¿Qué brecha de talento? Las prácticas de contratación son el verdadero problema

La discusión sobre la brecha de talento en ciberseguridad continúa, con ISACA, ISC2 e incluso la administración Biden publicando nuevas publicaciones que abordan el tema. De hecho, Estados Unidos por sí solo tiene casi Medio millón de puestos de trabajo en ciberseguridad abiertosY ISC2 asume un déficit de 4,8 millones Se necesitan profesionales para proteger los recursos informáticos del mundo.

Sin embargo, las encuestas y estudios sólo muestran que el sector de la ciberseguridad carece de personal suficiente, no que las empresas estén buscando nuevos empleados o que no haya gente para cubrir puestos. Lo que existe es una desconexión entre las empresas y los candidatos en cuestiones como la remuneración y las certificaciones requeridas, así como cuestiones presupuestarias dentro de las organizaciones.

El actual “ISC2 2024 Cybersecurity Workforce Study” cuantifica los problemas presupuestarios en las empresas. “En 2024, el 25% de los encuestados informaron de despidos en sus departamentos de ciberseguridad, un aumento del 3% con respecto a 2023, mientras que el 37% enfrentó recortes presupuestarios, un aumento del 7% con respecto a 2023”, dice el informe. Eso significa menos puestos vacantes y menos dinero para cubrir los puestos vacantes.

En medio de la avalancha de solicitantes calificados, quienes buscan empleo luchan por descubrir cómo destacar ante los reclutadores y gerentes de contratación.

“Hago muchos contactos”, dice Xavier Ashe, un solicitante de empleo con más de 30 años de experiencia ocupando puestos de nivel director y CISO. “Esto me ha permitido obtener varias oportunidades de entrevistas, pero la competencia es feroz. Todo el mundo está mirando y hay mucha gente estupenda con la que compito”.

Las expectativas de contratación están equivocadas

En un artículo de Dark Reading de este año Ofensiva de ciberseguridad de Service for AmericaShane Fry, director de tecnología de RunSafe Security, atribuyó la brecha de empleo a la tendencia de las grandes empresas a favorecer a los cibertrabajadores altamente calificados con títulos universitarios.

«Esto puede conducir a grandes candidatos, pero también excluye a un gran grupo de personas que están tan apasionadas por la cibernética que aprendieron las habilidades por sí mismas y que no tienen un título para incluir en su currículum», escribió Fry. «Las empresas tienen numerosas oportunidades para ofrecer formación interna y cursos de formación externos para llevar a personas del ámbito de la ciberseguridad al campo de la ciberseguridad».

CyberSeek, un proyecto conjunto entre la organización de certificación de tecnología CompTIA, el analista del mercado laboral Lightcast y el programa federal de ciberseguridad NICE, muestra que la capacitación externa puede requerir una mejor alineación entre los solicitantes de empleo y las organizaciones contratantes. Compare el mapa de calor de su carrera en ciberseguridad Certificaciones existentes y certificaciones solicitadas.. Algunas certificaciones, como CompTIA+ y Certified Information Systems Security Professional (CISSP), están sobrerrepresentadas en el grupo de contratación, mientras que otras, como Certified Information Systems Auditor (CISA) y Certified Information Security Manager (CISM), no tienen suficientes titulares de certificaciones. para satisfacer las necesidades del empleador.

CyberSeek ilustra otra desalineación en su trayectoria profesional Gráfico que muestra los puestos de nivel inicial, intermedio y avanzado con círculos cuyo tamaño es proporcional al número de vacantes. Todos los tipos de empleo de nivel inicial y todos menos uno de nivel medio son puntos diminutos que representan menos de 7.000 empleos en todo el país en Estados Unidos; Los grandes círculos, que representan más de 24.000 puestos vacantes, son inaccesibles para quienes inician o cambian de carrera.

Además de que el sector rechaza a los solicitantes de empleo al principio de sus carreras, los candidatos de alto nivel se enfrentan a otro problema: la falta de coincidencia entre lo que esperan de su experiencia y lo que ofrecen las vacantes laborales. Los recortes presupuestarios están afectando el entorno de contrataciónSe dice que esto provocó incluso despidos. Estudio de ISC2. “En 2023, las principales causas de las brechas de talento y habilidades fueron la incapacidad de encontrar el talento o las habilidades que necesitaban para tener éxito”, dijo el ISC2. «Pero hoy no se trata de oferta, sino de recursos limitados para la contratación».

