Décrocher la certification CISSP 2026 : 8 domaines, examen CAT et endorsement

Pourquoi le CISSP s’est imposé comme la certification senior de référence

Le Certified Information Systems Security Professional, plus connu sous l’acronyme CISSP, est délivré par l’ISC2 (anciennement (ISC)²), une association à but non lucratif fondée en 1989. Cette certification existe depuis 1994 et reste à ce jour la plus citée dans les fiches de poste de RSSI, d’architecte sécurité, d’auditeur senior, de consultant GRC et de directeur de SOC. Elle n’est pas un examen d’outil — vous ne ferez pas de TP sur un pare-feu pendant l’examen — mais bien un examen de raisonnement de défenseur expérimenté qui doit savoir prendre une décision risquée avec une information incomplète.

Trois éléments expliquent cette position dominante. D’abord, le CISSP est accrédité ISO/IEC 17024, ce qui en fait une certification de personnes reconnue formellement par les organismes de normalisation. Ensuite, le programme américain DoDM 8140.03 (qui a remplacé la directive 8570 en 2023) l’inscrit comme qualifying credential pour plusieurs rôles cyber du Département de la Défense, ce qui contamine positivement tous les contrats gouvernementaux et défense de l’écosystème occidental. Enfin, la certification exige cinq ans d’expérience professionnelle salariée vérifiée par un membre déjà certifié — ce qui filtre mécaniquement les profils juniors et donne à la marque une crédibilité que les certifications purement académiques n’arrivent pas à atteindre.

Concrètement, un titulaire CISSP en 2026 défend des sujets transversaux que peu d’examens couvrent ensemble : gouvernance et risque, classification des actifs, architecture sécurisée, cryptographie, réseau, IAM, audits, opérations et développement sécurisé. C’est une vision large, à hauteur d’architecte ou de manager, plutôt qu’une expertise verticale comme le CEH (offensif), le CKS (Kubernetes) ou l’OSCP (pentest). Si vous êtes ingénieur sécurité opérationnel qui veut basculer vers un rôle d’architecture ou de management, le CISSP est exactement la pièce manquante de votre dossier.

Qui peut viser le CISSP : les prérequis officiels d’ISC2

Le règlement ISC2 demande cinq années cumulées d’expérience professionnelle salariée à temps plein dans au moins deux des huit domaines du Common Body of Knowledge (CBK). Le mot-clé est cumulé : les expériences peuvent être consécutives ou non, et plusieurs périodes simultanées chez des employeurs différents ne se cumulent pas — cinq ans signifient cinq années calendaires effectives. L’expérience doit avoir été acquise au cours des dix dernières années précédant la date de la demande d’endorsement.

Deux remises sont possibles. Un diplôme universitaire de quatre ans ou plus, ou son équivalent international, fait gagner une année d’expérience. Certaines certifications listées sur la liste officielle d’ISC2 — notamment CompTIA Security+, CISA, CISM, CCSP, CEH, GIAC GSEC, CCNA Security et quelques autres — font également gagner une année. Ces deux remises ne se cumulent pas : on peut descendre à quatre années requises, jamais en dessous.

Si vous n’avez pas l’expérience au moment de l’examen, vous pouvez quand même le passer et obtenir le statut transitoire d’Associate of ISC2. Ce statut vous donne six ans pour atteindre les cinq années requises, avec une cotisation annuelle inférieure à celle d’un titulaire pleinement certifié. C’est la voie recommandée pour un ingénieur sécurité qui prépare la transition vers un rôle senior et qui veut figer son niveau d’examen pendant qu’il accumule l’ancienneté manquante.

Un point souvent négligé : l’expérience doit être rémunérée et déclarée. Les stages non rémunérés, le bénévolat associatif et l’auto-formation ne comptent pas, même si vous y avez géré un pare-feu réel pour une ONG. À l’inverse, l’enseignement universitaire de la cybersécurité, l’écriture d’ouvrages publiés et la recherche académique rémunérée comptent, sous réserve d’un dossier de preuves convaincant.

Les huit domaines du CBK 2024 et leurs poids

Depuis le 15 avril 2024, l’examen CISSP suit le Detailed Content Outline publié par ISC2 après le dernier Job Task Analysis triennal. Les huit domaines sont restés inchangés sur leurs intitulés mais les poids ont évolué — le domaine 1 a gagné un point au détriment du domaine 8. Voici la répartition exacte que vous devez intégrer dans votre planification d’études.

