Votre entreprise vient de survivre à une attaque par ransomware. Les données clients sont chiffrées, votre réputation est attaquée et chaque heure d’indisponibilité vous coûte de l’argent. Vous appelez un contact dans la sécurité que vous connaissez, et vous entendez: «Les gars, je suis complet pour les trois prochains mois.»

En savoir plus: Duda Development Services.

La demande de professionnels en cybersécurité dépasse largement l’offre. Selon l’étude 2024 de l’ISC2, l’écart mondial entre le besoin de main-d’œuvre et les effectifs réels a atteint 4,8 millions de personnes, soit 19% de plus que l’année précédente. Il s’agit d’une mutation structurelle du marché du travail, pas d’une pénurie temporaire.

Nous avons rassemblé les derniers chiffres, les vraies raisons de cette sécheresse de talents et les stratégies qui aident les entreprises à recruter des profils sécurité solides, même dans un contexte de concurrence féroce.

💡 Aperçu rapide:

• Déficit mondial de main-d’œuvre en cybersécurité: 4,8 millions de professionnels, et l’écart continue de se creuser.
• Principaux freins au recrutement: manque de budget, délais de recrutement longs et concurrence rude avec les entreprises technologiques.
• Ce qui fonctionne: le format hybride, la formation interne, la remise à plat des exigences candidat et l’intégration de la sécurité dans les postes IT adjacents.
• Perspectives: l’IA prend en charge les tâches de niveau 1, mais la demande pour les architectes, les spécialistes de la sécurité cloud et les ingénieurs en sécurité IA ne fait qu’augmenter.

Pourquoi la cybersécurité est devenue un actif stratégique essentiel

La digitalisation dévore un secteur après l’autre. La finance, la distribution, la santé, la logistique fonctionnent sur du logiciel, du cloud et des API. Chaque nouveau point d’entrée numérique est un vecteur d’attaque potentiel. Phishing, ransomware, attaques sur la chaîne d’approvisionnement: les acteurs de la menace travaillent plus vite et de manière plus créative qu’il y a cinq ans.

Parallèlement, l’étau réglementaire se resserre. Le RGPD en Europe, des lois similaires dans des dizaines de juridictions, des normes sectorielles comme PCI DSS exigent des entreprises non pas «d’installer un antivirus», mais de construire un système de défense complet. Une amende pour une fuite de données personnelles peut représenter l’équivalent du chiffre d’affaires annuel d’une business unit.

En résumé: la cybersécurité n’est plus le domaine d’un administrateur système dans la salle des serveurs. C’est une fonction qui relève du conseil d’administration et qui affecte directement la survie de l’entreprise.

L’ampleur de la pénurie: chiffres et risques réels

Selon l’étude ISC2 sur la main-d’œuvre en cybersécurité pour 2024, la main-d’œuvre active mondiale en cybersécurité est de 5,5 millions de personnes, alors que le besoin dépasse les 10 millions. L’écart de 4,8 millions n’est pas une abstraction: chaque poste non pourvu signifie des logs non vérifiés, des alertes manquées et des délais de réponse aux incidents allongés.

L’étude ISACA 2025, qui a interrogé près de 4 000 professionnels, a montré que 55% des équipes sont en sous-effectif et que 65% des organisations ont des postes non pourvus. Dans le même temps, 38% des répondants ont indiqué que le recrutement, même pour des postes juniors, prend de trois à six mois.

Le Forum économique mondial, dans son Global Cybersecurity Outlook 2025, a constaté que seules 14% des organisations disposent du nombre nécessaire de professionnels qualifiés. Les 86% restants travaillent avec les moyens du bord, dans un contexte où une entreprise sur deux a été confrontée à un incident en raison d’un manque de compétences au sein de l’équipe sécurité.

Pourquoi les entreprises perdent la bataille des talents

Il y a plusieurs raisons, et le budget n’est que l’une d’entre elles. Selon l’ISC2, le «manque de budget» a dépassé pour la première fois le «manque de candidats qualifiés» comme cause principale de la pénurie de main-d’œuvre. 33% des organisations ne peuvent pas s’aligner sur les salaires du marché pour les profils sécurité, et 29% ne peuvent pas financer le nombre de postes nécessaire.

Un autre problème est la concurrence pour les talents. Les entreprises technologiques spécialisées et les groupes internationaux proposent des salaires et des conditions que les entreprises de taille intermédiaire ne peuvent pas égaler. Le salaire annuel médian d’un analyste en sécurité de l’information aux États-Unis, selon le Bureau of Labor Statistics pour mai 2024, est de 124 910 $, soit près de trois fois le salaire médian toutes professions confondues. Le 90e centile dépasse les 186 000 $.

