Un tweet récent de Jen Easterly, directrice de la principale agence américaine de cybersécurité, ne constitue pas seulement une campagne de recrutement intensifiée, mais aussi le signe que le gouvernement a un besoin urgent d'aide.
« Rejoignez notre équipe », affirme la publication de l' , accessible à l'adresse , sur fond de musique rock à plein volume. « Vous êtes la pièce manquante », peut-on lire, tandis que la dernière pièce d’un Rubik’s Cube s’emboîte pour révéler le logo de son agence. Mme Easterly (@CISAJen), directrice de l'Agence pour la cybersécurité et la sécurité des infrastructures, explique dans son tweet que sans sa curiosité et son « goût pour les casse-têtes », elle n'aurait peut-être pas trouvé sa voie professionnelle.
Le gouvernement a cruellement besoin de plus de personnes comme elle. Selon les données d' , recueillies par CyberSeek, un projet de recrutement dans le domaine de la cybersécurité rattaché au ministère du Commerce, il y aurait plus de 36 000 postes vacants dans le secteur public liés à la cybersécurité. L'été dernier, le ministère de la Sécurité intérieure a estimé qu'il y avait environ 1 700 postes à pourvoir au sein de son agence uniquement.
Si un déficit de compétences techniques a toujours existé dans le secteur privé, la pénurie croissante au sein de l'administration représente un risque pour la campagne d' s de grande envergure menée par l'administration Biden en matière de cybersécurité ainsi que pour l'intégrité de la sécurité nationale. Cette question a pris un caractère d’urgence accru le 3 novembre lorsque l’administration a publié un décret de grande envergure sur la cybersécurité , ordonnant à la quasi-totalité des agences fédérales de corriger des centaines de vulnérabilités considérées comme des risques majeurs d’intrusion et de dommages pour les réseaux fédéraux.
« Nous savions déjà il y a cinq ans que nous devions recruter des dizaines de milliers de nouveaux professionnels de la cybersécurité au sein du gouvernement américain pour réussir », déclare Ari Schwartz, ancien directeur principal chargé de la cybersécurité à la Maison Blanche sous l'administration Obama. « Étant donné que le taux de rotation du personnel reste élevé, nous arrivons à un point critique où le gouvernement américain ne dispose tout simplement pas des compétences dont il a besoin », explique M. Schwartz, directeur général des services de cybersécurité chez Venable, un cabinet spécialisé dans les services juridiques et le conseil aux entreprises.
Le gouvernement est confronté à de multiples défis pour recruter et fidéliser les professionnels des technologies de sécurité. Ces défis — les salaires, le financement, les ressources et les conditions de travail — ne sont pas propres au secteur public. Ils deviennent des « s endurcis » dans un contexte d’ s du marché du travail où les actifs sont de plus en plus enclins à mettre fin à leur carrière à mesure que la pandémie se prolonge. En août, selon un rapport de l'
, un nombre record de 4,3 millions de salariés américains ont quitté leur emploi, et il y a désormais près de 465 000 postes vacants dans le domaine de la cybersécurité, dans les secteurs privé et public, à travers le pays, selon CyberSeek.
Limite supérieure
Le principal défi auquel le gouvernement est confronté pour recruter des professionnels compétents en cybersécurité est celui de la rémunération. Selon John Bambenek, expert en cybersécurité chez Netenrich, une entreprise spécialisée dans les services de détection des cybermenaces, les professionnels de l'informatique peuvent percevoir un salaire jusqu'à 50 % plus élevé dans le secteur privé que dans la fonction publique.
Dans le secteur public, il existe souvent un plafond salarial, même pour les employés les plus performants, ce qui n'est (bien sûr) pas le cas dans le secteur privé. Dans la fonction publique, « on finit par arriver à un stade où il faut être nommé à un poste politique », explique-t-il.
«Étant donné que le taux de rotation reste élevé, nous arrivons à un point critique. »Ari Schwartz, ancien directeur principal chargé de la cybersécurité à la Maison Blanche sous l'administration Obama
Au niveau régional, la question des salaires pourrait s'avérer encore plus sensible. Selon CyberSeek, les États avaient besoin de pourvoir 9 000 postes dans le domaine de la cybersécurité l'été dernier. L'année dernière, le salaire annuel moyen d'un agent chargé de la cybersécurité au sein d'une administration locale ou d'un État s'élevait à environ 95 412 dollars, soit environ 25 000 dollars de moins que celui versé par l'administration fédérale.
« Il faudra faire preuve d’une certaine créativité pour faire face à la réalité selon laquelle il est tout simplement plus lucratif de quitter la fonction publique pour rejoindre le secteur privé », déclare M. Bambenek.
Pour Quentin Hodgson, chercheur senior en cybersécurité chez Rand, un cabinet de conseil en recherche à but non lucratif, la décision de quitter la fonction publique s'explique souvent par le fait que les agents en ont assez. L'une des principales sources de frustration concerne les ressources et le financement, explique-t-il.