Cette pondération est plus qu’un détail comptable. Elle indique combien de questions tomberont approximativement sur chaque domaine — sur un examen de 100 à 150 questions, le domaine 1 pèse 16 à 24 questions, le domaine 2 seulement 10 à 15. Concrètement, sous-investir le domaine 1 est statistiquement plus pénalisant que sous-investir le domaine 8, même si ces deux domaines ont historiquement la réputation d’être les plus accessibles à un ingénieur opérationnel.

Vue d’ensemble pratique de chaque domaine

Le domaine 1 — Security and Risk Management couvre la gouvernance, les politiques, la conformité réglementaire, les modèles éthiques d’ISC2, la classification de l’information, la gestion du risque (qualitative et quantitative), le BCM et la sensibilisation des utilisateurs. C’est un domaine de vocabulaire et de méthode — on n’y configure rien, on y arbitre. Le tutoriel dédié de cette série déroule la méthodologie complète : Domaine 1 — Security and Risk Management.

Le domaine 2 — Asset Security couvre l’identification, la classification et la protection des actifs informationnels au long du cycle de vie : marquage, manipulation, conservation, destruction, et rôles des data owners et data custodians. C’est le domaine où l’on parle de classifications gouvernementales (Confidential, Secret, Top Secret) et commerciales (Public, Internal, Confidential, Restricted), et où apparaît la notion de scoping et tailoring des contrôles. Détaillé dans Domaine 2 — Asset Security.

Le domaine 3 — Security Architecture and Engineering est le plus technique sur le papier. Il couvre les modèles de sécurité (Bell-LaPadula, Biba, Clark-Wilson), les principes d’évaluation (Common Criteria), les architectures cloud et embarquées, et toute la cryptographie : chiffrement symétrique/asymétrique, hash, signatures, PKI, gestion des clés. Le tutoriel dédié déroule lab cryptographique inclus : Domaine 3 — Security Architecture and Engineering.

Le domaine 4 — Communication and Network Security reprend les modèles OSI et TCP/IP, les protocoles sécurisés (IPsec, TLS 1.3, DNSSEC, WPA3), la segmentation, les architectures Zero Trust, les VPN et l’analyse de trafic. C’est le domaine le plus proche de ce qu’un CCNA Security couvre, mais à hauteur d’architecte. Voir Domaine 4 — Communication and Network Security.

Le domaine 5 — Identity and Access Management (IAM) couvre l’identification, l’authentification, l’autorisation et l’audit, les protocoles fédérés (SAML 2.0, OAuth 2.1, OIDC), les modèles RBAC, ABAC, MAC, DAC, et l’identité comme nouveau périmètre dans une architecture Zero Trust. Voir Domaine 5 — Identity and Access Management.

Le domaine 6 — Security Assessment and Testing couvre la stratégie d’évaluation, les audits internes et externes, les tests de vulnérabilité, le pentest, la revue de code, les rapports d’audit, les KPI sécurité et les indicateurs de maturité. Voir Domaine 6 — Security Assessment and Testing.

Le domaine 7 — Security Operations est le plus large opérationnellement. Il couvre la gestion des incidents, le forensic, la chaîne de preuves, le SIEM, la corrélation, la threat intelligence, la continuité d’activité (BCP), la reprise après sinistre (DRP), la gestion des correctifs et la sécurité physique. Voir Domaine 7 — Security Operations.

Le domaine 8 — Software Development Security couvre l’intégration de la sécurité dans le SDLC, les modèles de maturité (BSIMM, OWASP SAMM), les revues de code, les pratiques DevSecOps, les pipelines CI/CD sécurisés, les architectures API-first et les pratiques de chaîne d’approvisionnement (SLSA, SBOM). Voir Domaine 8 — Software Development Security.

Format de l’examen : Computerized Adaptive Testing

L’examen CISSP utilise le Computerized Adaptive Testing, ou CAT. Le format a été introduit le 18 décembre 2017 pour l’anglais uniquement, puis étendu à toutes les langues disponibles depuis le 15 avril 2024. Le principe est qu’un moteur statistique sélectionne la question suivante en fonction des réponses précédentes. Plus vous répondez correctement, plus les questions deviennent difficiles. Le moteur s’arrête dès qu’il a déterminé avec un intervalle de confiance suffisant si vous êtes au-dessus ou en dessous de la barre — ce qui peut arriver à la 100ᵉ question comme à la 150ᵉ.

