Les offres d'emploi décrivent une pénurie désespérée. Les candidats juniors décrivent deux cents candidatures envoyées sans réponse. Les deux sont exacts, et l'explication compte.
La pénurie a une forme précise
La demande est réelle. Le Bureau of Labor Statistics des États-Unis projette une croissance de 28,5 % de l'emploi d'analystes en sécurité de l'information entre 2024 et 2034, soit 52 100 emplois de plus, contre 3,1 % de croissance pour l'ensemble des métiers. L'adoption de nouvelles technologies, dont l'intelligence artificielle, élargit à la fois la surface d'attaque et les obligations réglementaires.
Mais la demande n'est pas répartie uniformément selon le niveau d'expérience, et c'est cette partie qui se perd.
Ce que veulent les organisations : quelqu'un qui a géré de vrais incidents, sait trancher à deux heures du matin, comprend les systèmes qu'il défend, et ne va ni ignorer une intrusion réelle ni arrêter la production pour un faux positif.
Ce qui abonde : des gens avec des certifications, des labos personnels, de l'expérience en capture-the-flag et de l'enthousiasme, qui n'ont jamais été responsables d'un environnement de production.
Presque personne ne recrute pour le potentiel, et presque tout le monde se plaint que les gens expérimentés sont rares.
Ces deux faits n'en sont qu'un seul. Le pipeline est bloqué à la première étape, et il l'est parce que les postes qui créaient autrefois l'expérience en sécurité ont été supprimés ou externalisés.
La conséquence pratique pour un employeur est que la voie la plus rapide vers une équipe de sécurité expérimentée est la progression interne depuis des postes techniques, plutôt que le recrutement externe sur un marché où tout le monde se dispute le même petit groupe.
Ce que couvre la direction
Le périmètre : réseaux, attaques et défense, identité, sécurité cloud, réponse aux incidents, forensique et gouvernance.
Quatre domaines.
Fondations. Réseaux, systèmes d'exploitation, identité et cryptographie, au niveau nécessaire pour raisonner sur ce qu'un attaquant peut réellement faire.
Défense et détection. Durcissement, supervision, ingénierie de détection et réponse.
Compréhension offensive. Comment fonctionnent les attaques, pour que les défenses traitent la méthode plutôt que la catégorie.
Gouvernance et risque. Référentiels, réglementation, risque tiers, et le travail consistant à prendre des décisions de sécurité dans une organisation qui a d'autres priorités.
Pourquoi les certifications n'ont pas réglé le problème
Des sommes considérables ont été dépensées en certification, et la pénurie chez les profils expérimentés persiste. La raison mérite d'être dite sans hostilité, car les certifications font quelque chose de réel, et ce n'est pas ce qui manque.
Une certification démontre que quelqu'un connaît un corpus défini de matière. C'est réellement utile. Cela filtre l'effort et les connaissances de base, et plusieurs sont respectées à juste titre.
Ce qu'elle ne démontre pas, c'est le jugement dans l'incertitude, qui est ce qu'exigent les postes rares.
Décider ce qui compte. Un scanner remonte quatre cents résultats. Savoir lesquels des trois sont réellement exploitables dans cet environnement, c'est de l'expérience, pas de la connaissance.
Travailler avec une information incomplète. Une alerte se déclenche à minuit. Quelque chose se passe peut-être. Le choix est d'alerter et de perturber l'activité, ou d'attendre et de risquer que l'intrusion se propage, et les deux sont parfois la mauvaise décision.
Comprendre l'environnement spécifique. Quels systèmes comptent, à quoi ressemble la normale ici, où se trouvent les dépendances non documentées. Cela ne peut pas se certifier parce que c'est local.
Porter l'argument. L'essentiel du travail de sécurité consiste à convaincre des gens qui ont d'autres priorités d'accepter de la friction. C'est une compétence de communication et d'organisation.
L'implication n'est pas que la certification ne vaut rien. C'est que la certification associée à aucune responsabilité opérationnelle ne produit pas ce dont le marché manque, et les organisations qui financent la première sans fournir la seconde n'achètent que la moitié de quelque chose.
