Etat des lieux
Les événements d’actualité comme la transition numérique à marche forcée des entreprises, l’entrée en vigueur mi 2018 du règlement européen GDPR (General Data Protection Regulation), la mise en application de la Loi de Programmation Militaire s’adressant à quelques 200 OIV (Opérateurs d’Importance Vitale) en France, ainsi que les recrutements pour les services de l’Etat (ANSSI, DGA, DGSE, ...) contribuent à assécher le marché déjà tendu des compétences en cybersécurité.Pour pallier à cette difficulté, les entreprises se tournent vers les prestataires de service déportant la problématique auprès des ESN et sociétés de conseil. Nonobstant, la méconnaissance par les entreprises du marché de la sécurité aboutie à une pression sur les prix des missions de conseil incompatibles avec les salaires des experts expérimentés et seniors. Les ESN et mêmes les sociétés de conseil n’arrivent pas à attirer les rares compétences disponibles. La situation est bloquée.
L’avantage du système éducatif français
Aujourd’hui, l’absence de ressources humaines en
cybersécurité met en évidence un manque d’anticipation du besoin dans ce
domaine par les acteurs économiques. En France, à coup de forceps, l’ANSSI a
insufflé une prise de conscience et le système éducatif français de qualité
possède les capacités de produire à terme les compétences attendues même si
cela reste encore insuffisant aujourd’hui. La France a l’avantage de posséder
un tissu d'universités et d'écoles de qualité et parmi les plus importants d’Europe.
La grille de salaire
Depuis quelques années, la pénurie en cybersécurité émerge
au su de tous, favorisant une inflation des salaires des jeunes diplômés et des
expérimentés. A contrario, les rares
seniors répondants aux exigences de moutons à cinq pattes sont bien trop chers
pour les grandes entreprises françaises… En effet, en France, les grandes
entreprises possèdent des grilles de salaires tellement étudiées qu’elles ne
peuvent répondre aux prétentions salariales des seniors auxquels elles vont
jusqu’à demander de consentir à des réductions de salaire !
Un exemple récent concerne la tentative de recrutement d’un
expert sécurité de 25 ans d’expérience, présentant toutes les compétences
recherchées par une grande entreprise française leader mondial de son secteur
industriel et en forte transition vers le numérique. Cette grande entreprise proposait
un salaire annuel brut de 80K€ pour attirer la perle convoitée. Malheureusement,
le candidat était déjà en poste pour un salaire un peu supérieur dans une autre
grande entreprise française. La RH a refusé de concéder une majoration de +15%
comme incitation à la prise de risque.
Quel est l’élément différenciateur pouvant inciter ce
talent rare à prendre un risque ? Ces mêmes grandes entreprises prennent pourtant
des décisions exorbitantes en matière de rémunération des patrons mais là on
nous explique qu’il s’agit de la loi de l’offre et de la demande dans la
« guerre des talents » ! N’est-ce pas un cas similaire de la
pénurie en cybersécurité ?
Le pricing
Pour
recruter, une entreprise doit valoriser les compétences du candidat. Les entreprises
réalisent alors un pricing pour mesurer la
valeur financière des compétences rares sur le marché. Le pricing tient compte
de la compétitive externe mais également de l’équité interne et de la maîtrise
de la masse salariale. Selon la loi de l’offre et de la demande, un profil rare
justifie pleinement un salaire de base majoré.
Cependant, en
France, la loi oblige également l’employeur à respecter le principe « à
travail égal, salaire égal », ainsi « il appartient à l’employeur d’établir que
la différence de rémunération constatée entre des salariés effectuant un même
travail ou un travail de valeur égale est justifiée par des éléments objectifs
et pertinents que le juge contrôle » selon l’arrêt du 30 avril 2009 de la
chambre sociale de la cours de cassation. L’employeur ne peut « opposer son
pouvoir discrétionnaire pour se soustraire à son obligation de justifier de
façon objective et pertinente une différence de rémunération ».
Les limites
de l’exercice est qu’un égalitarisme aveugle en matière de rétribution conduira
à un départ du talent. Dans la même veine, toute absence de réévaluation du
salaire conduira également à une fuite des cerveaux. A contrario, une sur-rémunération, à
l’image de celles des traders, fidélisent la compétence critique mais peut provoquer
un sentiment d’iniquité avec les autres salariés.
