Merlin Tchoffo, la confiance chevillée au métier
Demandez à Merlin Tchoffo de vous parler de son métier, et vous serez surpris. Pas un mot sur les lignes de code impénétrables, pas une allusion aux menaces fantômes qui hantent le web. Le mot qui revient, chez cet expert en cybersécurité d’Acceis, c’est la confiance. Celle qu’on bâtit patiemment, qu’on protège avec vigilance, et qu’on ne cesse de réajuster dans un monde où le numérique est devenu la colonne vertébrale des États, des entreprises et, plus discrètement, de nos vies de tous les jours.
Rien, pourtant, ne le destinait à ce chemin. Tout commence par un Master en mathématiques appliquées, dans les amphithéâtres de l’École normale supérieure de Yaoundé. C’est là, en dernière année, que germe une envie: confronter la théorie aux systèmes concrets, quitter l’abstraction pour se frotter au réel. Cette envie le pousse à bifurquer, à réorienter sa formation vers l’ingénierie. Le concours qu’il décroche l’emmène jusqu’à Brest, où il ressort en 2010 avec un double bagage: un diplôme d’ingénieur de l’École nationale des IETA, spécialisé en génie logiciel et systèmes embarqués, complété par un Master Recherche en informatique et robotique obtenu à Angers. Cette double casquette façonne durablement son regard.
Elle lui apprend à décortiquer les systèmes complexes, à en comprendre l’architecture et les rouages, mais aussi à repérer ce qui, sous la surface, reste fragile. Après ses débuts dans l’audit et la qualité des systèmes, la cybersécurité s’impose naturellement comme terrain de spécialisation. Consultant, il évolue depuis dans des environnements où la souveraineté numérique, la conformité réglementaire et la protection des données pèsent lourd dans chaque décision. Mais son rôle ne se réduit jamais à traquer des failles. Il s’agit surtout de faire se parler des mondes qui, trop souvent, s’ignorent: développeurs, architectes, équipes métiers, responsables sécurité et conformité, chacun avec ses priorités propres. Sa conviction est simple et ferme à la fois: la sécurité doit s’inviter dès la conception d’un produit, et non s’imposer après coup, quand il est déjà trop tard pour bien faire.
Cette vision stratégique s’accompagne d’une pratique de terrain bien réelle, entre audits et tests d’intrusion. Il participe aussi à des programmes de bug bounty, ces chasses aux vulnérabilités menées dans un cadre légal et encadré. Et lorsque son emploi du temps le permet, il prend le chemin des écoles d’ingénieurs, anime des conférences, sensibilise aux mutations de son secteur, aussi bien en France qu’en Afrique et dans les Caraïbes. C’est justement aux jeunes talents de la diaspora qu’il s’adresse avec le plus de conviction. La cybersécurité d’aujourd’hui n’a plus grand-chose à voir avec celle qu’il a connue à ses débuts. Le cloud, l’intelligence artificielle, les nouvelles architectures réseau ont considérablement élargi le terrain de jeu, et avec lui la palette des risques. Face à cette expansion, il plaide pour une autre façon d’apprendre. Vouloir tout maîtriser techniquement relève, selon lui, de l’illusion, dans un domaine qui se réinvente à un rythme effréné.
Mieux vaut savoir creuser certains sujets en profondeur tout en conservant une vue d’ensemble suffisamment large pour saisir comment les technologies s’articulent entre elles. Avant même de choisir une formation, il invite à se poser les bonnes questions: où veut-on aller, quelles compétences sont réellement nécessaires pour y parvenir. Cette réflexion préalable évite bien des désillusions, du temps perdu et de l’argent englouti dans des cursus mal ajustés ou des formations en ligne dont la qualité est parfois difficile à jauger. Et dans le doute, il n’y a pas de honte à solliciter l’avis de professionnels aguerris.
Pour ceux qui aspirent à se spécialiser, des voies émergentes s’ouvrent, comme l’analyse des risques ou les tests d’intrusion appliqués aux systèmes d’intelligence artificielle. Sur ce dernier point, il est catégorique: l’IA peut épauler l’évaluation de la sécurité d’un système, mais elle ne saurait, à elle seule, en fixer le niveau. Comprendre ce que l’on protège, contre quelles menaces et dans quel contexte, reste un exercice de jugement que la machine ne remplace pas. D’autres profils, plus généralistes, choisiront une autre voie: non pas maîtriser chaque technologie dans ses moindres recoins, mais comprendre les systèmes, leurs interactions, leurs failles potentielles dans des environnements variés.
Une approche qui demande de la curiosité, de la souplesse d’esprit et une vraie capacité à s’adapter. Les ressources, aujourd’hui, ne manquent pas: forums spécialisés, plateformes d’entraînement, chaînes de vulgarisation, podcasts, communautés en ligne. Pour les profils les plus autonomes et persévérants, les programmes de bug bounty offrent un terrain d’apprentissage grandeur nature, avec à la clé une possible rémunération lorsqu’une faille éligible est découverte, même si cette rémunération demeure aléatoire et ne saurait constituer un revenu garanti. Vous pouvez également consulté les profils types des métiers de la cybersécurité proposés par l'European Cybersecurity Skills Framework (ECSF) de l'ENISA avec pour chacun : la mission, les tâches, les compétences, les connaissances et les aptitudes.
Au-delà des compétences techniques, deux qualités lui semblent indispensables: l’humilité et la déontologie. Savoir reconnaître les limites de son savoir, mais aussi mesurer le poids de la responsabilité qui accompagne l’accès à des systèmes sensibles, à des vulnérabilités, parfois à des données confidentielles. En cybersécurité, sortir du cadre autorisé n’est jamais anodin: les conséquences peuvent aller jusqu’au terrain pénal. Reste la question qui inquiète nombre de candidats à ce métier: l’intelligence artificielle va-t-elle tout bouleverser? Merlin Tchoffo répond avec un pragmatisme désarmant. L’IA transforme les pratiques, certes, mais elle ne dissout pas les fondamentaux du métier. Elle peut aider l’auditeur à élargir son champ d’exploration, à multiplier les pistes dans le périmètre qui lui est confié, mais elle ne dispense ni de comprendre sa cible dans son contexte, ni d’interpréter les résultats avec discernement.
Quant à son impact économique réel, il reste, selon lui, difficile à mesurer avec précision: le recul manque encorepour en évaluer pleinement les effets sur la productivité et l’organisation du travail. À double tranchant, l’intelligence artificielle peut renforcer considérablement les capacités des défenseurs, tout en offrant aux attaquants de nouveaux moyens d’action, notamment en rendant certaines techniques plus accessibles et plus faciles à mettre en œuvre. Avec ou sans intelligence artificielle, la méthode demeure donc le socle indéboulonnable du métier: savoir précisément ce que l’on cherche, comprendre ce que l’on observe, et rester, en toute circonstance, maître de son jugement. Et c’est peut-être dans ce mot qu’il choisit pour conclure, lancé comme un défi amical aux jeunes talents de la diaspora qui hésitent encore à se lancer, que se résume le mieux sa philosophie: « Chiche! »
Malick Sakho
