À l’heure où l’intelligence artificielle transforme profondément les méthodes d’attaque et de défense numériques, la cybersécurité s’impose comme un enjeu stratégique pour les entreprises, les administrations et surtout le secteur financier. Dans cet entretien accordé à Horonya Finance, Younoussa Sanfo, expert en cybersécurité, investigation numérique et intelligence artificielle, revient sur sa récente certification Certified EC-Council Instructor (CEI) obtenue en août 2026, mais aussi sur les ambitions de HORUSLABS, désormais Accredited Training Center d’EC-Council au Burkina Faso. De la formation aux standards internationaux à la protection des PME, des banques et des fintechs, il livre son diagnostic sur les vulnérabilités du tissu économique burkinabè et défend une approche fondée sur le développement du capital humain, les capacités locales et la souveraineté numérique. Avec un objectif affiché de former au moins 5 000 personnes à la cybersécurité au cours des dix prochaines années, Younoussa Sanfo veut contribuer à faire du Burkina Faso un pôle régional de compétences en cybersécurité et en intelligence artificielle sécurisée.
Horonya Finance (H.F) : Vous venez d’obtenir une nouvelle certification internationale en cybersécurité. Pour le grand public qui ne connaît pas nécessairement cette certification, que représente-t-elle concrètement, quelles compétences valide-t-elle ?
Younoussa SANFO ( Y.S) : La certification dont il est question est celle de Certified EC-Council Instructor, ou CEI, qui m’a été délivrée le 6 août 2026. EC-Council est une organisation internationale spécialisée dans les certifications professionnelles en cybersécurité, en investigation numérique et, désormais, dans certains domaines liés à l’intelligence artificielle.
Pour obtenir le CEI, il ne suffit pas d’être un bon formateur ou communicateur. Il faut justifier d’une expertise technique, d’une expérience de formation, de références professionnelles et satisfaire aux exigences d’évaluation d’EC-Council. Dans mon cas, cette reconnaissance est intervenue après une importante remise à niveau de mes certifications techniques. En 2026, j’ai notamment renouvelé ou obtenu les certifications Certified Network Defender, Certified Ethical Hacker, Certified Threat Intelligence Analyst et Certified Cloud Security Engineer. Elles couvrent la défense des réseaux, le hacking éthique, le renseignement sur les menaces et la sécurité du cloud.
Le CEI valide donc la capacité à enseigner les contenus officiels EC-Council avec le niveau technique, la méthode pédagogique et l’éthique attendus. Pour le grand public, l’idée essentielle est simple : mes compétences ne reposent pas uniquement sur mon expérience déclarée ; elles ont de nouveau été confrontées à des examens et à des critères internationaux récents.
Il faut dire aussi que mon dossier a été jugé solide parce que l’Université Thomas Sankara m’a sponsorisé en attestant que depuis quelques années, j’enseigne aux BAC+5 un master 2 en Droit pénal et Sciences Criminelles, ainsi qu’un Master 2 en Sciences Politiques et Juridiques.
Et ce n’est pas tout, l’ONUDC un organisme des Nations Unies m’a également sponsorisé en attestant que depuis 2020, je contribue à la formation de plusieurs unités spéciales dans la police et la gendarmerie de plusieurs pays d’Afrique francophone. Au Burkina Faso, la BCLCC est l’une de ces unités.
(H.F) : Vous êtes désormais également instructeur certifié. Quelle différence y a-t-il entre détenir une certification professionnelle en cybersécurité et être habilité à former et à certifier à son tour des professionnels dans ce domaine ?
( Y.S) : Détenir une certification professionnelle signifie que mes propres compétences ont été évaluées sur un domaine donné. Le CND évalue par exemple des compétences de défense des réseaux ; le CEH porte sur le hacking éthique ; le CTIA sur le renseignement relatif aux menaces ; le CCSE sur la sécurité des environnements cloud. Être Certified EC-Council Instructor, ou CEI, ajoute une autre dimension : il faut non seulement maîtriser les contenus techniques, mais aussi être capable de les transmettre conformément aux méthodes et aux exigences pédagogiques d’EC-Council.