Le pricing doit ainsi tenir compte de l’équité
interne et externe ainsi que de la masse salariale pour déterminer la
rétribution de compétences rares. Il faut comprendre qu'un
profil critique a conscience de sa valeur sur le marché du travail et qu'il compare sa
rémunération avec celles d’homologues.
En cas d'absence d'échelles salariales spécifiques,
les entreprises sont contraintes d’adopter une approche ad hoc pour chaque cas.
Habituellement, les entreprises majorent les rémunérations de 15 à 20 % voire d’avantage. Certaines
entreprises définissent une grille de salaire supérieure pour répondre au
besoin, d’autres proposent des actions gratuites ou d’autres primes de
rétention conditionnée à la présence dans l'entreprise selon un échéancier. Les stocks-options sont aujourd’hui en voie de
disparition en raison de leurs contraintes fiscales.
Et ailleurs ?
En Allemagne, au Pays-Bas, au Bénélux, en Suisse, au
Royaume Uni ou aux Etats Unis, c’est le marché qui dicte les niveaux de
rémunération conformément à l’offre et à la demande. Les grilles de salaires ou
autres nuages de points occultes et décalés de la réalité du terrain n’ont pas
leur mot à dire.
Les marchés américains, européens et asiatiques ont bien
pris conscience de la concurrence féroce pour attirer les compétences
critiques, mais pas la France qui a pourtant la chance d’avoir un marché intérieur moins pénurique, enfin tant que ses ressources rares ne partent pas d'avantage à
l’étranger.
Certains pays mettent en place des grilles de salaires
spécifiques pour le recrutement des ressources clefs. Les rétributions
octroyées sont majorées de 15 ou 20 % voire davantage par rapport à la rémunération
de référence. C’est le prix à payer pour la rareté et la volatilité (turn over),
Les RH en France…
Cela met en exergue que nos chers RH nationaux sont
largement dépassés par les exigences des métiers du numérique mais ils réfutent
néanmoins le besoin de se faire assister par des spécialistes du domaine. Nos
RH s’arcboutent sur la sacro-sainte grille des salaires en pleine période de
mutation du travail. De l’ubérisation de la société à l’émergence du travail
indépendant consécutif à l’évolution du statut d’auto-entrepreneur, la relation
du travail change, mais pas les RH : « Il faut garder la maîtrise des
salaires coute que coute », peu importe de posséder les ressources
adéquates pour gagner des parts de marché sur un marché mondial et fortement concurrentiel.
A contrario, il y a beaucoup moins de véto pour recourir à la prestation de
service qui est pourtant bien plus couteuses en termes de main d’œuvre pour les
entreprises.
La mentalité des RH en France est axée sur le contrôle de la masse salariale, les conditions de rupture ou de sanction. Lorsque certaines enseignes renommées clament haut et fort mettre en place une politique de gestion des talents, il s'avère que dans les faits un recrutement commence dans ces mêmes entreprises par écarter sans discernement tout candidat non détenteur d'un diplôme bac+5 reconnu par l'état, quand bien même ce dernier est un équivalent étranger ou bien un mastère spécialisé d'une grande école... Pareil pour le TOEIC, sans lui le CV part dans la corbeille ! Il s'agit d'un point bloquant alors que l'anglais peut toujours s'améliorer plus rapidement que les compétences pointues ou l'expérience...
Dans le domaine de la GRH, la France accuse un retard qui se calcule en décennies en regard des pratiques anglo-saxonnes ou européennes. Le fait de passer la frontière change la donne.
La mentalité des RH en France est axée sur le contrôle de la masse salariale, les conditions de rupture ou de sanction. Lorsque certaines enseignes renommées clament haut et fort mettre en place une politique de gestion des talents, il s'avère que dans les faits un recrutement commence dans ces mêmes entreprises par écarter sans discernement tout candidat non détenteur d'un diplôme bac+5 reconnu par l'état, quand bien même ce dernier est un équivalent étranger ou bien un mastère spécialisé d'une grande école... Pareil pour le TOEIC, sans lui le CV part dans la corbeille ! Il s'agit d'un point bloquant alors que l'anglais peut toujours s'améliorer plus rapidement que les compétences pointues ou l'expérience...
