Le même refrain se répète d’année en année : les experts en cybersécurité sont en nombre insuffisant au regard des besoins des organisations de tous types dans les secteurs public et privé. Certains rapports font même état de ce que la situation va en s’intensifiant. Cursus d’apprentissage trop longs et complexes ? Recruteurs non spécialisés aux commandes ? Manque de reconnaissance de la profession ? Quels sont les facteurs qui expliquent cette pénurie de talents dans la filière cybersécurité ? Le déficit de compétences en cybersécurité n’est pas un problème régional ou national, mais mondial. La filière cybersécurité est confrontée à une pénurie mondiale qui tourne autour de 3 millions de personnes qualifiées, selon les données de différents rapports. 5000 postes sont à pourvoir en France métropolitaine, d’après de récentes données de la branche française de la firme PwC. Le département du Commerce des USA pour sa part fait savoir que 465 000 postes en cybersécurité cherchent preneur.
Une publication sur le site web de Colonial Pipeline pour le poste de responsable de la cybersécurité indique que ce dernier est à pourvoir depuis plus de 30 jours. Les responsabilités du poste comprennent « la gestion d'une équipe d'experts et de spécialistes certifiés en matière de cybersécurité », ainsi que la direction « du développement de la stratégie d'entreprise en matière de cybersécurité ». L'annonce indique également que le candidat sélectionné « supervisera le développement de normes et de processus pour la cybersécurité, dirigera la reprise après des incidents de sécurité et guidera les analyses médico-légales des incidents ». L'entreprise recherche « une personne ayant une bonne compréhension des menaces émergentes en matière de sécurité afin de concevoir des politiques et des procédures de sécurité pour atténuer les menaces dans la mesure du possible. »
Les exigences du poste comprennent un diplôme en informatique, en sécurité de l'information ou dans un domaine connexe. Colonial pipeline recherche également une personne ayant « idéalement plus de cinq ans d'expérience technique dans le domaine de la sécurité de l'information et, en outre, plus de cinq ans d'expérience pratique dans un rôle de réponse aux incidents ». Mais l'entreprise préfère que le candidat soit titulaire d'une maîtrise et ait au moins huit ans d'expérience. Sa parution fait suite à une attaque par ransomware qui a bloqué les activités de l’entreprise qui gère un oléoduc vital utilisé pour acheminer l'essence, le diesel et le kérosène des raffineries de la côte du Golfe du Mexique vers les points de distribution de la côte Est des USA. Colonial Piepline s’appuyait sur une version vulnérable et obsolète de Microsot Exchange que les pirates ont exploitée. L’exemple illustre une pratique courante dans l’industrie : réagir plutôt que faire dans la prévision en prenant en compte les aspects en lien avec la cybersécurité plus tôt dans le processus d’implémentation de l’infrastructure informatique.
Quelles solutions ?
En France, le gouvernement souhaite se préparer à toute attaque éventuelle et prévoit pour cela un plan de renforcement de la résilience de son cyberspace. L’objectif global via ce dernier est de développer le secteur de la cybersécurité. Il intègre deux objectifs spécifiques à savoir : faire émerger de nouveaux « talents français », et renforcer la résilience du secteur public. Ce plan intervient alors que le pays a été récemment confronté à deux cas d'attaques, notamment celles contre les hôpitaux de Dax et de Villefranche-sur-Saône.
Le point qui attire le plus l'attention est le budget prévu par le gouvernement pour atteindre ces objectifs d'ici cinq ans. En tout, l'État français prévoirait de consacrer 1 milliard d’euros d’investissements à ce secteur au cours des cinq prochaines. Selon les informations actuellement disponibles sur le sujet, la moitié de ce budget proviendrait directement des caisses de l’État. Ceux qui seront chargés de la mission devront œuvrer pour relever le niveau de sécurité dans le public (hôpitaux, collectivités) et dans le privé ; et développer la filière de la cybersécurité pour créer une alternative française aux outils majoritairement américains.