Le troisième facteur, ce sont les exigences de recrutement surdimensionnées. Les entreprises cherchent un «mouton à cinq pattes»: quelqu’un qui sait faire des pentests, maîtrise l’architecture cloud et dirige une équipe de cinq personnes. Ces profils se comptent sur les doigts d’une main sur le marché. Une approche plus pragmatique, qui consiste à recruter pour des domaines spécifiques et à développer les compétences en interne, reste encore peu pratiquée.

Comment la cybersécurité infiltre les postes IT adjacents

Une tendance des deux dernières années: les exigences de sécurité dans des offres d’emploi qui n’avaient auparavant aucun lien avec ce domaine. Un développeur SharePoint, un ingénieur intégration, un spécialiste DevOps: tout le monde a désormais besoin d’un niveau de base en sensibilisation à la sécurité.

Prenons le poste de développeur SharePoint: un modèle moderne pour cette fonction inclut la connaissance des principes de protection des données et de la gestion des accès. La plateforme SharePoint est largement utilisée pour stocker des informations sensibles de l’entreprise, des rapports financiers aux documents RH. Les entreprises veulent être sûres que le développeur qui configure ces systèmes comprend comment fonctionnent les permissions, le chiffrement et l’audit des accès.

Le même constat s’applique au développement web. Les plateformes numériques subissent une pression constante d’attaques, des DDoS à l’exploitation de vulnérabilités de plugins. Intégrer la protection dès la phase de développement, et non a posteriori, est devenu un standard pour les éditeurs et les agences.

Plus d’informations sur le «développeur SharePoint» sont disponibles via ce lien.

Ce qu’il faut retenir, c’est que la demande de compétences en sécurité ne croît pas seulement via des postes dédiés. Elle se diffuse dans toute l’organisation IT, alimentant la pénurie globale.

Stratégies: comment trouver et fidéliser les profils sécurité dès maintenant

La bonne nouvelle: même avec le déséquilibre actuel, les entreprises peuvent gagner la bataille des talents. Voici ce qui fonctionne.

Investir dans la formation, pas seulement dans le recrutement. Les partenariats avec les universités, le financement de certifications (CISSP, CEH, CompTIA Security+) et les programmes de stage créent un vivier de candidats fidèles à votre entreprise. Selon l’ISC2, 95% des organisations constatent un manque d’au moins une compétence dans leur équipe, et 59% signalent des lacunes critiques ou significatives. La formation interne comble ces trous plus rapidement que la recherche d’un spécialiste clé en main.

Proposer un format de travail flexible. Le télétravail et le mode hybride sont devenus incontournables pour les professionnels de l’IT. Les entreprises qui imposent cinq jours de présence au bureau éliminent une part importante des candidats potentiels dès le tri des CV. Pour un professionnel de la sécurité qui surveille des logs depuis n’importe où dans le monde, la présence physique est rarement une nécessité opérationnelle.

Faire grandir les profils sécurité en interne. Un ingénieur DevOps qui souhaite approfondir la sécurité cloud, ou un administrateur système qui s’intéresse à la réponse aux incidents, sont des candidats tout trouvés pour une reconversion. Ils connaissent déjà votre infrastructure. Il ne reste plus qu’à leur donner du temps pour se former, un budget pour la certification et un mentor parmi les effectifs sécurité actuels.

Vers où se dirige le marché: IA, automatisation et nouveaux rôles

L’avenir du marché du travail en cybersécurité est façonné par trois forces.

Premièrement, l’intelligence artificielle. Gartner prévoit que d’ici 2028, plus de 50% des tâches des analystes SOC de niveau 1 seront exécutées par l’IA. Selon le rapport Splunk State of Security 2025, 33% des équipes prévoient de combler les écarts de main-d’œuvre avec l’IA et l’automatisation. La demande se déplace des opérateurs d’alertes vers les ingénieurs en sécurité IA qui conçoivent et supervisent ces systèmes.

Deuxièmement, l’épuisement professionnel comme risque opérationnel. Sophos pour 2025 a enregistré une perte de 4,8 heures de travail par semaine et par spécialiste en raison du burnout (soit une augmentation de plus de 25% par rapport à l’année précédente). 63% des RSSI, selon Proofpoint, ont personnellement vécu un burnout ou l’ont observé dans leur équipe. Les entreprises qui ignorent ce problème perdent leurs collaborateurs plus vite qu’elles n’en recrutent de nouveaux.

Troisièmement, la croissance de la demande au cours de la prochaine décennie. Le Bureau of Labor Statistics américain prévoit une augmentation de 29% du nombre de postes d’analyste en sécurité de l’information entre 2024 et 2034, soit un rythme bien plus rapide que la moyenne de toutes les professions. Environ 16 000 postes ouverts par an rien qu’aux États-Unis.

⁉️🤔 Questions fréquentes

Pourquoi y a-t-il si peu de professionnels en cybersécurité?

