Petra Vukmirovic aime réparer des objets. C'est pour cette raison qu'elle a d'abord choisi de devenir médecin aux urgences. Mais elle aspirait à davantage de créativité dans son travail, à une époque où, en pleine pandémie, beaucoup de gens remettaient en question leurs choix de vie.
« J’ai essayé de déterminer dans quel domaine mes compétences médicales seraient les plus utiles, et j’ai fini par me tourner vers la cybersécurité », explique Vukmirovic. Elle occupe actuellement le poste d'ingénieure senior en cybersécurité chez Zava, une entreprise spécialisée dans la santé numérique et basée à Londres.
« Dans ces deux métiers, il y a beaucoup de dépannage et de travail de détective en matière d’ », a-t-elle déclaré lors d’un entretien avec Endpoint. « J’aime réparer des choses, et j’ai découvert que le domaine de la technologie s’y prête parfaitement. »
La pénurie croissante de talents dans le domaine de la cybersécurité oblige le secteur à rechercher davantage de personnes en reconversion professionnelle, comme M. Vukmirovic, afin de faire face à la forte recrudescence des attaques par ransomware de type « » et d’autres cyberattaques. La pénurie de main-d'œuvre dans le secteur de la cybersécurité, qui constitue depuis longtemps un problème épineux et urgent, a conduit les responsables de la sécurité et des technologies à se tourner vers des viviers de talents et des stratégies non traditionnels afin de pallier le manque de personnel. Ils suppriment également les exigences en matière de diplôme et assouplissent les profils de recrutement traditionnels afin de renforcer le vivier de candidats.
« Pour combler la pénurie de main-d’œuvre dans le domaine de la cybersécurité, nous devons élargir le vivier de talents et lever les obstacles à l’accès à ce secteur en abandonnant une approche axée avant tout sur la technologie, pour privilégier plutôt les solides compétences non techniques indispensables pour réussir dans ce domaine », déclare Clar Rosso, PDG de l’organisme de formation International Information System Security Certification Consortium, ou (ISC)². « Les professionnels de la cybersécurité estiment que de solides capacités à résoudre des problèmes, la curiosité et l’envie d’apprendre, de bonnes compétences en communication ainsi qu’une réflexion stratégique sont aussi importantes, voire [encore] plus importantes, que les certifications et l’expérience pertinente en matière de cybersécurité. »
Renforcer le vivier de talents dans le domaine de la cybersécurité
(ISC)² a estimé, dans sa dernière étude annuelle sur les effectifs « » ( ), qu'il manquait environ 2,7 millions de professionnels supplémentaires dans le domaine de la cybersécurité à l'échelle mondiale. Selon les estimations de l'organisation, les effectifs mondiaux dans le domaine de la cybersécurité doivent augmenter de 65 % pour assurer une protection efficace des actifs critiques.
«Nous devons élargir le vivier de talents en recherchant les solides compétences non techniques indispensables pour réussir dans le domaine de la cybersécurité. »Clar Rosso, PDG de (ISC)²
Une récente enquête menée par Deloitte intitulée « » ( ) apporte de nouvelles preuves que la concurrence pour attirer les talents dans le domaine de la cybersécurité reste féroce, en particulier aux États-Unis, où 31 % des dirigeants interrogés déclarent que leurs entreprises sont souvent incapables de recruter et de fidéliser des professionnels de la cybersécurité. Seule la moitié environ (16 %) des dirigeants non américains déclarent être confrontés aux mêmes difficultés en matière de recrutement et de fidélisation.
De même, un tiers des personnes interrogées dans le cadre d'une enquête menée par Tanium ont déclaré que la pénurie de compétences en cybersécurité au sein de leur entreprise constituait l'un des principaux défis en matière d'opérations de sécurité. Ce problème est particulièrement aigu au sein du gouvernement. Même les RSSI d' s se font rares. CyberSeek a créé une carte interactive des États-Unis afin de vous aider à visualiser ces lacunes.
La neurodiversité sur le lieu de travail
Afin de découvrir de nouvelles sources importantes de talents, les entreprises s'efforcent de recruter davantage de profils atypiques dans le domaine de la cybersécurité, notamment des personnes « neurodiverses » présentant des troubles tels que l'autisme, le trouble déficitaire de l'attention avec hyperactivité (TDAH) et la dyslexie. Selon les chercheurs, les collaborateurs neurodivers excellent souvent dans l'évaluation des risques cybernétiques et l'analyse des activités en ligne suspectes, grâce à des traits de caractère tels que l'hyperconcentration, la précision, la persévérance et la capacité à identifier des schémas récurrents.
Le cabinet de conseil Ernst & Young a plus que triplé ses effectifs composés de personnes neurodivergentes à l'échelle mondiale pendant la pandémie. En 2021, EY a mis en place à Boston une équipe de 10 personnes présentant une neurodiversité, spécialisée dans la cybersécurité et d'autres domaines, dans le cadre de ses « Centres d'excellence en neurodiversité ». Au début de l'année 2022, l'entreprise comptait plus de 300 collaborateurs présentant une neurodiversité à l'échelle mondiale.
