Le burnout et le stress induits par la pandémie ont laissé plus de postes de cybersécurité vacants en 2021 par rapport à l’année précédente. Et il n’y a aucun signe que les emplois seront dotés de professionnels qualifiés à tout moment pour répondre aux niveaux de menace accrus liés à la guerre russe contre l’Ukraine et à l’ avertissement du président Biden cette semaine que les cyberattaques russes « arrivent ».
Qu’est-ce qui soulève la question : où sont les leaders actuels de la cybersécurité ?
« La grande démission aggrave les défis de longue date en matière d’embauche et de fidélisation auxquels la communauté de la cybersécurité est confrontée depuis des années », déclare Jonathan Brandt, directeur des pratiques professionnelles et de l’innovation à l’ISACA (Association d’audit et de contrôle des systèmes d’information). L’association internationale de l’informatique a publié aujourd’hui sa huitième enquête annuelle sur l’ état de la cybersécurité auprès de plus de 2 000 professionnels de la cybersécurité à travers le monde.
Les résultats difficiles parlent d’eux-mêmes : plus de six répondants sur 10 ont déclaré qu’ils étaient en sous-effectif. Un candidat sur cinq a déclaré qu’il fallait plus de six mois pour trouver un candidat qualifié à embaucher.
Par conséquent, près de 600 000 postes de cybersécurité restent vacants aux États-Unis, selon CyberSeek. Des milliers d’entreprises sont plus exposées aux cyberattaques. En fait, 69 % des répondants à l’enquête de l’ISACA qui ont subi une forme de cyberattaque l’année dernière ont déclaré être sous-effectifs.
Évaluer l’écart de compétences en cybersécurité
Selon les répondants à l’enquête de l’ISACA, il a été difficile de trouver des talents qualifiés pour combler le manque de compétences en cybersécurité. Un peu plus de la moitié des candidats ont signalé qu’ils manquaient de compétences relationnelles, notamment en matière de communication, de réflexion critique et de résolution de problèmes. Les deuxièmes compétences les plus courantes étaient le cloud computing, suivi de la mise en œuvre des contrôles de sécurité, du codage et du développement de logiciels.
Avec de bons candidats difficiles à trouver, il n’est pas étonnant que de nombreuses entreprises se soient tournées vers le braconnage de professionnels de la cybersécurité. Près de 60 % des entreprises ont déclaré que la plupart des professionnels ont quitté un emploi parce qu’ils ont été recrutés par une autre entreprise. Les autres principales raisons de quitter un emploi à l’ère de la pandémie provenaient de mauvaises incitations financières, d’opportunités limitées de promotion ou de développement, de niveaux élevés de stress au travail et d’un manque de soutien de la direction.
Certains employeurs ont poussé les travailleurs à retourner au bureau l’année dernière, ce qui a peut-être conduit plus de personnes à partir. L’ISACA a rapporté que plus de répondants cette année ont cité des possibilités de travail à distance limitées et des politiques de travail rigides qu’un an auparavant. Les pénuries de main-d’œuvre pourraient augmenter, selon l’ISACA, si les employés quittent des emplois pendant de meilleures heures, tandis que les entreprises qui prennent en charge le travail à distance peuvent avoir un avantage à attirer des talents qualifiés.
« Il existe une tension énorme entre les employeurs et les employés », déclare Brandt. « Nos défis sont les blessures par balle auto-infligées. »
Et l’écart de génération ne fait qu’approfondir l’écart de compétences en cybersécurité. « Il ne s’agit pas seulement de salaire avec cette nouvelle génération », ajoute Brandt. « Ce que nous voyons, c’est qu’ils veulent se débrancher à la fin de la journée. Ils veulent un équilibre. »
Combler l’écart de talents en cybersécurité
Par conséquent, pour combler le fossé des talents en cybersécurité, les entreprises élargissent le groupe de candidats pour inclure ceux qui n’ont pas obtenu leur diplôme universitaire. Seuls 52 % des répondants déclarent qu’ils ont désormais besoin d’un diplôme universitaire, 6 points de pourcentage moins d’un an auparavant. Et le pourcentage d’entreprises qui offrent une formation croisée aux employés actuels intéressés par la cybersécurité a augmenté de 2 %. L’un des avantages de la formation croisée est que les employés ont déjà une certaine connaissance de l’entreprise et de son fonctionnement.
Des organisations à but non lucratif telles que NPower, qui fournit une formation technique aux communautés mal desservies, et la Cybersecurity Talent Initiative, qui associe les talents en cybersécurité aux entreprises cherchant à pourvoir des rôles en cybersécurité, sont un élément clé du remplissage du futur pipeline de talents.
Le nombre de répondants qui ont fait appel à des consultants et des sous-traitants pour combler les pénuries sur le lieu de travail a augmenté de 5 points de pourcentage par rapport à l’année précédente. Des experts tels que Rebecca Herold, PDG de Privacy and Security Brainiacs, ont récemment déclaréEndpoint que l’aide extérieure fonctionne mieux lorsqu’ils forment également des travailleurs internes.
Peut-être en raison de la pénurie de travailleurs formés, seuls 41 % des répondants ont déclaré à l’ISACA avoir effectué une évaluation des cyber-risques au cours de l’année passée. Les principales raisons données pour ne pas effectuer de vérifications fréquentes étaient un manque de temps, cité par 43 % des répondants, et un manque de personnel formé, cité par 40 %. Une évaluation une fois par an est probablement assez fréquente, a déclaré l’ISACA, étant donné la manière dont les pirates informatiques changent rapidement leurs méthodes d’attaque.
[Lire également : les scores de cyber-risque doivent être plus qu’un simple nombre]
Bien que Brandt déclare que les évaluations annuelles des cyber-risques semblent être la norme, « il existe un désir croissant de raccourcir » le temps entre ces évaluations des risques. Une évaluation, dit-il, est souvent considérée comme une « grande monstruosité formelle ». Une alternative aux évaluations globales plus fréquentes devrait être la recherche des menaces, l’élimination des mauvaises pratiques et la mise en œuvre de la cyberhygiène de base.
Malgré les défis actuels, ou peut-être en raison de ceux-ci, Brandt pense qu’il y a une leçon essentielle à apprendre par les dirigeants commerciaux et technologiques. La pandémie et la guerre en Ukraine ont montré que « chaque partie de la chaîne d’approvisionnement est tombée, tout est sujet à manipulation ». Sachant que, dit-il, « devrait éclairer de meilleures décisions en matière de risques ».
Plus de ressources pour remédier à la pénurie de talents en cybersécurité
Les entreprises font preuve de créativité pour combler le manque de compétences en cybersécurité
3 façons d’aider les employés à lutter contre le stress lié à la pandémie
Pour impliquer les employés, redonnez à leurs communautés
Comment NPower crée des voies vers la prospérité
Comment Code.org apprend aux écoliers du monde entier à coder
Combler le fossé entre les sexes dans la cybersécurité nous permettra à tous d’être plus en sécurité
