Alors même que les universités et les écoles professionnelles produisent de plus en plus de diplômés dans ce domaine, des centaines de milliers de postes dans la cybersécurité restent vacants, et de nombreuses entreprises souffrent d'un manque de personnel alors qu'elles font traîner le processus de recrutement. Il est difficile de comprendre ce qui se passe réellement ici, mais il est peut-être temps que les entreprises réfléchissent à la manière dont elles pourraient contribuer à ce problème.
Selon l'ISACA (Information Systems Audit and Control Association), environ 60 % des responsables de la cybersécurité affirment que leurs entreprises manquent de personnel. C'est ce qui ressort de sa neuvième enquête annuelle intitulée « État de la cybersécurité : les défis de l' » ( State of Cybersecurity), , menée auprès de plus de 2 000 dirigeants d'entreprise à travers le monde. Rien qu'aux États-Unis, environ 570 000 postes dans le domaine de la cybersécurité sont à pourvoir, selon CyberSeek.
Ces postes restent à pourvoir, même si près de 40 % des personnes interrogées indiquent que leur organisation subit davantage de cyberattaques qu'un an auparavant, et que 31 % d'entre elles affirment que le nombre d'attaques est resté inchangé.
Jonathan Brandt, directeur des pratiques professionnelles et de l'innovation à l'ISACA, a qualifié ce nombre considérable de postes vacants de « blessure auto-infligée » par les entreprises.
Afin d'approfondir la question des postes vacants, l'ISACA a, pour la première fois, demandé aux personnes interrogées si elles recherchaient des candidats pour des postes nécessitant de l'expérience ou pour des postes de débutants.
Environ 50 % ont déclaré avoir des postes à pourvoir pour des emplois nécessitant de l'expérience, tandis que 21 % cherchaient à pourvoir des postes de débutants.
M. Brandt s'est étonné de constater que 38 % des personnes interrogées ont déclaré qu'il fallait entre trois et six mois pour pourvoir un poste de débutant, alors même que les universités et les formations techniques enregistrent un nombre croissant de diplômés en cybersécurité.
« Vous vous moquez de moi ? » dit-il. « Quel est donc le véritable problème ? »
Le « choc des salaires » lié au recrutement des débutants
Selon M. Brandt, l'un des principaux problèmes actuels en matière de recrutement dans le secteur de la cybersécurité tient à une conception très biaisée véhiculée par les dirigeants d'entreprise et leurs responsables des ressources humaines. Quelle est cette idée fausse ? « Les postes de débutants », soupçonne-t-il, « ne sont pas vraiment des postes de débutants ».
«Les postes de débutants ne sont pas vraiment des postes de débutants. »Jonathan Brandt, directeur des pratiques professionnelles et de l'innovation à l'ISACA
Il estime que, comme les salaires de départ dans le domaine de la cybersécurité ont tendance à être plus élevés, les responsables du recrutement ont peut-être des attentes trop élevées en matière de qualifications lorsqu’ils mènent des entretiens avec des candidats à des postes de débutants. « C’est le choc que provoque le coût de l’embauche d’un employé », explique-t-il. Cela pourrait inciter certaines entreprises à attendre l'arrivée d'une « licorne » pour justifier ce salaire plus élevé.
Ces attentes extrêmement élevées expliquent peut-être pourquoi seuls 26 % des personnes interrogées dans le cadre de l'enquête ont déclaré estimer qu'au moins la moitié des candidats étaient suffisamment qualifiés pour les postes qu'ils briguaient.
Selon 68 % des personnes interrogées, les candidats récemment diplômés de l'université présentaient des lacunes dans des compétences telles que la communication, l'esprit critique et le travail d'équipe. En comparaison, seuls 54 % ont déclaré que les jeunes diplômés ne disposaient pas des compétences en matière de mise en œuvre des contrôles de sécurité qu'ils recherchaient.
Non seulement les professionnels expérimentés de la cybersécurité sont difficiles à trouver, mais ils sont également difficiles à fidéliser, selon cette enquête. Environ 56 % ont déclaré avoir des difficultés à retenir des travailleurs qualifiés.
Se démarquer grâce aux avantages sociaux
La décision prise par les entreprises de réduire les avantages sociaux rend le recrutement et la fidélisation du personnel plus difficiles.
