Los obstáculos económicos podrían exacerbar la escasez de habilidades en ciberseguridad

Según los últimos resultados de la investigación informe según ESG y la Asociación Internacional de Seguridad de Sistemas de Información (ISSA), el 57% de las empresas dicen que se ven afectadas por la escasez global de habilidades en ciberseguridad, mientras que el 44% de las empresas cree que la escasez de habilidades ha empeorado en los últimos años. ¿El resultado? Aumento de las cargas de trabajo para el personal de seguridad cibernética existente, solicitudes de trabajo que permanecen abiertas durante semanas o meses y altas tasas de agotamiento y rotación para los profesionales de seguridad cibernética. (ESG e ISSA actualizarán y presentarán sus últimas investigaciones en la conferencia RSA de este año).

Los roles de ciberseguridad menos ocupados

¿Cuáles son los puestos con menos personal? Según ESG investigar desde finales de 2022:

• El 37% de las empresas tienen escasez de arquitectos de seguridad. Según mi experiencia, esta carencia es aguda en dos ámbitos: los arquitectos de seguridad en la nube y los que se centran en la integración de tecnología (es decir, la consolidación de múltiples tecnologías en una arquitectura de plataforma cohesiva).
• El 35% de las empresas tienen escasez de ingenieros de seguridad. Los ingenieros de seguridad son las personas que instalan, configuran y mantienen las soluciones de seguridad, por lo que la escasez de ingenieros de seguridad equivale a un uso subóptimo de la tecnología de seguridad. ESG también está viendo una creciente demanda de expertos en ingeniería de reconocimiento (es decir, reconocimiento como código, creación de reglas Sigma/Yara, etc.). Por lo tanto, la proliferación de proveedores como Anvilogic, CardinalOps y SOC Prime tiene como objetivo llenar el vacío de la ingeniería de detección.
• El 34% de las empresas tienen escasez de analistas SOC de nivel 3. Estos son los analistas de SOC más experimentados que reciben las escalaciones/investigaciones difíciles y, a menudo, tienen la tarea de buscar amenazas de forma proactiva. En lugar de analistas de nivel 3, las organizaciones no tienen más remedio que contratar generalistas para realizar un trabajo especializado.
• El 33% de las organizaciones tienen escasez de analistas de gestión de vulnerabilidades. Una deficiencia aquí conduce a un mayor riesgo cibernético ya que los activos de TI permanecen sin ser detectados, mal configurados y vulnerables.
• El treinta y uno por ciento de las organizaciones tienen escasez de CISO, BISO u otros puestos de ciberseguridad sénior. Esta deficiencia significa que muchas organizaciones operan programas de seguridad sin el liderazgo necesario para identificar riesgos cibernéticos, administrar un programa de seguridad empresarial y trabajar con ejecutivos para alinear la seguridad con el negocio. ¡Muy espeluznante!

Por qué una economía débil exacerbará la falta de ciberseguridad

Hemos lidiado con la escasez de habilidades en seguridad cibernética durante años, pero aquí hay una pequeña novedad: el clima económico actual. Durante los próximos 12 a 18 meses, los obstáculos económicos amplificarán el impacto de la escasez de habilidades en ciberseguridad. Aquí están mis dos centavos:

1. Los profesionales de la ciberseguridad serán más selectivos a la hora de buscar trabajo. En los últimos 10 años, a los profesionales de la seguridad se les han ofrecido generosos paquetes de compensación, a menudo vinculados a opciones sobre acciones. Ahora que los mercados están caídos y las OPI no están a la vista, los expertos en seguridad evitarán las acciones por dinero en efectivo. Aparte de la compensación por sí sola, la turbulencia económica tiende a inducir un comportamiento de aversión al riesgo. Es probable que los profesionales de la ciberseguridad se jubilen, adopten un enfoque cauteloso para el avance profesional y esperen que pase la tormenta económica. Estos cambios en el comportamiento se sienten más fuertemente en Silicon Valley, donde los movimientos profesionales arriesgados y la justicia son procedimientos estándar.
2. El aumento del uso de los servicios de seguridad reducirá la reserva de talento. Eche un vistazo a la investigación de cualquier persona y verá que cada vez más empresas recurren a los servicios administrados para aumentar el personal de seguridad interno con exceso de trabajo y poco calificado. Por ejemplo, una investigación reciente de ESG sobre operaciones de seguridad muestra que el 85 % de las organizaciones utilizan alguna forma de servicio de detección y respuesta administrada (MDR) y el 88 % planea aumentar su uso de servicios administrados en el futuro.

   A medida que continúe este patrón, los proveedores de servicios de seguridad administrados (MSSP) deberán aumentar su personal para satisfacer la creciente demanda. Debido a que los modelos comerciales de los proveedores de servicios se basan en escalar operaciones a través de la automatización, calculan un ROI más alto en la productividad de los empleados y están dispuestos a ofrecer una compensación más generosa que las empresas típicas. Una empresa de seguridad agresiva en un pueblo pequeño podría monopolizar fácilmente el talento local. A nivel ejecutivo, también veremos una creciente demanda de los servicios de CISO virtuales (vCISO) para crear y administrar programas de seguridad en el futuro cercano.

3. La congelación de la contratación se interpondrá en el camino. Durante las recesiones económicas, las empresas a menudo toman decisiones generales draconianas, como reducir la capacitación, reducir el personal o congelar todas las nuevas contrataciones. Cuando esto sucede, los CISO deben luchar con RR. HH. por todas y cada una de las contrataciones requeridas, lo que ralentiza el proceso de contratación y obliga a las organizaciones a administrar la seguridad a pesar de tener poco personal o falta de habilidades críticas.

Sí, los vientos en contra económicos están obstaculizando el trabajo de los CISO, especialmente aquellos que ya se ocupan de los problemas de personal y habilidades de seguridad. ¿Qué pueden hacer? Aumente los presupuestos de capacitación, aumente el compromiso con los empleados clave, asóciese con los proveedores para aprovechar al máximo sus productos y aumente la dotación de personal con los proveedores de servicios.