Un récent tweet de Jen Easterly, responsable de la plus grande agence américaine de cybersécurité, n’est pas seulement une campagne de recrutement accélérée, c’est également un signal que le gouvernement a un besoin urgent d’aide.
« Rejoignez notre équipe », affirme la publication au son de la musique rock forte. « Vous êtes la pièce manquante », dit-il, car la dernière pièce d’un Rubik’s Cube est en place pour montrer le logo de son agence. Easterly (@CISAJen), qui est directrice de la Cybersecurity and Infrastructure Security Agency, publie dans le tweet que si ce n’était pas pour sa curiosité et son « amour des puzzles », elle n’aurait peut-être pas découvert sa carrière.
Le gouvernement a terriblement besoin de plus de personnes comme elle. Il existe plus de 36 000 emplois non pourvus dans le domaine de la cybersécurité dans le secteur public, selon les données recueillies par CyberSeek, un projet de cyber-embauche affilié au Département du commerce. L’été dernier, le Département de la sécurité intérieure a estimé qu’il y avait environ 1 700 emplois dont il avait besoin pour pourvoir son agence seule.
Bien qu’un manque de compétences technologiques ait toujours persisté dans l’industrie privée, la pénurie croissante du gouvernement pose un risque pour la campagne de cybersécurité de haut niveau de l’administration Biden et pour l’intégrité de la sécurité de la nation. Ce problème a été rendu plus urgent 3 novembre lorsque l’administration a émis un mandat de cybersécurité étendu, ordonnant à presque toutes les agences fédérales de corriger des centaines de vulnérabilités qui sont considérées comme des risques majeurs d’intrusion et de dommages aux réseaux fédéraux.
« Nous savions il y a cinq ans que nous devions ajouter des dizaines de milliers de nouveaux professionnels de la cybersécurité au gouvernement américain pour réussir », déclare Ari Schwartz, ancien directeur principal de la cybersécurité à la Maison-Blanche d’Obama. « Étant donné que le chiffre d’affaires reste élevé, nous atteignons un point de crise où le gouvernement américain n’a tout simplement pas les talents dont il a besoin », déclare Schwartz, qui est directeur général des services de cybersécurité chez Venable, un cabinet de services juridiques et de conseil aux entreprises.
Le gouvernement est confronté à de nombreux défis en essayant de recruter et de retenir des travailleurs des technologies de sécurité. Ces défis, qu’il s’agisse de rémunération, de financement, de ressources ou d’aménagements du lieu de travail, ne sont pas propres au gouvernement. Ils sont de plus en plus enclins à quitter leur carrière au fur et à mesure que la pandémie s’aggrave. En août, un nombre record
de4,3 millions d’employés américains ont quitté leur emploi, et il existe désormais près de 465 000 emplois privés et publics non pourvus en cybersécurité dans le pays, selon CyberSeek.
Limite supérieure
Le défi le plus courant auquel le gouvernement est confronté dans le recrutement de professionnels avisés de la cybersécurité est la rémunération. Les professionnels de la technologie peuvent obtenir jusqu’à 50 % de rémunération en plus dans le secteur privé que dans le secteur public, déclare John Bambenek, un expert en cybersécurité chez Netenrich, qui fournit des services de détection des cybermenaces.
Dans le secteur public, il existe également souvent une limite supérieure de rémunération pour les employés même les plus performants, ce qui n’est (bien sûr) pas le cas pour le secteur privé. Dans les emplois gouvernementaux, « vous arrivez finalement au point où vous devez être un candidat politique », dit-il.
« Étant donné que le chiffre d’affaires reste élevé, nous atteignons un point de crise. »Ari Schwartz, ancien directeur principal de la cybersécurité à la Maison-Blanche d’Obama
Au niveau de l’État, la rémunération peut être un problème encore plus important. Selon CyberSeek, les États devaient pourvoir 9 000 postes de cybersécurité l’été dernier. L’année dernière, le salaire annuel moyen d’un cyber-employé du gouvernement local ou d’État était d’environ 95 412 USD, soit environ 25 000 USD de retard sur le salaire du gouvernement fédéral.
« Il faudra une certaine créativité pour faire face à la réalité qu’il est tout simplement plus lucratif de quitter le gouvernement pour le secteur privé », déclare Bambenek.
Pour Quentin Hodgson, chercheuse en cybersécurité senior chez Rand, consultante en recherche à but non lucratif, la décision de quitter le gouvernement est souvent due au fait que les travailleurs en ont suffisamment. L’une des principales frustrations réside dans les ressources et le financement, dit-il.
