Dans le contexte des licenciements généralisées du secteur technologique que nous avons vus l’année dernière, il y a au moins un scintillement d’espoir : les équipes de cybersécurité ne sont pas aussi durement touchées que nous le pensions auparavant.
Une étude mondiale récente menée par l’organisme à but non lucratif (ISC)2 a révélé que, bien que la moitié des 1 000 cadres dirigeants interrogés soient très susceptibles d’approuver les licenciements cette année, seuls 10 % prévoient d’éliminer le personnel de cybersécurité. Cela fait écho à d’autres signes positifs pour les équipes de sécurité : le nombre total de travailleurs de cybersécurité employés en 2022 est resté relativement inchangé par rapport aux estimations précédentes, selon des données publiées en janvier, et le recrutement est en augmentation dans le secteur public dans des endroits tels que la National Security Agency (NSA), qui a lancé un effort de recrutement « sans précédent » pour pourvoir des emplois en cybersécurité en 2023.
Cela suggère que les chefs d’entreprise des secteurs privé et public savent qu’ils ne peuvent pas réduire trop profondément le personnel de cybersécurité compte tenu de l’augmentation des ransomwares, de la compromission des e-mails professionnels et d’autres menaces continues. Mais les licenciements modifieront incontestablement le paysage des menaces, ce qui rend encore plus important pour les dirigeants d’entreprise de mettre régulièrement à jour leurs stratégies de cybersécurité.
Par exemple, les entreprises et les utilisateurs peuvent constater une hausse des tentatives d’ hameçonnage , qui tentent d’inciter les travailleurs à cliquer sur des liens dangereux. En plus des fausses enquêtes, des récompenses et des plaidoiries pour aider les princes nigérians en difficulté, les travailleurs licenciés pourraient commencer à recevoir des escroqueries par hameçonnage avec des liens prometteux sur les mises à jour de leurs avantages sociaux.
Les organisations peuvent également être affectées négativement par les employés « laissés derrière » qui se sentent déprimés, s’inquiets de savoir s’ils seront à côté de recevoir des glissades roses et de devenir moins productifs, déclare Max Solonski, RSSI d’Hexview, une société de conseil exécutif.
« Lorsque les entreprises abandonnent un certain nombre d’employés, le moral des employés restants n’est pas souvent élevé », dit-il. « Ils peuvent ne pas se soucier suffisamment, dans certains cas, de réagir aux problèmes, ce qui augmente le risque global. »
Pire encore, une attitude aigre parmi les employés augmentera le risque d’initié d’une entreprise, exigeant encore un autre pivot de sécurité. Les licenciements, même s’ils n’affectent pas directement les équipes de sécurité, exigent toujours un prix exact.
Le « petit secret sale » des licenciements informatiques
Pour être clair, les responsables de la sécurité de l’information et leurs équipes n’ont pas entièrement évité les licenciements, et certains réduisent même des équipes de sécurité entières. Par exemple, Patreon, une plateforme d’adhésion de créateurs qui n’avait pas été violée depuis 2015, a abandonné son équipe de cybersécurité de cinq personnes en septembre dernier.
« Si vous passez deux ans sans sécurité, oui, vous économisez 20 millions de dollars. Mais vous courez un risque extrêmement élevé de perdre beaucoup plus que cela. »Richard Stiennon, analyste de recherche en chef, IT-Harvest
« Je vous garantis qu’il y a de grandes entreprises qui ont licencié leurs RSSI et leur personnel de sécurité informatique tout en réduisant la taille de leurs organisations », déclare Steve Zalewski, ancien RSSI de Levi Strauss et fondateur de S3 Consulting. « Ils ne mettent pas cela en évidence. C’est leur petit secret sale. »
L’allure d’économiser quelques dollars à court terme est compréhensible, mais une telle approche est « myope », suggère Richard Stiennon, analyste de recherche en chef pour IT-Harvest.