La raison principale est la vitesse de croissance de la demande. Les menaces se multiplient plus vite que les universités ne forment de spécialistes. Une barrière à l’entrée élevée: on attend d’un nouveau venu qu’il comprenne les réseaux, les OS, le cloud et les exigences réglementaires, un ensemble qui nécessite des années de pratique.

La pénurie est aggravée par le fait que 33% des organisations manquent de budget pour offrir des salaires sécurité au prix du marché, selon les données ISC2 2024. Dans le même temps, 65% des entreprises gardent des postes non pourvus pendant des mois. Le marché est en surchauffe des deux côtés: les employeurs ne trouvent pas de candidats, les candidats ne voient pas d’offres adéquates de la part des acteurs non monopolistiques.

Quelles certifications aident vraiment à l’embauche?

Les employeurs valorisent les certifications orientées pratique: CISSP pour les architectes et les managers, CEH et OSCP pour les pentesters, CompTIA Security+ pour les débutants. Selon le rapport Fortinet Skills Gap 2025, 89% des responsables du recrutement préfèrent les candidats certifiés. Mais un certificat sans expérience réelle n’est qu’une ligne sur un CV.

Les certifications fonctionnent comme un filtre lors de la phase de tri, pas comme un substitut à la pratique. La meilleure stratégie est de combiner: une ou deux certifications reconnues, plus du travail en laboratoire, des compétitions CTF ou des contributions open source que vous pouvez montrer en entretien.

Peut-on faire grandir un profil sécurité en interne?

Oui, et c’est l’une des approches les plus efficaces compte tenu de la pénurie actuelle. Un administrateur système, un ingénieur réseau ou un spécialiste DevOps qui s’intéresse à la sécurité est un candidat tout trouvé pour une reconversion. Trois choses sont nécessaires: du temps rémunéré pour la formation, un budget pour la certification et un mentor issu de l’équipe sécurité actuelle.

D’après notre expérience, un candidat interne atteint la productivité sur un poste sécurité junior en 6 à 12 mois.

Comment les PME peuvent-elles rivaliser avec les grands groupes pour attirer les talents?

Ne rivalisez pas directement sur le salaire, mais jouez sur d’autres terrains. Des horaires flexibles et le télétravail complet, un standard pour les petites structures, que les grands groupes ne peuvent souvent pas offrir pour des raisons de conformité. Un périmètre de tâches large plutôt qu’une spécialisation étroite attire ceux qui veulent progresser rapidement. Sans oublier l’intéressement ou les stock-options dans une startup.

La pratique montre qu’un professionnel de la sécurité qui construit seul la défense d’une entreprise de 50 personnes se constitue en deux ans un portefeuille de compétences comparable à celui d’un spécialiste en grande entreprise ayant deux fois plus d’ancienneté. Pour beaucoup, cela compense la différence de salaire de base. L’essentiel est de ne pas lésiner sur les outils: un budget sécurité réduit démotive plus vite qu’un salaire en dessous du marché.

L’IA va-t-elle remplacer les professionnels de la cybersécurité?

Elle ne les remplacera pas, mais elle modifiera la structure des rôles. L’IA couvrira les tâches routinières de niveau 1: tri des alertes, analyse initiale des logs, enrichissement des incidents avec du contexte. Gartner prévoit que d’ici 2028, plus de la moitié de ces tâches seront automatisées. La demande pour les architectes sécurité, les ingénieurs cloud et les spécialistes en sécurité IA ne fera qu’augmenter.

Le risque n’est pas que l’IA supprime des emplois de professionnels de la sécurité, mais que les entreprises qui réduisent le recrutement de juniors se retrouvent sans seniors dans 3 à 5 ans. La bonne stratégie consiste à redéfinir les postes juniors pour un travail augmenté par l’IA (chasse aux menaces avec des suggestions de l’IA, investigation automatisée), et non à les supprimer.

Que faire face à la pénurie de talents en cybersécurité: l’essentiel

Le marché du travail en cybersécurité restera en surchauffe jusqu’à la fin de la décennie, c’est le consensus de l’ISC2, de l’ISACA et du WEF. Les entreprises qui gagnent cette course font trois choses simultanément.

Elles arrêtent de chercher des «moutons à cinq pattes» et commencent à faire grandir les profils sécurité en interne. Un administrateur système désireux d’apprendre a plus de valeur qu’un candidat avec cinq certifications qui n’est pas disponible sur le marché. Deuxièmement, elles acceptent le format flexible comme une donnée de base. Et troisièmement, elles intègrent les exigences de sécurité dans chaque poste IT, du développeur SharePoint à l’architecte cloud.

Si vous cherchez un professionnel de la sécurité en ce moment même, commencez par auditer les exigences de votre offre d’emploi. Supprimez trois éléments optionnels, ajoutez un budget pour la certification et montrez que vous résolvez de vrais problèmes, pas que vous produisez des rapports pour le tiroir. La différence en termes de délai de recrutement vous surprendra.