« Le seau fuit et l'industrie continue de rejeter la faute sur le robinet », écrit Nahla Davies à propos de la pénurie de talents en cybersécurité.
Depuis une décennie, le secteur de la cybersécurité se raconte une histoire concernant sa crise de personnel : il n’y a pas assez de personnel. Formez davantage, certifiez davantage, organisez davantage de bootcamps et le déficit de 4,8 millions de main-d'œuvre mondiale sera comblé. C'est une histoire réconfortante, car elle fait en sorte que le problème relève de quelqu'un d'autre : celui des écoles, celui du gouvernement, celui du pipeline.
Il n'y a qu'une seule difficulté. Les personnes qui possèdent la version la plus citée de cette statistique d’écart, ISC2, ont également expliqué pourquoi elle a augmenté, et la raison n’a rien à voir avec une pénurie de talents.
L'année où le pipeline a été livré et l'écart s'est quand même creusé
Dans l'étude 2024 de l'ISC2, la main-d'œuvre mondiale en cybersécurité n'a augmenté que de 0,1 %, soit une stagnation après des années d'expansion, tandis que l'écart de main-d'œuvre s'est creusé de 19 %. S’il s’agissait d’un problème d’approvisionnement, ces deux chiffres évolueraient ensemble.
Au lieu de cela, l'étude a cité la cause réelle : le budget était le facteur principal, cité par 39 % des répondants, devant toute pénurie de talents, avec 37 % des organisations signalant des coupes budgétaires, 38 % des gels d'embauche et un quart procédant à des licenciements.
En clair, cela signifie que l’écart s’est creusé au cours d’une année où l’offre est restée stable et où la demande d’embauche a été réduite. Le seau fuit et l’industrie continue de blâmer le robinet.
Le paradoxe s’accentue dès l’entrée de gamme. Un tiers des organisations n'ont signalé aucun personnel débutant, tandis que l'étude d'embauche de l'ISC2 a révélé que 38 % des managers exigeaient une certification CISA et 34 % un CISSP pour les postes juniors, des qualifications qui elles-mêmes nécessitent environ cinq ans d'expérience.
Le secteur réclame bruyamment davantage de gazoducs, puis refuse de louer la production du gazoduc. La famine est en partie auto-imposée.
Où vont réellement les gens
Si l’offre n’est pas le goulot d’étranglement, les sorties le sont. Et les données sur les raisons pour lesquelles les personnes expérimentées partent sont accablantes, précisément parce qu’elles excluent toute explication facile.
Ce n'est pas payant. La rémunération des RSSI a augmenté de 6,7 % en 2025 et les salaires dans tous les domaines restent solides. Les gens abandonnent le bon argent.
Ce sont les conditions. L'étude de 2025 de l'ISACA a révélé que 55 % des équipes manquaient de personnel, 50 % avaient du mal à retenir les talents et 47 % citent le stress élevé comme la principale raison pour laquelle les gens partent, avant le salaire.
Parmi les analystes SOC en particulier, Tines a constaté que plus de la moitié des employés étaient susceptibles de changer d'employeur d'ici un an, le travail manuel et répétitif et la fatigue d'alerte venant en tête de liste des frustrations.
Gartner l’a vu venir. En 2023, il prédisait que près de la moitié des responsables de la cybersécurité changeraient d’emploi d’ici 2025, un quart d’entre eux quittant le secteur entièrement à cause du stress lié au travail, l’analyste notant sans ambages que l’épuisement professionnel et l’attrition sont le résultat d’une mauvaise culture. Du point de vue de la mi-2026, cette prévision ressemble moins à une prévision qu’à une description.
Ensuite, il y a le tout dernier accélérateur, destiné directement au sommet de la courbe d’expérience : la responsabilité personnelle. Depuis les poursuites contre l'ancien chef de la sécurité d'Uber et l'action de la SEC contre SolarWinds, 66 % des RSSI se disent préoccupés par leur responsabilité personnelle, et une enquête distincte a révélé que 70 % d'entre eux affirment que les histoires de responsabilité ont altéré leur vision de leur rôle. Vous ne pouvez pas vous entraîner auprès des cadres supérieurs en concluant que le poste le plus élevé constitue un risque juridique qui ne vaut pas la peine d'être pris.
