Comment faire face à la pénurie de main-d'œuvre dans le domaine de la cybersécurité ?

La pénurie de main-d'œuvre dans le domaine de la cybersécurité bat son plein et les organisations du monde entier en ressentent les effets. Dans notre dernier ebook, nous proposons trois stratégies pour aider les responsables de la sécurité à faire face à la pénurie de main-d'œuvre.

Aujourd'hui, nous allons explorer l'une de ces stratégies : la modernisation de votre site PKI, qui peut être un atout pour l'efficacité de vos équipes informatiques et de sécurité, ainsi que pour la position de votre organisation en matière de sécurité. Mais tout d'abord, il convient de faire le point sur la myriade de facteurs qui expliquent la pénurie de main-d'œuvre dans le domaine de la cybersécurité. 

Comprendre la pénurie de main-d'œuvre dans le domaine de la cybersécurité

The labor shortage isn’t a problem that will resolve itself quickly. Its symptoms and ramifications will hold major implications for the business world for years to come — even as the current demand for cybersecurity talent is outpacing the workforce.

The labor shortage isn’t a new problem either. Cybersecurity Ventures reports that 2013 saw one million unfilled cybersecurity roles worldwide. A 2022 Cybersecurity Workforce Study by (ISC)² showed that the cybersecurity labor pool reached an all-time high in 2022 at 4.7 million workers — an 11% increase since 2021. However, the workforce gap widened by 26.2%, creating a global shortage of 3.4 million workers. More than 700,000 of those vacant positions are in the U.S.

Cybersecurity Ventures asserts that the labor shortage is leveling off but not decreasing. They predict that the current gap of 3.4 million workers will hold steady through 2025.

Les risques commerciaux d'une équipe de sécurité à court de personnel sont élevés

A study from Trellix shows that the shortage affects 85% of organizations’ security posture. The (ISC)² survey polled cybersecurity professionals about the biggest obstacles exacerbated by the shortage.

• Systèmes mal configurés (32%) 
• Manque de temps pour évaluer et gérer correctement les risques (30 %)
• Délai excessif dans l'application des correctifs aux systèmes critiques (29%)
• Contrôle des procédures et des processus (28%)
• Incapacité à rester à l'avant-garde des menaces actives contre les réseaux de l'entreprise (27%)
• Déploiements précipités (27%)

These vulnerabilities can potentially disrupt business operations significantly, and no organization is immune. Crypto.com, the Red Cross, Microsoft, Cash App, and others suffered notable breaches in 2022. IBM’s Cost of a Data Breach report found that 85% of organizations suffered a breach — many experienced more than one. 

To compound the consequences, the cost of a breach has never been higher. IBM estimates that a data breach in the U.S. costs an average of $9.44M, with breaches in the healthcare industry costing even more — $10.10M on average.

Les pannes de certificats deviennent aussi préoccupantes que les attaques par hameçonnage et les compromissions d'informations d'identification.

Bien qu'IBM ait constaté que les tentatives d'hameçonnage et les informations d'identification compromises étaient la cause la plus fréquente et la plus coûteuse des violations, les pannes de certificat sont de plus en plus fréquentes et de plus en plus coûteuses.

Keyfactor’s State of Machine Identity Management 2022 Report found that 81% of organizations have experienced at least two or more disruptive outages caused by expired certificates in the past two years, with the average organization suffering four certificate-related outages. The average cost of a certificate outage for a global 5,000 company came in at $15M.

Les raisons en sont multiples.

• Le volume de certificats utilisés par une entreprise moyenne dépasse largement le quart de million.
• Les trois quarts des organisations déclarent que l'utilisation croissante de certificats et de clés numériques a considérablement augmenté la charge opérationnelle de leur service informatique. 
• La diminution du cycle de vie des certificats pose un problème. En 2020, les cycles de vie des certificats ont été réduits de moitié, passant de 27 mois à 13 mois, ce qui a pour effet de doubler le travail et les risques liés à leur maintien pour les organisations qui ne disposent pas de processus d'infrastructure à clé publique (PKI) matures.

