Lorsque le groupe allemand Deutsche Post DHL — l’un des plus grands opérateurs de messagerie au monde — a créé un poste sur mesure dédié à la cybersécurité à l’échelle mondiale pour David Thornewill, au sein de la division « mars 2020 », cela représentait bien plus qu’une simple marque de confiance envers son talent. Selon M. Thornewill, cela reflétait la prise de conscience que cette multinationale, dont les nombreuses divisions exercent leurs activités dans des centaines de pays, avait besoin d'une approche unifiée pour se prémunir contre les cyberattaques.
« À mesure que la cybersécurité occupait une place de plus en plus importante dans nos préoccupations et nos budgets, nous avons pris conscience de la nécessité d’une meilleure coordination », explique M. Thornewill. « Car les gens ne s’en prennent pas aux divisions, mais aux marques. »
Aujourd'hui, M. Thornewill occupe le poste de responsable de la sécurité des systèmes d'information (RSSI) du groupe au sein de ce géant de la logistique et prévoit de quitter son ancien poste de directeur des systèmes d'information (DSI) chargé des opérations du siège social l'année prochaine. (Cette entreprise est issue de la privatisation de la poste allemande et a réalisé un chiffre d'affaires de 77 milliards de dollars en 2020, selon
.) Compte tenu de sa taille et de ses réseaux de distribution, ses responsables de la cybersécurité jouent un rôle essentiel. Chaque division, notamment DHL Express, DHL Supply Chain et DHL Global Forwarding, dispose d'un directeur des systèmes d'information (DSI) et d'un responsable de la sécurité des systèmes d'information (RSSI), tout comme chaque unité opérationnelle. Le rôle de Thornewill consiste à coordonner les différentes initiatives en matière de cybersécurité entre tous ces acteurs.
Toutes les entreprises n'ont pas des besoins aussi importants que ceux de la Deutsche Post. Mais le nouveau poste de M. Thornewill met bien en évidence l' e importance croissante des RSSI qualifiés face à la crise mondiale actuelle de la cybersécurité, et cette notoriété accrue se reflète dans leur rémunération.
La rémunération totale médiane des responsables de la sécurité des systèmes d'information (RSSI) aux États-Unis a bondi de 19 % cette année, passant de 784 000 dollars en 2020 à 936 000 dollars, selon une enquête intitulée « » menée par le cabinet de recrutement Heidrick & Struggles. La rémunération totale a augmenté en moyenne de 12 %, les rémunérations les plus généreuses étant proposées par les entreprises de la côte ouest. Dans cette région, la rémunération annuelle totale s'élève en moyenne à plus d'un million de dollars dans les entreprises cotées en bourse et à 731 000 dollars dans les entreprises privées, selon une étude intitulée « » réalisée par Hitch Partners.
Les défis liés au recrutement
Alors que les entreprises sortent de la pandémie, reprennent leurs activités à leur niveau d'avant la crise, poursuivent leur transformation numérique « » et cherchent à sécuriser leurs réseaux, elles ont du mal à trouver des responsables de la sécurité des systèmes d'information (RSSI).
Une recherche de plus en plus difficile : les professionnels de la sécurité sont confrontés à un épuisement professionnel lié à l’ dû au stress lié à leur fonction, et les candidats se montrent de plus en plus exigeants quant au salaire ou à la hiérarchie qu’ils sont prêts à accepter.
En conséquence, des professionnels tels que Bryan Kissinger, vice-président et RSSI chez Trace3, un cabinet de conseil en technologie et en informatique, consacrent de plus en plus de temps à mettre à disposition des RSSI consultants auprès d’organisations qui n’ont pas les moyens de les embaucher de manière permanente. Si Kissinger affirme qu’un déséquilibre entre l’offre et la demande de talents est bénéfique pour les affaires, il y a toutefois un revers à la médaille. « Je travaille avec d’anciens responsables de la sécurité des systèmes d’information (RSSI) et je suis confronté chaque jour au défi de les fidéliser et de leur offrir une rémunération suffisante pour maintenir leur motivation », explique-t-il.
[À lire également : Qu'est-ce qu'un score de cyber-risque et pourquoi est-il important ?]
