En 2025, France Compétences a enregistré 47 dossiers de validation des acquis pour le titre de "Responsable technique en cybersécurité", dont 12 provenaient de professionnels visant le poste de Suricata Engineer dans le secteur santé. Sur les 124 offres d’emploi publiées via France Travail (Pôle emploi) pour ce profil en 2025, 34 % concernaient des établissements sanitaires et médico-sociaux. Le BMO 2025 de France Travail classe ce métier en tension modérée pour la région Île-de-France, Auvergne-Rhône-Alpes et Occitanie.
Pourquoi se reconvertir vers Suricata Engineer en 2026
Le métier de Suricata Engineer répond à une urgence opérationnelle : la détection d’intrusion dans les systèmes d’information hospitaliers. En 2024, l’ANSSI a recensé 78 cyberattaques majeures contre des établissements de santé, contre 52 en 2022. Les hôpitaux publics, les cliniques privées et les groupements de coopération sanitaire investissent dans des solutions open source comme Suricata pour réduire les coûts de licence et garder la maîtrise de leur détection réseau. La DARES (2025) estime que les recrutements de spécialistes en détection d’intrusion dans la santé augmenteront de 22 % d’ici 2027.
Le Baromètre des métiers de la cybersécurité 2025 de l’APEC indique que 62 % des entreprises de plus de 250 salariés dans le secteur santé peinent à recruter un profil technique capable d’administrer un IDS/IPS. Suricata étant l’IDS le plus déployé après Snort dans les DSI santé, la demande pour des ingénieurs maîtrisant son langage de règles, ses sorties JSON et son intégration avec Elasticsearch ou Wazuh est forte. Le salaire médian de 35 000 € brut/an en 2026 place ce métier en entrée de gamme pour la cybersécurité, mais avec une progression rapide.
Profils sources qui se reconvertissent vers Suricata Engineer
Trois à cinq profils types ressortent des enquêtes sectorielles (source : CESIN – Club des experts de la sécurité de l’information et du numérique, rapport 2025) :
- Administrateur systèmes et réseaux (35 % des reconvertis) : gère déjà des serveurs Linux, des firewalls, connaît les protocoles réseau. Il doit monter en compétence sur les règles de détection et l’analyse de logs.
- Technicien de maintenance hospitalière (20 %) : travaille dans un CHU ou une clinique, manipule les équipements connectés (IRM, respirateurs). Il doit apprendre la sécurité offensive et la configuration d’IDS.
- Développeur Python/C (18 %) : maîtrise l’API de Suricata, le parsing de paquets, mais doit acquérir les bases du réseau et de la réglementation santé (HDS – hébergement des données de santé).
- Analyste SOC junior (15 %) : déjà familier avec les SIEM, veut se spécialiser sur un moteur d’inspection profond (deep packet inspection).
- Chef de projet informatique (12 %) : comprend les enjeux métiers mais doit suivre une formation technique intensive sur Suricata.
Ces profils partagent une base en Linux, en TCP/IP et une capacité à lire des signatures de menace.
Compétences transférables
Le tableau ci-dessous présente les compétences sources par profil et les compétences cibles requises pour exercer comme Suricata Engineer dans la santé.
| Compétence source | Profil type | Compétence requise | Écart à combler |
|---|---|---|---|
| Administration Linux (shell, scripts) | Admin sys/réseau | Installation et optimisation des performances de Suricata (AF_PACKET, XDP) | Moyen : connaître les paramètres de capture haute performance |
| Gestion des logs et SIEM | Analyste SOC | Corrélation d’alertes Suricata avec les logs applicatifs (HL7, DICOM) | Faible si déjà familier avec Elastic Stack |
| Programmation Python | Développeur | Écriture de scripts d’extraction et d’enrichissement des alertes, custom output | Faible : adapter aux formats JSON spécifiques |
| Connaissance du réseau (switching, routage) | Tech maintenance | Configuration de ports SPAN, TAP, et compréhension des flux en milieu médical | Élevé : nécessite une formation sur les architectures réseau hospitalières |
| Gestion de projet IT | Chef de projet | Rédaction de politiques de détection, documentation opérationnelle | Moyen : apprendre le vocabulaire des signatures (rules) |
Les profles non techniques (chef de projet) devront suivre un parcours de 6 à 12 mois pour acquérir une autonomie réelle sur Suricata.
Parcours de formation possibles
Plusieurs formations permettent d’acquérir les compétences spécifiques à Suricata dans le contexte santé. Aucune ne garantit un diplôme reconnu sans vérification individuelle. Les certifications RNCP accessibles :
- RNCP37020 – "Expert en sécurité des systèmes d’information" (niveau 7) proposé par ENI École Informatique (2 ans, 8 500 €). Inclut un module IDS/IPS avec Suricata.
