Certification sécurité IoT: un parcours en trois étapes, validé par la pratique

Comment savoir si une personne sait réellement évaluer la sécurité d’un objet connecté? Un CV qui mentionne « IoT » ne dit rien. Une certification généraliste en test d’intrusion non plus: elle valide des compétences web et réseau, rarement la capacité à extraire un firmware, écouter un bus ou analyser une liaison radio.

C’est pour répondre à cette question que DVID lance un nouveau parcours de certification. Il est construit comme nos trainings: du vrai matériel, des scénarios terrain, et une validation qui repose sur ce que le candidat sait faire, pas seulement sur ce qu’il sait réciter.

Pourquoi une certification dédiée à l’IoT

Trois constats reviennent chez nos clients.

Les compétences IoT sont à cheval sur plusieurs métiers. Électronique, firmware, radio, mobile, cloud. Peu de profils couvrent toute la chaîne, et aucun référentiel courant ne permet de vérifier lesquels.

Les décisions de sécurité ne sont pas prises que par des experts. Un acheteur qui sélectionne un capteur, un chef de projet qui intègre une passerelle, un intégrateur qui installe un équipement en télémaintenance prennent chaque jour des décisions qui engagent la sécurité du système. L’attaque contre les régulateurs frigorifiques de supermarchés en octobre 2026 l’a rappelé: les causes se jouaient à l’achat, à l’installation et à la maintenance.

La réglementation demande des preuves de compétence. Le Cyber Resilience Act et l’IEC 62443 imposent des tests de sécurité réguliers sur les produits. Encore faut-il pouvoir démontrer que les personnes qui conçoivent et qui testent ont le niveau requis.

Le parcours en un coup d’œil

Étape	Certification	Pour qui	Validation
1	DVID IoT Security Foundations	Acheteurs techniques, chefs de projet, intégrateurs	QCM de 40 questions (seuil 70 %) et recette sécurité notée
2	Tronc commun Expert	Profils techniques qui visent une certification Expert	Prérequis des deux spécialisations
3	DVID Embedded Pentest Expert ou DVID IoT Pentest Expert	Pentesters, auditeurs, ingénieurs sécurité produit	Examen pratique de 24 h, puis rapport noté

Le parcours est progressif. Foundations pose le socle. Le tronc commun Expert prépare aux deux spécialisations, entre lesquelles le candidat choisit selon son métier.

DVID IoT Security Foundations

Comprendre comment un objet est attaqué pour savoir le choisir, l’intégrer et le recetter.

Foundations ne forme pas des pentesters. Elle s’adresse à celles et ceux qui achètent, pilotent ou déploient des objets connectés et qui doivent comprendre les réponses de leurs fournisseurs.

• Public: acheteurs techniques, chefs de projet, intégrateurs.
• Effort: un socle de 29 heures, soit environ 4 jours.
• Validation: un QCM de 40 questions avec un seuil de réussite à 70 %, complété par une recette sécurité notée.
• Référentiel: couverture partielle du profil Cybersecurity Implementer du référentiel européen ECSF.

La recette sécurité est ce qui distingue Foundations d’une simple sensibilisation. Le candidat ne se contente pas de répondre à des questions. Il doit dérouler une recette sur un équipement et rendre un avis argumenté, comme il le ferait à la réception d’un produit.

Pour une illustration concrète du niveau visé, voir notre article sur les 5 questions de sécurité à poser avant d’acheter un objet connecté.

Les certifications Expert

Après le tronc commun, deux spécialisations sont proposées.

DVID Embedded Pentest Expert est centrée sur l’équipement lui-même: matériel, interfaces de debug, bus de communication, extraction et analyse de firmware.

DVID IoT Pentest Expert élargit le périmètre à tout l’écosystème de l’objet: liaisons radio, mécanismes de mise à jour, services cloud, réseaux LoRaWAN (à venir).

Les deux reposent sur le même principe d’examen:

• 24 heures de pratique sur une cible à auditer, sans questionnaire.
• Un rapport noté, parce qu’une vulnérabilité trouvée mais mal décrite, mal qualifiée ou sans remédiation exploitable n’a pas de valeur pour le client.
• Référentiel: profil Penetration Tester de l’ECSF.

Si vous hésitez entre les deux, notre article Pentest IoT ou pentest embarqué: quelles différences? détaille les périmètres.

Pourquoi s’adosser à l’ECSF

L’ECSF (European Cybersecurity Skills Framework) est le référentiel publié par l’ENISA, l’agence européenne pour la cybersécurité. Il décrit douze profils métier avec leurs missions, leurs compétences et leurs connaissances.

Rattacher chaque certification à un profil ECSF a deux intérêts. Pour un employeur ou un service RH, la certification se lit dans un cadre européen connu, et non dans un vocabulaire propre à DVID. Pour un donneur d’ordre, il devient possible d’écrire dans un cahier des charges une exigence vérifiable sur le niveau des intervenants.

Une validation par la pratique

Les labs se déroulent sur la carte DVID (ESP32 et STM32, Wi-Fi, BLE, UART, I2C, SPI, JTAG) et sur des environnements virtualisés. Les sessions et les scores sont enregistrés automatiquement, ce qui permet de tracer la progression de chaque candidat.

Les sujets abordés prolongent ceux que nous traitons déjà dans nos trainings: secrets dans le firmware, UART exposé et MQTT mal configuré, faiblesses du Bluetooth Low Energy.

Quelle certification pour quel besoin?

• Vous achetez ou déployez des équipements connectés (bâtiment, flotte, industrie): Foundations pour vos équipes, et une certification Expert à exiger de vos prestataires d’audit.
• Vous concevez des produits connectés: Foundations pour les chefs de projet et les responsables produit, Embedded Pentest Expert pour l’équipe sécurité produit.
• Vous êtes une société d’audit: les deux certifications Expert, selon que vos missions portent sur l’équipement seul ou sur l’écosystème complet.
• Vous êtes une école: Foundations comme socle commun, le tronc commun Expert pour les étudiants en spécialisation.

Questions fréquentes

Faut-il avoir Foundations pour passer une certification Expert?

Non. Selon votre niveau, vous pouvez passer directement une certification Expert. Nous recommandons toutefois de commencer par Foundations, qui permet de réviser les bases.

Les certifications se préparent-elles à distance?

Oui. Les contenus sont accessibles en ligne sur la plateforme DVID Experience, avec la carte DVID ou en environnement virtualisé.

Aller plus loin

Demander le programme détaillé ou une démonstration: https://dvid.eu/fr#contact
Accéder à la plateforme: https://experience.dvid.eu
Suivre notre actualité: https://www.linkedin.com/company/dvid/

La sécurité des objets connectés commence ici.