De nos jours, dans la lutte contre les menaces en ligne, les certifications et les années d'expérience ne suffisent plus. Avec l'automatisation renforcée par l’IA, trois compétences prennent le relais.
Travailler dans la cybersécurité est un métier difficile. Alors que les équipes de sécurité travaillent d’arrache-pied pour prévenir les dommages causés à leurs organisations, ZDNET a rapporté plus tôt cette année que de nombreux professionnels de la cybersécurité ne bénéficient pas de la reconnaissance qu’ils méritent
Les technologies émergentes apportent leur lot de nouveaux défis. La détection des vulnérabilités assistée par l’IA accélère le rythme des signalements de bugs, avec un écart croissant entre ce que les machines peuvent détecter et ce que les humains peuvent réellement trier.
Dans un environnement de travail aussi changeant et exigeant, on comprend donc aisément pourquoi près de la moitié des professionnels de la cybersécurité souhaitent démissionner.
Cependant, les collaborateurs devraient réfléchir à deux fois avant d’envoyer leur lettre de démission : à l’ère de l’IA, où les menaces proviennent de multiples sources, votre entreprise a plus que jamais besoin de vous.
Comme l’a récemment déclaré Fabrizio Pilotti, directeur informatique chez Aston Martin Aramco Formula One, à ZDNET, les responsables du numérique doivent réfléchir attentivement à l’équilibre entre l’IA et les capacités humaines, et le maintien efficace de cet équilibre crée de nouvelles opportunités pour les professionnels de la sécurité.
« Dans l’informatique, de nombreuses règles sont en train de changer. Nous réfléchissons beaucoup à la structure des équipes, voire aux descriptions de poste, en distinguant les tâches opérationnelles de celles qui ne le sont pas », a-t-il déclaré.
« Je dirais que la cybersécurité, tout comme le développement logiciel, figure en tête de nos priorités en raison de la complexité croissante et de l’évolution des environnements, qui exigent des réactions extrêmement rapides. »
La bonne nouvelle, c’est donc que les talents du secteur de la cybersécurité pourraient enfin bénéficier de la reconnaissance que leurs compétences méritent pleinement.
Mais alors que l’IA agentique s’approprie des éléments du rôle traditionnel de la sécurité informatique, comment les professionnels de la cybersécurité peuvent-ils prouver leur valeur et se construire une carrière réussie ?
Les experts suggèrent que les candidats retenus se concentreront sur trois domaines clés : une réflexion critique nourrie par la curiosité, des qualités instinctives qui vont au-delà de l’automatisation, et une capacité à transformer des signaux ambigus en décisions sûres et fondées sur l’évaluation des risques.
Eric Schmitt, RSSI chez Sedgwick, spécialiste de la gestion des risques et des sinistres, a déclaré que beaucoup de gens croient à tort qu’un excellent professionnel de la cybersécurité est nécessairement titulaire de certifications ou dispose de nombreuses années d’expérience.
Si ces qualifications peuvent donner une indication sur les capacités probables d’une personne, elles ne constituent en aucun cas une garantie de réussite, en particulier dans un monde où l’IA et d’autres technologies émergentes transforment la nature des attaques et les méthodes de réponse.
À cet égard, M. Schmitt nous a déclaré qu’un excellent professionnel de la cybersécurité excelle dans un domaine clé : la curiosité.
« Je préfère embaucher quelqu’un qui, après un an de carrière, se demande constamment “Pourquoi cela fonctionne-t-il ainsi ?” plutôt qu’une personne ayant 20 ans d’expérience qui ne se pose pas cette question », a-t-il déclaré.
M. Schmitt a expliqué que si l’expérience permet d’apprendre ce qui a fonctionné par le passé, la curiosité permet d’anticiper ce qui pourrait ne plus fonctionner à l’avenir et d’identifier où se trouve la solution, une distinction qui n’a jamais été aussi importante qu’aujourd’hui, dans un paysage avec des menaces en constante évolution.
« Les diplômes et certifications me renseignent sur le parcours d’une personne, tandis que des questions telles que “Pourquoi cet agent fait-il appel à ce service ?” ou “Pourquoi suivons-nous ce processus ?”, ou encore le fait d’essayer de comprendre quelles données un certain modèle lit, qui peut les modifier et ce qu’un agent est autorisé à faire de son propre chef, me renseignent bien mieux sur sa façon de penser. »
Cependant, la curiosité seule ne suffit pas. M. Schmitt a suggéré que les professionnels de la cybersécurité curieux doivent également posséder de solides capacités de réflexion critique.
« La curiosité génère les questions les plus percutantes, et la réflexion critique permet de déterminer quelles réponses tiennent la route », a-t-il déclaré.
« L’IA a rendu ce type de réflexion indispensable, car ces outils produisent en masse des résultats convaincants et plausibles, mais quelqu’un doit tout de même se demander s’ils sont corrects et être capable de le déterminer. »
M. Schmitt a expliqué que la curiosité sans rigueur critique mène au bruit, et que la rigueur sans curiosité mène à la stagnation, suggérant que les professionnels possédant le bon équilibre entre ces compétences séduiront les entreprises adoptant une approche proactive face aux cyberrisques.
« Ensemble, ces compétences permettent à un professionnel de la sécurité de suivre le rythme d’un paysage de menaces qui ne récompense plus l’expertise statique », a-t-il déclaré. « Les responsables doivent recruter en privilégiant la curiosité et cultiver la pensée critique, car tout le reste peut s’apprendre. »
Cette importance accordée aux compétences de réflexion critique séduit également Ankur Anand, DIS du cabinet de recrutement Harvey Nash, qui a souligné que des études sectorielles mettent en évidence un problème majeur : une dépendance excessive aux outils d’IA pourrait exposer les entreprises à des attaques.
Il a fait référence à l’étude comparative récemment publiée par SecRespond, qui a testé 23 modèles d’IA de premier plan à l’aide de données d’analyse forensique réelles issues de systèmes compromis. Tous les modèles ont échoué face à une même catégorie d’attaques : les intrusions qui n’ont jamais déclenché d’alerte au départ.
« C’est ce détail qui devrait inquiéter davantage que n’importe quelle statistique sur le déficit de compétences », a-t-il déclaré à ZDNET, soulignant que la plupart des outils de sécurité, y compris ceux qui utilisent l’IA, fonctionnent en analysant des éléments déjà signalés comme inhabituels.
« Si rien ne déclenche l’alarme, une IA conçue pour analyser les alertes n’a rien à examiner. »
Anand a déclaré que les meilleurs professionnels de la cybersécurité possèdent le discernement nécessaire pour savoir quand quelque chose ne va pas.
« Ils auront l’instinct de se méfier d’un système qui semble parfaitement normal, et de se demander pourquoi il est silencieux alors que tout le monde ne guette que ce qui fait du bruit. »