Dans le monde en constante évolution de la technologie, il est trop facile de prendre du retard. Les limites de financement et les retards de ressources peuvent rapidement entraîner des systèmes obsolètes. Un domaine qui est de plus en plus critique pour le déploiement d’une cyberdéfense robuste dans le secteur privé est la pratique émergente de DevSecOps, une stratégie qui amène les équipes de sécurité dans les projets de développement logiciel au début. Cela leur permet à leur tour de détecter les vulnérabilités potentielles du réseau avant que ces projets ne soient trop avancés. Les experts affirment que la cybersécurité gouvernementale est loin derrière dans l’adoption de cette pratique.
Le manque d’investissement dans la cybersécurité augmente le risque pour les agences gouvernementales : être piraté, avoir des données sensibles divulguées et arrêter les réseaux. Selon une enquête de la 2020 International City/County Management Association, les agences gouvernementales locales sont menacées, avec environ 25 % disant que des tentatives de violation se produisent toutes les heures et 14 % signalant une tentative chaque jour.
« Les gens sont frustrés par la bureaucratie, les processus et le manque de ressources », déclare M. Hodgson. « Ils ont l’impression de ne pas obtenir les ressources dont ils ont besoin pour faire leur travail. Et ils pensent que tout le monde vous ignore en tant que professionnel de la cybersécurité jusqu’à ce que quelque chose ne se passe pas, puis ils commencent à vous demander pourquoi. »
Dévoré
De nombreux travailleurs du secteur public de la cybersécurité sont épuisés. « Si vous examinez les raisons pour lesquelles les gens partent, historiquement, cela a généralement été associé à l’épuisement professionnel », déclare J. Michael Daniel, ancien zar de cybersécurité d’Obama. « Pour toute personne faisant de la cybersécurité pendant la pandémie, cela ne s’est probablement que aggravé, en raison des exigences du travail à distance et des exigences de la main-d’œuvre hybride. »
Tout compliquer est un processus d’embauche fastidieux. Le gouvernement fédéral effectue souvent des vérifications approfondies des antécédents, une routine qui peut retarder les travailleurs étant donné que peu de ces examens sont requis par une entreprise privée. En outre, si un demandeur a des antécédents de drogue, même mineur datant du lycée ou de l’université, il lui est généralement interdit de travailler pour le gouvernement.
Les experts du secteur soulignent également la nécessité d’examiner les jeunes talents sous un autre angle. Daniel, qui est actuellement président-directeur général de la Cyber Threat Alliance, une association de cybersécurité à but non lucratif, déclare que certaines demandes d’éducation sont inutiles.
« Imposons-nous des exigences arbitraires qui désactivent les gens ? » dit-il. « Avez-vous besoin d’un master alors que vous n’avez pas besoin d’un master ? »
En reconnaissance de ce problème particulier, le secrétaire du DHS Alejandro Mayorkas a lancé un programme Honors, qui comprend un effort pour recruter des jeunes diplômés avec des diplômes dans des domaines liés à la cybersécurité dans le cadre d’un cours de développement professionnel d’un an. Ceux qui terminent le programme seront éligibles aux postes de cybersécurité à temps plein dans le service.
Robert Spalding, un brigadier général de l’armée de l’air à la retraite qui a servi en tant que responsable de la défense à Pékin, déclare avoir quitté l’armée après avoir eu peur d’utiliser des systèmes obsolètes sur des bombardiers furtifs B-2. Il déclare que le manque de talents et d’infrastructures du gouvernement en matière de cybersécurité et de technologie de défense est à un moment de crise.
« Non seulement nous sommes à un moment de crise, mais nous sommes à un moment de crise depuis un certain temps sans aucun signe de réforme en vue », dit-il.
Pour résoudre le problème, Spalding pense que le gouvernement devrait réduire les dépenses de défense pour les armes et se concentrer plutôt sur l’investissement et le recrutement dans les infrastructures, la fabrication, la technologie et l’ éducation STEM.
Aide du secteur privé
Alors que les défis du gouvernement en matière d’embauche de talents technologiques et de construction de cyberdéfenses se sont développés, les services de cybersécurité du secteur privé aux agences gouvernementales se sont épanouis. « Le secteur privé fait presque tout pour le gouvernement », déclare Schwartz, fournissant à la fois des produits et du personnel de cybersécurité. Et ces entreprises sont dirigées par d’anciens travailleurs technologiques gouvernementaux et par des diplômés en technologie qui ont peut-être déjà envisagé une carrière dans le secteur public, dit-il.