Dans le monde de la technologie, où tout évolue à un rythme effréné, on peut très facilement se retrouver à la traîne. Les contraintes budgétaires et les retards dans la mise à disposition des ressources peuvent rapidement entraîner une obsolescence des systèmes. L'un des domaines qui revêt une importance croissante pour la mise en place d'une cyberdéfense solide dans le secteur privé est la pratique émergente du « DevSecOps » ( ), , une stratégie qui consiste à associer les équipes de sécurité aux projets de développement logiciel dès le début. Cela leur permet ainsi d'identifier les vulnérabilités potentielles du réseau avant que ces projets n'aient trop avancé. Selon les experts, les services publics accusent un retard considérable dans l'adoption de cette pratique en matière de cybersécurité.
Le manque d'investissements dans la cybersécurité accroît les risques pour les administrations publiques : celles-ci s'exposent à des piratages, à des fuites de données sensibles et à des pannes de réseaux. Les collectivités locales sont exposées à des menaces d' , 25 % d'entre elles indiquant que des tentatives d'intrusion ont lieu toutes les heures et 14 % signalant une tentative par jour, selon une enquête 2020 menée par l'International City/County Management Association.
« Les gens sont frustrés par la bureaucratie, les formalités administratives et le manque de ressources », explique M. Hodgson. « Ils ont le sentiment de ne pas disposer des ressources nécessaires pour faire leur travail. » « Et ils ont l’impression que personne ne vous prend au sérieux en tant que professionnel de la cybersécurité jusqu’à ce que quelque chose tourne mal, et là, tout le monde se jette sur vous pour vous demander pourquoi. »
Épuisé(e)
De nombreux professionnels de la cybersécurité du secteur public souffrent d'épuisement professionnel . « Si l’on examine les raisons pour lesquelles les gens partent, on constate que, d’un point de vue historique, cela a généralement été lié au burn-out », explique J. Michael Daniel, ancien responsable de la cybersécurité de l’ancien président Obama. « Pour tous ceux qui travaillent dans le domaine de la cybersécurité pendant la pandémie, la situation n’a sans doute fait qu’empirer, en raison des exigences liées au télétravail et à la main-d’œuvre hybride. »
À tout cela s'ajoute un processus de recrutement fastidieux. Le gouvernement fédéral procède souvent à des vérifications approfondies des antécédents, une pratique qui peut rebuter les travailleurs, étant donné que les entreprises privées n'exigent que rarement de telles vérifications. Par ailleurs, si un candidat a des antécédents liés à la consommation de stupéfiants, même mineurs et remontant au lycée ou à l'université, il lui est généralement interdit de travailler pour l'État.
Les experts du secteur soulignent également la nécessité d'envisager l' s de jeunes talents sous un angle différent. Daniel, qui occupe actuellement les fonctions de président-directeur général de la Cyber Threat Alliance, une association à but non lucratif spécialisée dans la cybersécurité, estime que certaines exigences en matière d'éducation sont superflues.
« Imposons-nous des exigences arbitraires qui rebutent les gens ? » dit-il. « Exigez-vous un master alors que ce diplôme n’est pas nécessaire ? »
Conscient de ce problème particulier, le secrétaire du DHS, Alejandro Mayorkas, a lancé un programme d'excellence, qui prévoit notamment de recruter de jeunes diplômés dans des domaines liés à la cybersécurité pour les intégrer à une formation professionnelle d'un an. Les personnes ayant suivi ce programme jusqu'au bout pourront postuler à des postes à temps plein dans le domaine de la cybersécurité au sein du ministère.
Robert Spalding, un général de brigade à la retraite de l’armée de l’air qui a occupé des fonctions de responsable de la défense à Pékin, affirme avoir quitté l’armée après en avoir eu assez d’utiliser des systèmes obsolètes sur les bombardiers furtifs B-2. Il estime que le manque de compétences et d’infrastructures du gouvernement en matière de cybersécurité et de technologies de défense a atteint un point critique.
« Non seulement nous sommes dans une situation de crise, mais cela fait déjà un certain temps que nous y sommes, sans qu’aucun signe de réforme ne se profile à l’horizon », déclare-t-il.
Pour remédier à ce problème, M. Spalding estime que le gouvernement devrait réduire les dépenses de défense consacrées aux armes et se concentrer plutôt sur les investissements et le recrutement dans les domaines des infrastructures, de l'industrie manufacturière, de la technologie et de l' ainsi que sur l'enseignement des sciences, de la technologie, de l'ingénierie et des mathématiques (STEM).
Aide du secteur privé
À mesure que les difficultés rencontrées par le gouvernement pour recruter des talents dans le domaine des technologies et renforcer ses cyberdéfenses se sont accrues, les services de cybersécurité proposés par le secteur privé aux administrations publiques ont connu un essor considérable. « Le secteur privé s'occupe de presque tout pour le compte du gouvernement », déclare M. Schwartz — en fournissant à la fois des produits de cybersécurité et du personnel. Et ces entreprises sont dirigées par d'anciens fonctionnaires du secteur des technologies et par des diplômés en informatique qui avaient peut-être auparavant envisagé une carrière dans la fonction publique, précise-t-il.
