Splunk Engineer
Verdict CRISTAL-10 v14.0 : Pivot
Chiffres clés 2026
Source : France Travail / DARES BMO 2026 / INSEE TIC 2025. Données pack mises à jour 15 mars 2026.
Le métier de splunk engineer consiste à déployer, configurer et maintenir la plateforme Splunk pour la cybersécurité et l'observabilité des systèmes d’information. En France, la profession connaît une tension de marché haute, liée à la pénurie de profils certifiés.
Le code ROME A1307 (Administration de systèmes d’information) est le code canonique pour ce métier. La rémunération varie sensiblement selon l’expérience, le niveau de certification et la localisation géographique. L’évolution du marché est portée par la croissance des outils SIEM et les besoins en cybersécurité. Le score Cristal10 classe le métier en profil Pivot, indiquant une exposition modérée à l’automatisation.
Impact IA sur le métier
Automatisable par l’IA
- Agronomie
- Etablir un rapport d’étude ou de recherche
- Analyser des résultats de mesures
- Défendre un projet devant un comité de pilotage, des collaborateurs ou des partenaires
- Sylviculture
Reste humain
- Encadrer et coordonner une équipe
- Analyser l’état de santé d’un écosystème forestier
- Déplacements professionnels
- En extérieur
- Travail en journée
Impact de l’IA sur ce metier
Trois tâches sont partiellement automatisées en 2026 : la création de dashboards standardisés via des modèles d'IA, le tuning des alertes de sécurité par analyse comportementale, et la génération de rapports d’activité. Les outils d’IA permettent de modéliser les menaces de façon prédictive. Trois compétences restent fondamentalement humaines : l'investigation forensique approfondie des incidents, l'optimisation des performances des clusters Splunk et le conseil aux équipes métier sur les cas d’usage. La supervision des pipelines de machine learning exige un jugement expert. Les outils d’IA réellement déployés incluent des plateformes d’ingestion massive de logs et d’entraînement de modèles de détection, ainsi que des modèles de langage spécialisés en cybersécurité. Le verdict Pivot invite à se former aux méthodes d'IA appliquée pour rester compétitif.
Compétences clés
20 compétences ROME. Source : France Travail.
Carrière et formation
Formations RNCP
- RNCP36058 — Ingénieur diplômé de l’ISTOM (Niveau 7)
- RNCP36099 — Sciences de la vigne et du vin (fiche nationale) (Niveau 7)
- RNCP37565 — Sciences pour l’environnement (fiche nationale) (Niveau 7)
- RNCP37958 — Ingénieur diplômé de l’Ecole nationale supérieure d’agronomie et des i (Niveau 7)
Reconversion & CPF
- 4 paths de reconversion disponibles →
- Durée moyenne formation : 24 mois
- 15 formations CPF éligibles
- Top organismes : INST NAT ENSEIG SUP AGRIC ALIM ENVIRON, ECHOLOGIA AVENTURES, ASSOCIATION GROUPE ESA
- Financement CPF + Pôle Emploi possibles
Carriere et formation
La carrière d’un splunk engineer débute souvent par un poste de junior, où l’on apprend l’administration de base de Splunk (indexation, recherche, alertes). Après quelques années, le profil confirmé maîtrise les architectures distribuées, la création d’applications Splunk et l’intégration d’outils de sécurité. Au-delà de huit ans, deux voies s’offrent : une filière technique (architecte SIEM, expert Data) ou une filière management (responsable d’équipe SOC, manager de plateforme). Les certifications Splunk Architect et l’expérience en cloud (AWS, Azure) accélèrent la progression. Le marché français, en tension haute, offre une forte mobilité : les principales ESN, les éditeurs de logiciels spécialisés et les grands comptes (banques, télécoms) recrutent activement. L’évolution salariale est positive, portée par la demande en cybersécurité.
Salaire détaillé
Voir grille junior/médiane/senior + méthodologie
| Niveau | Médian estimé | P90 estimé | Base |
|---|---|---|---|
| Junior (0-2 ans) | 33 600 € | 38 640 € | 0.70 × médian |
| Médian (3-7 ans) | 48 000 € | 55 199 € | DARES+INSEE |
| Senior (8+ ans) | 60 000 € | 64 800 € | 1.25 × médian |
Méthodologie : Médian = données DARES/INSEE salaires bruts annuels 2024-2025 pour le code ROME associé. Junior/Senior = extrapolations ratios standards (0.70x / 1.25x). P90 = niveau atteint par 10 % des supérieurs de la catégorie. Pour précision par expérience/secteur/région : consulter Michael Page, Robert Half, Talent.com.
