Femmes dans la threat intelligence : aucun parcours type

Demandez à la plupart des gens d'imaginer une personne qui travaille en cyber threat intelligence (CTI), et vous obtiendrez une image assez précise. Un diplôme en informatique. Quelques années en SOC. Une bascule vers le renseignement une fois ses preuves faites côté technique.

Ces dernières semaines, j'ai suivi les entretiens réalisés pour notre nouvel eBook et écouté 16 femmes travaillant dans la threat intelligence raconter comment elles sont entrées dans ce domaine. Leurs expériences offrent des enseignements pour toute personne envisageant une carrière en CTI, ainsi que pour les responsables qui recrutent et font grandir les talents de demain.

Presque aucune n'a suivi un parcours de carrière classique.

L'une a un diplôme d'anglais et d'écriture créative. Une autre a passé 10 ans au foyer à élever ses enfants. Une troisième a été barista, wedding planner et recruteuse IT avant de toucher à un quelconque outil de sécurité. Aujourd'hui, elles traquent des groupes de ransomware, dirigent des fonctions de threat intelligence et créent des entreprises.

Ensemble, leurs histoires révèlent un éventail bien plus large de points d'entrée dans la CTI. Trois d'entre elles sont présentées ici. L'eBook en réunit les 16.

La cyber threat intelligence offre de nombreux points d'entrée

Rebecca Taylor : d'assistante personnelle à threat hunter.

Rebecca Taylor a un diplôme d'anglais et d'écriture créative. Elle a été recrutée chez SecureWorks comme assistante personnelle, pour préparer le thé, réserver des salles de réunion et gérer les notes de frais. En deux semaines, elle a vu ce que le secteur pouvait lui offrir.

« J'avais vraiment le sentiment qu'en travaillant dur, je pourrais devenir quelqu'un dans la cybersécurité si je le voulais. Et c'est essentiellement comme ça que j'ai mené ma carrière, en saisissant ces opportunités, ces instants, et en me poussant moi-même. »

Elle a gravi les échelons jusqu'à intégrer la première équipe de gestion de crise de l'entreprise, où elle a géré des incidents de ransomware majeurs. Aujourd'hui, elle gère des personas sur des forums clandestins chez Sophos X-Ops, suivant le courtage d'accès, les fuites de données et l'émergence de nouveaux groupes de ransomware. Elle décrit cela comme un long chemin parcouru depuis la réservation de salles de réunion.

« C'est comme ça que j'ai mené ma carrière, en saisissant ces opportunités, ces instants, et en me poussant moi-même. » — Rebecca Taylor, Chercheuse, Sophos X-Ops Counter Threat Unit

Cheryl Biswas : de 10 ans au foyer à habituée des conférences de hackers.

Cheryl Biswas a passé 10 ans hors du marché du travail à élever ses enfants. À son retour, elle a commencé tout en bas de l'échelle dans une petite société de services managés, faisant tout ce qu'il fallait faire. Puis elle a lu un article sur Stuxnet, et un diplôme de sciences politiques qu'elle avait mis de côté depuis des années a soudain pris tout son sens.

« J'ai découvert la newsletter de Kaspersky, et l'une des premières que j'ai lues portait sur Stuxnet. J'ai un diplôme de sciences po, et soudain ce fut ce déclic où la technologie, la géopolitique et tout le reste entraient en collision. Maintenant je sais ce que je veux faire. Ça existe réellement. »

Elle s'est formée en autodidacte à la sécurité de l'information, en lisant tout ce qu'elle pouvait trouver et en posant des questions. Des membres de la communauté ont commencé à l'inviter à des événements. Elle s'est présentée à une conférence de hackers à Indianapolis en se décrivant comme une « femme au foyer d'âge mûr ». Personne n'a cillé. Elle a aujourd'hui un mur de badges de conférences derrière elle, la plupart étant des badges d'intervenante. Aujourd'hui, elle travaille comme chercheuse en cybersécurité.

« Maintenant je sais ce que je veux faire. Ça existe réellement. » — Cheryl Biswas, Chercheuse en cybersécurité

Maril Vernon : de wedding planner à pentesteuse.

Maril Vernon est entrée dans la cybersécurité sans aucune expérience préalable, à 30 ans. Avant cela, elle travaillait dans le marketing ; avant encore, elle avait été barista, wedding planner et recruteuse IT. Elle s'est réengagée dans l'armée pour intégrer une unité cyber, puis a décroché un poste en gouvernance, risque et conformité (GRC). Lorsqu'un poste de pentesteuse s'est ouvert, elle n'avait pas les compétences techniques requises.

Elle a quand même demandé qu'on lui donne sa chance.

« Nous savons tous les deux que je ne suis pas la pentesteuse que vous aimeriez avoir aujourd'hui, mais donnez-moi ma chance, et dans un an, vous aurez celle que vous auriez souhaité avoir. »

Elle a obtenu le poste, puis a progressé à travers le pentesting, le red teaming, la sécurité applicative et le conseil, un parcours qui l'a menée à son poste actuel de field CISO chez Horizon3.

« Donnez-moi ma chance, et dans un an, vous aurez celle que vous auriez souhaité avoir. » — Maril Vernon, Principal Technical Marketing Manager, Horizon3

Rebecca, Cheryl et Maril sont parties de points de départ très différents et ont construit des carrières en CTI réussies, forgées sur des expériences et des compétences qui ne correspondent pas au profil que la plupart des recruteurs recherchent.

Les compétences qui traversent les parcours

Seize points de départ totalement différents. Alors, qu'ont-elles toutes en commun ?

