Au milieu des licenciements massifs qui ont touché le secteur des technologies au cours de l'année écoulée, il y a au moins une lueur d'espoir : les équipes de cybersécurité ne sont pas aussi durement touchées qu'on le pensait initialement.
Une récente étude mondiale intitulée « » , menée par l'organisation à but non lucratif (ISC)², a révélé que, si la moitié des 1 000 cadres dirigeants interrogés sont très susceptibles d'approuver des licenciements cette année, seuls 10 % d'entre eux prévoient de supprimer des postes dans le domaine de la cybersécurité. Cela fait écho à d’autres signes encourageants pour les équipes de sécurité : le nombre total de professionnels de la cybersécurité en poste en 2022 est resté relativement inchangé par rapport aux estimations précédentes, selon les données de l’ publiées en janvier, et les embauches sont en hausse dans le secteur public, notamment au sein de l’Agence nationale de sécurité (NSA), qui a lancé une campagne de recrutement « sans précédent » afin de pourvoir des postes dans le domaine de la cybersécurité en 2023.
Cela semble indiquer que les dirigeants d’entreprise, tant dans le secteur privé que dans le secteur public, sont conscients qu’ils ne peuvent pas réduire trop fortement leurs effectifs dédiés à la cybersécurité, compte tenu de la recrudescence des attaques de type « », des ransomwares, , des compromissions de messagerie professionnelle et d’autres menaces persistantes . Mais les licenciements vont incontestablement modifier le paysage des menaces liées à l' , ce qui rend d'autant plus important pour les dirigeants d'entreprise de mettre régulièrement à jour leurs stratégies de cybersécurité.
Par exemple, les entreprises et les utilisateurs pourraient constater une recrudescence des tentatives de phishing de type « » , qui visent à inciter les employés à cliquer sur des liens dangereux. Outre les faux sondages, les prétendus prix et les appels à l'aide destinés à des princes nigérians en difficulté, les salariés licenciés pourraient commencer à recevoir des tentatives d'hameçonnage contenant des liens promettant des informations sur l'évolution de leurs avantages sociaux.
Les entreprises peuvent également subir des répercussions négatives du fait que les salariés « laissés pour compte » se sentent déprimés, s'inquiètent d'être les prochains à recevoir leur lettre de licenciement et voient leur productivité diminuer, explique Max Solonski, responsable de la sécurité des systèmes d'information (RSSI) chez Hexview, un cabinet de conseil aux dirigeants.
« Lorsque les entreprises licencient un certain nombre de salariés, le moral des salariés restants n'est souvent pas au beau fixe », explique-t-il. « Dans certains cas, il se peut qu’ils ne s’en soucient pas suffisamment pour réagir face aux problèmes, ce qui accroît le risque global. »
Pire encore, une attitude négative de la part du personnel augmentera le risque interne de l'entreprise, ce qui nécessitera une nouvelle réorientation en matière de sécurité. Les licenciements, même s'ils n'affectent pas directement les équipes de sécurité, ont toujours un coût.
Le « petit secret inavouable » des licenciements dans le secteur informatique
Pour être clair, les responsables de la sécurité de l'information d' , ainsi que leurs équipes, n'ont pas totalement échappé aux licenciements, et certains vont même jusqu'à supprimer des équipes de sécurité entières. Par exemple, Patreon, une plateforme d'abonnement destinée aux créateurs qui n'avait pas subi de piratage depuis 2015, , a licencié son équipe de cybersécurité composée de cinq personnes en septembre dernier.
«Si vous passez deux ans sans mesures de sécurité, oui, vous économisez 20 millions de dollars. » Mais vous courez un risque extrêmement élevé de perdre bien plus que cela. »Richard Stiennon, analyste-chef de recherche chez IT-Harvest
« Je peux vous garantir qu’il existe de grandes entreprises qui ont licencié leurs RSSI et leur personnel chargé de la sécurité informatique dans le cadre d’une réduction des effectifs », déclare Steve Zalewski, ancien RSSI chez Levi Strauss et fondateur de S3 Consulting. « Ils ne le soulignent pas. » « C'est leur petit secret inavouable. »
L'attrait de réaliser quelques économies à court terme est compréhensible, mais une telle approche est « à courte vue », estime Richard Stiennon, analyste en chef chez IT-Harvest.
« Pour garantir un bon niveau de sécurité, il faut compter environ 10 millions de dollars par an », explique M. Stiennon. « Si vous passez deux ans sans mesures de sécurité, oui, vous économisez 20 millions de dollars. » « Mais vous courez un risque extrêmement élevé de perdre bien plus que cela. »
En effet, les entreprises pourraient constater qu'une réduction de leurs effectifs en matière de sécurité les rend moins aptes à se défendre contre les attaques de plus en plus sophistiquées auxquelles elles risquent d'être confrontées au cours des prochaines années.
« Disposant de moins de ressources, les organisations risquent de ne pas être en mesure de se tenir à jour avec les dernières mises à jour de sécurité et les derniers correctifs, ce qui augmente le risque d’exploitation des vulnérabilités », explique George Lamont, directeur des systèmes d’information et fondateur d’IronNet Cybersecurity. « Les équipes de développeurs de logiciels ont souvent tendance à reporter d’office les correctifs de sécurité et les mises à jour de l’ dans leur liste de tâches en attente, ce qui augmente les risques pour les systèmes et les produits jusqu’à ce que ces problèmes soient résolus. »
Faire face aux conséquences
Les experts soulignent que les entreprises doivent tout mettre en œuvre pour maintenir leur niveau de sécurité, en particulier à la suite de licenciements, qui vont transformer l'entreprise tant en interne qu'en externe. Pour se préparer à ces changements, voici 5 mesures proactives que les dirigeants d'entreprise et les responsables de la sécurité peuvent mettre en œuvre.