Les chiffres officiels à connaître par cœur : 100 à 150 questions, 3 heures maximum, 700 points sur 1000 pour réussir, langues disponibles anglais, allemand, espagnol, japonais, chinois (le chinois est limité à des fenêtres trimestrielles : mars, juin, septembre, décembre). Les questions sont majoritairement à choix multiples avec une bonne réponse, plus quelques items innovants (drag-and-drop, hot-spot). Il n’y a pas de pénalité pour mauvaise réponse — laisser une question vide vaut zéro, comme une mauvaise réponse, donc on répond à tout.

Trois particularités à intégrer dans votre stratégie. Première, vous ne pouvez pas revenir sur une question précédente : une fois validée, elle est définitive. Deuxième, le moteur étant adaptatif, recevoir des questions de plus en plus dures n’est pas un mauvais signe — c’est même un signe que vous montez. Troisième, on ne sait pas son score précis à la sortie ; on apprend uniquement pass ou fail, et le rapport détaillé n’arrive qu’en cas d’échec, pour vous orienter sur les domaines faibles.

Coût réel : examen, AMF et budget de préparation

L’examen CISSP coûte 749 USD en 2026, taxes locales en sus. Ce tarif couvre une tentative. En cas d’échec, il faut repayer intégralement pour le passer à nouveau. La politique de retake d’ISC2 impose un délai de carence : 30 jours après le premier échec, 60 jours après le deuxième, 90 jours après le troisième et tous les suivants. Le nombre maximum de tentatives sur 12 mois glissants est de quatre.

Une fois certifié, vous devez vous acquitter d’une cotisation annuelle de maintien — l’Annual Maintenance Fee, ou AMF — fixée à 135 USD. Elle couvre les services membres d’ISC2 et l’inscription au registre des certifiés. Si vous ne payez pas, votre certification est suspendue puis révoquée — vous redevenez non-certifié et devez repasser l’examen pour récupérer la qualification. Le statut Associate of ISC2 a une AMF inférieure (50 USD) pendant la période d’accumulation d’expérience.

Au-delà des frais ISC2, la préparation représente le gros du budget. Trois postures réalistes selon votre profil de départ. Si vous êtes ingénieur sécurité expérimenté qui veut simplement boucher des trous de connaissance théorique, un bon livre de référence (l’Official Study Guide 10ᵉ édition ou l’All-in-One Exam Guide 9ᵉ édition (Fernando Maymi avec l’héritage Shon Harris, McGraw-Hill)) et une banque de questions en ligne suffisent — comptez 80 à 120 USD. Si vous êtes en transition de carrière et qu’il vous manque deux ou trois domaines de fond, ajoutez un cours vidéo (Pete Zerger sur YouTube est gratuit, Destination Certification ou Boson coûtent 200 à 400 USD) plus un simulateur. Si vous voulez la garantie maximale et le coaching, un bootcamp ISC2 officiel à 3 000 USD ou un cours en présentiel d’un partenaire local existent — mais ils ne remplacent pas l’effort personnel.

Méthode de préparation qui fonctionne

Le profil typique d’un candidat qui réussit est celui d’un ingénieur sécurité avec quatre à six ans d’expérience, qui consacre cent à cent cinquante heures de travail focalisé sur trois à six mois. Moins, vous risquez de tomber sur des domaines mal balayés ; plus, vous perdez en efficacité et oubliez ce que vous avez vu en début de cycle.

La séquence qui fonctionne le mieux pour la majorité des candidats est la suivante. D’abord, une lecture intégrale du livre de référence en un mois — vous ne retenez pas tout, ce n’est pas grave, l’objectif est la cartographie mentale des huit domaines. Ensuite, une phase d’approfondissement domaine par domaine en utilisant les tutoriels de cette série comme grille pratique, en faisant systématiquement les questions de fin de chapitre puis les questions d’un simulateur. Enfin, deux semaines de simulateur intensif en conditions d’examen, en visant un taux de réussite stable supérieur à 80 % sur des banques de questions de bonne qualité (Boson ExSim, Wiley Test Bank ou ISC2 Official Practice Tests).

