L’état des effectifs dans le domaine de la cybersécurité : un nouveau rapport révèle des tendances inquiétantes

En 1999, j’ai décroché mon premier véritable emploi dans la Silicon Valley, au sein d’une entreprise qui s’appelait alors McAfee.com. (Que dire de plus ? C’était une autre époque, et cela semblait cool d’ajouter « .com » au nom des entreprises.) 

Je ne cherchais pas spécialement un emploi dans le domaine de la cybersécurité, mais je suis arrivé dans ce secteur par hasard et mon travail m’a apporté beaucoup de satisfaction au fil des ans. D’une part, je suis vraiment fier de ce que nous faisons chez Barracuda, c’est-à-dire aider les organisations à se défendre contre les cybercriminels.

Par ailleurs, la sécurité de l’emploi est assez bonne. Le secteur de la cybersécurité résiste relativement bien à la récession. Après tout, quelle que soit la situation économique, les gens ont besoin de sécurité (voir ci-dessous).

Étude ISC2 sur les effectifs dans le domaine de la cybersécurité : les grands défis

C’est du moins ce qu’il m’a semblé pendant la plus grande partie de ma carrière. D’après l’une des conclusions de l’étude ISC2 sur les effectifs dans le domaine de la cybersécurité de 2023, ce n’est peut-être plus le cas. 

Le sous-titre du rapport résume assez bien ce que révèlent les conclusions générales : « Enjeux pour la main-d’œuvre mondiale du domaine de la cybersécurité face à la conjoncture économique, au manque de compétences et à l’intelligence artificielle. » Ou, comme l’indique le résumé, « les professionnels de la cybersécurité sont confrontés à des pressions plus fortes que jamais, et ces dernières diminuent leur capacité à défendre les institutions et les organisations du monde entier contre des menaces de plus en plus nombreuses ».

Croissance insuffisante

L'étude, basée sur une enquête menée auprès de près de 15 000 professionnels de la cybersécurité dans le monde, ainsi que sur des statistiques gouvernementales, a révélé qu'en 2023, la main-d'œuvre mondiale dans le domaine de la cybersécurité a augmenté de 8,7 %. Mais cela n’a pas suffi à combler l’écart entre les travailleurs disponibles et le nombre nécessaire, qui a augmenté de 12,6 % par rapport à 2022. 

L’écart de disponibilité n’est pas réparti uniformément dans le monde, loin de là. L’Amérique latine, l’Australie, Singapour, le Moyen-Orient et certaines parties de l’Europe ont tous vu l’écart se réduire, la plupart du temps de deux chiffres. 

C’est au Canada, au Royaume-Uni, en Espagne, en Inde et au Japon, qui enregistre un taux de croissance stupéfiant de 97,6 %, que l’écart s’est le plus creusé. (Vous cherchez un emploi dans le domaine de la cybersécurité ? Pensez à perfectionner votre japonais).

Un secteur qui n’est pas à l’abri des restrictions budgétaires

Ai-je mentionné la sécurité de l’emploi ? Mouais. Près de la moitié des personnes interrogées ont vu leurs équipes touchées par des licenciements, des restrictions budgétaires ou un gel des embauches et des promotions. 

Les secteurs où il y a le moins de licenciements sont le secteur public, l’éducation et l’aérospatiale. La plupart des licenciements dans le domaine de la cybersécurité ont eu lieu dans les secteurs du divertissement et des médias, de la construction et, enfin, du développement de logiciels et de matériel de sécurité.

(Cela semble être le bon moment pour saluer rapidement Barracuda, qui a résisté aux confinements du Covid et au ralentissement économique qui a suivi sans recourir à des licenciements. Et maintenant, nous recrutons.)

Les personnes interrogées ont également indiqué que ces réductions avaient entraîné une augmentation de la charge de travail, une baisse du moral, une diminution de la capacité à se préparer aux futures menaces, une augmentation des lacunes en matière de compétences et une augmentation des risques liés aux attaques internes.

Attaques internes

Voici un chiffre qui donne à réfléchir : 71 % des personnes interrogées ont déclaré que l’incertitude économique augmentait la probabilité d’attaques effectuées par des acteurs malveillants internes. En effet, 39 % des professionnels de la cybersécurité ont été contactés par un acteur malveillant ou connaissent quelqu’un qui l’a été.

Plus important encore, les personnes qui travaillent dans des entreprises ayant procédé à des licenciements dans le domaine de la cybersécurité sont trois fois plus susceptibles d’avoir été invitées à agir en tant qu’acteur malveillant interne. 

Pour l’anecdote, chez Barracuda, où les licenciements ont été évités, je n’ai pas été contacté par des acteurs malveillants. Enfin, pas encore.

Les compétences cloud, IA/ML et zero trust les plus recherchées

Sans surprise, les plus grandes lacunes en matière de compétences pour les experts du secteur de la cybersécurité se situent dans les domaines du cloud, de l’intelligence artificielle/apprentissage machine et de la mise en œuvre du principe zero trust. 

Cela est dû en partie aux nouvelles menaces et surfaces d’attaque que représentent les technologies émergentes. Mais cela est également dû au fait que l’IA et le principe zero trust devraient avoir un effet positif sur la préparation globale en matière de cybersécurité.

Les (plutôt) bonnes nouvelles

L’étude se conclut sur une note plutôt positive : la majorité des personnes interrogées estiment que l’impact négatif de la pénurie de main-d’œuvre peut être atténué en comblant les lacunes en matière de compétences. Les entreprises qui encouragent les employés à suivre une formation continue, à se former et à obtenir des certifications grâce à des programmes de remboursement sont mieux à même de faire face aux périodes d’incertitude économique, même si elles ont procédé à des licenciements.

Il convient de noter que l’ISC2 (International Information System Security Certification Consortium) est une organisation à but non lucratif dont l’objectif principal est de proposer des programmes de formation et de certification pour les professionnels de la cybersécurité. 

Résumé

Le rapport se penche sur le sujet en profondeur, à la fois en matière de conclusions de haut niveau et de répartitions détaillées. Je vous conseille vivement de le télécharger et de le consulter. 

Mais nous pouvons déjà énumérer quelques points pratiques à retenir. 

• Face à l’incertitude économique, il est absolument crucial pour votre organisation de réduire au minimum les restrictions budgétaires dans les équipes de sécurité informatique. Et même si les réductions budgétaires et les licenciements sont inévitables, continuez d’investir dans la formation professionnelle de vos experts en sécurité afin qu’ils acquièrent les compétences les plus demandées à mesure que les nouvelles technologies transforment le paysage des menaces.

• En tant que professionnel de la cybersécurité, il est essentiel d’avoir ou d’acquérir les bonnes compétences. Une fois que vous aurez acquis les compétences nécessaires pour gérer la sécurité cloud, l’IA et l’apprentissage automatique, ainsi que la mise en œuvre du principe zero trust, vous serez l’un des professionnels les plus demandés au monde. En particulier au Japon.