Deutsche Post relève ce défi en renforçant les compétences de ses collaborateurs qui possèdent déjà des compétences en sécurité des applications, en DevOps, en gestion des risques ou en détection des menaces, en les aidant à obtenir les certifications nécessaires et en leur proposant un accompagnement professionnel. « Je préfère embaucher quelqu’un de passionné plutôt que quelqu’un de diplômé », déclare Thornewill. « Je peux toujours former une personne passionnée », dit-il.
Les RSSI doivent faire preuve d’adaptabilité et de vivacité d’esprit ; il est également utile qu’ils soient bilingues, c’est-à-dire capables de s’exprimer à la fois dans le langage technique et dans celui de l’ r les résultats opérationnels à un public de dirigeants. Selon l'enquête Heidrick, environ 90 % des responsables de la sécurité des systèmes d'information (RSSI) font des présentations devant les conseils d'administration, et les trois quarts d'entre eux le font chaque trimestre. « Les conseils d’administration posent plus de questions que jamais sur les technologies », déclare Martha Heller, PDG de Heller Search Associates, une société spécialisée dans le recrutement de DSI, de directeurs techniques et de responsables de la sécurité des systèmes d’information au sein des entreprises. « La capacité du RSSI à savoir s'adresser au PDG, au directeur financier et au conseil d'administration est la compétence principale que nous recherchons. »
Qui rend compte à qui ?
Pour les RSSI, la question de savoir à qui ils rendent compte devient un facteur déterminant dans l'évaluation des offres d'emploi. Dans de nombreux secteurs d'activité, les RSSI relèvent traditionnellement des DSI. Cette situation a souvent suscité des accusations de conflit d'intérêts de la part des RSSI, qui se plaignent de voir leurs priorités en matière de sécurité reléguées au second plan par rapport aux objectifs opérationnels et commerciaux du DSI.
«La capacité du RSSI à savoir s’adresser au PDG, au directeur financier et au conseil d’administration est la compétence principale que nous recherchons. »Martha Heller, PDG de Heller Search Associates
Aujourd’hui, il est encore courant que les RSSI relèvent d’un DSI, selon l’enquête Heidrick, dans laquelle 38 % des personnes interrogées ont cité cette structure hiérarchique, 16 % relevaient d’un directeur technique ou d’un responsable de l’ingénierie, 12 % d’un directeur des opérations ou d’un cadre administratif, 11 % du PDG, et les autres d’une poignée d’autres fonctions, notamment celles de RSSI mondial et de directeur des risques.
« Les risques de conflits au niveau des lignes hiérarchiques sont bien réels », affirme M. Thornewill. Par exemple, un RSSI peut souhaiter que les clients utilisent l'authentification multifactorielle proposée par , mais le DSI préférerait privilégier la facilité d'utilisation. Les responsables de la sécurité des systèmes d'information (RSSI) ne peuvent pas s'attendre à l'emporter dans tous les cas, car accepter une certaine part de risque fait partie intégrante de la vie des entreprises. Mais ils souhaitent que leurs préoccupations soient prises au sérieux, explique M. Thornewill.
Au sein de sa propre structure d'entreprise, M. Thornewill rend compte directement au PDG de Deutsche Post. Il précise que ce sont les RSSI des principales divisions du groupe qui assurent l'essentiel du travail de sécurisation de l'organisation et qui relèvent d'une structure hiérarchique plus traditionnelle. « Les RSSI des divisions relèvent du DSI local ; je ne suis pas certain que ce soit la meilleure organisation, mais c’est ainsi que nous procédons », explique M. Thornewill.
Il tente d'offrir aux RSSI des divisions « une autre option » s'ils ne sont pas écoutés. « Il convient de réfléchir sérieusement » à la question de savoir à qui le RSSI devrait rendre compte — peut-être au directeur des opérations, à défaut du PDG —, déclare M. Thornewill.
Selon M. Kissinger, la structure idéale varie probablement en fonction du degré de maturité du programme de cybersécurité. Si une organisation dispose d'un programme bien structuré, il pourrait alors être utile que le RSSI bénéficie d'une plus grande autonomie. D'un autre côté, pour un responsable de la sécurité des systèmes d'information (RSSI) en entreprise qui cherche à développer et à mettre en place un protocole de cybersécurité, « faire partie de l'équipe informatique peut s'avérer très, très utile », ajoute-t-il.