Le critère de déclenchement d’inscription à l’examen est statistique : trois simulateurs blancs consécutifs au-dessus de 80 %, dans des conditions de fatigue réalistes (180 minutes sans pause prolongée). En dessous de ce seuil, vous brûleriez 749 USD pour un coup d’essai inutile. Au-dessus, vous êtes statistiquement prêt — bookez l’examen sous 14 jours pour ne pas retomber.

Le jour J : logistique Pearson VUE

L’examen se passe dans un centre Pearson VUE agréé ou en ligne via OnVUE — bien que la version en ligne soit déconseillée pour le CISSP en raison de la durée de trois heures et des contraintes de surveillance. Vous arrivez 30 minutes avant l’heure prévue avec deux pièces d’identité valides (passeport plus pièce secondaire). Le centre vous fait stocker tout votre matériel — téléphone, montre, sac — dans un casier. On vous remet un tableau blanc et un marqueur pour les notes (qui seront récupérés à la sortie).

L’interface affiche une question à la fois, avec un bouton de validation. Pas de retour en arrière, pas de pause autorisée sans pénalité. Boire un verre d’eau est possible mais le chrono ne s’arrête pas. À la fin, l’écran affiche provisional pass ou provisional fail. La confirmation officielle arrive par email d’ISC2 dans les heures qui suivent, avec les instructions pour entamer l’endorsement.

Endorsement et code éthique ISC2

Réussir l’examen ne suffit pas à obtenir la certification. Vous avez neuf mois après la date de l’examen pour soumettre votre dossier d’endorsement. Ce dossier consiste à faire vérifier votre expérience par un endorseur — un membre ISC2 déjà certifié (CISSP, CCSP, SSCP, etc.) qui atteste sur l’honneur de votre expérience. Si vous ne connaissez personne, ISC2 peut faire elle-même l’endorsement par audit administratif, mais le délai s’allonge significativement.

Vous signez par la même occasion le code éthique ISC2 en quatre canons : protéger la société et l’infrastructure ; agir honorablement, honnêtement et légalement ; servir consciencieusement le commettant ; faire progresser et protéger la profession. Une violation rapportée peut conduire à la révocation de la certification après procédure du Peer Review Committee. Ce n’est pas une formalité — des révocations sont prononcées chaque année pour fraude documentaire, conflits d’intérêts non déclarés ou comportements professionnels jugés indignes.

Une fois l’endorsement validé, ISC2 vous délivre votre identifiant de certification et vous fait basculer du statut Associate (si applicable) au statut Member. À partir de ce moment, vous figurez dans l’annuaire public ISC2 et pouvez ajouter CISSP après votre nom — usage formel après nom, jamais collé devant.

Maintenir la certification : 120 CPE par cycle

Le cycle de maintenance dure trois ans. Vous devez accumuler 120 crédits de Continuing Professional Education sur cette période, dont au moins 90 en Groupe A (activités directement liées aux huit domaines du CBK) et un complément en Groupe B (développement professionnel général : management, communication, langues techniques). Un minimum annuel de 40 CPE est attendu pour éviter le statut de non-conformité.

Les sources de CPE sont variées et l’inventaire complet est publié dans le CPE Handbook d’ISC2. À titre indicatif : lire un livre technique pertinent rapporte 5 CPE Groupe A après soumission d’un résumé, assister à un webinaire ISC2 rapporte 1 CPE par heure, intervenir comme speaker dans une conférence professionnelle rapporte 5 CPE par heure de présentation. Les certifications connexes rapportent jusqu’à 40 CPE l’année où vous les obtenez. La rédaction d’articles ou de livres techniques publiés rapporte jusqu’à 10 CPE par article et 40 CPE pour un livre.

Une astuce souvent oubliée : les CPE doivent être documentées avec preuves pendant cinq ans après leur déclaration, car ISC2 procède à des audits aléatoires sur environ 5 % de ses membres chaque année. Tenir un dossier propre — captures d’écran de webinaires, certificats de participation, factures de livres, publications imprimées — fait la différence entre une recertification fluide et une suspension temporaire.

