Les affichages de postes en cybersécurité ont reculé de 26 % aux États-Unis depuis janvier. Lu vite, le chiffre rassure les directions qui peinent à recruter depuis cinq ans : le marché se détend, les candidats vont revenir. Lu de près, il dit l'inverse. Les postes qui disparaissent sont ceux qu'on savait pourvoir. Ceux qui apparaissent exigent des compétences que presque personne n'a encore, l'IA en tête. Et au Canada, pendant ce temps, les organisations ont tranché sans le dire : elles emploient moins de personnel de sécurité et confient le travail à des prestataires.
Notre position : la pénurie de talents n'a pas disparu, elle a changé de forme, et vous ne recruterez pas votre sortie du risque. Une direction qui attend l'équipe complète pour gouverner sa sécurité attendra longtemps. Celle qui décide quels rôles restent chez elle, ce qu'elle confie et comment elle le gouverne peut le faire avec les gens qu'elle a déjà.
Ce que disent les affichages américains
Du 1er janvier au 30 septembre, le cabinet de recrutement spécialisé CyberSN a compté 235 786 affichages de postes en cybersécurité aux États-Unis, contre 320 210 sur la même période de 2025 : un recul de 26,4 %, neuf fonctions sur dix en baisse, et une baisse médiane de 28,9 % par rôle. Statut : rapporté ; ce sont des affichages, pas des postes vacants ni des embauches. Deux lectures s'imposent.
D'abord, ce n'est pas un effondrement, c'est un retour. Par rapport à 2024, le recul n'est que de 3,7 %, et les trois trimestres de 2026 se tiennent entre 78 000 et 79 200 affichages. L'anomalie, c'était 2025.
Ensuite, la composition change plus que le volume. Les rôles de direction et de risque reculent : chefs de la sécurité de l'information (−38,9 %), analystes du risque cyber (−51,5 %), testeurs d'intrusion (−45,9 %). Deux rôles explosent : ingénieur en sécurité de l'IA (+268,3 %) et scientifique de données en cybersécurité (+203,5 %). La gouvernance, le risque et la conformité passent de 9,4 % à 14,8 % des affichages, mais la hausse vient surtout des avocats spécialisés en cybersécurité et en protection des renseignements personnels, dont la part passe de 4,1 % à 10,3 %. Les postes de débutants : 9,5 % du total.
L'étude mondiale d'ISC2 publiée en décembre 2025 (16 029 professionnels, dont 6 % au Canada) raconte la même histoire du côté des équipes. 59 % jugent leurs manques de compétences critiques ou importants, contre 44 % un an plus tôt. L'IA est la compétence la plus manquante (41 %), devant l'infonuagique (36 %). Dans le même temps, 39 % des organisations gèlent les embauches, 36 % coupent les budgets et 24 % ont procédé à des mises à pied. Fait notable : pour la première fois, ISC2 n'a pas publié d'estimation de l'écart d'effectifs. Ses répondants ne manquent plus de têtes, ils manquent de compétences.
Ce que ça change : le marché ne vous livrera ni une équipe complète ni les compétences en IA que vos projets réclament déjà. Il livre des spécialistes rares, chers, et disputés par des organisations plus grosses que la vôtre.
Au Canada, la pénurie a déménagé chez les prestataires
La dernière estimation nationale date de 2022 : environ 25 000 postes non pourvus, soit un sur six, pour quelque 124 000 professionnels en poste (Conseil des technologies de l'information et des communications, à partir du décompte d'ISC2). Personne n'a publié mieux depuis. Le marché canadien suit le marché américain avec quelques trimestres de retard : une plateforme d'emplois spécialisée comptait 663 affichages canadiens au deuxième trimestre de 2026, le plus haut niveau en sept trimestres, dont 4,1 % de postes juniors et 68,2 % de postes intermédiaires. Statut : rapporté, échantillon restreint.
Le chiffre le plus parlant vient de Statistique Canada. Dans son enquête sur la cybersécurité et le cybercrime (12 462 entreprises de dix employés et plus, données de 2023), la proportion d'organisations qui emploient des travailleurs en cybersécurité a reculé de 11 %, « principalement en raison du recours à des consultants indépendants et à des fournisseurs de services gérés ». Dans la même enquête, 22 % seulement des entreprises ont offert une formation formelle en cybersécurité à leurs employés hors TI, et les coûts de rétablissement après incident ont doublé, à 1,2 milliard de dollars.
Au Québec, le portrait est plus net encore. Le diagnostic sectoriel 2025-2028 de TechnoCompétences, le comité sectoriel de main-d'œuvre en technologies de l'information, compte 8 800 spécialistes de la cybersécurité dans la province en mai 2024. Dans les organisations qu'il a sondées, un poste de spécialiste en cybersécurité sur cinq était vacant en 2024, et elles prévoient 13 % de postes de plus d'ici 2027. Leurs besoins de formation, dans l'ordre : l'IA et la science des données (71 %), la cybersécurité (63 %), l'éthique de l'IA (58 %). Guichet-Emplois juge les perspectives de la profession « bonnes » de 2025 à 2027, très bonnes dans la Capitale-Nationale, les Laurentides et l'Outaouais, avec une précision qui dit tout : peu de chômeurs ont une expérience récente du métier. Pendant ce temps, 19,2 % des entreprises canadiennes utilisaient déjà l'IA pour produire des biens ou livrer des services au deuxième trimestre de 2026.