Le rôle en constante évolution du RSSI
Alors que la demande de responsables de la sécurité des systèmes d'information (RSSI) ne cesse de croître, leurs rôles et leurs responsabilités évoluent constamment.
Traditionnellement, ce poste exige des compétences techniques en informatique ainsi qu'une connaissance approfondie de la sécurité des réseaux et des applications, des tests d'intrusion, de l' e et des contre-mesures défensives. À mesure que le besoin d'outils et de processus de sécurité plus sophistiqués et plus coûteux s'accroît, les RSSI doivent apporter une vision stratégique et une expertise dans d'autres domaines de l'entreprise, tels que les finances et la conformité.
Le RSSI doit également être à la fois un communicateur chevronné et un expert en matière de gouvernance, de réglementation, de gestion des risques et d'audit.
[À lire également : Qu'est-ce que la recherche de menaces et pourquoi est-ce important ?]
Thornewill est titulaire d'un MBA, ce qui lui permet de parler le langage des affaires et de la finance lorsqu'il s'entretient avec le PDG et le directeur financier. Au cours de ses 20 années passées au sein de l'entreprise, il a occupé des fonctions dans de nombreux secteurs de celle-ci, notamment la logistique. Il explique que certains de ses collègues RSSI possèdent des compétences techniques plus approfondies, tandis que d'autres ont une formation en finance et en conformité. Avant tout, affirme M. Thornewill, les RSSI doivent faire preuve de curiosité et ne cesser d'apprendre.
Intégration
Étant donné que la valeur des RSSI réside de plus en plus dans leur formation en cours d'emploi, les employeurs se montrent de plus en plus disposés à considérer des candidats qui ne répondent qu'à certaines des qualités figurant sur leur liste de critères et qui font preuve d'un potentiel d'évolution.
« Nous travaillons principalement avec des candidats qui ne sont pas encore tout à fait au point », explique Michael Piacente, associé gérant et cofondateur de Hitch Partners, une société qui recrute des talents en cybersécurité pour des entreprises technologiques spécialisées dans le cloud. Il explique que les candidats peuvent disposer d'un « super-pouvoir » particulier dans les domaines de la sécurité des réseaux, de la sécurité des applications ou de la gouvernance, des risques et de la conformité, mais qu'ils ont besoin d'être accompagnés pour développer d'autres compétences, comme la capacité à communiquer avec le conseil d'administration sans recourir au jargon.
Une stratégie pour attirer un RSSI de talent consiste à répondre à ses aspirations, par exemple en lui proposant un siège au conseil d'administration. Dans l'enquête menée par Heidrick, alors que seuls 4 % des RSSI ont déclaré siéger au conseil d'administration, la moitié d'entre eux ont indiqué souhaiter y siéger. Selon M. Heidrick, cet objectif pourrait être réalisable, étant donné que de nombreux RSSI siègent déjà au sein de comités consultatifs, « et que la cybersécurité ne cessera de gagner en importance à mesure que de plus en plus d'aspects des activités deviendront entièrement numériques ».
[À lire également : On ne peut pas faire face aux menaces de demain avec la mentalité d'hier]
L'un des principaux défis en matière de recrutement réside dans le vivier traditionnel de talents pour les RSSI. Dans l'enquête menée par Heidrick auprès des RSSI, plus de 80 % des personnes interrogées étaient de race blanche et plus de 80 % étaient des hommes. Cela pourrait changer dans un avenir proche. Cette année, selon ce recruteur, « on constate une plus grande diversité parmi les personnes occupant le poste de RSSI et un intérêt accru de la part des entreprises pour le recrutement de RSSI issus de la diversité ».
Selon Heidrick, les entreprises devraient de plus en plus se tourner vers des profils extérieurs à leur secteur d’activité traditionnel « afin de trouver les meilleurs cadres pour ces postes, notamment des personnes issues de la diversité en termes de genre, d’origine ethnique ou de race, ainsi que d’expertise sectorielle et fonctionnelle ».