Je tiens toutefois à apporter une précision importante : être instructeur certifié ne signifie pas que je délivre moi-même les certifications. Je suis habilité à dispenser les cursus officiels et à préparer les candidats. La certification est ensuite obtenue par le candidat après avoir satisfait aux conditions et réussi l’examen prévu par EC-Council.
Le CEI engage donc une responsabilité particulière. Un bon technicien peut savoir faire ; un instructeur doit en plus savoir expliquer, démontrer, évaluer la progression, corriger les erreurs et replacer les outils dans un cadre professionnel, juridique et éthique.
(H.F) : Cette nouvelle reconnaissance intervient dans un contexte où les cybermenaces évoluent rapidement, notamment avec l’intelligence artificielle. Qu’est-ce qui vous a poussé à poursuivre continuellement de nouvelles certifications et à actualiser vos compétences ?
( Y.S) : La cybersécurité est un domaine dans lequel l’expérience reste indispensable, mais où l’expérience seule peut devenir insuffisante si elle n’est pas régulièrement actualisée. Les méthodes d’attaque, les architectures, les outils, les cadres réglementaires et les usages évoluent rapidement. L’intelligence artificielle accélère encore ce mouvement : elle améliore certaines capacités défensives, mais elle facilite aussi l’automatisation, la personnalisation des campagnes de fraude et la production de contenus trompeurs.
Certaines de mes certifications initiales remontaient à plus de vingt-cinq ans. J’ai donc décidé de les repasser et d’élargir le périmètre. En huit mois, j’ai présenté sept certifications. L’exercice n’a pas été symbolique : j’ai même échoué à l’un des examens avant de le reprendre. Cela m’a rappelé une règle saine de notre métier : l’ancienneté donne de l’expérience, mais elle ne dispense jamais de se remettre en question.
Cette démarche a également conduit EC-Council à s’intéresser à mon parcours et à me proposer de devenir instructeur. Le processus final a notamment comporté une évaluation de seize heures, répartie sur deux jours et entièrement en anglais. Ma motivation est donc double : rester techniquement pertinent et garantir aux personnes que je forme ou accompagne que mes recommandations reposent sur des connaissances éprouvées, actualisées et confrontées aux standards internationaux.
(H.F) : HorusLabs est désormais un centre de formation agréé. Qu’est-ce que cet agrément change concrètement dans les activités de la structure et dans les formations qu’elle peut désormais proposer aux professionnels et aux organisations ?
( Y.S) : Depuis le 21 juillet 2026, HORUSLABS est un Accredited Training Center d’EC-Council, sous l’identifiant EATC45251. Il s’agit précisément d’une accréditation EC-Council pour la formation, et non d’un agrément administratif général couvrant toutes les activités de cybersécurité. Cette reconnaissance nous permet de proposer au Burkina Faso des parcours officiels avec les contenus, les méthodes et les mécanismes d’évaluation prévus par EC-Council.
Concrètement, nous pouvons organiser des formations préparant notamment à des certifications comme CEH, CHFI, CSCU ou Artificial Intelligence Essentials – AIE, selon les sessions ouvertes. Les participants bénéficient d’un cadre local, d’un instructeur certifié et d’un accompagnement adapté à leur niveau, tout en suivant un référentiel international.
Pour les entreprises et les administrations, cela facilite également la construction de plans de montée en compétences cohérents : sensibilisation des utilisateurs, formation des équipes techniques, spécialisation en investigation numérique ou développement d’une culture responsable de l’intelligence artificielle. L’enjeu n’est pas seulement de faire réussir un examen, mais de transformer la certification en compétences réellement mobilisables sur le terrain.
Cette accréditation complète d’autres reconnaissances déjà obtenues par HORUSLABS : un agrément technique en matière informatique délivré par le ministère chargé de la Transition digitale, ainsi qu’un agrément de l’ANAC-BF comme centre de formation au pilotage de drones. Les objets sont différents, mais ils traduisent la même volonté : exercer dans un cadre vérifiable et répondre à des exigences institutionnelles précises.
(H.F) : Vous avez annoncé de grandes ambitions en matière de formation aux métiers de la cybersécurité. Où en est aujourd’hui HorusLabs dans cette mission ?
