La croissance du télétravail met à rude épreuve les efforts visant à protéger les données, alors que les entreprises peinent à trouver des professionnels possédant les compétences et l'expertise nécessaires pour sécuriser leurs systèmes et réseaux d'entreprise.
La concurrence pour recruter des talents s'est intensifiée en 2021 par rapport à l'année précédente, ce qui a conduit de nombreuses entreprises à faire face à un manque d'effectifs au sein de leurs équipes chargées de la protection de la vie privée. C'est ce qui ressort du rapport « Privacy in Practice 2022 » (La protection de la vie privée dans la pratique 101) de l'ISACA, récemment publié, une enquête menée auprès de 832 membres possédant une certification en cybersécurité ou en protection de la vie privée.
Pire encore, la demande de talents devrait s'intensifier cette année, alors que de plus en plus de conseils d'administration se prononcent en faveur d'un renforcement de la sécurité, a indiqué l'association mondiale des technologies de l'information dans son rapport, publié aujourd'hui à l'occasion de la Journée de la protection des données de cette année, le 28 janvier.
Plus de la moitié des personnes interrogées (55 %) par l'ISACA (Information Systems Audit and Control Association) déclarent ne pas disposer d'un nombre suffisant de personnel technique. Environ 46 % d'entre eux déclarent manquer d'expertise en matière juridique et de conformité. Les embauches ont ralenti en raison d'un vivier de talents extrêmement restreint. La moitié des candidats à des postes techniques ne possèdent pas de connaissances en matière de cadres ou de contrôles. D'autres ne disposent tout simplement pas d'une expertise technique suffisante.
« On attend beaucoup plus des équipes chargées de la protection de la vie privée, qui se retrouvent sous les feux de la rampe d’une manière différente de ce qui était le cas auparavant », explique Safia Kazi, conseillère en pratiques professionnelles en matière de protection de la vie privée à l’ISACA, qui a dirigé l’élaboration de cette enquête. Et si le manque de talents disponibles est la première cause des pénuries de personnel, il est suivi de près par le manque de prise de conscience de certaines entreprises face à ce problème.
Ce qu'ils ignorent leur porte préjudice
Une personne interrogée sur cinq dans le cadre de l'enquête de l'ISACA, qui portait notamment sur les équipes juridiques et de conformité également confrontées à une pénurie de talents, a déclaré ne même pas savoir si elle avait été victime d'une violation de la vie privée au cours des 12 derniers mois. Cela est particulièrement surprenant, mais aussi inquiétant, compte tenu du grand nombre d'attaques criminelles de cyber , très médiatisées , qui se sont produites en 2021. « C’est fascinant qu’ils n’en aient aucune idée », déclare Kazi. « Il se peut qu’ils n’assurent pas la surveillance nécessaire. »
« Ou toute forme de surveillance », précise Rebecca Herold, PDG du cabinet de conseil Privacy & Security Brainiacs. Selon M. Herold, de nombreuses organisations n'ont pas encore recensé de manière exhaustive leurs réseaux et leurs bases de données, ni les appareils personnels que leurs collaborateurs utilisent lorsqu'ils travaillent à distance. Elle ajoute que certaines entreprises ignorent également quelles données elles ont confiées à des prestataires tiers, ou quelles mesures ces derniers prennent pour assurer la sécurité de ces données.
« Il existe tellement d’endroits où se trouvent des données dont une entreprise n’a peut-être pas connaissance », explique M. Herold. « Cela rend très difficile la réalisation d'évaluations des risques adéquates. »
C’est pourquoi la première mesure recommandée par les experts en cybersécurité consiste à réaliser un inventaire complet des ressources de découverte et d’ du matériel et des logiciels d’une entreprise, ainsi qu’à établir un catalogue exhaustif des personnes ayant accès à quelles données et des flux de données. Cet inventaire permet à une entreprise de mettre en place des pratiques élémentaires de cyberhygiène visant à se prémunir contre les cybercriminels, les pirates informatiques agissant pour le compte d'États et les hacktivistes.
«Il existe tellement d’endroits où sont stockées des données dont une entreprise n’a peut-être pas connaissance. » Cela rend les évaluations des risques très difficiles. »Rebecca Herold, PDG de Privacy & Security Brainiacs
Pour combler le déficit de compétences, près de la moitié des entreprises interrogées dans le cadre de cette enquête indiquent qu'elles forment des collaborateurs n'appartenant pas au service chargé de la protection des données afin qu'ils puissent occuper des postes dans ce domaine. Un avantage : ces salariés ont une connaissance plus approfondie de l'entreprise et de son fonctionnement. Environ un tiers des entreprises interrogées dans le cadre de cette enquête indiquent qu'elles font appel à des prestataires externes ou à des consultants spécialisés dans la cybersécurité et la protection des données, qui peuvent leur apporter des outils et un savoir-faire de pointe afin de renforcer plus rapidement leur sécurité.
Sensibiliser les salariés aux questions de cybersécurité et de protection des données
Selon M. Herold, le recours à une aide extérieure est particulièrement efficace lorsque ces intervenants externes forment également les collaborateurs internes aux meilleures pratiques en matière de sécurisation des données. Cela signifie également qu'une mise à niveau ponctuelle ne suffit pas. Selon Mme Herold, trop de dirigeants d'entreprises et de responsables informatiques lui affirment que leurs réseaux sont sécurisés simplement parce qu'ils ont utilisé une seule fois un outil de surveillance. Une seule fois, ce n'est pas suffisant. Le suivi doit être continu.
À long terme, l'éducation doit constituer une priorité absolue. Et pas seulement lorsque les salariés arrivent au travail. « La protection des données devrait être enseignée à l'école », affirme M. Herold, car les enfants ont toujours leur smartphone sur eux. « Apprenez-leur à utiliser ces appareils en toute sécurité, dit-elle, et « vous aurez une population qui, à son entrée sur le marché du travail, sera sensibilisée à la protection des données ».
M. Kazi partage cet avis, estimant que la formation précoce rendrait le métier de spécialiste de la protection de la vie privée plus attractif pour les jeunes qui entrent sur le marché du travail.
La bonne nouvelle, c'est que, d'après cette enquête, la probabilité d'une réduction des budgets consacrés à la protection de la vie privée est faible.
« C'est une nécessité bien plus pressante pour les entreprises », déclare M. Kazi. « Nous avons constaté les conséquences néfastes évidentes des violations de données, et vu à quel point elles peuvent ruiner la vie des gens. »