Tendances 2026-2030
Freins adoption IA (BPI France 2024) : 42% citent le manque de compétences, 38% citent les coûts.
Pourquoi envisager une reconversion
Avec un score Cristal10 de 73.4 % et un verdict Pivot, la reconversion est une option pertinente pour les splunk engineers souhaitant réduire leur exposition à l’automatisation partielle.
Les tâches de développement de dashboards et d'alerting sont de plus en plus assistées par l’IA, tandis que les compétences en architecture et en forensique restent clés. Se tourner vers des métiers où l'expertise humaine est prépondérante permet de sécuriser sa carrière à long terme.
5 metiers cibles pour se reconvertir
Quatre cibles de reconversion s’offrent au splunk engineer avec un effort de formation raisonnable. Le consultant en cybersécurité (ROME M1802) valorise l’expertise SIEM et SOC, avec un salaire médian de 60 000 EUR.
Le data engineer (ROME M1805) exploite les compétences en Python et pipelines de données, rémunéré entre 50 000 EUR et 70 000 EUR.
L'architecte cloud (ROME M1801) capitalise sur l’expérience AWS/Azure et Splunk Cloud, avec des packages de 65 000 EUR à 90 000 EUR.
Enfin, le responsable SOC (ROME M1802) combine management et technique, atteignant 80 000 EUR bruts annuels.
Les certifications CPF les plus pertinentes incluent les parcours Microsoft Azure Security Engineer et les formations Data Engineering sur Databricks.
Le RNCP35353 (évolution numérique) offre une passerelle généraliste pour valider les acquis.
Questions fréquentes & sources
Sources officielles
Metiers proches face a l IA
Analyse approfondie
Auditrice sécurité informatique : missions, salaires et perspectives en 2026
L’auditrice sécurité informatique évalue la résistance des systèmes face aux cyberattaques. Elle combine analyse technique, rédaction de rapports et conseil stratégique pour des organisations publiques et privées. En 2026, la pression réglementaire NIS2 et la multiplication des incidents font de ce métier une priorité absolue pour les DSI français.
Auditrice sécurité vs RSSI vs pentester vs analyste SOC
Ces quatre profils opèrent dans la cybersécurité mais avec des périmètres distincts. L’auditrice sécurité évalue des systèmes existants via des missions ponctuelles : elle produit un rapport d’écarts, des recommandations priorisées et un plan de remédiation. Le RSSI (Responsable Sécurité des Systèmes d’Information) pilote la politique de sécurité à temps plein au sein d’une organisation. Le pentester (testeur d’intrusion) se concentre sur l’exploitation offensive de vulnérabilités, souvent dans des délais courts. L’analyste SOC (Security Operations Center) surveille en continu les alertes et répond aux incidents en temps réel.
L’auditrice peut intervenir sur tous les domaines couverts par les autres profils, mais son angle est toujours celui de la conformité et de l’évaluation indépendante. Elle travaille fréquemment selon le référentiel PASSI ANSSI ou les normes ISO 27001 et ISO 27005.
| Profil | Posture | Durée mission | Livrable principal | Référentiel clé |
|---|---|---|---|---|
| Auditrice sécurité | Évaluation indépendante | 2 à 8 semaines | Rapport d’audit + plan de remédiation | PASSI ANSSI, ISO 27001 |
| RSSI | Management continu | CDI / long terme | Politique SMSI, tableaux de bord | ISO 27001, NIST CSF |
| Pentester | Offensive / exploitation | 1 à 3 semaines | Rapport de test d’intrusion | PTES, OWASP Testing Guide |
| Analyste SOC | Défensive / surveillance | Astreinte continue | Tickets incidents, rapports hebdo | MITRE ATT&CK, NIST |
La qualification PASSI ANSSI : le standard français de référence
La qualification PASSI (Prestataire d’Audit de la Sécurité des Systèmes d’Information) est délivrée par l’ANSSI. Elle certifie qu’un prestataire dispose des compétences, méthodes et moyens pour réaliser des audits dans un cadre de confiance. En 2026, environ 80 prestataires sont qualifiés PASSI en France.