[À lire également : La nouvelle génération de la cybersécurité]
Les anciens militaires constituent un autre vivier de talents important, car ils possèdent souvent une solide expérience dans les domaines technique, opérationnel et de la sécurité. Les RSSI assurent également la reconversion des professionnels de la sécurité déjà en poste, tout en recrutant du personnel informatique et en le formant à la cybersécurité. Ils ont puisé dans des domaines aussi variés que la comptabilité, l'audit et la gestion de l'assurance qualité, et se sont tournés vers des groupes sous-représentés tels que les femmes et les personnes de couleur. Ils recherchent parfois des personnes comme Vukmirovic, qui ont changé de domaine alors que, à première vue, ceux-ci peuvent sembler n'avoir aucun rapport.
Élargir le champ d'action des professionnels de la cybersécurité
Le secteur de la cybersécurité a été critiqué pour ses exigences irréalistes concernant les postes de débutants. Certains employeurs continuent d'exiger des certifications professionnelles et des diplômes supérieurs dont l'obtention nécessite plusieurs années. Par exemple, une offre d'emploi pour un poste d'analyste junior au sein d'un centre d'opérations de sécurité dans une grande banque exigeait un diplôme de licence, au moins quatre ans d'expérience dans le domaine des techniques avancées, ainsi que des certifications professionnelles.
(ISC)² a indiqué à Endpoint qu’il menait actuellement un projet pilote portant sur une certification d’entrée de gamme en cybersécurité, destinée à aider les personnes en reconversion professionnelle dans ce domaine ainsi que les jeunes professionnels à démontrer à leurs employeurs qu’ils possèdent les compétences fondamentales et les qualités personnelles nécessaires pour mener une carrière dans la cybersécurité. Cette certification peut également être utile aux professionnels qui doivent démontrer qu'ils maîtrisent les meilleures pratiques en matière de cybersécurité. Par exemple, si la SEC adopte les projets de réglementation proposés par l' , selon lesquels les sociétés cotées en bourse doivent disposer d'une expertise en cybersécurité au sein de leur conseil d'administration, cette certification permettrait de vérifier les connaissances des membres du conseil d'administration.
Une autre façon pour les employeurs d'élargir leurs critères de recrutement consiste à ne plus exiger que les salariés travaillent sur place. Cela a constitué un enjeu majeur en matière de recrutement et de fidélisation à l'ère du travail hybride.
La cybersécurité : un métier au service de la collectivité
Ann Cleaveland, directrice générale du Centre « » pour la cybersécurité à long terme de l'Université de Californie à Berkeley, affirme que les métiers de la cybersécurité peuvent être présentés aux jeunes actifs qui cherchent un moyen de faire la différence dans le monde. « La cybersécurité est liée au service public et à l’engagement au service des communautés », déclare-t-elle. « Cela aiderait si le grand public considérait ce métier davantage comme un emploi qui, à certains égards, s'apparente à celui d'un professionnel de santé, plutôt que comme le stéréotype du hacker en sweat à capuche, assis dans un coin quelque part. » « C’est ce qui fait que cette mission trouve un écho bien plus fort auprès d’un large éventail de personnes. »
«[Considérez-le] plutôt comme un professionnel de santé que comme le stéréotype du hacker en sweat à capuche. »Ann Cleaveland, directrice générale du Center for Long-Term Cybersecurity de l'Université de Californie à Berkeley
Le CTLC s'efforce de mettre en place un réseau international de centres universitaires qui s'appuieraient à la fois sur les départements d'informatique et sur les filières non techniques afin de susciter chez les étudiants un sentiment de mission et de les aider à décrocher des emplois dans le domaine de la cybersécurité au sein d'associations à but non lucratif et d'autres organisations d'intérêt général. « Il faut rendre la cybersécurité plus attrayante pour un plus grand nombre d’étudiants issus de disciplines plus variées », déclare M. Cleaveland.
« Élargir le champ d’action de ce domaine à davantage de disciplines universitaires signifie que les clients bénéficient d’une meilleure cybersécurité et même d’une assistance technique », ajoute M. Cleaveland. « Nous avons fini par attirer des étudiants issus de la faculté de droit, de l’école d’administration publique et de santé publique — des personnes qui n’auraient peut-être jamais envisagé la cybersécurité comme une voie professionnelle intéressante pour elles. »
Rachael Cornejo a suivi une formation en cybersécurité dans le cadre de la « Citizen Clinic » du CTLC, une initiative qui se définit comme un projet de sécurité numérique d'intérêt public. À l'université de Berkeley, Cornejo pensait vouloir se lancer dans une carrière de journaliste, mais elle s'est ensuite rendu compte qu'elle s'intéressait davantage à la défense des causes et à la promotion du changement. Grâce à sa formation, elle a pu décrocher, après l'obtention de son diplôme, un poste de consultante en cybersécurité chez Deloitte.
En tant qu'étudiante en sciences humaines et en arts libéraux, Cornejo a déclaré que sa plus grande surprise avait été de constater que sa carrière dans la cybersécurité exigeait moins de compétences techniques qu'elle ne l'avait imaginé. « Le piratage repose sur des principes scientifiques rigoureux, mais cela ne représente qu’une petite partie de la cybersécurité », explique-t-elle. « C'est en réalité une discipline bien plus qualitative. »
Mme Cornejo met à profit ses compétences relationnelles pour interroger des personnes sur les risques, afin de les hiérarchiser et d'élaborer une évaluation des risques « ». « En gros, il s’agit de se mettre dans la peau des pirates informatiques », explique-t-elle. « Cela peut être amusant et gratifiant. »
