Les dirigeants de la sécurité confrontés à des pénuries de main-d’œuvre se tournent vers l’intelligence artificielle pour combler les lacunes des compétences dans leurs organisations, selon les résultats de l’enquête publiés aujourd’hui par une entreprise mondiale de cybersécurité.
Quelque 97% des 1 850 décideurs informatiques et de cybersécurité dans 29 pays ont déclaré avoir utilisé ou prévu d’utiliser une solution de cybersécurité qui exploite l’IA pour répondre à un nombre croissant d’incidents de sécurité, selon l’enquête Fortinet Cybersecurity Skins Gap menée par SAPIO Research.
L’enquête a noté que la grande majorité de ses répondants (86%) avaient une ou plusieurs violations de sécurité en 2024, avec près d’un tiers (28%) déclarant cinq ou plus. Ces niveaux sont notablement plus élevés qu’en 2021, lorsque Fortinet a mené sa première enquête sur les lacunes. Ensuite, 80% ont signalé une violation et 19% ont déclaré cinq ou plus.
L’impact de ces incidents de sécurité est important, a noté l’enquête. Plus de la moitié (52%) des organisations interrogées disent que les violations leur ont coûté plus de 1 million de dollars, ce qui est à peu près conforme aux 53% de l’an dernier et contre 38% en 2021.
En réponse à ce problème croissant, l’étude a noté que les organisations se tournent de plus en plus vers l’IA pour renforcer leurs capacités et leur posture, même s’ils reconnaissent que l’IA pourrait également être utilisée contre eux comme moteur pour des cyberattaques nouvelles ou améliorées. Près de la moitié des répondants (49%) ont avoué qu’ils craignaient que l’utilisation de l’IA par de mauvais acteurs augmente les attaques de cybersécurité.
Investissement de cyber-talents nécessaires
Quatre organisations sur cinq (80%) ont déclaré aux géomètres que les outils d’IA aident leurs équipes informatiques et de sécurité plus efficaces, bien que presque tous soient conscients que l’IA ne résoudra pas la pénurie de compétences en cours seule. Cette pénurie équivaut à un déficit mondial de plus de 4,7 millions de professionnels de la cybersécurité, selon l’étude de la main-d’œuvre de la cybersécurité ISC2 2024.
« L’enquête de cette année souligne en outre le besoin urgent d’investir dans les talents de cybersécurité », a déclaré Fortinet Ciso Carl Windsor dans un communiqué. «Sans combler l’écart de compétences, les organisations continueront de faire face à l’augmentation des taux de violation et à l’escalade des coûts.»
« Les résultats mettent en évidence un point d’inflexion pour les secteurs public et privé », a-t-il poursuivi. «Sans action audacieuse pour construire et conserver une expertise en cybersécurité, les risques et les coûts ne continueront que de croître pour notre société.»
Thomas Vick, un expert en embauche et en conseil en technologie avec Robert Half, une entreprise mondiale de personnel et de recrutement, a expliqué que sans suffisamment de professionnels qualifiés, les équipes informatiques peuvent avoir du mal à corriger les vulnérabilités, à gérer la dette technique et à rester en avance sur des menaces de plus en plus sophistiquées, à laisser des systèmes critiques exposés.
« Alors que les cyber-risques dégénèrent, attirer et conserver les professionnels de la cybersécurité qualifiés demeure une priorité commerciale pour protéger les actifs numériques et rester en avance sur les menaces », a-t-il déclaré à Technewsworld.
«Le GAP des compétences en cybersécurité continue de défier les organisations dans les industries, ce qui rend difficile le fait de combler les rôles essentiels dans les départements informatiques et les centres d’opérations de sécurité», a-t-il déclaré. «Pour rester compétitif, de nombreux employeurs offrent des salaires de départ plus élevés et des avantages attrayants pour les meilleurs talents.»
« D’après les recherches menées pour le guide salarial 2026 de Robert Half, plus de la moitié des employeurs américains sont prêts à augmenter la compensation de démarrage pour les candidats ayant des compétences en cybersécurité en demande, et 41% ont déclaré qu’ils augmenteraient la rémunération des compétences en sécurité cloud », a-t-il ajouté.
Le maintien de personnes de qualité est plus que financière, a soutenu Mark St. John, co-fondateur et chef de l’exploitation de Neon Cyber, un fournisseur d’outils de sécurité basés sur un navigateur à Fort Worth, au Texas. «Le saut de travail est facile pour les professionnels qualifiés», a-t-il déclaré à Technewsworld. «Vous apprenez des outils, vous ressentez le temps dans les tranchées, et vous êtes soudainement une marchandise précieuse.»
« J’adore cela pour les analystes. Je déteste pour l’entreprise », a-t-il déclaré. «Beaucoup de connaissances tribales du fonctionnement de l’entreprise, de la sensibilité des données entre les unités commerciales, les relations – elles s’additionnent toutes et comptent au fil du temps. Je suis donc facilement convaincu que le chiffre d’affaires peut entraîner des violations.»