( Y.S) : L’obtention du statut ATC et de la certification CEI marque le passage d’une ambition à une capacité opérationnelle mieux structurée. HORUSLABS Academy peut désormais déployer localement des formations officielles EC-Council, du niveau sensibilisation jusqu’aux parcours plus techniques en cybersécurité et en investigation numérique.
Notre mission s’organise autour de plusieurs publics : les professionnels déjà en fonction, les étudiants, les personnes en reconversion, les entreprises qui souhaitent renforcer leurs équipes et les jeunes qui veulent découvrir ces métiers. Nous voulons éviter deux écueils : réserver la cybersécurité à une petite élite technique, ou, à l’inverse, réduire la formation à quelques démonstrations spectaculaires sans compétences durables.
Les premières sessions sont déjà programmées. Les formations CEH et CSCU sont annoncées du 14 au 18 septembre 2026, puis du 28 septembre au 2 octobre 2026. Les sessions Artificial Intelligence Essentials – AIE sont prévues les 5 et 6 octobre, puis les 12 et 13 octobre 2026. Nous avons donc dépassé le stade de l’annonce : les programmes, les supports et le dispositif d’inscription sont en place.
Cette logique commence très tôt avec ACES, qui initie les enfants et les adolescents à la programmation, à la robotique, à l’intelligence artificielle, aux drones et à la résolution de problèmes. Les résultats obtenus récemment par des jeunes passés par ACES dans des compétitions internationales renforcent notre conviction : les talents existent au Burkina Faso. Notre responsabilité est de construire une continuité entre l’éveil scientifique, la formation professionnelle et l’expertise de haut niveau.
(H.F) : Au-delà de la formation, quel rôle HorusLabs entend-il jouer dans la protection des entreprises et des organisations face aux cyberattaques ? Quels types d’accompagnement ou d’expertise proposez-vous aujourd’hui ?
( Y.S) : Au-delà de la formation, HORUSLABS se positionne sur la prévention, la préparation et l’appui à la réponse aux incidents. Notre expérience se situe notamment à l’intersection de la cybersécurité, des investigations numériques, de la criminalistique numérique et de l’intelligence artificielle.
L’accompagnement peut prendre plusieurs formes : évaluation des risques et des pratiques, sensibilisation des équipes, préparation à la gestion d’incident, appui à la préservation et à l’analyse des traces numériques, renforcement des procédures, exercices de crise et recommandations de sécurisation. Pour une organisation victime d’un incident, l’objectif n’est pas uniquement de remettre les systèmes en marche. Il faut aussi comprendre ce qui s’est passé, limiter la propagation, préserver les éléments utiles à l’enquête et réduire le risque de récidive.
Nous défendons une approche proportionnée. Toutes les entreprises n’ont pas besoin du même dispositif, mais toutes doivent connaître leurs actifs critiques, leurs dépendances, leurs responsabilités et la conduite à tenir lorsqu’un incident survient. HORUSLABS n’a pas vocation à vendre de la peur ; notre rôle est de transformer un risque parfois abstrait en mesures concrètes, réalistes et vérifiables.
(H.F) : Si l’on élargit la réflexion à l’ensemble du tissu économique, quel est votre diagnostic sur le niveau de préparation des entreprises burkinabè face aux cybermenaces ? Les entreprises considèrent-elles encore suffisamment la cybersécurité comme un investissement stratégique ?
( Y.S) : Il n’existe pas, à ma connaissance, de mesure publique exhaustive permettant d’attribuer une note unique à l’ensemble des entreprises burkinabè. Le niveau de préparation est très hétérogène : certaines organisations ont engagé des efforts importants, tandis que d’autres restent dépendantes de quelques personnes, de procédures informelles ou de solutions techniques non testées.
Mon observation de terrain est que la cybersécurité est encore trop souvent abordée après un incident, lors d’un audit imposé ou au moment d’acquérir un outil. Or un antivirus, un pare-feu ou une sauvegarde ne constituent pas à eux seuls une stratégie. La préparation suppose une gouvernance, des responsabilités claires, des mises à jour, des contrôles d’accès, des sauvegardes restaurables, un plan de continuité et des exercices réguliers.
