L'épuisement professionnel et le stress liés à la pandémie ont entraîné une augmentation du nombre de postes vacants dans le domaine de la cybersécurité en 2021 par rapport à l'année précédente. Et rien n’indique que ces postes seront pourvus de professionnels qualifiés dans un avenir proche afin de faire face à la montée des niveaux de menace liés à la guerre menée par la Russie contre l’Ukraine et à l’avertissement lancé cette semaine par le président Biden selon lequel des cyberattaques russes sont « imminentes ».
Ce qui soulève la question suivante : où se trouvent les leaders actuels de la cybersécurité ?
« La Grande Démission aggrave les difficultés de recrutement et de fidélisation auxquelles le secteur de la cybersécurité est confronté depuis des années », déclare Jonathan Brandt, directeur des pratiques professionnelles et de l’innovation à l’ISACA (Association pour l’audit et le contrôle des systèmes d’information). L'association internationale spécialisée dans les technologies de l'information a publié aujourd'hui son huitième rapport annuel intitulé « État de la cybersécurité : l' » ( ), issu d'une enquête menée auprès de plus de 2 000 professionnels de la cybersécurité à travers le monde.
Ces résultats préoccupants parlent d'eux-mêmes : plus de six personnes sur 10 interrogées ont déclaré manquer de personnel. Une personne sur cinq a indiqué qu'il fallait plus de six mois pour trouver un candidat qualifié à embaucher.
En conséquence, près de 600 000 postes dans le domaine de la cybersécurité restent à pourvoir aux États-Unis, selon le site CyberSeek de l' . Des milliers d'entreprises sont davantage exposées au risque de cyberattaques. En effet, 69 % des personnes interrogées dans le cadre de l'enquête de l'ISACA qui ont subi une forme quelconque de cyberattaque l'année dernière ont déclaré manquer de personnel.
Évaluation du déficit de compétences en matière de cybersécurité
Les personnes interrogées dans le cadre de l'enquête de l'ISACA ont indiqué qu'il était difficile de trouver des talents qualifiés pour combler le déficit de compétences en matière de cybersécurité. Un peu plus de la moitié d'entre eux ont indiqué que les candidats manquaient de compétences relationnelles, notamment en matière de communication, d'esprit critique et de résolution de problèmes. Les compétences les plus souvent manquantes, après celles-ci, concernaient le cloud computing, suivies de la mise en œuvre de contrôles de sécurité, du codage et du développement logiciel.
Les bons candidats étant rares, il n'est guère étonnant que de nombreuses entreprises se soient tournées vers le débauchage de professionnels de la cybersécurité. Près de 60 % des entreprises ont déclaré que la plupart des professionnels quittaient leur emploi parce qu'ils avaient été recrutés par une autre entreprise. Les autres principales raisons invoquées pour quitter un emploi pendant la pandémie étaient liées à des incitations financières insuffisantes, à des perspectives limitées en matière de promotion ou d'évolution professionnelle, à un niveau de stress élevé au travail et à un manque de soutien de la part de la direction.
Certains employeurs ont incité leurs salariés à retourner au bureau l'année dernière, ce qui a peut-être poussé davantage de personnes à démissionner. L'ISACA a indiqué que, cette année, les personnes interrogées ont été plus nombreuses qu'à l'année dernière à citer les possibilités limitées de télétravail et les politiques de travail rigides . L'ISACA estime que la pénurie de main-d'œuvre pourrait s'aggraver si les salariés quittaient leur emploi pour bénéficier d'horaires plus avantageux, tandis que les entreprises qui favorisent le télétravail pourraient être mieux placées pour attirer des talents qualifiés.