Le plan prévoit que plus de talents français de la cybersécurité seront joints au projet. De 37 000 emplois, la stratégie du gouvernement devrait permettre d'atteindre 80 000 emplois d'ici 2025, doublant ainsi le nombre actuel travaillant dans le secteur. Par ailleurs, Emmanuel Macron et son équipe espèrent également que ce plan de relance leur permette de doubler, voire tripler le chiffre du secteur français de la cybersécurité pour atteindre 25 milliards d'euros sur la période annoncée. Dans les grandes lignes, le gouvernement découpe sa stratégie comme suit :
- plus de la moitié des fonds, soit plus de 500 millions d’euros, iront directement à la recherche. Comme expliqué plus haut, à travers ces fonds, le gouvernement veut développer et utiliser davantage d'outils français en lieu et place des outils américains majoritairement présents dans l'administration et dans le secteur privé ; financer des centres de recherche publics, et établir des partenariats public-privé pour accélérer la recherche d’innovations de pointe ;
- le gouvernement va utiliser 200 millions pour faire émerger au moins trois nouveaux cadors du secteur de la cybersécurité, en particulier des startups devenues « licornes » (valorisées à plus d’un milliard d’euros). Cela dit, le gouvernement risque d'avoir des soucis pour mettre en exécution cet aspect de son plan, car, sur les 10 licornes françaises, aucune n’évolue actuellement dans le domaine. Mieux, deux des startups les plus en vue du secteur, Alsid et Sqreed, ont été récemment rachetées par des entreprises américaines ;
- une partie de l'investissement sera orientée vers la finition et à l'ouverture du Campus Cyber, symbole de la stratégie française. C'est un projet du Président de la République consistant en un grand bâtiment de plus de 20 000 m2, qui va regrouper une soixantaine d’organisations : grands groupes, des PME, mais aussi des organismes publics, des associations, ou encore des startups. Le gouvernement l’envisage comme un « porte-avions » du secteur, capable de faire émerger des projets français d’ampleur.
L'attaque de SolarWinds aux États-Unis a démontré que l'administration et les agences gouvernementales forment également une catégorie de cibles privilégiées par les hackers. Le gouvernement français semble tout à fait conscient du danger, mais le budget alloué à la résilience de l'administration, ou de son cyberespace en général est considéré comme insuffisant. Pour beaucoup, le secteur de la cybersécurité est encore à ses balbutiements ou carrément quasi inexistant en France, et un budget de 1 milliard sur cinq représente des miettes face à ce que la Chine et les États-Unis sont capables d'investir par an.
Pour l'heure, le plan d'Emmanuel Macron prévoit d'utiliser 176 millions du milliard d'euros pour renforcer la résilience de l'administration. Rappelons qu'après les attaques des hôpitaux qui ont lieu tout récemment, le président de la Fédération hospitalière française (FHF) Frédéric Valletoux a demandé cette semaine de l'aide au gouvernement : « les hôpitaux doivent faire partie des cibles protégées au premier niveau, c’est une demande que l’on fait déjà depuis un moment au gouvernement. Ils nécessitent des protections supplémentaires et un accompagnement supplémentaire », a-t-il déclaré.
La réponse du gouvernement se trouve dans les 176 millions d'euros. Plus précisément, pendant les cinq prochaines années, les 176 millions vont permettre à l'État de soutenir les besoins du secteur public, notamment les hôpitaux et les collectivités. Selon les prédispositions du gouvernement, pendant cette période, l'Anssi (agence nationale de sécurité des systèmes d’information) sera chargée de mieux protéger et former les administrations. Depuis quelques années, les fonctions de l'agence ne cessent d'augmenter et depuis peu, elle arrive en première ligne en cas d'incidents liés au cyberespace. Somme toute, les 176 millions devront permettre à l'Anssi de :
- créer des Cert (Computer Emergency Response Team – équipe de réponse aux incidents informatique) régionaux. Il s'agit d'une sorte de dématérialisation de la réponse à l'incident cybernétique. L'idée du gouvernement est que de petites agences permettront de réagir plus rapidement et efficacement sur le terrain, car certaines cyberattaques peuvent être jugulées avant de se répandre sur l’ensemble d’un système informatique ;
- multiplier les diagnostics de sécurité auprès des collectivités territoriales et des hôpitaux. Selon le gouvernement, ces entités représentent en effet deux cibles particulièrement prisées des cybercriminels, en raison de la vétusté de leurs réseaux informatiques.
Source : PwC France, Cyber seek
Et vous ?
Cursus d’apprentissage trop longs et complexes ? Recruteurs non spécialisés aux commandes ? Manque de reconnaissance de la profession ? Quels sont les facteurs qui expliquent cette pénurie de talents dans la filière cybersécurité ? Comment peut-on parvenir à inverser la tendance ? Quel commentaire faites-vous de la stratégie française en matière de cybersécurité ? Quels sont les aspects qui vous paraissent les plus (les moins) pertinents ?Voir aussi :
La France prévoit un budget de 1,6 milliard pour ses cybercombattants, leur effectif devrait également passer à 4000 d'ici 2025 2021 sera l'année du "ransomware 2.0", avec des attaques de plus en plus agressives, une ingénierie sociale plus professionnelle et des malwares plus innovants, selon G DATA CyberDefense 81 % des attaques au mobile financier seraient des ransomwares, selon un nouveau rapport d'Atlas VPN Le montant total payé par les victimes de ransomware a augmenté de 311 % en 2020, pour atteindre l'équivalent de près de 350 millions de dollars en cryptomonnaies selon Chainalysis Par appel téléphonique, des opérateurs derrière des ransomwares veulent intimider des victimes, qui souhaitent éviter de payer la rançon en tentant de restaurer le système depuis une sauvegarde 
(heureusement que mon employeur maintenait ma rémunération 
).
Envoyé par Ramram1
