CCOA Certified Cybersecurity Operations Analyst.

Le Certified Cybersecurity Operations Analyst (CCOA) est la certification d'ISACA destinée aux personnes qui travaillent au sein du centre d'opérations de sécurité et réalisent le travail technique, et non à celles qui rédigent la politique au-dessus d'elles. Elle est construite autour de la réalité quotidienne d'un SOC : surveiller la télémétrie, distinguer les signaux réels du bruit, investiguer les alertes, contenir les incidents et ramener les systèmes à un état sain connu. Là où la plupart des certifications ISACA valident la gouvernance, l'audit ou le jugement managérial, le CCOA valide votre capacité à exploiter réellement l'outillage et à répondre à ce qu'il révèle.

Ce que le CCOA valide

Le CCOA s'organise autour du cycle de vie opérationnel que vit un défenseur au cours d'une semaine ordinaire. Les compétences qu'il certifie correspondent au travail de surveillance d'un environnement, de reconnaissance d'une anomalie, d'action en conséquence et de rétablissement du service. Concrètement, cela implique une maîtrise dans quelques domaines connectés.

• Surveillance et détection : exploiter les journaux, la télémétrie réseau et endpoint, ainsi que l'outillage de détection pour repérer une activité anormale ou malveillante plutôt que d'attendre qu'elle soit signalée.
• Tri et investigation : décider quelles alertes sont réelles, délimiter le rayon d'impact et reconstituer ce qui s'est passé à partir des preuves disponibles.
• Réponse aux incidents : contenir, éradiquer et récupérer après un incident, puis consigner ce qui a été appris afin que la même faille ne se rouvre pas.
• Aisance technique sous-jacente : réseaux, systèmes d'exploitation, techniques d'attaque courantes et contrôles de sécurité qui s'intercalent entre un attaquant et l'actif.

Le CCOA face au CISM et au reste de la pile ISACA

La manière la plus claire de situer le CCOA consiste à se demander qui détient quelle question. Le CISM, certification phare de management d'ISACA, s'adresse à la personne responsable du programme de sécurité : stratégie, gouvernance, risque et cadre de gestion des incidents. Le CCOA s'adresse à la personne qui exécute au sein de ce cadre lorsqu'une alerte se déclenche à 2 h du matin. Ils sont complémentaires, et non concurrents. Une équipe peut judicieusement faire travailler un manager titulaire du CISM qui fixe le cap et des analystes titulaires du CCOA qui assurent la défense opérationnelle en dessous. C'est précisément pour cela que la shortDefinition qualifie le CCOA de compagnon technique du CISM.

Parce que le CCOA est centré sur l'exécution, il convient mal à quelqu'un qui souhaite évoluer vers l'audit ou la gouvernance et convient parfaitement à quelqu'un qui veut faire reconnaître sa capacité opérationnelle. Les analystes et les intervenants obtiennent un signal neutre vis-à-vis des fournisseurs attestant qu'ils savent défendre un environnement ; les managers et les auditeurs sont généralement mieux servis par le CISM, le CISA ou le CRISC. Traitez le choix comme une question de rôle, et non de séniorité.

À qui s'adresse-t-il

Le CCOA a surtout du sens pour des praticiens déjà engagés dans un rôle opérationnel de blue team ou en transition vers un tel rôle : analystes SOC de niveau un et deux, intervenants en réponse à incident débutants et ingénieurs de détection qui veulent une certification reconnue reflétant ce qu'ils font réellement. C'est aussi une étape cohérente pour des personnes parties du versant technique et qui veulent un badge adossé à ISACA sans basculer vers le management. Comme pour toute certification, les employeurs évaluent in fine la capacité démontrée ; la valeur du CCOA est donc de fournir une manière structurée et neutre vis-à-vis des fournisseurs de prouver les compétences opérationnelles que son intitulé désigne.