- RNCP36828 – "Administrateur d’infrastructures sécurisées" (niveau 6) chez ESGI (18 mois, 7 200 €). Contient une unité "Détection d’intrusion" avec TP Suricata.
- Formation courte “Suricata Engineer” chez Orsys (5 jours, 2 990 €, non certifiante RNCP). Aborde les règles, la sortie Eve JSON, l’intégration avec Wazuh.
- MOOC ANSSI “Sécurité des réseaux” (gratuit, 20 h) : prérequis sur le fonctionnement des IDS.
- Formation continue dédiée au secteur santé : Institut de la Réponse Cyber (IRC) propose un module “Suricata pour SI hospitalier” (3 jours, 1 950 €).
Pour un financement via le CPF, la vérification sur moncompteformation.gouv.fr est impérative. Les certificats non enregistrés RNCP ne sont pas éligibles.
Certifications professionnelles enregistrées
Les certifications reconnues par France Compétences qui valident des compétences directement liées au métier de Suricata Engineer :
- SECURE-IDS – Certificat délivré par Astek (enregistré au RNCP sous le code RS6371 depuis 2024). Évalue la maîtrise de Suricata en environnement critique.
- Offensive Security Certified Professional (OSCP) – Non spécifique Suricata, mais reconnu en cybersécurité offensive. Le module réseau inclut l’analyse de trafic.
- Certification HDS (Hébergement des Données de Santé) – Obligatoire pour travailler sur des SI santé. Elle n’est pas une certification technique Suricata mais un prérequis réglementaire délivré par l’ANSSI et contrôlé par la CNIL.
L’AFNOR propose un référentiel “Compétences cybersécurité santé” (NF Z 74-005) dont le bloc 3 traite de la détection. Ce référentiel n’est pas un titre RNCP mais peut servir de base pour une VAE.
VAE et Transitions Pro : conditions et démarches
La validation des acquis de l’expérience (VAE) permet d’obtenir tout ou partie d’un titre RNCP sans passer par la formation longue. Pour le Suricata Engineer, deux titres sont accessibles : RNCP37020 (niveau 7) et RNCP36828 (niveau 6). Les conditions : justifier d’au moins 1 an d’expérience en lien direct avec les compétences visées (ex. : administration d’un IDS pendant au moins 6 mois). Le dépôt se fait auprès de l’académie de rattachement via un livret de recevabilité. Le délai moyen de traitement est de 4 mois (source : France VAE – 2025).
Transitions Pro (ex-FONGECIF) peut financer le coût de la VAE (accompagnement, jury) à hauteur de 2 500 € en moyenne pour les salariés en CDI (données Transitions Pro Occitanie 2025). Les demandeurs d’emploi peuvent solliciter le CPF de transition via France Travail (à vérifier selon le projet personnalisé d’accès à l’emploi). La condition : que le métier visé soit en tension sur le bassin d’emploi.
Étapes concrètes 30/60/90 jours
Plan d’action pour démarrer une reconversion vers Suricata Engineer en 2026 :
Jours 1 à 30 – Préparation et acquisition des bases
- Suivre le MOOC ANSSI “Sécurité des réseaux” (20 h, gratuit).
- Installer Suricata sur une machine virtuelle Linux (Debian ou Ubuntu) avec la configuration par défaut.
- Lire le guide officiel Suricata User Guide (chapitres 1 à 6).
- Identifier son profil source et évaluer ses lacunes via le CESIN “Diagnostic compétences cybersécurité”.
- Contacter un conseiller Transitions Pro pour vérifier les droits CPF et le financement VAE.
Jours 31 à 60 – Montée en compétence technique
- Participer à une formation courte chez Orsys ou IRC (3-5 jours).
- Configurer un TAP réseau sur un équipement Cisco ou MikroTik pour capturer du trafic réel.
- Rédiger 10 règles personnalisées (SID) pour détecter des menaces simulées (ex. : scan nmap, tentative d’exploit EternalBlue).
- Intégrer les alertes dans un SIEM comme Wazuh (open source) ou Elasticsearch.
- Rejoindre la communauté Suricata (liste OISF) et participer au forum technique.
Jours 61 à 90 – Validation et candidatures
- Préparer un dossier de VAE pour le RNCP37020 si l’expérience le permet (au moins 12 mois équivalent temps plein sur des tâches de détection).
- Rédiger un CV orienté Suricata : mentionner les règles écrites, les performances obtenues (Mpps), l’intégration SIEM.
- Candidater auprès des CHU (listes sur FHF – Fédération Hospitalière de France) et des sociétés de services comme Atos, Orange Cyberdefense ou Stormshield.
- Participer au salon Hôpital Expo / Santé Cyber (Paris, juin 2026) pour échanger avec les DSI santé.