La cybersécurité doit être considérée comme un investissement stratégique parce qu’elle protège la continuité des opérations, les données, les finances, la réputation et la confiance. Elle ne doit pas être perçue uniquement comme une dépense du service informatique. Le dirigeant doit savoir quels risques peuvent interrompre son activité et quelles capacités sont réellement disponibles pour y répondre.
(H.F) : Les cyberattaques ne concernent plus uniquement les grandes organisations. Les PME sont également ciblées alors qu’elles disposent souvent de moyens limités. Quelles sont les principales vulnérabilités des PME et quelles mesures prioritaires devraient-elles prendre ?
( Y.S) : Les PME cumulent souvent plusieurs fragilités : moyens limités, dépendance à un prestataire ou à une seule personne, mots de passe partagés, absence d’inventaire, logiciels non mis à jour, sauvegardes connectées en permanence et faible préparation des utilisateurs face au phishing. Les comptes de messagerie constituent une cible particulièrement sensible, car leur compromission peut ouvrir la voie à la fraude, à l’usurpation d’identité et à l’accès à d’autres services.
Les mesures prioritaires sont accessibles si elles sont appliquées avec discipline. Premièrement, inventorier les équipements, comptes, applications et données critiques. Deuxièmement, activer l’authentification multifacteur, en priorité sur les messageries, les accès distants et les comptes administrateurs. Troisièmement, mettre à jour les systèmes et supprimer les accès inutiles. Quatrièmement, disposer de sauvegardes séparées, protégées et régulièrement testées par une restauration. Cinquièmement, former les employés à reconnaître les messages suspects et établir une procédure simple de signalement.
Enfin, chaque PME devrait préparer une fiche de réaction à l’incident : qui appeler, quels systèmes isoler, comment préserver les preuves, comment poursuivre les activités essentielles et comment communiquer. En situation de crise, dix lignes claires préparées à l’avance valent souvent mieux qu’un manuel de cent pages que personne n’a lu.
(H.F) : Le secteur bancaire et financier est particulièrement sensible en raison des données et des flux financiers qu’il traite. Quelles sont aujourd’hui les principales menaces qui pèsent sur les banques, les institutions de microfinance, les fintechs et les établissements de paiement au Burkina Faso ?
( Y.S) : Le secteur financier est exposé à une combinaison de menaces techniques et de fraudes. On peut citer le phishing et l’ingénierie sociale, la compromission des messageries professionnelles, le vol d’identifiants, les logiciels malveillants, les rançongiciels, les attaques contre les applications web et mobiles, les interfaces de programmation, les prestataires et la chaîne d’approvisionnement. Les attaques par déni de service peuvent également perturber la disponibilité des services.
Pour les banques, les institutions de microfinance, les fintechs et les établissements de paiement, le risque ne se limite pas au vol direct d’argent. Une modification de coordonnées de paiement, une usurpation de compte, une fuite de données, une compromission interne ou une indisponibilité prolongée peuvent avoir des conséquences financières, juridiques et réputationnelles majeures.
La croissance des services numériques augmente la surface d’attaque. Chaque interconnexion, application, prestataire ou terminal doit être intégré à la gestion des risques. Il faut aussi surveiller la fraude assistée par l’intelligence artificielle, notamment les messages très personnalisés, les imitations de voix ou d’image et les documents falsifiés. L’IA ne crée pas toutes ces fraudes, mais elle peut les rendre plus rapides, plus crédibles et plus faciles à industrialiser.
(H.F) : Une cyberattaque contre une banque peut provoquer des pertes financières, perturber les services et surtout affecter la confiance des clients. Les établissements financiers burkinabè sont-ils suffisamment préparés à faire face à une attaque majeure et à assurer la continuité de leurs activités ?
( Y.S) : Je ne peux pas affirmer globalement que tous les établissements financiers burkinabè sont suffisamment préparés, pas plus que je ne peux affirmer le contraire sans audits, tests et exercices documentés. La préparation réelle ne se mesure pas au nombre d’équipements de sécurité achetés. Elle se vérifie par la capacité à détecter, contenir, restaurer et communiquer dans un délai compatible avec les activités critiques.
