pleine crise, notre groupe de pentester a temporairement tenu le choc, beaucoup de gens ont voulu se barrer (moi y compris) mais il n'y a eu aucun passage à l'acte.

Je pense que notre petit groupe de 10 pentesters a tenu ces quelques mois :

  • Grâce à la bonne humeur de chacun,
  • Grâce à notre manager direct (ex ancienne boîte) qui n'a passé son temps qu'à rédiger des propales (proposition commerciales) et gagner des appels d'offre.
  • Grâce à notre ancien directeur qui a pris sur lui les remarques à la con des N+42.

Mais le temps passe, petit à petit ce bouclier s'est fissuré. La semaine dernière nous avons appris la démission de ces 2 collègues :

  • Marre de faire de la propale à gogo (c'est dur quand on vient de la technique pure),
  • Marre d'avoir des dirigeants à la con.
  • Des projets perso ailleurs dans la sécurité (ou pas).

Autant dire que notre groupe de pentest est maintenant à l'agonie et va sûrement imploser. J'ai donc l'impression qu'une belle histoire se finit là et qu'il va falloir tourner la page relativement rapidement. On va attendre de voir ce qui est susceptible de changer, mais nous sommes déjà tous à l'écoute du marché.