Où cela se situe dans le domaine
La cybersécurité est la cinquième des huit directions du domaine IA, données et informatique d'Astra Trainer, et c'est là qu'atterrit une grande partie de la demande créée par les autres directions. Adopter l'intelligence artificielle, migrer vers le cloud et connecter davantage de systèmes élargissent tous ce qu'il faut défendre.
Elle s'appuie sur les systèmes informatiques et réseaux et sur l'informatique fondamentale, car le jugement en sécurité exige de savoir comment les choses fonctionnent réellement, et se connecte au cloud computing et DevOps, d'où provient une grande part de l'exposition moderne. Vous pouvez découvrir les huit directions ici.
La plupart des brèches ne sont pas sophistiquées
Le marketing sécurité met l'accent sur les menaces persistantes avancées et les techniques inédites. Les rapports d'incident racontent autre chose, et cette différence devrait orienter les dépenses de formation.
Les voies d'entrée récurrentes sont banales. Des identifiants volés, devinés, réutilisés après une autre fuite, ou hameçonnés. Des systèmes non corrigés pour des vulnérabilités divulguées et réparées des mois ou des années plus tôt. Des services exposés sur internet qui n'auraient jamais dû l'être, y compris des interfaces de stockage et de gestion laissées ouvertes par erreur de configuration. Des permissions excessives qui laissent un petit point d'entrée devenir majeur. Un accès tiers via un fournisseur aux contrôles plus faibles.
Quatre implications directes en découlent.
Les bases, c'est le travail. Inventaire des actifs, correctifs, authentification multifacteur, moindre privilège, sauvegarde et restauration, journalisation. Peu glorieux, difficile à maintenir dans la durée, et responsable de l'essentiel de la réduction de risque disponible.
On ne protège pas ce qu'on ne sait pas posséder. L'inventaire des actifs est le contrôle le moins intéressant, et son absence explique la plupart du reste.
L'identité est désormais le périmètre. Dès lors que le travail se déroule via des services cloud et des terminaux distants, la frontière réseau cesse d'être le point de contrôle et les identifiants deviennent la cible.
La détection compte plus que la seule prévention. Supposer une compromission et bâtir la capacité de la remarquer rapidement est une meilleure posture que de supposer que le périmètre tient.
Les postes véritablement difficiles à pourvoir
Être précis ici aide les organisations à orienter leur formation vers les vrais manques.
Ingénieurs de détection. Les personnes qui écrivent et ajustent les règles décidant ce qui est repéré. Cela exige de connaître à la fois la technique des attaquants et l'environnement spécifique, et il y en a très peu.
Intervenants en réponse à incident avec une vraie expérience d'incident, à distinguer des exercices sur table.
Ingénieurs sécurité cloud. La sécurité cloud diffère suffisamment de la sécurité d'infrastructure traditionnelle pour que le transfert ne soit pas automatique, et la demande a largement dépassé l'offre.
Ingénieurs sécurité applicative capables de lire réellement du code, un groupe bien plus restreint que le nombre de personnes portant ce titre.
Spécialistes sécurité des technologies opérationnelles et industrielles, où les pratiques de sécurité informatique classique aggravent fréquemment les choses si elles sont appliquées sans comprendre le process.
Architectes sécurité capables de concevoir plutôt que d'évaluer.
Le point commun est que chacun exige de la profondeur dans autre chose que la sécurité. C'est ce constat qui devrait déterminer la stratégie de recrutement.
Les postes, nommés
Analystes sécurité, en centre d'opérations.
Ingénieurs de détection.
Intervenants en réponse à incident et analystes forensiques.
Pentesters et opérateurs red team.
Ingénieurs sécurité applicative.
Ingénieurs sécurité cloud et infrastructure.
Spécialistes gestion des identités et des accès.
Professionnels gouvernance, risque et conformité.
Analystes renseignement sur la menace.
Qui peut être formé pour cela
Administrateurs systèmes. La meilleure conversion disponible. Ils savent comment les systèmes fonctionnent, à quoi ressemble la normale, et où se trouvent les dépendances non documentées. Une connaissance en sécurité ajoutée à cette base produit rapidement un défenseur utile.