L'épuisement professionnel dû à la pandémie contribue de manière significative à la pénurie de main-d'œuvre

CyberSN, a cybersecurity job board, reported that resignations in the cybersecurity field had risen around 20% since the pandemic’s start. Before the Covid 19 pandemic, cybersecurity workers on both the East Coast and the West Coast cited a lack of growth opportunities as their top reason for resigning. Notably, burnout did not make the top five reasons for quitting a role on either coast. Contrast that to today, where burnout is the top reason for resignation on the West Coast and the second-highest reason on the East Coast, accounting for 30% of resignations for each.

Une version modernisée et automatisée de PKI permet aux équipes de cybersécurité de disposer d'une plus grande marge de manœuvre.

De nombreuses équipes de cybersécurité perdent des heures à effectuer des tâches opérationnelles qui pourraient être facilement automatisées, ce qui leur permettrait de se concentrer sur d'autres responsabilités. Au-delà du gain de temps, l'automatisation peut également avoir d'autres effets positifs sur l'entreprise, en réduisant les risques associés à une mauvaise configuration due à une erreur humaine. Les équipes informatiques et de sécurité qui gèrent manuellement le site PKI de leur organisation sont confrontées à des obstacles, notamment

• A lack of expertise creates downstream inefficiencies
  
  PKI is an unforgiving endeavor. It must be designed perfectly from the very outset because certain elements, once set in place, are impossible to alter without a restart of your PKI project. Generalist teams rarely possess the expertise to get PKI right the first time, which creates more work for them in managing and maintaining PKI.
• Manual processes inhibit scalability
  
  The process of requesting, creating, issuing, and tracking certificates is tedious and manual. According to Keyfactor’s State of Machine Identity Management 2022 Report, 42% of respondents still use spreadsheets to track certificates. This undoubtedly costs your team hours upon hours each week. 
• A lack of centralization obscures visibility
  
  Keyfactor’s State of Machine Identity Management 2022 Report shows that enterprise-wide visibility into the status of all certificates is the top priority for PKI teams. The complexity of achieving this visibility makes it a job unto itself. Without a centralized hub for managing PKI, teams can’t lay the groundwork for automation or act proactively to prevent certificate outages.

Pour évaluer la viabilité de l'automatisation de votre site PKI, quelques facteurs doivent être pris en compte.

Évaluer l'état actuel de la PKI

Consultez les équipes et les responsables qui touchent au processus PKI pour comprendre comment les certificats sont gérés et combien de temps il faut pour les approvisionner, les installer et les renouveler. 

Cette équipe peut vous aider à définir l'infrastructure de l'autorité de certification (AC) de votre organisation, les applications qui nécessitent des certificats et les flux de travail liés à la gestion des certificats. Avec cette vue d'ensemble en main, vous pouvez mieux évaluer le coût total de possession de votre stratégie PKI actuelle. Les questions suivantes vous aideront à déterminer le coût total de possession de vos processus de gestion PKI .

• Combien d'heures sont consacrées à la gestion de PKI par semaine et par mois, et quelle est la valeur monétaire de ces coûts de main-d'œuvre ?
• Quel est le montant des dépenses de votre organisation pour les outils et les droits de licence liés à PKI? 
• Quelle est la fréquence des pannes liées à l'obtention d'un certificat dans votre organisation ? 
• Combien de temps faut-il pour réagir à une panne liée à un certificat ?
• Combien perdez-vous en temps d'arrêt, en perturbation des processus, en perte d'opportunités et en atteinte à la réputation à cause de ces pannes ?

Évaluer le prix à payer pour maintenir le cap

The burden of inefficient PKI management and infrastructure isn’t static. It will grow over time as certificate usage increases, compliance regulations escalate, and the risks of a breach become more severe. Doing nothing comes at a cost, a cost you should consider while evaluating a PKI investment.