La qualification couvre cinq domaines d’audit. Trois sont directement liés au travail terrain de l’auditrice.
L’audit organisationnel et physique examine les politiques de sécurité, les procédures internes, la gestion des accès et la sécurité des locaux. L’auditrice analyse les documents, mène des entretiens et compare les pratiques aux référentiels ISO 27001 et NIST CSF.
L’audit de code source consiste à relire les applications pour identifier des vulnérabilités logicielles : injections SQL, failles XSS, gestion défaillante des sessions. Les méthodologies OWASP Testing Guide et les listes OWASP Top 10 structurent l’analyse. Des outils comme Burp Suite Pro et des analyseurs statiques (SonarQube, Semgrep) complètent la revue manuelle.
L’audit de configuration vérifie le durcissement des systèmes : serveurs, équipements réseau, bases de données, hyperviseurs. L’auditrice compare les paramétrages aux benchmarks CIS (Center for Internet Security) et aux guides de l’ANSSI. Nmap, Nessus et Qualys sont les outils centraux de cette catégorie.
Méthodologies : OSSTMM, OWASP Testing Guide, PTES
Trois cadres méthodologiques structurent la pratique des audits de sécurité au niveau international.
L’OSSTMM (Open Source Security Testing Methodology Manual) fournit une approche scientifique des tests de sécurité. Il définit des métriques précises (RAV - Risk Assessment Values) et couvre six canaux : humain, physique, télécommunications, réseau de données, spectre électromagnétique et sans fil. L’OSSTMM est utilisé pour les audits les plus rigoureux nécessitant une mesure quantitative du niveau de sécurité.
L’OWASP Testing Guide (OTG) est la référence pour les audits d’applications web et mobiles. La version 4.2, publiée en 2020 et maintenue activement, liste 114 cas de test organisés en 11 catégories. Chaque cas de test documente l’objectif, les étapes de vérification et les outils recommandés. L’OWASP Top 10, mis à jour en 2021, reste la liste de vulnérabilités web la plus citée par les équipes de développement.
Le PTES (Penetration Testing Execution Standard) définit sept phases : interactions pré-engagement, collecte de renseignements, modélisation des menaces, analyse de vulnérabilités, exploitation, post-exploitation et rapport. Le PTES est particulièrement adapté aux missions de pentest qui accompagnent les audits de configuration ou de code.
Stack outils 2026 : Burp Suite Pro, Metasploit, Nmap, Nessus, Wireshark
L’auditrice sécurité professionnelle maîtrise un ensemble d’outils couvrant la découverte, l’analyse et l’exploitation contrôlée.
Burp Suite Pro (PortSwigger) est l’outil central pour les audits d’applications web. Son proxy intercept, son scanner actif et ses extensions (Intruder, Repeater, Sequencer) permettent de tester exhaustivement les points d’entrée d’une application. La version 2026 intègre des assistants IA pour prioriser les vulnérabilités détectées.
Metasploit Framework (Rapid7) est la plateforme d’exploitation la plus utilisée en audit offensif. Ses modules couvrent des milliers de CVE et permettent de valider l’exploitabilité réelle d’une vulnérabilité détectée lors d’un scan. L’utilisation de Metasploit dans un cadre PASSI nécessite une autorisation écrite préalable du commanditaire.
Nmap reste le scanner réseau de référence après 25 ans d’existence. Ses scripts NSE (Nmap Scripting Engine) automatisent la détection de services, versions et configurations vulnérables. La commande nmap -sV --script=vuln constitue souvent la première étape d’un audit de périmètre.
Nessus (Tenable) et Qualys VMDR sont les deux scanners de vulnérabilités commerciaux dominants. Nessus propose plus de 130 000 plugins. Qualys offre une architecture cloud et des tableaux de bord orientés conformité, adaptés aux audits ISO 27001. Les deux outils génèrent des rapports prêts à l’emploi pour les clients non techniques.
Wireshark analyse le trafic réseau en temps réel ou sur capture pcap. Il est indispensable pour auditer les protocoles, détecter des communications non chiffrées et comprendre le comportement réseau d’une application.