Dans le domaine de la GRH, la France accuse un retard qui se calcule en décennies en regard des pratiques anglo-saxonnes ou européennes. Le fait de passer la frontière change la donne.
La loi de l’offre et de la demande
De facto, nos
compétences rares (seniors, expérimentés et jeunes diplômés) quittent le
territoire national pour une herbe plus verte ailleurs. Pourtant, la France est
enviée pour la qualité de son système de formation et le nombre d’ingénieurs
diplômés chaque année. Mais nos voisins rétablissent ce déséquilibre et
réussissent à piller les compétences issues du système d'enseignement français grâce à des
politiques de recrutement incitatives alliant rémunérations et conditions
attractives. Pas besoin de posséder un tissu d’écoles d’ingénieur ou
d’universités si le marché national ne sait pas attirer et retenir les talents.
La France fait le plus dur et nos voisins en tirent tout le bénéfice grâce principalement à
nos politiques salariales désuètes et à l'incompétence de la compréhension des métiers scientifiques et technqiues.
Pour que la situation change, la loi de l’offre et de la
demande doit être respectée sinon cela provoquera un déséquilibre qui sera comblé au détriment du marché national comme c’est le cas pour la France. Nos voisins européens l’ont bien compris et nous
remercient de pourvoir des candidats de qualité pour leurs besoins intérieurs propres…
La particularité du marché de la cybersécurité
Le marché de la cybersécurité est différent de celui des
compétences technologiques car ce dernier est très étroit et évolue beaucoup
plus rapidement rendant une ressource technologique rare quasiment désuète en
quelques mois ou années.
A l’opposé, les compétences sécurité ne se déprécient pas
à condition que l’impétrant maintienne ses compétences par une veille assidue.
En fait, en cybersécurité, il s’agit aussi de compétences extrêmement pointues
et en perpétuelle évolution. En outre, il ne suffit pas de former car la
cybersécurité est avant tout un état d’esprit et une passion. Ces deux
ingrédients sont indispensables pour produire un expert talentueux. Toute la
différence est dans le sens étymologique du mot « Hacking ». En conséquence, un spécialiste de la cybersécurité
est un geek mu par sa passion lui permettant de développer continuellement son
expertise. Sans cette compréhension, il est impossible à un RH d'identifier un talent...
Dit avec d'autres mots, il est possible de former des consultants sécurité mais plus difficile de décréter la formation d’experts en
cybersécurité sans tenir compte de la la passion.
Les entreprises et la cybersécurité…
Je gloserai aussi sur certains inepties rencontrées ici ou
là. Ainsi, un rapport de l’association ISACA sur la Cybersécurité en 2017 http://www.isaca.org/CYBER/Pages/state-of-cyber-security-2017.aspx
conclut « qu'il est très difficile
de trouver des candidats qualifiés pour des postes de cyber-sécurité ».
La situation devient plus compliquée lorsque les entreprises
cherchent à « embaucher des
personnes expérimentées ». Sous-entendu : les candidats
n’existent pas. Mais en période de pénurie il est conseillé de recourir à la
gestion des talents. Miralles nous a appris dans ce domaine qu’il faut mettre
en place une politique adaptée pour l’attraction et la rétention des
compétences rares.
L’étude de l’ISACA mentionne que la qualification se
définit d’après l’expérience pratique mais que les certifications
professionnelles ont une place prépondérante. Parmi les entreprises ayant
répondu à l’enquête, près de 70 % exigent une certification et 45 %
déclarent que les candidats ne comprennent pas l’activité de la cybersécurité,
ou encore 25 % déclarent que les candidats manquent de compétences techniques (pourtant
il s’agit de postes de gouvernance plutôt fonctionnels).
Le marché de l’emploi en sécurité est très concurrentiel. Les entreprises doivent donc revoir à la baisse leurs exigences et notamment la description des postes à pourvoir pour ne retenir que les fonctions strictement requises. La recherche du mouton à 5 pattes est à proscrire et l’écueil principal est de mixer différents rôles tels que la gouvernance à l’expertise en passant par l’opérationnel et l’audit dans une même description de poste.