Les entreprises privées offrent des cyberservices de base : tests de pénétration, audits de sécurité matérielle, audits de correctifs logiciels, sécurité de passerelle de paiement et services d’authentification et de cryptage des données, déclare Ken Bodnar, praticien de la transformation des données.
« Au minimum, la plupart des agences fédérales utilisent des technologies et des outils du secteur privé, tels que les pare-feux, la gestion réseau, le filtrage et la surveillance des e-mails », déclare Daniel, ancien expert en cybersécurité. « Ce qui varie d’une agence à l’autre, c’est la combinaison entre les services de cybersécurité internes, sous-traitants et externalisés. Les agences plus grandes et plus compétentes sur le plan technique font plus en interne. »
Les services et outils privés doivent s’assurer que la sécurité du réseau gouvernemental est robuste et offre une capacité proactive de détection des menaces. Par exemple, ces outils doivent permettre aux agences de cataloguer leur inventaire d’actifs réseau afin qu’elles sachent exactement où les données sensibles sont stockées. Ils doivent également mettre en œuvre des pratiques Zero Trust et, idéalement, fournir une plateforme de recherche des menaces , ainsi que mettre en œuvre une gestion automatisée des correctifs et une surveillance des logiciels.
En effet, l’automatisation des tâches fastidieuses, dont il existe plus dans le secteur public, est un défi clé auquel les agences gouvernementales sont confrontées. Bien que le secteur privé fournisse constamment des ressources et se pousse à réduire les inefficacités qui peuvent entraîner une perte de revenus, le secteur public ne parvient pas à atteindre le même objectif. Au lieu de cela, ses moteurs sont la transformation numérique, la satisfaction des constituants et la sécurité nationale.
Le manque d’automatisation explique également pourquoi les emplois de cybersécurité du secteur public sont plus difficiles à pourvoir. Il existe des dizaines de processus manuels que les employés du gouvernement effectuent et que leurs homologues du secteur privé ne peuvent pas effectuer. Cela peut inclure l’application manuelle de correctifs sur plusieurs systèmes d’exploitation, la création et l’application de règles de conformité sur tous les endpoints, l’utilisation de plusieurs outils existants obsolètes et la combinaison manuelle des données de tous d’une manière qui se prête à une prise de décision rapide.
L’avenir chiffré
Le chiffrement sera la prochaine frontière du secteur public pour les entreprises technologiques, déclare Bodnar. Parmi les domaines de développement : le chiffrement homomorphe, qui permet de modifier les données chiffrées sans les décrypter ; zéro preuve de connaissances, qui permet à une partie de prouver à une autre partie qu’une déclaration est vraie sans transmettre d’informations ; et eIDV (vérification d’identité électronique), qui utilise des sources de données publiques et privées afin de correspondre aux personnes.
Spalding, pour sa part, met actuellement en place une entreprise pour offrir aux agences gouvernementales des solutions technologiques de défense cryptées.
Dans l’ensemble du pays, les postes vacants de cybersécurité publique de descriptions de poste et d’ancienneté variées restent vacants. Les experts affirment que le gouvernement doit se pencher sur un sens de la mission afin d’augmenter le recrutement, d’augmenter ses capacités de cybersécurité et de rester au fait des innovations sur le terrain. À des niveaux supérieurs, les emplois de cybersécurité publique peuvent sembler plus significatifs que les emplois dans les entreprises privées, et le gouvernement devrait en tirer parti, déclare Daniel.
« Vous avez la possibilité de générer directement des résultats politiques et de participer à des négociations internationales et à des choses comme ça », dit-il. « Vous ne pouvez pas toujours vraiment y parvenir dans le secteur privé. »
Le dernier mot doit être adressé à Michael Hamilton, ancien RSSI de la ville de Seattle. « Les gouvernements locaux rendent les toilettes rincées et votre eau potable, et les cyberattaques peuvent facilement résister à tout cela », déclare Hamilton, fondateur du projet Public Infrastructure Security Cyber Education System (PISCES), qui connecte les étudiants en cybersécurité aux gouvernements locaux. « Il s’agit de postes cybernétiques supercritiques, mais les personnes sont souvent bloquées de ces emplois parce que la rémunération n’est pas compétitive. »