- Kali Linux / Parrot OS : distributions dédiées aux tests de sécurité, embarquant 600+ outils pré-configurés
- BloodHound : cartographie des chemins d’attaque dans les environnements Active Directory
- Nuclei (ProjectDiscovery) : scanner de vulnérabilités basé sur des templates YAML, mis à jour quotidiennement par la communauté
- Semgrep / SonarQube : analyse statique de code source pour les audits de code PASSI
- MITRE ATT&CK Navigator : modélisation et documentation des tactiques et techniques adversariales
Salaires en France : junior 45K€, senior 70-110K€, lead 130-180K€
La cybersécurité affiche des niveaux de rémunération supérieurs de 20 à 40 % à la moyenne des métiers IT en France. L’auditrice sécurité bénéficie de cette tension du marché, accentuée par la pénurie de profils qualifiés estimée à 15 000 postes non pourvus en France selon les données ANSSI 2024.
En début de carrière (0 à 3 ans), une auditrice junior titulaire d’un Master ou d’une certification CEH peut viser 42 000 à 50 000 euros bruts annuels. Les cabinets PASSI comme Wavestone, Almond ou Orange Cyberdefense proposent des packages incluant primes de mission et participation. Paris concentre 60 % des offres mais les régions progressent avec le développement des agences locales.
Entre 3 et 8 ans d’expérience, le profil senior certifié OSCP ou CISSP atteint 70 000 à 110 000 euros. L’obtention de la certification OSCP génère en moyenne une revalorisation de 12 à 18 % selon les données LinkedIn France 2025. Les indépendants (freelance) facturent 700 à 1 200 euros par jour selon leur spécialité et leur réputation PASSI.
Au niveau lead ou expert (8 ans et plus), la fourchette 130 000 à 180 000 euros bruts est documentée pour les profils dirigeant des équipes d’audit ou des pratiques cybersécurité dans les grands cabinets de conseil. Les directeurs associés chez Wavestone ou Sopra Steria peuvent dépasser ces seuils avec intéressement.
| Niveau | Expérience | Salaire brut annuel | TJM freelance | Certifications typiques |
|---|---|---|---|---|
| Junior | 0-3 ans | 42 000 – 50 000 € | 400 – 600 €/j | CEH, OSCP en cours |
| Confirmé | 3-5 ans | 55 000 – 70 000 € | 600 – 800 €/j | OSCP, CEH, ISO 27001 Lead Auditor |
| Senior | 5-8 ans | 70 000 – 110 000 € | 800 – 1 200 €/j | CISSP, CISM, GIAC |
| Lead / Expert | 8+ ans | 130 000 – 180 000 € | 1 200 – 1 800 €/j | CISSP, CISM, PASSI Référent |
Formations : écoles, masters, certifications OSCP, CEH, CISSP, CISM et BTS SIO
Trois voies d’entrée coexistent pour devenir auditrice sécurité en France.
La voie académique classique passe par un Bac+5 en école d’ingénieurs (INSA, Centrale, IMT, ENSIBS) ou un Master universitaire spécialisé. Les masters "Sécurité des Systèmes d’Information" de Paris-Saclay, Lyon 1 ou de l’UPEC sont reconnus par le marché. Ces formations délivrent les fondamentaux réseau, cryptographie, développement sécurisé et législation (RGPD, NIS2).
Le BTS SIO (Services Informatiques aux Organisations) option SLAM ou SISR constitue une porte d’entrée en deux ans. Une poursuite en licence professionnelle cybersécurité puis en Master permet d’atteindre le niveau requis par les cabinets PASSI. Cette trajectoire est cohérente pour une reconversion depuis un BTS généraliste.
Les certifications professionnelles constituent le deuxième pilier de la crédibilité d’une auditrice.
- OSCP (Offensive Security Certified Professional) : certification pratique de 24h en environnement réel, considérée comme la référence pour les profils offensifs. Tarif 1 499 USD incluant 90 jours de lab.
- CEH (Certified Ethical Hacker) de l’EC-Council : certification théorique et pratique couvrant 20 domaines. Reconnue dans les appels d’offres publics et privés. Tarif formation officielle 2 000 à 4 000 EUR.