Il est à noter que les organisations qui confient PKI aux équipes générales d'informatique et de sécurité le font au détriment de leurs tâches principales. Lorsque ces équipes sont contraintes de choisir entre ces tâches principales et la gestion de PKI, PKI passe presque toujours en second. C'est tout à fait naturel, mais cela s'accompagne d'un montant qui ne fera qu'augmenter à mesure que les organisations s'efforceront de faire plus avec moins de personnel dans tous les départements.

• Quels sont les risques liés à votre processus actuel PKI , et comment ces risques vont-ils s'accroître au fil du temps (y compris en matière de conformité) ?
• Si les membres de l'équipe qui s'occupent de PKI dans votre organisation avaient plus d'heures à consacrer à leurs responsabilités principales, non liées àPKI , quelle serait la valeur ajoutée pour l'entreprise ? Quelle est la part de cette valeur que vous perdez alors que PKI devient de plus en plus difficile à gérer et prend plus de temps à ces membres de l'équipe ?
• Les tâches du site PKI nuisent-elles à l'efficacité des membres de l'équipe dans leur rôle principal ? Par exemple, les problèmes sont-ils plus lents à résoudre ou payez-vous des heures supplémentaires aux membres de l'équipe pour qu'ils accomplissent la totalité de leur travail ? À quel moment la charge de travail exigera-t-elle une nouvelle embauche, et quel en sera le coût ?
• Au fur et à mesure que votre utilisation de PKI s'adaptera à votre processus actuel, vos problèmes s'adapteront également. À quel rythme deviendront-ils plus fréquents et plus graves ? Quel est le point de rupture pour votre organisation ? Combien coûtera ce point de rupture et combien coûtera le rétablissement ?

Bien que l'automatisation nécessite un investissement substantiel dans la technologie, c'est une grande victoire pour les organisations qui peuvent récupérer les gains d'efficacité perdus - ce qui a un avantage financier direct dans un marché du travail tendu.

Définir le succès de votre entreprise modernisée PKI

PKI peut et doit permettre l'automatisation, la visibilité, l'évolutivité et une approche préventive et proactive. Une fois mis en place, la maintenance et la gestion de PKI deviennent moins contraignantes.

• Si votre équipe actuelle ( PKI ) pouvait automatiser, mettre à l'échelle et être proactive dans la gestion de PKI, combien de bande passante lui rendrait-elle, qu'elle pourrait consacrer à d'autres tâches de sécurité et d'informatique ? Et si vous pouviez leur retirer complètement PKI ?
• Quels sont les gains d'efficacité au niveau de l'infrastructure qui seront créés par la modernisation de PKI, et comment ces gains d'efficacité se traduisent-ils par une réduction des coûts ou une augmentation des recettes ? 
• Entre la diminution des pannes et l'augmentation du nombre d'heures de travail, combien de temps faudra-t-il pour que votre solution soit rentabilisée ?

L'efficacité acquise grâce à l'automatisation atténue l'épuisement professionnel

Cybersecurity and IT professionals are passionate about the hard work they do. They aren’t burning out because of overwork — they’re burning out because of needless work. The most often overlooked way to change the efficiency curve is to find and eliminate manual processes in favor of automation. 

And while the rise in cyber-professional wages will undoubtedly draw more workers to the industry and eventually quell the labor shortage, experts believe it takes anywhere from two to five years to become proficient in a cybersecurity profession, creating a long lead time for developing and sourcing talent.

Fortunately, the future is not all bleak. We still need to focus on fixing the labor shortage, but it’s also imperative for organizations to adopt technologies that can help their existing cybersecurity teams work more efficiently. These technologies can go a long way toward resolving the challenges we face today.

Besoin d'aide pour faire progresser vos efforts en matière de cybersécurité ?

Keyfactor helps companies (including those with under-resourced teams) secure every digital key and certificate for multi-cloud enterprises, DevOps, and embedded IoT security. Click here to learn more about what we offer, including how our Cloud PKI-as-a-Service offers every organization access to an elite team of cybersecurity experts.

To learn more about how a modernized approach to PKI can help your cybersecurity team become more efficient, download our new ebook: Three Strategies to Help Security Leaders Navigate the Cybersecurity Labor Shortage.