Ingénieurs réseau. Vers la sécurité réseau et la détection, avec déjà la vision du trafic.
Développeurs logiciels. Vers la sécurité applicative, où la capacité à lire du code est la partie rare et ne s'acquiert pas par un simple cours.
Ingénieurs cloud et plateforme. Vers la sécurité cloud, l'un des écarts les plus difficiles à combler en externe.
Personnel de service desk et de support. Vers les opérations de sécurité, avec la connaissance du comportement des utilisateurs et l'instinct de gestion des incidents.
Ingénieurs de contrôle industriel et d'automatisation. Vers la sécurité des technologies opérationnelles, où la compréhension du process est ce qui manque au personnel de sécurité généraliste.
Auditeurs et professionnels du risque. Vers la gouvernance et la conformité, où la méthodologie se transfère déjà.
Personnel militaire et des forces de l'ordre avec un profil pertinent, en particulier vers l'investigation et la réponse.
Limites légales et obligations réglementées. L'accès non autorisé à des systèmes informatiques est une infraction pénale dans la plupart des juridictions, et les tests de sécurité exigent une autorisation écrite explicite définissant le périmètre. La notification des brèches, le signalement des incidents et les obligations de sécurité sectorielles sont fixés par la loi, diffèrent selon la juridiction, et emportent des sanctions. Le traitement des preuves forensiques répond à des exigences qui affectent leur recevabilité. Astra Trainer développe des compétences défensives et analytiques ainsi que la conscience de ces obligations. Cela n'autorise aucun test sur aucun système, ne constitue pas un conseil juridique et ne confère aucune certification ni statut professionnel.
Ce qu'il faut retenir
La demande est réelle, projetée à 28,5 % de croissance d'ici 2034, et elle se concentre au niveau expérimenté.
Les candidats juniors sont nombreux et bloqués, ce qui en fait un problème de progression plutôt qu'un problème d'offre.
Les certifications démontrent des connaissances et non du jugement, ce qui explique pourquoi les budgets de certification n'ont pas comblé l'écart.
La plupart des brèches utilisent des méthodes banales contre des faiblesses connues, si bien que la rigueur des bases apporte l'essentiel de la réduction de risque disponible.
Et chaque poste de sécurité vraiment difficile à pourvoir exige d'abord de la profondeur ailleurs. Les personnes capables de les occuper sont déjà dans vos équipes infrastructure, réseau et développement.
Y a-t-il vraiment une pénurie de talents en cybersécurité ?
Au niveau expérimenté, oui. Le BLS projette 28,5 % de croissance pour les analystes en sécurité de l'information d'ici 2034. Au niveau junior, les candidats sont nombreux et n'obtiennent souvent pas de premier poste, si bien que le pipeline est bloqué dès la première étape plutôt que manquant de personnes.
Pourquoi les certifications n'ont-elles pas réglé le problème ?
Parce qu'une certification démontre la connaissance d'un corpus défini, alors que les postes rares exigent le jugement dans l'incertitude : décider quels résultats comptent, agir sur une information incomplète, comprendre un environnement spécifique et convaincre des gens qui ont d'autres priorités.
Qu'est-ce qui cause la plupart des brèches ?
Des identifiants volés, devinés, réutilisés ou hameçonnés ; des systèmes non corrigés pour des vulnérabilités connues depuis longtemps ; des services exposés par accident sur internet ; des permissions excessives ; et un accès via des tiers aux contrôles plus faibles.
Quels postes de sécurité sont les plus difficiles à pourvoir ?
Ingénieurs de détection, intervenants en réponse à incident expérimentés, ingénieurs sécurité cloud, ingénieurs sécurité applicative capables de lire du code, spécialistes sécurité des technologies opérationnelles, et architectes qui conçoivent plutôt qu'ils n'évaluent.
Qui se convertit le mieux vers la sécurité ?
Les administrateurs systèmes en premier, puis les ingénieurs réseau vers la détection, les développeurs vers la sécurité applicative, les ingénieurs cloud vers la sécurité cloud, le personnel de support vers les opérations de sécurité, et les ingénieurs de contrôle vers la sécurité industrielle.