La curiosité arrive en premier, et elle est active : Mariana Mazi, ingénieure cybersécurité senior et pentesteuse au CERTH/ITI, lit un article sur un nouveau CVE puis construit une VM pour le tester elle-même, afin de comprendre le comportement d'une vulnérabilité avant d'y être confrontée lors d'une évaluation.

Amanda Capobianco, CTI Manager chez Richemont, y a débuté comme stagiaire avant même que l'entreprise n'ait de fonction CTI, et le dit sans détour.

« Tout le monde insiste sur l'aspect technique, mais en réalité, c'est cette curiosité, cette envie d'apprendre en continu, être une très bonne auditrice et une très bonne résolveuse de problèmes. Ce genre de soft skills vous distingue vraiment de tous ceux qui ont toutes les qualifications techniques. »

L'aisance face à l'incertitude vient ensuite. La threat intelligence offre rarement une vision complète, et plusieurs contributrices ont souligné le même point : reconnaître l'incertitude puis l'investiguer construit davantage de confiance qu'une supposition assurée.

La troisième qualité surprend souvent : la communication. Rachel Mansson, Associate Director of Cyber Security Threat Intelligence à l'université Deakin, construit cette fonction depuis zéro, et pense que la plus grande idée reçue sur ce domaine est qu'il faut un bagage technique pour y entrer.

« Cette idée reçue selon laquelle il faut être technique. Tout ce que vous faites en threat intelligence relève de la communication et des parties prenantes, parce que c'est très bien d'avoir tout ce renseignement qui arrive, mais si on ne peut pas le traduire dans le contexte business, à quoi bon ? »

« Cette idée reçue selon laquelle il faut être technique. Tout ce que vous faites en threat intelligence relève de la communication et des parties prenantes, parce que c'est très bien d'avoir tout ce renseignement qui arrive, mais si on ne peut pas le traduire dans le contexte business, à quoi bon ? » — Rachel Mansson, Associate Director of Cyber Security Threat Intelligence, université Deakin

Ce que cela implique pour le recrutement

Pris ensemble, ces 16 témoignages de femmes livrent un enseignement clair pour quiconque construit une équipe.

Leurs parcours atypiques se démarquent, mais le schéma le plus déterminant apparaît dans ce qui s'est passé ensuite. Dans de nombreux cas, quelqu'un leur a confié des responsabilités avant même que leur CV ne reflète toutes les qualifications requises.

Saba Bagheri, aujourd'hui Cyber Threat Intelligence Manager chez Bupa APAC, débutait tout juste sa carrière en CTI lorsque son manager lui a demandé de construire une fonction de threat intelligence à partir de rien. Elle a dû définir la stratégie, établir les processus, construire les relations avec les parties prenantes, et justifier en quoi tout cela avait de l'importance. Elle affirme que cela lui a appris bien plus qu'hériter d'une équipe déjà mature ne l'aurait fait.

« Une leçon que j'ai retenue, c'est que les grands leaders ne se contentent pas de recruter de l'expérience, ils savent reconnaître le potentiel. Quelqu'un a pris ce risque pour moi, et c'est quelque chose que j'essaie aujourd'hui de faire pour les autres, en donnant aux gens des opportunités avant même qu'ils ne se sentent complètement prêts. »

« Une leçon que j'ai retenue, c'est que les grands leaders ne se contentent pas de recruter de l'expérience, ils savent reconnaître le potentiel. Quelqu'un a pris ce risque pour moi, et c'est quelque chose que j'essaie aujourd'hui de faire pour les autres, en donnant aux gens des opportunités avant même qu'ils ne se sentent complètement prêts. » — Saba Bagheri, Cyber Threat Intelligence Manager, Bupa APAC

Alex Keedy, aujourd'hui Senior Strategic Advisor chez Flashpoint, a eu une mentor chez Intel 471 qui lui a donné de l'autonomie sur des projets auxquels elle n'avait jamais travaillé et des déploiements qu'elle n'avait jamais gérés, avant même que son CV ne dise qu'elle était prête. Rebecca Taylor a été transférée au Counter Threat Unit par un membre du comité de direction qui, selon ses propres mots, l'a tout simplement vue.

Il s'agissait de paris éclairés sur le potentiel, et ils ont porté leurs fruits.

Ce schéma soulève une question évidente sur la manière dont les organisations pourvoient les postes en CTI. Si la curiosité, l'aisance face à l'ambiguïté et la capacité à traduire le renseignement en actions business sont des compétences clés, alors un filtrage de CV basé sur le parcours technique cible le mauvais critère. Il fera remonter de manière fiable les personnes qui correspondent au profil type. Mais il passera aussi à côté de la personne dont les deux années de preuves résident dans un travail autodidacte.

Chaque femme présentée dans l'eBook y figure parce que quelqu'un a décidé de découvrir ce dont elle était capable.

Découvrez la communauté derrière Women in CTI

Women in CTI est né d'un constat que ses fondatrices ont observé à plusieurs reprises. Mary D'Angelo, Senior Solutions Lead chez Filigran, a cofondé l'initiative avec Einat Argon, Customer Success Manager chez Filigran, après avoir constaté le faible nombre de femmes qui contribuaient dans les canaux et communautés de partage de renseignement auxquels elles participaient.

Cet article partage trois de leurs histoires. L'eBook en inclut 13 de plus, dont une analyste en contre-terrorisme qui a suivi une opération d'influence russe sur une décennie de compétitions olympiques, une développeuse de jeux vidéo qui dirige aujourd'hui la threat intelligence et la red team chez Canva, et une recruteuse devenue négociatrice face à des groupes de ransomware.

Découvrez les 16 histoires dans notre nouvel eBook, Women in CTI: The Careers, Lessons, and Stories Shaping Cyber Threat Intelligence.

Et rejoignez la conversation dans le canal #women-in-cti sur le Slack de la communauté Filigran. À bientôt.