Nonostante le università e gli istituti professionali sfornino un numero sempre maggiore di laureati in questo settore, centinaia di migliaia di posti di lavoro nel campo della sicurezza informatica rimangono vacanti, con molte aziende che soffrono di carenza di personale mentre il processo di assunzione si protrae a lungo. È difficile comprendere appieno cosa stia realmente accadendo, ma forse è giunto il momento che le aziende riflettano su come potrebbero contribuire al problema.
Secondo l’ISACA (Information Systems Audit and Control Association), circa il 60 % dei dirigenti nel settore della sicurezza informatica afferma che le proprie aziende soffrono di carenza di personale, come emerge dalla nona edizione dell’indagine annuale “: State of Cybersecurity” , condotta su oltre 2.000 dirigenti aziendali in tutto il mondo. Solo negli Stati Uniti, secondo CyberSeek, circa 570.000 posizioni nel settore della sicurezza informatica sono ancora vacanti.
I posti di lavoro rimangono vacanti nonostante quasi il 40 % degli intervistati affermi che le proprie organizzazioni stiano subendo un numero maggiore di attacchi informatici rispetto a un anno fa, e il 31 % dichiari che il numero di attacchi sia rimasto invariato.
Jonathan Brandt, direttore delle pratiche professionali e dell’innovazione presso l’ISACA, ha definito l’enorme numero di posti vacanti una «ferita autoinflitta» da parte delle aziende.
Per approfondire la questione dei posti vacanti, l’ISACA ha chiesto per la prima volta agli intervistati se stessero cercando personale per posizioni che richiedono esperienza o per lavori di livello base.
Circa il 50 % ha dichiarato di avere posti vacanti per posizioni che richiedono esperienza, mentre il 21 % era alla ricerca di candidati per ricoprire posizioni di livello base.
Brandt è rimasto stupito dal fatto che il 38 % degli intervistati abbia affermato che occorrono dai tre ai sei mesi per coprire una posizione di livello base, nonostante le università e i corsi di formazione tecnica abbiano registrato un numero crescente di laureati in sicurezza informatica.
«Ma sta scherzando?» dice. «Qual è esattamente il vero problema?»
Lo “shock da stipendio” delle assunzioni di livello base
Brandt ritiene che uno dei problemi principali nell’assunzione di personale nel settore informatico sia legato a una concezione profondamente distorta diffusa dai dirigenti aziendali e dal personale delle risorse umane. Il malinteso? «I posti di lavoro “di livello base”», sospetta, «non sono in realtà di livello base».
«Le posizioni di livello base non sono realmente di livello base.»Jonathan Brandt, direttore delle pratiche professionali e dell’innovazione, ISACA
Egli ritiene che, poiché gli stipendi iniziali nel settore della sicurezza informatica tendono ad essere più elevati, i responsabili delle assunzioni potrebbero avere aspettative eccessive in termini di qualifiche quando intervistano i candidati per posizioni di livello base. «È lo shock da prezzo che si prova quando si scopre quanto costa assumere qualcuno», afferma. Ciò potrebbe indurre alcune aziende ad attendere l’arrivo di un “unicorno” per giustificare lo stipendio più elevato.
Le aspettative altissime potrebbero essere il motivo per cui solo il 26 % degli intervistati ha dichiarato di ritenere che almeno la metà dei candidati fosse adeguatamente qualificata per le posizioni a cui aspirava.
Secondo il 68 % degli intervistati, i candidati neolaureati presentavano carenze in competenze quali la comunicazione, il pensiero critico e il lavoro di squadra. In confronto, solo il 54 % ha affermato che i neolaureati non possedevano le competenze richieste in materia di implementazione dei controlli di sicurezza.
Secondo il sondaggio, non solo è difficile trovare professionisti esperti nel campo della sicurezza informatica , ma è anche difficile trattenerli. Circa il 56 % ha dichiarato di avere difficoltà a trattenere i lavoratori qualificati.
Competere attraverso i benefici
A rendere più difficili l’assunzione e la fidelizzazione del personale è la decisione delle aziende di ridurre i benefici.