L’adoption de l’IA entre en collision avec l’écart des compétences
Bien que la plupart des organisations utilisent ou prévoient d’utiliser l’IA, près de la moitié d’entre elles (48%) ont reconnu que le plus grand défi pour intégrer l’IA dans la cybersécurité était le manque de personnel ayant une expertise suffisante de l’IA.
«La pénurie de compétences crée un paradoxe qui limite le potentiel de l’IA en cybersécurité», a affirmé Tim Freestone, directeur de la stratégie de Kiteworks, un fournisseur de communication de contenu sécurisé à San Mateo, en Californie.
«Les organisations manquent de personnel avec l’expertise nécessaire pour déployer, gérer et optimiser correctement les outils de sécurité alimentés par l’IA, ce qui signifie que la solution même conçue pour atténuer les pressions de personnel reste sous-utilisée», a-t-il déclaré à Technewsworld.
«Cette lacune est particulièrement aiguë parce que la mise en œuvre efficace de l’IA nécessite des compétences doubles – à la fois en fonction des systèmes d’IA et en défendant contre les attaques alimentées par l’IA – des compétences qui sont encore plus courtes que l’expertise traditionnelle de la cybersécurité.
«Sans des professionnels formés qui peuvent configurer les outils d’IA de manière appropriée, interpréter leurs résultats avec précision et les intégrer efficacement dans les opérations de sécurité, les organisations risquent le déploiement de systèmes d’IA qui n’atteignent pas leur potentiel défensif ou, pire, introduire de nouvelles vulnérabilités grâce à une mauvaise gestion», a-t-il déclaré.
« Le rapport de Fortinet indique clairement que l’écart de compétences en cybersécurité est devenu un risque commercial, pas seulement technique », a ajouté Shane Barney, directeur de la sécurité de l’information chez Keeper Security, une société de gestion de mots de passe et de stockage en ligne à Chicago.
« Avec presque toutes les entreprises qui adoptent l’intelligence artificielle pour renforcer les défenses », a-t-il déclaré à Technewsworld, « l’absence de compétences internes pour gérer ces outils en toute sécurité élargit l’écart entre la technologie et la préparation. »
Diana Kelley, CISO chez Noma Security, une entreprise de sécurité du cycle de vie de l’IA à Tel Aviv, en Israël, a expliqué que les compétences en IA peuvent englober un très large spectre. «Les compétences traditionnelles d’IA telles que les ingénieurs en science des données et en apprentissage automatique continuent d’être populaires», a-t-elle déclaré à Technewsworld.
«L’une des compétences les plus demandées du Genai est l’ingénierie rapide, ce qui entraîne une valeur dans toutes les équipes, des opérations de sécurité, au marketing, à la conformité, au développement des affaires», a-t-elle déclaré. «Et les personnes qui plongent et vibraient les agents d’IA codants se préparent également à des compétences en IA à l’épreuve des futurs.»
«Bien sûr», a-t-elle poursuivi, «pour chaque cas de mise en œuvre ou d’utilisation de l’entreprise, il y a un besoin pour l’IA, en particulier l’IA agentique, d’être sécurisé par l’organisation du CISO.»
L’investissement dans la formation nécessaire
L’enquête a préconisé un plus grand investissement par les organisations dans la formation et le développement de la cybersécurité. La baisse de la volonté de payer les certifications cette année, à 73% contre 89% l’année précédente, est préoccupante, a-t-il noté. «Si cela se révèle être une tendance émergente, les organisations devraient examiner cette décision dans le cadre de leur stratégie de gestion des risques», a-t-il conseillé.
Lisa Simon, économiste en chef de Revelio Labs, une société de renseignement sur la main-d’œuvre à New York, a expliqué que les employeurs s’appuient de plus en plus sur les certifications comme moyen de vérifier les compétences en cybersécurité, en particulier dans les secteurs à haut risque tels que le gouvernement, la finance et les soins de santé.
«Les certifications peuvent rassurer que les candidats répondent à une certaine norme et aident les organisations à démontrer la crédibilité aux clients et aux régulateurs», a-t-elle déclaré à Technewsworld, «mais la dépendance aux références a également des inconvénients.
«Nos études montrent que seulement environ un professionnel de la cybersécurité sur cinq répertorie une certification sur leur profil en ligne, ce qui contribue à l’embauche plus lente et plus coûteuse, et risque de exclure les candidats solides qui ont construit leur expertise par le biais de rôles ou de systèmes sans renseignements formels.»
«Dans la pratique, les certifications peuvent être un signal précieux de compétence», a-t-elle poursuivi, «mais ils ne devraient pas être le seul filtre. Les organisations doivent également investir dans une formation interne et divers pipelines de talents pour répondre à la demande à croissance rapide de cyber-talents.»
L’enquête a indiqué: «Les employés qualifiés et conscients et les professionnels de la cybersécurité sont cruciaux pour la gestion globale de la cyber-risque dans un monde qui a (a) dépassé le cycle d’attaque et de défense. Aujourd’hui, pour se protéger, les organisations doivent maintenir une posture de vigilance perpétuelle et de sensibilisation continue aux risques.»