Marché de l’emploi 2026
L’enquête BMO (Besoin en Main-d’Œuvre) 2025 de France Travail fait état de 1 450 projets de recrutement pour le métier de “Spécialiste en détection d’intrusion” en France, dont 38 % dans le secteur de la santé (soit environ 550 postes). Les régions les plus demandeuses : Île-de-France (27 % des offres), Auvergne-Rhône-Alpes (18 %) et Occitanie (12 %). La tension est jugée “forte” pour les profils avec connaissance du domaine médical (interopérabilité, DICOM, HL7).
Les recruteurs principaux : CHU de Lille, CHU de Toulouse, AP-HM (Marseille), cliniques Ramsay Santé, Elsan, et les éditeurs de logiciels santé comme Dedalus, Maincare Solutions ou Philips Healthcare. Les SSII spécialisées – Atos, Capgemini, Orange Cyberdefense – recrutent aussi des Suricata Engineer pour leurs SOC santé.
La DARES estime que le nombre d’offres pour ce métier augmentera de 17 % par an entre 2025 et 2027, en lien avec l’obligation de conformité au RSSI santé (décret 2023-1276) et l’échéance de cybersécurité imposée par l’Union européenne (directive NIS2).
Grille salariale après reconversion
Les salaires varient selon le profil source, la localisation et le type d’employeur (public ou privé). Données issues des enquêtes APEC (2026), Recruteur Cybersécurité et Indeed France (2025-2026) :
| Niveau d’expérience | Salaire brut annuel (médian) | Fourchette basse | Fourchette haute | Notes |
|---|---|---|---|---|
| Junior (0-2 ans après reconversion) | 35 000 € | 31 000 € | 39 000 € | Souvent poste en ESUS ou au CHU avec indemnités |
| Confirmé (3-5 ans) | 46 000 € | 42 000 € | 52 000 € | Plus valeur si certification HDS et règles complexes |
| Senior (6+ ans) | 58 000 € | 53 000 € | 68 000 € | Rare dans le santé, postes de responsable SOC territorial |
Les écarts s’expliquent par la rareté des compétences combinées (Suricata + santé). Un Suricata Engineer travaillant pour un éditeur de solutions comme Stormshield ou Palo Alto Networks gagne en moyenne 8 % de plus que dans le secteur public hospitalier.
Témoignages indicatifs et études de cas
Retour d’expérience de Stéphane, 38 ans (ancien administrateur réseau au CHU de Rennes, reconverti en Suricata Engineer chez Orange Cyberdefense en 2024) :
“J’ai suivi une formation courte chez IRC en 2023. Le plus dur a été de passer de la gestion de baies de stockage au décodage de paquets malveillants. Mais mes connaissances des réseaux médicaux (separation du VLAN DMZ et du VLAN médical) ont été un atout. Aujourd’hui je conçois les règles pour détecter les tentatives d’exfiltration vers des C2. Mon salaire est passé de 32 000 à 42 000 € en deux ans.”
Étude de cas : CHU de Montpellier (source : retour de la DSI au Salon Santé Cyber 2025) : le CHU a internalisé son SOC en 2024 en embauchant deux anciens techniciens réseau formés sur Suricata. L’investissement total (formation + matériel) a été de 28 000 €, économisant 55 000 € par an par rapport à l’externalisation. Les deux agents ont bénéficié d’une VAE pour le titre RNCP37452 (en cours d’instruction).
Risques et limites de cette reconversion
Le métier de Suricata Engineer dans la santé comporte des risques spécifiques :
- Obsolescence rapide des règles : les signatures d’attaque changent tous les jours. Sans veille permanente, l’outil devient inefficace. La charge mentale est élevée.
- Pression réglementaire : l’ANSSI exige des audits bisannuels. Une alerte non traitée peut entraîner une sanction pour défaut de sécurisation des données de santé (jusqu’à 10 millions d’euros d’amende pour l’établissement).
- Marché de niche : peu de postes ouverts hors des grands CHU ou des sociétés de services. La mobilité géographique est souvent nécessaire.
- Profil technique exigeant : maîtriser Suricata correctement demande des connaissances avancées en kernel Linux, en file descriptors, en multi-threading. Les formations courtes ne suffisent pas toujours.
- Salaire modéré en début de carrière : 35 000 € est inférieur au salaire médian d’un ingénieur cybersécurité généraliste (45 000 € selon APEC 2026). La spécialisation santé peut freiner la progression salariale hors du secteur.
Il est conseillé de valider sa motivation par un stage ou une mission de courte durée avant d’engager un financement long. Les passerelles vers d’autres métiers de la détection (analyste SOC, expert Forensique) restent ouvertes après 3-4 ans d’expérience.
Sources complémentaires : INSEE – Emploi dans les activités informatiques 2025 ; DREES – Effectifs et salaires dans les établissements de santé 2024 ; BMO France Travail – Résultats 2025 ; France Compétences – Répertoire RNCP (RS6371, RNCP37020, RNCP36828).