Ce que ça change : votre équipe de sécurité est déjà, en partie, un fournisseur. La question n'est plus « qui allons-nous recruter ? » mais « qui, chez nous, décide, et qui gouverne celui à qui nous avons confié le reste ? »
Trois lectures pour une direction
Vous n'aurez pas l'équipe complète. Choisissez ce qui reste chez vous. Décider d'un risque, répondre de la relation avec le prestataire, commander la réponse à un incident : trois rôles qui ne se délèguent pas, parce qu'un prestataire exécute mais ne porte pas votre risque. Tout le reste peut s'acheter.
Votre prestataire de sécurité est un fournisseur critique. Il détient vos accès, vos journaux et souvent vos clés. Il mérite les mêmes questions que n'importe quel tiers : ses sous-traitants, l'endroit où dorment vos données, son délai de notification, votre plan de sortie. Et il a sa place dans votre registre, comme les fournisseurs que vous ne pouvez pas perdre.
Les compétences qui manquent sont celles de l'IA et de la gouvernance. Ce sont des processus avant d'être des embauches. Vous ne recruterez pas un ingénieur en sécurité de l'IA dont la demande a triplé. Vous pouvez, cette semaine, écrire la règle d'usage en une page, inventorier les usages d'IA et nommer qui en répond. C'est ce qu'un spécialiste ferait en arrivant ; ne l'attendez pas.
La méthode : trois rôles, un prestataire gouverné, une liste courte
1. Nommez trois personnes, pas trois services. Le propriétaire du risque, qui accepte ou refuse. Le responsable du prestataire, qui lit les rapports, tient la relation et vérifie. Le coordonnateur d'incident, qui décide à deux heures du matin. À temps partiel, c'est normal. Sans nom, c'est un trou. Les quatre propriétaires de chaque risque donnent le détail.
2. Écrivez sur une page ce qui est confié et ce qui est exigé. Surveillance, réponse aux incidents, tests, gestion des correctifs : pour chaque ligne, le prestataire, le délai de notification, les accès qu'il détient, le plan de sortie. Notre questionnaire de sécurité fournisseur pose ces questions ; envoyez-le d'abord à votre prestataire de sécurité.
3. Donnez aux gens que vous avez une liste courte. Cinq à dix actions, pas 2 000 alertes. L'heure d'un analyste doit aller à ce qui réduit le risque : exploité, exposé, ciblé, dans cet ordre. Une petite équipe qui travaille sur la bonne liste bat une grande équipe qui trie.
4. Formez hors TI et ouvrez la porte aux débutants. Vingt-deux pour cent des entreprises forment leurs employés hors TI ; les affichages canadiens comptent 4 % de postes juniors. Personne ne formera vos futurs seniors à votre place : un stage, une alternance, un poste de débutant avec un mentor coûtent moins qu'une recherche de six mois. Et quinze minutes d'IA pour tout le monde valent mieux qu'une interdiction.
Le test de la semaine
Trente minutes, trois questions, posées séparément à la TI et à la direction.
- Qui a accepté le dernier risque de sécurité, et où est-ce écrit ?
- Qui a reçu la dernière alerte de nuit du prestataire, et qui a décidé ?
- Si notre prestataire de sécurité disparaissait lundi, que perdrions-nous : des accès, des journaux, des clés, du savoir ?
Si une réponse est un nom de fournisseur sans nom interne à côté, la gouvernance de votre sécurité est externalisée aussi. Si les deux listes diffèrent, personne ne la tient.
Ce que vous devriez avoir dans un mois
Trois rôles nommés ; une page « confié, exigé » que le prestataire a signée ; une liste d'au plus dix actions, revue chaque semaine ; un plan de formation qui commence hors TI ; et un premier chiffre pour le conseil : les rôles couverts et le délai entre une alerte et une décision. C'est l'indicateur de talents le plus honnête qui soit : il mesure si quelqu'un décide, pas combien de personnes sont assises.
Où FortaRisks intervient
La plateforme est faite pour une petite équipe : la visibilité d'une grande entreprise, sans ses effectifs. Forta Cockpit tient le registre, les propriétaires et les décisions, et donne à la direction sa vue en une page. Forta Actions porte la liste courte, suivie par vos équipes et votre prestataire dans le même outil. Forta Exposition voit ce qu'un attaquant voit, sans agent à installer ni équipe à mobiliser. Forta Fournisseurs gouverne votre prestataire de sécurité comme tout tiers critique, questionnaire et surface d'attaque réelle confrontés. Pour commencer sans rien installer : le rapport d'exposition gratuit montre en 48 heures ce qui répond sur Internet chez vous, et trente minutes avec un expert suffisent pour trier vos risques et vos demandes en attente.
Sources : Statistique Canada, Enquête canadienne sur la cybersécurité et le cybercrime · Centre canadien pour la cybersécurité, vue d'ensemble des menaces par rançongiciel de 2025 à 2027 (chiffres de l'enquête 2023) · Statistique Canada, analyse de l'utilisation de l'intelligence artificielle par les entreprises, deuxième trimestre de 2026 · Guichet-Emplois, perspectives des spécialistes de la cybersécurité au Québec, 2025-2027 · TechnoCompétences, diagnostic sectoriel 2025-2028 de la main-d'œuvre en TIC au Québec · ISC2, Cybersecurity Workforce Study 2025 · Conseil des technologies de l'information et des communications, Cybersecurity Talent Development (2022)