Dans la même optique, il vaut mieux ne pas exiger la possession d'une certification professionnelle car celle-ci réduira drastiquement la liste des candidats. En effet, les entreprises en France ne financent pas ou peu de formations certifiantes et les débutants n’y ont pas du tout accès. Alors exiger une pratique d’autrui quand l’entreprise elle même ne la suit pas et plutôt singulier.
Pour conclure sur ce sujet, il faut savoir que les certifications sont bien souvent assez mal vues par certains profils très techniques. Une telle exigence fera s'abstenir les meilleurs candidats. Il vaut mieux insister sur les points réellement attractifs comme la convivialité de l’équipe et la mise à disposition de moyens techniques à la hauteur des attentes de cette population exigeante : ordinateur et smartphone dernier cri, outils logiciels et matériels de référence, laboratoire, environnement technologique récent, participation aux conférences de cybersécurité, accès à la formation ou l’auto-formation et projets novateurs.
Le dernier critère, bien que jugé secondaire par la majorité des entreprises, est considéré comme le plus important par la quasi-totalité des candidats. Il s'agit de la rémunération qui doit être attractive et concurrentielle. L’inflation salariale est de rigueur sur un marché en forte tension conformément à la loi de l’offre et de la demande. L’entreprise qui n’accepte pas cet équilibre naturel ne recrutera pas. De surcroît, un bon salaire est également un moyen de rétention car au-delà d’une surprime de 15 à 20 %, un salarié n’obtiendra pas plus ailleurs sauf pour de rares compétences très pointues mais il s’agit dans ce cas de situations isolées. Les entreprises tireront ainsi avantage à définir une grille de salaire spécifique, adaptée à la situation pénurique des marchés du numérique en tension.
Pour en finir avec les conseils, les entreprises doivent bien comprendre les catégories de métiers et les différents profils de la cybersécurité pour définir correctement les postes et bien identifier les besoins. Stop au profil du mouton à 5 pattes !
Un professionnel de la cybersécurité, dotés d’un ensemble de compétences, a déjà un emploi et reçoit plusieurs sollicitations chaque semaine. Ce marché est en plein emploi et beaucoup d’offres ne trouvent pas preneur. La pénurie de talents est là et va encore durer, elle ne doit pas être ignorée car elle présente un risque stratégique pour les entreprises. La capacité d’une entreprise en matière de cybersécurité va devenir dans les prochaines années un élément différenciateur en termes d’image et de confiance envers l’entreprise.
Le rétablissement du déficit de compétences prendra de nombreuses années. Le Syntec et l’Opiiec ont publié une étude qui estime que la croissance en création d’emplois atteint 8 % pour les 5 ans à venir. Or cette tendance est largement supérieure à la capacité de formation en France. L’enjeu devient ainsi stratégique pour les entreprises.
Le rétablissement du déficit de compétences prendra de nombreuses années. Le Syntec et l’Opiiec ont publié une étude qui estime que la croissance en création d’emplois atteint 8 % pour les 5 ans à venir. Or cette tendance est largement supérieure à la capacité de formation en France. L’enjeu devient ainsi stratégique pour les entreprises.
Les certifications
A l’exclusion des certifications ISO 2700x, toutes les
autres certifications ne cautionnent aucune compétence réelle, tout juste l’assiduité
à une formation et la connaissance de notions parfois élémentaires, surtout le CISSP
pourtant plébiscité par les entreprises d’après l’étude de l'ISACA alors que la certification
la moins pertinente serait l’OSCP. C’est le monde à l’envers…
Le rapport de l’ISACA nous apprend aussi que près de 60 %
des entreprises reçoivent au moins 5 candidats, et que la plupart ne sont pas
qualifiés. Il y a ainsi quand même un quart de qualifiés et pour ceux qui ne le
sont pas, s’agit-il d’une comparaison en regard des offres recherchant des
moutons à 5 ou 6 pattes ? Ainsi, un quart des postes mettent six mois ou
plus pour être pourvus et en Europe, un tiers des offres restent vacantes.