- CISSP (Certified Information Systems Security Professional) de l’ISC2 : certification senior couvrant 8 domaines CISSP. Requiert 5 ans d’expérience et est reconnue mondialement. Standard pour les postes lead et RSSI.
- CISM (Certified Information Security Manager) de l’ISACA : orientée management de la sécurité. Pertinente pour les auditrices évoluant vers des fonctions de pilotage stratégique.
L’ANSSI propose également des formations certifiantes via SecNumedu et des agréments de centres de formation reconnus. Le MOOC SecNumécadémie (gratuit, en ligne) est un point de départ accessible pour les profils en reconversion.
Reconversion vers l’audit sécurité : depuis dev, sysadmin ou réseau
La reconversion vers l’audit de sécurité est l’une des trajectoires les plus documentées dans la cybersécurité française. Trois profils sources dominent.
Le développeur logiciel dispose d’un avantage majeur pour l’audit de code source. La compréhension des patterns d’injection, des mécanismes d’authentification et des architectures applicatives réduit considérablement la courbe d’apprentissage. Une reconversion en 12 à 18 mois est réaliste avec OSCP + OWASP Testing Guide comme feuille de route.
L’administrateur système maîtrise les environnements Linux, Windows Server et Active Directory. Ces compétences sont directement exploitables dans les audits de configuration. L’ajout de compétences réseau (Wireshark, Nmap) et d’une certification OSCP ou CEH complète le profil en 12 mois en moyenne.
L’ingénieur réseau connaît les protocoles TCP/IP, les équipements Cisco/Juniper et la segmentation. Ces bases sont indispensables pour les audits de périmètre et les tests d’intrusion réseau. La transition vers l’audit de sécurité nécessite l’ajout de compétences applicatives (web, API) et méthodologiques (PTES, OWASP).
- Durée typique de reconversion : 12 à 24 mois selon le profil source
- Formations complémentaires recommandées : HTB Academy, TryHackMe, PortSwigger Web Security Academy (gratuit)
- Réseaux utiles : CLUSIF, CESIN, Club de la Sécurité de l’Information Français, OWASP France Chapter
Risque IA sur le métier : niveau moyen, expertise contextuelle irremplaçable
L’automatisation par l’IA impacte l’audit de sécurité de façon sélective. Les outils de scan automatisé (Nessus, Qualys, Nuclei) existaient avant l’IA générative et couvraient déjà la détection de vulnérabilités connues. Les agents IA offensifs de 2025-2026 (PentestGPT, HackerBot) automatisent des phases de reconnaissance et de fuzzing, mais peinent sur les logiques applicatives complexes et les chaînes d’attaque multi-étapes.
Les tâches à risque d’automatisation partielle dans les 5 ans : scan de vulnérabilités standard, rédaction de rapports à partir de templates, tests de conformité ISO 27001 sur check-lists connues.
Les tâches résistantes à l’automatisation : compréhension du contexte métier d’un client, détection de vulnérabilités logiques (business logic flaws), négociation des recommandations avec les équipes techniques, témoignage en cas d’incident et audit organisationnel impliquant des entretiens humains.
Le niveau de risque est évalué à moyen : l’IA augmente la productivité de l’auditrice plus qu’elle ne remplace le poste. Les cabinets PASSI qui intègrent les outils IA dans leur workflow gagnent en capacité de traitement sans réduire leurs effectifs d’auditrices.
Directive NIS2 2023-2026 : impact sur la demande d’audits
La directive NIS2 (Network and Information Security 2) est entrée en vigueur en octobre 2024 dans l’Union européenne après transposition nationale. Elle étend considérablement le périmètre de NIS1 : de 300 entités concernées en France, on passe à environ 15 000 organisations soumises à des obligations de cybersécurité.
NIS2 impose aux entités "essentielles" et "importantes" des mesures concrètes : analyse de risques documentée selon ISO 27005, gestion des incidents avec notification à l’ANSSI sous 24h, continuité d’activité testée, sécurité de la chaîne d’approvisionnement (supply chain) et audits réguliers. Les sanctions atteignent 10 millions d’euros ou 2 % du CA mondial pour les entités essentielles.
Cette réglementation génère une demande directe d’audits de conformité NIS2, d’évaluations de maturité ISO 27001 et de prestations PASSI. Les secteurs concernés en priorité : énergie, transports, santé, eau, infrastructures numériques, administrations publiques et secteur bancaire.