L'écart est fonction de l'ancienneté
C’est pourquoi le cadrage du pipeline échoue selon ses propres conditions. La pénurie ne concerne pas les corps ; c'est une question d'expérience, et l'expérience est la seule chose qu'un bootcamp ne peut pas fabriquer à la demande.
Kaspersky a découvert que 48 % des organisations mettent six mois ou plus pour remplir un rôle en matière de cybersécurité, et 36 % mettent près d'un an pour occuper des postes de direction. La plupart des postes ouverts se situent au niveau intermédiaire à avancé. Chaque analyste senior épuisé qui part crée un poste vacant qu’aucun diplômé ne peut combler et emporte avec lui ses connaissances institutionnelles, tandis que l’industrie débauche le même bassin de plus en plus restreint de personnes expérimentées dans une boucle à somme nulle qui gonfle les salaires sans ajouter un seul défenseur net.
Les mathématiques de l'Irlande dépendent de la fuite
Pour l’Irlande, les enjeux sont concrets.
Le All-Island Cybersecurity Sector Report 2025 a recensé 632 entreprises, 10 600 professionnels et 3,2 milliards d'euros de chiffre d'affaires, et les précédentes études sur le marché du travail de Cyber Ireland ont fixé un objectif de 17 000 cyber-emplois d'ici 2030, nécessitant plus d'un millier d'embauches par an.
Cet objectif est généralement évoqué comme un défi de recrutement. C'est vraiment un défi de rétention que de porter un costume de recrutement, car si la moitié des organisations ne peuvent pas garder les personnes qu'elles ont déjà, le pipeline doit d'abord combler la fuite avant d'ajouter quelqu'un de nouveau.
L'ambition de l'Irlande pour 2030 suppose discrètement un taux de rétention que le secteur n'atteint pas actuellement, et la situation européenne dans son ensemble n'est pas plus douce, avec un Eurobaromètre européen révélant que plus de la moitié des entreprises ont du mal à recruter du personnel cyber.
Ce que ferait une industrie axée sur la rétention
Les solutions sont connues, moins chères qu'une réembauche perpétuelle et presque entièrement sous le contrôle de l'employeur. Automatisez le travail, car lorsque les analystes SOC désignent le travail manuel comme leur principale frustration, les 64 % de leur temps perdu sont constitués par une lettre de démission rédigée en temps réel.
Construisez une culture irréprochable, puisque le propre diagnostic de Gartner place la culture, et non l’effectif, à la racine. Embauchez et formez des juniors, étant donné que l'ISC2 a trouvé les embauches de débutants productives en un an à un coût modeste, et pourtant les programmes de formation de transition sont supprimés plutôt qu'étendus. Et réduisez les risques liés aux postes de direction grâce à une couverture de responsabilité appropriée et à une gouvernance documentée, afin que votre expérience ne soit pas effrayée par la profession.
Une mise en garde honnête : rien de tout cela ne signifie que le pipeline n’est pas pertinent. À long terme, ce domaine a véritablement besoin de davantage de candidats et l'investissement irlandais dans l'éducation est important.
Mais verser plus rapidement de l'eau dans un seau qui fuit n'est pas un plan, et qualifier la fuite de pénurie d'approvisionnement est l'acte de déni le plus coûteux de l'industrie. Les statistiques d'écart que tout le monde cite pour exiger davantage de formation sont, selon la propre lecture de l'ISC2, essentiellement une mesure du taux de désabonnement et des réductions budgétaires, blanchies dans le langage d'une famine de talents.
Le peuple existe. La question que l’industrie continue de refuser de poser est de savoir pourquoi tant d’entre eux partent.
Par Nahla Davies
Nahla Davies est développeur de logiciels et rédactrice technique. Avant de consacrer son travail à plein temps à la rédaction technique, elle a réussi – entre autres choses intrigantes – à devenir programmeuse principale dans une organisation de branding expérientiel Inc 5,000, qui compte parmi ses clients Samsung, Time Warner, Netflix et Sony.