« Les entreprises privées proposent des services informatiques de base : tests d'intrusion, audits de sécurité du matériel, audits des correctifs logiciels, sécurité des passerelles de paiement, ainsi que des services d'authentification et de chiffrement des données », explique Ken Bodnar, spécialiste de la transformation des données.
« À tout le moins, la plupart des agences fédérales utilisent des technologies et des outils issus du secteur privé, tels que les pare-feu, la gestion de réseau, le filtrage des e-mails et la surveillance », explique Daniel, ancien responsable de la cybersécurité. « Ce qui varie d’une agence à l’autre, c’est la répartition entre les services de cybersécurité assurés en interne, par des prestataires et externalisés. » « Les agences les plus importantes et les plus performantes sur le plan technique réalisent davantage de tâches en interne. »
Les services et outils privés doivent garantir que la sécurité des réseaux gouvernementaux soit solide et offre une capacité de détection proactive des menaces. Par exemple, ces outils devraient permettre aux organismes de répertorier leur réseau , leur infrastructure , leur inventaire des actifset leur infrastructure informatique , afin qu'ils sachent exactement où sont stockées les données sensibles. Ils devraient également mettre en œuvre des pratiques de sécurité « zéro confiance » ( ) et, dans l'idéal, disposer d'une plateforme de recherche active de menaces ( ) , ainsi que mettre en place une gestion automatisée des correctifs () et une surveillance automatisée des logiciels ( ).
En effet, l'automatisation des tâches fastidieuses — qui sont plus nombreuses dans le secteur public — constitue un défi majeur pour les administrations publiques. Alors que le secteur privé mobilise sans cesse des ressources et s'efforce de réduire les inefficacités susceptibles d'entraîner des pertes de recettes, le secteur public ne poursuit pas le même objectif. Au contraire, ses moteurs sont la transformation numérique, la satisfaction des citoyens et la sécurité nationale.
Le manque d'automatisation explique également pourquoi les postes dans le domaine de la cybersécurité au sein du secteur public sont plus difficiles à pourvoir. Il existe des dizaines de procédures manuelles que les fonctionnaires effectuent et que leurs homologues du secteur privé ne font pas nécessairement. Il peut s'agir notamment d'appliquer manuellement des correctifs sur plusieurs systèmes d'exploitation, de créer et de faire respecter des règles de conformité sur l'ensemble des terminaux, d'utiliser plusieurs outils hérités obsolètes, et de regrouper manuellement les données issues de tous ces outils de manière à faciliter une prise de décision rapide.
L'avenir crypté
« Le chiffrement constituera le prochain défi à relever par les entreprises technologiques dans le secteur public », affirme M. Bodnar. Parmi les domaines de développement, on peut citer : le chiffrement homomorphe, qui permet de modifier des données chiffrées sans les déchiffrer ; les preuves à divulgation nulle de connaissance, qui permettent à une partie de prouver à une autre partie qu’une affirmation est vraie sans divulguer aucune information ; et l’eIDV (vérification électronique de l’identité), qui utilise des sources de données publiques et privées afin d’identifier les individus.
De son côté, M. Spalding est actuellement en train de mettre en place une entreprise destinée à proposer aux organismes publics des solutions technologiques cryptées dans le domaine de la défense.
Partout dans le pays, des postes vacants dans le domaine de la cybersécurité dans le secteur public, dont les descriptions de poste et les niveaux hiérarchiques varient, restent à pourvoir. Selon les experts, le gouvernement doit s'appuyer sur un véritable sens de la mission afin d'accroître le recrutement, de renforcer ses capacités en matière de cybersécurité et de rester à la pointe des innovations dans ce domaine. Aux postes à responsabilités, les emplois dans le secteur public liés à la cybersécurité peuvent sembler plus valorisants que ceux du secteur privé, et les pouvoirs publics devraient tirer parti de cet atout, estime Daniel.
« Vous avez la possibilité d’influencer directement les résultats des politiques et de participer à des négociations internationales et à ce genre de choses », explique-t-il. « On ne trouve pas toujours cela dans le secteur privé. »
Le mot de la fin revient à Michael Hamilton, ancien responsable de la sécurité des systèmes d'information (RSSI) de la ville de Seattle. « Les collectivités locales assurent le bon fonctionnement des toilettes et la potabilité de l’eau, et les cyberattaquants peuvent facilement paralyser tout cela », explique M. Hamilton, fondateur du projet PISCES (Public Infrastructure Security Cyber Education System), qui met en relation les étudiants en cybersécurité de l’ avec les collectivités locales. « Il s'agit de postes clés dans le domaine de la cybersécurité, mais les candidats sont souvent écartés de ces postes car la rémunération n'est pas compétitive. »