Pour les auditrices sécurité, NIS2 crée un marché structurel de plusieurs années. Les cabinets spécialisés (Wavestone, Almond, Conscio Technologies) recrutent activement des profils capables de conduire des audits de conformité NIS2 couplés à des audits techniques PASSI.
Marché France : Wavestone, Orange Cyberdefense, Sopra Steria, Almond, Conscio
Le marché français de la cybersécurité atteint 7,5 milliards d’euros en 2025 selon les données SEIIUM/Numeum. Les grands acteurs recrutent régulièrement des auditrices sécurité, mais les structures mid-size offrent souvent plus d’autonomie et de diversité de missions.
Wavestone est le cabinet de conseil en cybersécurité le plus reconnu en France. Sa practice sécurité compte plus de 400 consultants. Wavestone publie régulièrement le "Radar des prestataires PASSI" qui fait référence dans le secteur. Les packages d’entrée pour les consultants juniors incluent formation interne intensive et certification prise en charge.
Orange Cyberdefense, filiale cybersécurité d’Orange, est l’un des MSSP (Managed Security Service Provider) les plus importants d’Europe. L’entité propose des missions d’audit, de pentest, de SOC managé et de réponse à incidents. La taille de la structure offre une mobilité interne importante entre les spécialités.
Sopra Steria Security intègre l’audit de sécurité dans des prestations IT globales pour les grands comptes et le secteur public. La maîtrise des SI complexes (mainframes, ERP legacy) est un différenciateur recherché.
Almond est un cabinet indépendant spécialisé cybersécurité, qualifié PASSI. Sa taille (environ 200 consultants) permet une proximité client et une montée en compétences rapide. Almond publie des études de référence sur la posture de sécurité des entreprises françaises.
Conscio Technologies se distingue par une approche combinant audit de sécurité et sensibilisation des collaborateurs. La dimension "human factor" de la sécurité est un axe de différenciation pour les auditrices ayant des compétences en ingénierie sociale et en formation.
Évolutions de carrière : RSSI, head of audit, fondatrice de cabinet
L’auditrice sécurité dispose de trois trajectoires d’évolution principales après 5 à 8 ans d’expérience.
La transition vers le poste de RSSI est la plus courante. L’auditrice ayant évalué des dizaines de SMSI dispose d’une vision des bonnes pratiques que peu de profils internes peuvent égaler. Elle peut prendre en charge la politique de sécurité, le pilotage des risques ISO 27005 et la relation avec les instances de gouvernance (COMEX, CA). Les certifications CISSP et CISM sont les passeports standard pour cette évolution.
Le poste de Head of Security Audit ou Director of Cybersecurity au sein d’un cabinet est une évolution naturelle pour les profils ayant développé des compétences managériales. Ce rôle implique le développement commercial (réponses à appels d’offres, propositions PASSI), le pilotage d’équipes de 10 à 30 auditrices et la définition des méthodologies internes.
La création d’un cabinet indépendant spécialisé est une voie de plus en plus empruntée. Le statut PASSI est accessible aux structures de toute taille disposant des compétences et de l’organisation requises. Une auditrice senior avec un réseau solide peut constituer une équipe de 3 à 5 experts et viser un positionnement premium sur un ou deux domaines d’audit (cloud, OT/SCADA, santé).
Perspectives du métier
L’OWASP LLM Top 10 documente les risques principaux des systèmes basés sur des modèles de langage, comme l’injection de prompt ou la fuite de données d’entraînement, et l’audit des systèmes IA devient une spécialité émergente proposée par les cabinets PASSI. Les LLM offensifs représentent une menace documentée, avec des outils qui automatisent la génération de phishing et d’ingénierie sociale à grande échelle. Les SIEM de nouvelle génération intègrent des modèles de détection comportementale, ce qui oblige l’auditrice à évaluer non seulement les contrôles techniques mais aussi la qualité des données d’entraînement et les biais des modèles. De nouveaux périmètres d’audit s’ouvrent en 2026 : environnements OT/ICS, cloud multi-provider et API REST massivement exposées, tandis que le Cyber Resilience Act européen imposera des audits de sécurité sur les produits connectés dès leur conception.