Les cabinets de conseil sont des sociétés de services professionnels engagées par d'autres organisations pour évaluer, concevoir et améliorer leur posture de sécurité. Plutôt que de concevoir un produit ou de défendre une seule entreprise, ils vendent de l'expertise et de la main d'oeuvre auprès de nombreux clients, en réalisant leurs travaux dans le cadre de missions limitées dans le temps. La catégorie englobe les pratiques de sécurité et de gestion des risques des grands cabinets pluridisciplinaires, comme les principaux cabinets d'audit et de conseil en management, mais aussi des spécialistes de taille intermédiaire et de petites boutiques concentrées sur un seul domaine, comme la sécurité applicative ou la gouvernance. Les clients font appel à eux pour un jugement indépendant, pour des capacités qu'ils ne conservent pas en interne et pour une expérience acquise dans de multiples secteurs qu'une équipe interne accumule rarement par elle même.
Le travail s'organise autour de missions dont le périmètre, les livrables et les délais sont définis. Un consultant peut évaluer le programme d'un client au regard d'un référentiel, concevoir une architecture de sécurité, mener un pentest, piloter une réponse à incident ou accompagner une démarche de conformité vers une norme telle que SOC 2, ISO 27001 ou PCI DSS. Le résultat prend généralement la forme d'un rapport, d'une feuille de route, d'un ensemble de recommandations ou d'un système corrigé, accompagné d'une restitution à la direction du client. Le quotidien mêle travail technique ou analytique et communication avec le client, et une grande partie de la valeur d'un consultant tient à sa capacité à traduire les constats en décisions sur lesquelles un responsable métier peut agir. Le taux d'utilisation, c'est à dire la part du temps facturé aux clients, et la capacité à passer proprement d'une mission à la suivante façonnent le ressenti du travail et la manière dont la performance est mesurée.
Le conseil récompense les personnes qui allient de solides connaissances en sécurité à de bonnes capacités rédactionnelles, à une pensée structurée et à de l'aisance face aux clients. Les débutants arrivent souvent d'un poste de sécurité en interne, d'une spécialité technique, ou directement d'un cursus universitaire vers un poste d'analyste dans un grand cabinet, où ils apprennent le métier sur des missions encadrées. Les certifications ont du poids, car les clients et les cabinets s'en servent comme signaux de compétence, et l'étendue de l'exposition fait que les consultants développent souvent une spécialité avec le temps, que ce soit en tests offensifs, en sécurité du cloud, en risques et conformité ou en protection de la vie privée. La progression va généralement de la réalisation des travaux à la conduite de missions et au management d'équipes, puis, à terme, à la vente de missions et à la gestion des relations clients, les niveaux les plus élevés combinant crédibilité technique et développement commercial.
Dans le paysage plus large, les cabinets de conseil se tiennent aux côtés des catégories voisines en tant que prestataires de services plutôt que concepteurs de technologie. Les éditeurs de sécurité et les entreprises technologiques conçoivent et exploitent les produits et plateformes que les organisations achètent, tandis que les organismes de normalisation définissent les référentiels et les exigences au regard desquels les programmes sont mesurés. Les cabinets de conseil s'appuient sur l'ensemble de ces acteurs, en appliquant les outils des éditeurs et les normes reconnues à la situation particulière d'un client, et leur indépendance vis à vis de tout produit unique fait souvent partie de ce que le client paie. Les passages entre ces univers sont fréquents, et le temps passé en conseil expose un professionnel à un large éventail d'environnements, ce qui peut accélérer l'accès à un rôle spécialisé ou de direction ailleurs.