« Il existe une tension énorme entre les employeurs et les salariés », déclare M. Brandt. « Nos difficultés sont des blessures par balle que nous nous infligeons nous-mêmes. »
Et le fossé entre les générations ne fait qu'aggraver le déficit de compétences en matière de cybersécurité. « Pour cette nouvelle génération, ce n’est pas seulement une question de salaire », ajoute Brandt. « Ce que nous constatons, c’est qu’ils veulent se déconnecter à la fin de la journée. » « Ils veulent de l'équilibre. »
Combler le déficit de compétences en cybersécurité
Par conséquent, afin de combler la pénurie de talents dans le domaine de la cybersécurité, les entreprises élargissent leur vivier de candidats pour y inclure ceux qui n'ont pas obtenu de diplôme universitaire. Seuls 52 % des personnes interrogées déclarent exiger désormais un diplôme universitaire, soit 6 points de pourcentage de moins qu'un an auparavant. Par ailleurs, le pourcentage d'entreprises proposant une formation polyvalente à leurs salariés actuels intéressés par la cybersécurité a augmenté de 2 %. L'un des avantages de la formation polyvalente réside dans le fait que les salariés possèdent déjà une certaine connaissance de l'entreprise et de son fonctionnement.
Des associations à but non lucratif telles que « » (), « NPower » (), qui propose des formations techniques aux communautés défavorisées, et l’initiative « Cybersecurity Talent Initiative » de l’ (), qui met en relation des talents dans le domaine de la cybersécurité avec des entreprises cherchant à pourvoir des postes dans ce secteur, jouent un rôle essentiel dans la constitution du vivier de talents de demain.
Le nombre de personnes interrogées ayant fait appel à des consultants et à des prestataires pour pallier les pénuries de main-d'œuvre a augmenté de 5 points de pourcentage par rapport à l'année précédente. Des experts tels que Rebecca Herold, PDG de Privacy and Security Brainiacs, , ont récemment déclaré à, , , Endpoint , que le recours à une aide extérieure donne les meilleurs résultats lorsqu'il s'accompagne d'une formation des collaborateurs en interne.
Peut-être en raison de la pénurie de personnel qualifié, seuls 41 % des personnes interrogées ont déclaré à l'ISACA avoir réalisé une évaluation des risques informatiques « » au cours de l'année écoulée. Les principales raisons invoquées pour ne pas effectuer de contrôles fréquents étaient le manque de temps, cité par 43 % des personnes interrogées, et le manque de personnel qualifié, cité par 40 %. Une évaluation une fois par an devrait suffire, a déclaré l'ISACA, compte tenu de la rapidité avec laquelle les pirates informatiques modifient leurs méthodes d'attaque.
[À lire également : Les scores de risque cyber ne devraient pas se résumer à un simple chiffre]
Si M. Brandt indique que les évaluations annuelles des risques cybernétiques semblent être la norme, « on constate une volonté croissante de réduire » le délai entre ces évaluations. Selon lui, une évaluation est souvent perçue comme une « véritable monstruosité bureaucratique ». Une alternative à des évaluations globales plus fréquentes devrait consister à mettre en place une veille active des menaces ( ), à éliminer les mauvaises pratiques et à mettre en œuvre les principes fondamentaux de l'hygiène informatique ( ).
Malgré les défis actuels, ou peut-être justement à cause d’eux, M. Brandt estime qu’il y a une leçon essentielle à tirer pour les dirigeants du monde des affaires et des technologies. La pandémie et la guerre en Ukraine ont montré que « chaque maillon de la chaîne d'approvisionnement est susceptible de défaillance, tout peut faire l'objet de manipulations ». Le fait de savoir cela, dit-il, « devrait permettre de prendre de meilleures décisions en matière de risques ».
Plus de ressources pour remédier à la pénurie de talents dans le domaine de la cybersécurité
Les entreprises font preuve de créativité pour combler le déficit de compétences en cybersécurité
3 façons d'aider les salariés à lutter contre le stress lié à la pandémie
Pour mobiliser vos collaborateurs, engagez-vous en faveur de leurs communautés
Comment NPower ouvre la voie à la prospérité
Comment Code.org apprend aux écoliers du monde entier à programmer
