Même si les universités et les écoles de commerce perdent de plus en plus de diplômés sur le terrain, des centaines de milliers de postes en cybersécurité ne sont pas pourvus, de nombreuses entreprises subissant un manque de personnel alors qu’elles traînent le processus de recrutement. Il est difficile de comprendre ce qui se passe réellement ici, mais il est peut-être temps pour les entreprises de réfléchir à la manière dont elles peuvent contribuer au problème.
Environ 60 % des cadres de cybersécurité déclarent que leurs entreprises sont sous-chargées, selon l’ISACA (Association d’audit et de contrôle des systèmes d’information) dans sa neuvième enquête annuelle sur l’état de la cybersécurité auprès de plus de 2 000 chefs d’entreprise dans le monde. Rien qu’aux États-Unis, environ 570 000 postes de cybersécurité ne sont pas pourvus, selon CyberSeek.
Les postes restent ouverts même si près de 40 % des personnes interrogées déclarent que leurs organisations subissent plus de cyberattaques qu’un an auparavant, et 31 % déclarent que le nombre d’attaques est resté le même.
Jonathan Brandt, directeur des pratiques professionnelles et de l’innovation à l’ISACA, a décrit le grand nombre d’ouvertures comme une « blessure auto-infligée » par les entreprises.
Pour approfondir le problème des postes non pourvus, l’ISACA a pour la première fois demandé aux répondants s’ils recherchaient des travailleurs pour des postes expérimentés ou des postes de niveau débutant.
Environ 50 % ont déclaré avoir des postes vacants pour des postes de niveau expérience, tandis que 21 % cherchaient à pourvoir des postes de niveau débutant.
Brandt a été surpris que 38 % des personnes interrogées aient déclaré qu’il fallait trois à six mois pour pourvoir un poste de niveau débutant, malgré le fait que les universités et les programmes techniques aient vu un nombre croissant de diplômés en cybersécurité.
« Vous me plaisantez ? » dit-il. « Quel est exactement le vrai problème ? »
Le « choc autocollant » des embauches de niveau débutant
Brandt pense qu’un problème clé dans le cyber-embauche aujourd’hui est lié à une notion déséquilibrée majeure promulguée par les dirigeants d’entreprise et leur personnel des ressources humaines. L’idée fausse ? « Les postes d’entrée de gamme », suspecte-t-il, « ne sont pas vraiment de niveau d’entrée. »
« Les postes au niveau de l’entrée ne sont pas vraiment au niveau de l’entrée. »Jonathan Brandt, directeur des pratiques professionnelles et de l’innovation, ISACA
Il pense que, comme le début des salaires de cybersécurité a tendance à être plus élevé, les responsables du recrutement peuvent s’attendre à trop de qualifications lorsqu’ils interviewent des candidats pour des emplois de niveau débutant. « C’est le choc de l’autocollant sur ce qu’il coûte d’embaucher quelqu’un », dit-il. Cela peut amener certaines entreprises à demander une « licorne » pour justifier le salaire plus élevé.
Les attentes élevées peuvent être la raison pour laquelle seulement 26 % des répondants à l’enquête déclarent qu’ils pensaient qu’au moins la moitié des candidats étaient bien qualifiés pour les postes qu’ils recherchaient.
Lorsque les candidats qui étaient récemment diplômés universitaires n’ont pas obtenu de diplômes étaient spécialisés dans des compétences telles que la communication, la pensée critique et le travail d’équipe, 68 % des répondants ont déclaré. En comparaison, seuls 54 % ont déclaré que les jeunes diplômés ne disposaient pas des compétences de mise en œuvre des contrôles de sécurité qu’ils recherchaient.
Non seulement les professionnels expérimentés de la cybersécurité sont difficiles à trouver, mais ils sont également difficiles à conserver, selon l’enquête. Environ 56 % ont déclaré avoir eu des difficultés à retenir des travailleurs qualifiés.
Concurrence via des avantages
Rendre l’embauche et la fidélisation plus difficiles est une décision des entreprises de réduire les avantages.