Le mouton à 5 pattes…
Ils semblent bien que les entreprises soient toujours en
quête du mouton à cinq pattes, capables de faire de la gouvernance, de la
sécurité opérationnelle, de la gestion de projet, du pentest, du reverse et de
l’expertise pointue avec des compétences en cryptologie, en rétro-ingénierie,
en réseau & système, en IoT ou bien en conception, architecture et développement.
Cette étude met en exergue un réel décalage entre les
exigences des entreprises et les profils réels en cybersécurité.
Une entreprise devrait se contenter de rechercher les profils répondants au mieux à ses besoins plutôt que de chercher des profils improbables. La méconnaissance de la complexité du domaine par les entreprises est flagrante. En retenant un critère comme la certification, il n’est pas surprenant de considérer que les candidats ne sont pas qualifiés car c'est le niveau requis de la certification qui est alors évalué. En outre, avec ce critère seuls les candidats bénéficiant d’un programme payé par l’entreprise pour obtenir les certifications payantes accèderont au critère de recrutement. Pourtant, ce critère n’identifie pas les compétences. Notons que l’ISACA est avant tout une association spécialisée en gouvernance et audit de sécurité et plutôt étrangère à l’expertise ou la spécialisation en hacking éthique et pentest.
Une entreprise devrait se contenter de rechercher les profils répondants au mieux à ses besoins plutôt que de chercher des profils improbables. La méconnaissance de la complexité du domaine par les entreprises est flagrante. En retenant un critère comme la certification, il n’est pas surprenant de considérer que les candidats ne sont pas qualifiés car c'est le niveau requis de la certification qui est alors évalué. En outre, avec ce critère seuls les candidats bénéficiant d’un programme payé par l’entreprise pour obtenir les certifications payantes accèderont au critère de recrutement. Pourtant, ce critère n’identifie pas les compétences. Notons que l’ISACA est avant tout une association spécialisée en gouvernance et audit de sécurité et plutôt étrangère à l’expertise ou la spécialisation en hacking éthique et pentest.
Quelques chiffres
En juin 2017 l’ISC2 (International Information Systems Security Certification Consortium) a interrogé 19 000 spécialistes de la sécurité informatique qui estiment que 1,8 million de salariés qualifiés en cybersécurité vont manquer d’ici 2022 au plan mondial. https://iamcybersafe.org/gisws/
Ainsi, 70 % des entreprises souhaiteraient recruter en 2017 15% d’effectif en plus en cybersécurité et 87 % des salariés recrutés ne posséderaient pas d’expérience professionnelle.
En France, seulement 1200 postes sur 6000 ont été pourvus en 2016 (source ANSSI).
Parmi ces métiers, les profils les plus recherchés
sont, d'après l'étude du Syntec et de l'Opiiec : Consultant (Conseil & Audit), Analyste SOC (SoC), Chef de
Projet Sécurité et Architecte (Management) et Administrateur sécurité (MCS)
Les points d’attention
Ce que doivent comprendre les RH, c’est que l’attraction ou la rétention d’un talent
possède une similitude avec le monde sportif dans lequel la qualité et la
rareté se paie selon la loi de l’offre et de la demande avec un point
d’intersection qui est l’équilibre général, encore faut-il que l’équipe d’accueil
ait aussi un environnement attrayant.
L’ironie est que méconnaître ces principes renforce la
pénurie en figeant les recrutements pour raison de salaire demandé trop élevé. Le
besoin n’est pas pourvu et le marché n'est pas fluide. La France reste isolée et figée en matière de politique salariale. L’effet de bord est de voir ses talents
partir pour l’étranger. De facto, le contribuable français participe ainsi à la
concurrence étrangère en finançant la formation d’étudiants exerçant ensuite
pour une concurrence extra-nationale. Dans un marché mondialisé, les entreprises françaises ont de plus en plus de mal à recruter des candidats français.
Le marché de la cybersécurité est en pleine explosion pour quelques temps encore car la cybermenace se professionnalise avec des cybercriminels très compétents et bien organisés alors qu’en face le niveau de protection des entreprises et des institutions étatiques reste encore insuffisant. A moyen terme, il y aura des vainqueurs et des perdants et cela aura un impact non négligeable sur le développement économique. La France dispose de nombreux atouts, elle ne doit pas rater le train de la cybersécurité...