Faites en sorte que tout le monde soit sur la même longueur d'onde
M. Lamont affirme que lorsque les effectifs sont réduits, il est d’autant plus important de veiller à ce que toutes les personnes qui continuent à travailler pour l’entreprise — qu’il s’agisse des services informatiques, des opérations, des ressources humaines, du service juridique, du marketing, du service client ou du support — soient sur la même longueur d’onde et prêtes à intervenir en cas de cyberattaque. Cela implique de dépoussiérer et de revoir vos plans d'intervention en cas d' ou , ou encore d'élaborer ces plans si vous ne disposez pas encore de tels documents. Il recommande également d'organiser des exercices conjoints de simulation, tels que des jeux de guerre.
« Le sentiment d’amertume qui persiste parmi les membres du personnel après un plan social accroît le risque interne, ce qui nécessite une nouvelle réorientation en matière de sécurité. »
« Il arrive très souvent, lors d’un exercice de simulation de cybersécurité (TTX), que l’on constate que les noms et les chaînes de communication des membres clés du personnel ont changé », explique M. Lamont. « Vous ne voudriez pas vivre cela lors d'un événement réel. »
Automate
Si le nombre de personnes chargées de gérer les questions de sécurité diminue, l'automatisation des tâches essentielles ne sera plus un choix, mais une nécessité. L'automatisation de la sécurité, autrefois considérée comme le Saint Graal et peu répandue, connaît aujourd'hui un regain d'intérêt.
[Read also: A security automation playbook for 2023]
Les outils d'automatisation de la sécurité peuvent contribuer à réduire les risques immédiats et à alléger la charge de travail des collaborateurs en situation d'épuisement professionnel et des équipes informatiques souffrant d'un manque chronique de personnel. Les systèmes de gestion convergée des terminaux, par exemple, permettent une automatisation de bout en bout grâce à l'accès à des données en temps réel. La centralisation et l'automatisation de la gestion des identités, qui est souvent cloisonnée au sein des unités opérationnelles, peuvent contribuer à garantir que les utilisateurs et les appareils n'aient accès qu'aux ressources et aux données auxquelles ils sont autorisés à accéder.
Regrouper
Face à des contraintes budgétaires strictes, les dirigeants doivent se débarrasser des outils redondants et superflus. Trop souvent, les entreprises pensent que la solution à un problème que leurs outils existants ne parviennent pas à résoudre consiste à en ajouter d'autres.
Malheureusement, cela conduit à une prolifération des outils, où un nombre écrasant de solutions ponctuelles entraîne une augmentation des coûts, de la complexité et des risques cybernétiques. Selon certains experts, disposer d'une plateforme unique et homologuée permettant de gérer plusieurs fonctions constitue la solution la plus efficace et la plus viable.
Recrutez, recrutez, recrutez
Cela peut sembler paradoxal pour une entreprise qui a procédé à des licenciements, mais il y a probablement aujourd’hui davantage de professionnels de la sécurité à la recherche d’un emploi qu’il n’y en a eu depuis des années. Et si l'on tient compte du fait que plus de 3,4 millions de postes dans le domaine de la cybersécurité restent à pourvoir, selon une autre étude de l'(ISC)², cela représente une véritable opportunité. Tout comme les investisseurs immobiliers dénichent des bonnes affaires lorsque le marché est à la baisse, les employeurs avisés peuvent dénicher de véritables pépites de talents dans ce contexte économique tumultueux.
Il s'agit là d'une mesure particulièrement prudente pour les responsables de la sécurité du secteur public. Selon l'Office of Personnel Management, le gouvernement fédéral prévoit de pourvoir plus de 22 000 postes dans le domaine des technologies cette année, notamment au sein de la NSA et de l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA), qui a recruté des centaines de personnes l'année dernière et prévoit d'en embaucher encore davantage en 2023.
De nombreux organismes régionaux et locaux renforcent également leurs effectifs dans le cadre de nouveaux programmes de cybersécurité à l'échelle de l'État, en tirant parti du milliard de dollars de fonds consacrés à la cybersécurité prévus dans le projet de loi sur les infrastructures du président Biden.
Envisagez de faire appel à un prestataire externe
Souvent, comme cela a peut-être été le cas avec Patreon, les entreprises qui ont réduit leurs effectifs se rendent compte qu’elles ne disposent pas de l’expertise interne nécessaire pour renforcer leur sécurité, et elles se tournent alors vers des prestataires de services de sécurité gérés (MSSP) pour obtenir de l’aide. Selon M. Stiennon, il s'agit là d'une approche judicieuse pour de nombreuses entreprises.
« Il existe des centaines, voire des milliers, de bons prestataires de services de sécurité gérés (MSSP) qui seraient ravis de s’en charger à votre place », déclare-t-il. « Cela entraînerait une augmentation nette des dépenses, car vous devrez tout de même verser des indemnités de licenciement et les cotisations COBRA pour les salariés que vous venez de licencier. » « Mais vous seriez couvert en matière de cybersécurité. »