Un établissement préparé doit connaître ses services essentiels et leurs dépendances, disposer de sauvegardes protégées et testées, prévoir des modes de fonctionnement dégradés, définir les responsabilités de crise et organiser des exercices associant la direction, les équipes techniques, les métiers, la communication, le juridique et les prestataires. Les scénarios doivent inclure l’indisponibilité des systèmes, la compromission d’un prestataire, la fraude interne, la fuite de données et l’attaque par rançongiciel.
La continuité d’activité ne doit pas rester un document rangé dans une armoire. Elle doit être testée. Une sauvegarde que l’on n’a jamais restaurée est une promesse ; une procédure que l’on n’a jamais exercée est une hypothèse.
(H.F) : L’intelligence artificielle peut être utilisée aussi bien par les cybercriminels que par les spécialistes de la cybersécurité. Comment les banques et les entreprises peuvent-elles tirer parti pour anticiper les attaques et renforcer la protection de leurs systèmes ?
( Y.S) : L’intelligence artificielle peut aider à analyser de grands volumes de journaux, repérer des comportements inhabituels, détecter certaines fraudes, classer les alertes, identifier des campagnes de phishing et accélérer l’analyse initiale d’un incident. Elle peut aussi contribuer à la priorisation des vulnérabilités et à la recherche d’indicateurs dans des volumes de données difficiles à traiter manuellement.
Cependant, l’IA ne doit pas devenir une boîte noire à laquelle on délègue la décision. Ses résultats peuvent être incomplets, biaisés ou erronés. Les banques et les entreprises doivent encadrer son usage : qualité et localisation des données, contrôle des accès, traçabilité, validation humaine, tests, protection de la confidentialité et suivi des performances. Un outil d’IA connecté à des données sensibles sans gouvernance peut créer un nouveau risque au lieu de réduire les risques existants.
Nous défendons également le développement de solutions d’IA locales et sécurisées lorsque la sensibilité des données l’exige. Le bon modèle n’est pas nécessairement de tout envoyer vers un service distant. Il faut choisir l’architecture en fonction des risques, des usages et du niveau de souveraineté recherché. L’IA doit augmenter la capacité des analystes, pas remplacer leur responsabilité.
(H.F) : À l’horizon des cinq à dix prochaines années, quelle est votre ambition pour HorusLabs et, plus largement, quelle place le Burkina Faso peut-il occuper dans le domaine de la cybersécurité en Afrique de l’Ouest ?
( Y.S) : Dans les cinq à dix prochaines années, mon ambition est de faire de HORUSLABS un pôle régional reconnu pour la formation, la cybersécurité opérationnelle, les investigations numériques et l’intelligence artificielle sécurisée. Nous nous sommes fixé un objectif ambitieux : contribuer à former au moins 5 000 personnes à la cybersécurité au cours des dix prochaines années. Cela suppose de développer des laboratoires pratiques, d’accompagner les organisations et de construire des solutions adaptées à nos contraintes, notamment des capacités locales et hors ligne lorsque les données ne doivent pas quitter l’organisation.
Cette ambition commence par le capital humain. Avec ACES, nous éveillons très tôt la curiosité scientifique et technologique des enfants. Avec HORUSLABS Academy, nous organisons la progression vers les compétences professionnelles et les certifications internationales. À terme, il faut créer une chaîne continue : découverte, formation, spécialisation, recherche appliquée, emploi et entrepreneuriat.
Le Burkina Faso peut occuper une place crédible en Afrique de l’Ouest s’il mise sur ses talents, la coopération entre l’État, les universités et le secteur privé, la formation pratique, la recherche appliquée et la création de capacités locales. La souveraineté numérique ne consiste pas seulement à héberger des données sur le territoire. Elle suppose aussi de maîtriser les infrastructures, les outils de traitement, les compétences, les procédures et les choix stratégiques.
Nous n’avons pas besoin d’attendre d’avoir les moyens des grandes puissances pour commencer. Nous devons identifier les domaines dans lesquels nous pouvons être excellents, former des équipes solides et produire des solutions utiles à nos réalités. La place du Burkina Faso se construira moins par les déclarations que par la compétence, la confiance et la constance.
Réalisée par Drissa Ouattara