Si 65 % des employeurs remboursent les frais de certification, ce chiffre a toutefois baissé d'un point de pourcentage par rapport à l'année précédente. La proportion d'entreprises proposant des primes d'embauche a reculé de deux points de pourcentage, tandis que celle des entreprises prenant en charge les frais d'inscription à l'université a baissé de cinq points de pourcentage, pour s'établir à 28 %.
L'ISACA souligne que la réduction des avantages sociaux est un phénomène généralisé dans tous les secteurs d'activité, et non pas spécifique à la cybersécurité, en raison des incertitudes liées à la conjoncture économique.
Malgré tout, M. Brandt y voit une occasion en or pour les entreprises de se démarquer de leurs concurrents. Si une entreprise souhaite attirer les meilleurs talents et en a les moyens, explique-t-il, elle peut dire : « Nous pouvons nous permettre d'y mettre un peu plus d'argent. »
Une entreprise peut également compenser l' e liée à la réduction des avantages sociaux coûteux en faisant preuve de plus de souplesse concernant les obligations de retour au travail. Environ 28 % des personnes interrogées ont déclaré que les restrictions imposées au télétravail constituaient une raison probable de quitter un emploi, soit une hausse de quatre points de pourcentage par rapport à l'année précédente.
Les entreprises en sous-effectif doivent se montrer un peu plus souples, notamment en matière d'avantages non financiers, explique M. Brandt.
Pour l'instant, la formation du personnel non spécialisé dans la sécurité en vue de leur affectation à des postes de sécurité reste le principal moyen de pallier les pénuries de personnel, selon l'enquête de l'ISACA. Les entreprises ont été moins nombreuses que l'année dernière à déclarer avoir fait appel à des prestataires et à des consultants pour combler leurs lacunes.
L'avantage du DEX
L'un des moyens dont disposent les entreprises pour se démarquer lors du recrutement des meilleurs talents en cybersécurité ou pour inciter des collaborateurs issus d'autres domaines à rejoindre les équipes de sécurité consiste à proposer des solutions d'expérience numérique des employés (DEX) qui améliorent l'interaction des collaborateurs avec les outils numériques qu'ils utilisent dans le cadre de leur travail. Les solutions DEX surveillent les performances des appareils au niveau des terminaux afin de suivre, entre autres, l'utilisation du processeur, le débit et l'espace disque disponible, puis s'efforcent d'améliorer l'efficacité de la technologie. L'objectif est de réduire la frustration et l'insatisfaction des salariés vis-à-vis de leur lieu de travail.
Les entreprises qui se font connaître pour leurs programmes DEX pourraient être en mesure de débaucher les meilleurs talents chez leurs concurrents et/ou de recruter en interne si leur personnel actuel sait qu’il n’y aura pas d’obstacles technologiques.
Le développement des DEX est suffisamment récent pour que l'enquête de l'ISACA n'ait pas comporté de question spécifique à ce sujet, mais M. Brandt indique que l'association mène actuellement des recherches afin d'évaluer l'impact que cela pourrait avoir. La mise en œuvre varie d'une entreprise à l'autre, ce qui rend les comparaisons difficiles, mais tout ce qui contribue à faciliter l'utilisation des technologies au travail ne peut que renforcer le moral des équipes et améliorer la sécurité.
Les procédures et les systèmes de cybersécurité, « que l’on veuille l’admettre ou non, sont contraignants » pour certains employés qui cherchent la solution la plus simple, explique M. Brandt.
Il peut arriver que les employés négligent de changer régulièrement leurs mots de passe , cherchent des solutions de contournement pour éviter certaines procédures de sécurité, ou utilisent des appareils non autorisés qu’ils trouvent plus pratiques. Une approche axée sur la DEX, qui facilite l'utilisation de la technologie, pourrait réduire ce type de comportements.
Selon M. Brandt, le défi majeur des prochaines années consistera à pourvoir les nombreux postes de débutants actuellement vacants. Les entreprises situées dans des régions éloignées des zones où le coût de la vie est élevé, comme le corridor du Mid-Atlantic, pourraient être en mesure d'attirer des candidats en leur proposant des salaires de départ moins élevés, en contrepartie de qualifications moins exigeantes.
« Tout le monde doit bien commencer quelque part », déclare Brandt.