Bien que 65 % des employeurs remboursent les frais de certification, ce nombre a chuté d’un point de pourcentage par rapport à l’année précédente. Ceux qui proposaient des primes de recrutement ont diminué de deux points de pourcentage, et ceux qui payaient des frais de scolarité universitaires ont chuté de cinq points de pourcentage à 28 %.
L’ISACA souligne que la réduction des avantages est répandue dans les secteurs, et non quelque chose de spécifique à la cybersécurité, en raison de l’incertitude concernant les conditions économiques.
Malgré cela, Brandt voit une opportunité de premier plan pour les entreprises de se distinguer de leurs concurrents. Si une entreprise veut les meilleurs talents et peut se permettre, dit-il, elle peut dire : « Nous pouvons nous permettre de dépenser un peu plus d’argent. »
D’autres moyens pour une entreprise de compenser la réduction des avantages coûteux sont d’être plus flexible avec des mandats de retour au travail. Environ 28 % des personnes interrogées ont déclaré que les limites du travail à distance étaient la cause probable de départ d’un emploi, en hausse de quatre points de pourcentage par rapport à l’année précédente.
Les entreprises qui manquent de personnel doivent être un peu plus accommodantes, en particulier lorsqu’il s’agit d’incitations non monétaires, déclare Brandt.
Pour l’instant, la formation du personnel non chargé de la sécurité pour passer à des rôles de sécurité continue d’être la principale façon de gérer les pénuries de personnel, selon l’enquête de l’ISACA. Moins d’entreprises ont déclaré avoir fait appel à des sous-traitants et des consultants pour combler les lacunes par rapport à l’année dernière.
La périphérie DEX
L’une des façons pour les entreprises d’avoir un avantage dans l’embauche des meilleurs cyber-talents ou d’attirer le personnel non chargé de la sécurité vers la sécurité est d’offrir des solutions d’ expérience numérique des employés (DEX) qui améliorent l’interaction des employés avec les outils numériques qu’ils utilisent dans leur travail. Les solutions DEX surveillent les performances des appareils au niveau de l’endpoint pour suivre, entre autres, l’utilisation du CPU, le débit et l’espace disque libre, puis s’efforcent d’augmenter l’efficacité de la technologie. L’objectif est de réduire la frustration et l’insatisfaction des employés vis-à-vis de leur lieu de travail.
Les entreprises qui deviennent connues pour leurs programmes DEX peuvent être en mesure d’embaucher les meilleurs talents loin de leurs concurrents et/ou d’embaucher de l’intérieur si le personnel actuel sait qu’il n’y aura pas d’obstacles technologiques.
La poussée DEX est suffisamment nouvelle pour que l’enquête ISACA n’inclue pas de question DEX spécifique, mais Brandt déclare que l’association mène des recherches pour voir quel impact elle peut avoir. La mise en œuvre varie selon les entreprises, ce qui rend les comparaisons difficiles, mais tout ce qui aide à lisser l’utilisation de la technologie au travail est censé améliorer le moral et la sécurité.
Les procédures et systèmes de cybersécurité, « que nous voulions admettre ou non, sont gênants » pour certains travailleurs qui recherchent la voie de la moindre résistance, déclare Brandt.
Les employés peuvent être laxistes dans la modification régulière des mots de passe, rechercher des solutions de contournement pour éviter certaines procédures de sécurité ou utiliser des appareils non autorisés qu’ils trouvent plus pratiques. Un accent mis sur la DEX qui conduit à une utilisation plus facile de la technologie peut réduire ces actions.
L’histoire importante au cours des prochaines années sera la tentative de pourvoir les nombreux postes ouverts de niveau débutant, selon Brandt. Les entreprises situées dans des régions éloignées des zones à haut coût, telles que le corridor médio-atlantique, peuvent attirer les candidats à des salaires de départ inférieurs en échange de la nécessité de moins de qualifications.
« Tout le monde doit commencer quelque part », déclare Brandt.
