La croissance de la main-d’œuvre à distance met à rude épreuve les efforts pour protéger les données, car les entreprises ont du mal à trouver des professionnels disposant des compétences et de l’expertise nécessaires pour sécuriser les systèmes et les réseaux d’entreprise.
La concurrence pour les talents a augmenté en 2021 depuis un an, laissant de nombreuses entreprises avec des équipes de protection de la vie privée à faible effectif. Cela est conforme à la nouvelle version de Privacy in Practice 2022 de l’ISACA, une enquête menée auprès de 832 acteurs ayant des antécédents certifiés en matière de cybersécurité ou de confidentialité.
Pire encore, la demande de talents devrait augmenter cette année, car de plus en plus de conseils d’administration expriment leur soutien pour une sécurité plus stricte, a déclaré l’association informatique mondiale dans son rapport, publié aujourd’hui et programmé pour la Journée de la confidentialité des données de cette année le 28 janvier.
Plus de la moitié des personnes interrogées (55 %) par l’ISACA, l’association d’audit et de contrôle des systèmes d’information, déclarent ne pas avoir suffisamment de travailleurs techniques. Quelque 46 % disent qu’ils manquent d’expertise juridique et de conformité. L’embauche a ralenti en raison d’un vivier de talents extrêmement fin. La moitié des candidats techniques n’ont pas connaissance des cadres ou des contrôles. D’autres n’ont tout simplement pas assez d’expertise technique.
« Les équipes chargées de la protection de la vie privée sont beaucoup plus sollicitées, qui sont sous les projecteurs de manières différentes de celles qui étaient auparavant », déclare Safia Kazi, conseillère en pratiques professionnelles en matière de protection de la vie privée à l’ISACA, qui a dirigé le développement de l’enquête. Et bien que le manque de talents disponibles soit la raison numéro 1 des pénuries de personnel, le manque de sensibilisation démontré par certaines entreprises concernant le problème est tout à fait en retard.
Ce qu’ils ne savent pas leur fait du mal
Un répondant sur cinq à l’enquête de l’ISACA, qui comprenait des équipes juridiques et de conformité souffrant également d’une pénurie de talents, a déclaré qu’ils ne savaient même pas s’ils avaient subi une violation de la confidentialité au cours des 12 derniers mois. Cela est particulièrement surprenant, ainsi que alarmant, compte tenu du large éventail de cyberattaques criminelles de premier plan qui se sont produites en 2021. « C’est fascinant qu’ils n’aient aucun indice », déclare Kazi. « Il se peut qu’ils ne fassent pas la surveillance appropriée. »
Ou toute surveillance, déclare Rebecca Herold, PDG du cabinet de conseil Brainiacs en matière de confidentialité et de sécurité. Herold affirme que de nombreuses organisations n’ont pas complètement identifié leurs réseaux et bases de données, ou les appareils personnels que leurs employés utilisent lorsqu’ils travaillent à distance. Certaines entreprises, ajoute-t-elle, ne savent pas non plus quelles données elles ont confiées à des fournisseurs tiers ou quelles mesures ces fournisseurs prennent pour assurer la sécurité des données.
« Il existe tellement d’endroits où résident les données qu’une entreprise peut ne pas connaître », déclare Herold. « Cela rend les évaluations appropriées des risques très difficiles. »
C’est pourquoi la première chose que les experts en cybersécurité recommandent est une découverte et un inventaire complets du matériel et des logiciels d’une entreprise, ainsi qu’un catalogue complet des personnes qui ont accès aux données et où les données circulent. L’inventaire permet à une entreprise d’installer des pratiques de cyberhygiène de base visant à repousser les cybercriminels, les pirates informatiques de l’État national et les hacktivistes.
« Il existe tellement d’endroits où résident les données qu’une entreprise peut ne pas connaître. Cela rend les évaluations des risques très difficiles. »Rebecca Herold, PDG de Privacy & ; Security Brainiacs
Pour combler l’écart de talents, près de la moitié des entreprises interrogées déclarent former le personnel non chargé de la protection de la vie privée pour qu’il occupe des postes liés à la protection de la vie privée. Un avantage : ces travailleurs ont une connaissance plus intime d’une entreprise et de son fonctionnement. Environ un tiers des entreprises interrogées déclarent se tourner vers des sous-traitants externes ou des consultants en cybersécurité et confidentialité des données, qui peuvent apporter des outils et une expertise à jour pour mettre à niveau la sécurité d’une entreprise plus rapidement.
Sensibiliser les employés aux problèmes de cybersécurité et de confidentialité des données
Il est préférable d’apporter une aide extérieure si les personnes extérieures éduquent également les travailleurs internes sur la meilleure façon de sécuriser les données, explique Herold. Cela signifie également qu’une mise à niveau unique ne suffit pas. Herold dit que trop de chefs d’entreprise et de leaders technologiques lui disent que leurs réseaux sont sécurisés parce qu’ils ont exécuté un outil de surveillance une fois. Une fois n’est pas suffisante. La surveillance doit être continue.
À long terme, l’éducation doit être une priorité absolue. Et pas seulement lorsque les travailleurs arrivent au travail. La confidentialité des données doit être enseignée à l’école, explique Herold, car les enfants transportent des smartphones. Apprenez-leur à utiliser ces appareils en toute sécurité, déclare-t-elle, et « vous aurez une population qui arrive dans la main-d’œuvre consciente de la confidentialité des données ».
Kazi est d’accord, déclarant que l’éducation précoce rendrait la profession de la protection de la vie privée plus attrayante pour les jeunes entrant dans la main-d’œuvre.
La bonne nouvelle est que la probabilité de réduction des budgets de confidentialité est faible, selon l’enquête.
« C’est beaucoup plus un impératif pour les entreprises », déclare Kazi. « Nous avons vu le préjudice évident des violations, comment la vie des gens peut être détruite. »