Pièges fréquents à éviter

Tutoriels de la série

Pour préparer chaque domaine avec un tutoriel pas-à-pas, lab pratique et révision examinable, suivez la série dédiée :

• Domaine 1 — Security and Risk Management : gouvernance, risque, conformité
• Domaine 2 — Asset Security : classification et cycle de vie de la donnée
• Domaine 3 — Security Architecture and Engineering : modèles et cryptographie
• Domaine 4 — Communication and Network Security : segmentation et Zero Trust
• Domaine 5 — Identity and Access Management : SSO, MFA, fédération
• Domaine 6 — Security Assessment and Testing : audits, pentest, KPI
• Domaine 7 — Security Operations : SOC, SIEM, DFIR, BCP/DR
• Domaine 8 — Software Development Security : SDLC sécurisé, DevSecOps, SBOM

Foire aux questions

Faut-il forcément maîtriser la cryptographie pour passer le CISSP ?

Le domaine 3 contient une quantité significative de cryptographie, mais l’examen ne demande pas de faire des mathématiques. Il faut comprendre les principes, les usages, les compromis et les modes opératoires (CBC, GCM, etc.) — pas implémenter AES soi-même. Une journée de révision ciblée suffit pour la plupart des candidats.

Le CISSP est-il pertinent pour un développeur ?

Le domaine 8 et certaines portions des domaines 3, 5 et 6 sont directement utiles à un architecte logiciel ou un tech lead sécurité applicative. Pour un développeur pur, la CSSLP (autre certification ISC2) est plus ciblée. Pour un développeur qui pilote des équipes ou conçoit des plateformes, le CISSP reste pertinent.

Combien de temps pour préparer le CISSP en partant d’un Security+ ?

De six à neuf mois en travaillant 8 à 10 heures par semaine. Le Security+ couvre environ 30 % du CBK en surface ; le CISSP exige de doubler la profondeur sur tous les domaines et d’ajouter la couche gouvernance et architecture qui n’existe pas dans Security+.

Peut-on passer le CISSP avant d’avoir les cinq ans d’expérience ?

Oui, via le statut Associate of ISC2. Vous passez et réussissez l’examen au moment qui vous arrange, et vous avez ensuite six ans pour valider les cinq années d’expérience requises. C’est une stratégie recommandée pour figer le niveau d’examen quand vous êtes au pic de vos révisions.

Le CISSP vaut-il vraiment 749 USD plus 135 USD par an ?

Sur la durée d’une carrière sécurité senior, le différentiel salarial moyen rapporté dans les enquêtes ISC2 et indépendantes représente plusieurs dizaines de milliers de dollars par an. Le ratio coût/bénéfice est largement positif si vous êtes effectivement positionné sur des rôles d’architecte, RSSI ou consultant senior.

Que faire si on échoue à l’examen ?

Vous recevez un rapport indiquant les domaines en-dessous, à proximité et au-dessus de la barre. Vous attendez 30 jours, vous travaillez prioritairement les domaines marqués below proficiency, vous repassez. La majorité des candidats qui repassent dans un délai de deux à trois mois après un premier échec passent au deuxième essai.

Faut-il choisir entre le CISSP et le CISM ?

Les deux certifications sont complémentaires plus que concurrentes. Le CISSP penche vers l’architecture et l’expertise technique senior (8 domaines couvrant cryptographie, IAM, réseau, dev). Le CISM d’ISACA penche vers le management du programme sécurité (gouvernance, risque, conformité, gestion d’incident côté pilotage). Pour choisir selon votre poste cible, lire le comparatif détaillé CISM vs CISSP vs ISO 27001 Lead Auditor. La détention conjointe est fréquente chez les RSSI et consultants seniors et reste valorisée à l’embauche.

Le CBK 2024 sera-t-il bientôt remplacé ?

Le cycle de Job Task Analysis est triennal. Le prochain refresh est attendu autour d’avril 2027. D’ici là, le CBK actuel reste la référence — préparez avec des supports estampillés 2024 ou ultérieurs.

Ressources et références

• CISSP Certification Exam Outline (ISC2, avril 2024)
• ISC2 Exam Pricing — tarifs officiels 2026
• CISSP Exam Refresh FAQ
• Changes to the CISSP Exam Weighting (ISC2 Insights)
• CPE Handbook ISC2
• Code of Ethics ISC2
• Pearson VUE — réservation centre d’examen

Compléments PECB côté ISO

Le CISSP couvre la posture management transverse. Pour formaliser un titre côté système de management ISO, deux compléments naturels : PECB ISO/IEC 27001 Lead Implementer (déploiement SMSI) et PECB ISO/IEC 27001 Lead Auditor (audit selon ISO 19011 et 17021-1). Vue d’ensemble : panorama PECB 2026.