« Pour avoir une bonne sécurité, cela coûte environ 10 millions USD par an », déclare Stiennon. « Si vous passez deux ans sans sécurité, oui, vous économisez 20 millions de dollars. Mais vous courez un risque extrêmement élevé de perdre beaucoup plus que cela. »
En effet, les entreprises pourraient trouver que le fait d’avoir moins de professionnels de la sécurité au sein du personnel les rend moins capables de se défendre contre les types d’attaques de plus en plus sophistiquées susceptibles de se produire au cours des prochaines années.
« Avec moins de ressources, les organisations peuvent ne pas être en mesure de suivre les dernières mises à jour et correctifs de sécurité, augmentant le risque d’exploitation des vulnérabilités », déclare George Lamont, directeur de l’information et fondateur d’IronNet Cybersecurity. « Les équipes de développeurs de logiciels placeront souvent par défaut les correctifs et correctifs de sécurité dans le backlog, ce qui ajoute des risques aux systèmes et produits jusqu’à ce qu’ils puissent être résolus. »
Faire face aux conséquences
Les experts avertissent les entreprises qu’elles doivent faire de leur mieux pour maintenir leurs postures de sécurité, en particulier à la suite de licenciements, ce qui transformera une entreprise à la fois en interne et en externe. Pour se préparer à ces modifications, voici 5 mesures proactives que les responsables de l’entreprise et de la sécurité peuvent prendre.
- Mettez tout le monde sur la même longueur
d’onde Lamont déclare que lorsque le personnel est de plus en plus serré, il est encore plus important de s’assurer que tout le monde travaille toujours pour l’entreprise, de l’informatique et des opérations aux RH, au service juridique, au marketing, au service et à l’assistance, est synchronisé et prêt à fonctionner en cas de cyberattaque. Cela signifie dépoussiérer et examiner vos manuels de réponse aux incidents, ou développer ces plans si vous ne les avez pas déjà. Il conseille également d’organiser des exercices de jeu de rôle conjoints, comme des jeux de guerre. - Automatiser
S’il y a moins de personnes pour gérer les problèmes de sécurité, l’automatisation des tâches essentielles ne sera pas un choix ; elle sera une nécessité. L’automatisation de la sécurité, autrefois considérée comme un Saint Graal et peu populaire, connaît désormais une renaissance. - Consolider Face à des considérations budgétaires difficiles, les dirigeants doivent éliminer les ensembles d’outils redondants et inutiles. Trop souvent, les organisations pensent que la solution à quelque chose que leurs outils existants ne gèrent pas est de jeter plus dans le mélange.
Malheureusement, cela entraîne une prolifération des outils où un nombre écrasant de solutions ponctuelles entraîne des coûts, une complexité et des cyber-risques supplémentaires. Avoir une plateforme unique approuvée pour gérer plusieurs fonctions est la solution la plus efficace et viable, selon certains experts. - Embaucher, embaucher
Cela peut sembler contre-intuitif pour une entreprise qui a licencié des personnes, mais il y a probablement plus de talents en matière de sécurité à la recherche d’un travail en ce moment qu’il n’y en a eu depuis des années. Et si l’on considère que plus de 3,4 millions d’emplois en cybersécurité ne sont pas pourvus, selon une autre étude (ISC)2, cela épele une opportunité pure. Tout comme les investisseurs immobiliers trouvent des transactions sur des marchés en baisse, les employeurs avertis peuvent récupérer certains trésors de talents cachés dans cette économie turbulente. - Envisagez l’assistance tierce
Souvent, comme cela a pu être le cas avec Patreon, les entreprises qui ont un personnel réduit découvrent qu’elles n’ont pas l’expertise interne pour se fortifier, et elles se tournent vers les fournisseurs de services de sécurité gérés (MSSP) pour obtenir de l’aide. Stiennon déclare qu’il s’agit d’une approche intelligente pour de nombreuses entreprises.
« Il y a des centaines, voire des milliers, de bons MSSP qui seraient plus que heureux de prendre le relais pour vous », dit-il. « Il s’agirait d’une augmentation des dépenses nettes, car vous avez toujours des indemnités de licenciement et des paiements COBRA pour les employés que vous venez d’abandonner. Mais vous seriez couvert par la cybersécurité. »