Esto encaja con la experiencia de búsqueda de empleo de Ashe. «Las grandes empresas están reduciendo la remuneración de sus ejecutivos», afirma. «Rechacé una oferta este verano porque significaba aceptar un recorte salarial».

El estudio ISC2 encontró un aumento del 0,1% en la fuerza laboral global de ciberseguridad en 2024 en comparación con 2023. En comparación con el aumento del 8,7% en 2023 en comparación con 2022, «las cifras de este año sugieren que la contratación para 2023-para 2024», concluye el estudio.

Si no puedes contratar gente, mejora la tecnología.

Entonces, si nadie contrata profesionales principiantes y nadie puede contratar profesionales de mayor nivel por motivos salariales, ¿cómo puede una empresa mantener su equipo de ciberseguridad? Al disuadir a los empleados existentes de abandonar la empresa, dice Steve Wilson, director de productos de Exabeam.

Una forma de crear un mejor entorno de trabajo, afirma Wilson, es reducir la carga de trabajo mediante una mayor automatización. Los algoritmos de aprendizaje automático analizan los datos sin procesar a medida que fluyen a través de la red, aprendiendo continuamente patrones de comportamiento normal e identificando anomalías. Cuando ocurre un caso sospechoso, los rastros de actividad inusual se resumen y presentan en lenguaje natural, lo que facilita a los analistas la interpretación de los datos sin tener que examinar densos registros. Este enfoque ahorra tiempo y permite a los profesionales de la seguridad centrar sus esfuerzos en lo más importante.

«Se trata de llegar al punto en el que podamos identificar lo que es anormal y preocupante y luego presentárselo a un analista humano para que tome medidas», dice Wilson. «Aquí es donde comienza el verdadero trabajo y el tiempo ahorrado se vuelve muy valioso».

Para el aspirante a analista, estas herramientas permiten comprender exactamente qué es sospechoso acerca de un problema informado y, al mismo tiempo, aprender a comprender los puntos técnicos, afirma Wilson. Esto brinda a los analistas de nivel 1 la oportunidad de solucionar el problema ellos mismos en lugar de derivarlo a un analista de nivel 3. Reducir las escaladas reduce la carga de trabajo de los analistas de nivel 3 y les permite utilizar el LLM para buscar puntos de datos poco claros para problemas más difíciles.

«Desarrolla las habilidades de los más jóvenes porque pueden hacer preguntas estúpidas sin sentir que se están exponiendo», dice Wilson. «Y luego los mayores tienen más tiempo para abordar los problemas realmente complicados».

Bryan Kissinger, CISO y vicepresidente senior de Trace3, señala: «Las personas experimentan agotamiento cuando hacen un trabajo que no les gusta o cuando el equipo que los rodea no apoya el equilibrio entre el trabajo y la vida privada», afirma. «Las actividades más repetitivas y mundanas… muchas de ellas pueden ser asumidas por herramientas y automatización».

Las personas adecuadas, si puedes conservarlas.

Si bien los bajos salarios como motivo por el que el talento en ciberseguridad abandona sus trabajos cayó del 54% en 2023 al 50% en 2024, este año el estrés laboral llevó al 46% de los empleados a dejar sus trabajos en ciberseguridad (frente al 43% en 2023). Eso es según el «Estado global de la ciberseguridad 2024» de ISACA, La falta de apoyo de la dirección (34%), la mala cultura laboral (32%) y las iniciativas de regreso al trabajo (32%) también se citaron como razones para abandonar.

La retención es clave para Trace3, añade Kissinger. «A veces es muy difícil saber cuándo alguien está agotado», dice. «[An employee was] Estaba listo para irme porque estaban agotados y dije: «Esta es la primera vez que escucho sobre esto». ¿Podemos traer algunos contratistas para ayudar a aliviar la carga de trabajo? Si la gente no habla, no te estás haciendo ningún favor”.

Wilson añade: “A veces, con estos productos de automatización, ya sea ciberseguridad, marketing o lo que sea, hay una propuesta de valor que dice que puedes tener menos personas en tu personal. No creo que nadie diga: «Gasto demasiado». en mi equipo de SOC; voy a reducir eso introduciendo la automatización. Dicen: ‘Mi equipo de SOC está abrumado y la gente se está dando por vencida porque está agotada'».