Sebbene il 65% dei datori di lavoro rimborsi le spese di certificazione, tale percentuale è diminuita di un punto percentuale rispetto all’anno precedente. La percentuale di aziende che offrono bonus di assunzione è diminuita di due punti percentuali, mentre quella delle aziende che si fanno carico delle tasse universitarie è scesa di cinque punti percentuali, attestandosi al 28 %.
L’ISACA sottolinea che la riduzione dei benefici è un fenomeno diffuso in tutti i settori, non specifico della sicurezza informatica, a causa dell’incertezza relativa alle condizioni economiche.
Ciononostante, Brandt intravede un’ottima opportunità per le aziende di distinguersi dalla concorrenza. Se un’azienda desidera i migliori talenti e se lo può permettere, afferma, può dire: «Possiamo permetterci di offrire un po’ di più».
Un altro modo in cui un’azienda può compensare per il taglio di costosi benefici è quello di adottare un approccio più flessibile riguardo agli obblighi di rientro al lavoro. Circa il 28 % degli intervistati ha affermato che le restrizioni relative al lavoro da remoto costituiscono la causa più probabile per lasciare un impiego, con un aumento di quattro punti percentuali rispetto all’anno precedente.
Le aziende che soffrono di carenza di personale devono dimostrarsi un po’ più accomodanti, soprattutto per quanto riguarda gli incentivi non monetari, afferma Brandt.
Per il momento, secondo il sondaggio dell’ISACA, la formazione del personale non addetto alla sicurezza affinché possa ricoprire ruoli in tale ambito continua a rappresentare la soluzione principale per far fronte alla carenza di personale. Rispetto allo scorso anno, un numero inferiore di aziende ha dichiarato di aver fatto ricorso a collaboratori esterni e consulenti per colmare le lacune.
Il vantaggio di DEX
Un modo in cui le aziende potrebbero ottenere un vantaggio competitivo nell’assumere i migliori talenti nel settore della sicurezza informatica o nell’attirare personale non specializzato in sicurezza verso questo settore consiste nell’offrire soluzioni di Digital Employee Experience (DEX) e di “ ” che migliorino l’interazione dei dipendenti con gli strumenti digitali che utilizzano nel loro lavoro. Le soluzioni DEX monitorano le prestazioni dei dispositivi a livello di " endpoint " per tenere traccia, tra le altre cose, dell’utilizzo della CPU, della velocità di trasmissione e dello spazio libero su disco, e quindi intervengono per aumentare l’efficienza della tecnologia. L'obiettivo è quello di ridurre la frustrazione e l'insoddisfazione dei dipendenti nei confronti del proprio ambiente di lavoro.
Le aziende che si distinguono per i propri programmi DEX potrebbero riuscire ad attirare i migliori talenti dalla concorrenza e/o a reclutarli all’interno dell’azienda stessa, qualora il personale attuale fosse consapevole dell’assenza di ostacoli tecnologici.
La diffusione dei DEX è un fenomeno talmente recente che il sondaggio dell’ISACA non includeva alcuna domanda specifica sui DEX, ma Brandt afferma che l’associazione sta conducendo una ricerca per valutare quale impatto possa avere. L’attuazione varia da un’azienda all’altra, il che rende difficili i confronti; tuttavia, qualsiasi misura che contribuisca a facilitare l’uso della tecnologia sul posto di lavoro non può che migliorare il morale e rafforzare la sicurezza.
Le procedure e i sistemi di sicurezza informatica, «che lo si voglia ammettere o meno, sono scomodi» per alcuni lavoratori che cercano la via più facile, afferma Brandt.
I dipendenti potrebbero trascurare di modificare regolarmente le password , cercare soluzioni alternative per aggirare alcune procedure di sicurezza oppure utilizzare dispositivi non autorizzati che ritengono più comodi. Un approccio incentrato sul DEX che faciliti l’uso della tecnologia potrebbe ridurre tali comportamenti.
Brandt prevede che nei prossimi anni il tema di maggiore rilevanza sarà il tentativo di coprire i numerosi posti vacanti di livello base. Le aziende situate in regioni lontane da aree ad alto costo, come il corridoio del Medio Atlantico, potrebbero riuscire ad attrarre candidati offrendo stipendi iniziali inferiori, a fronte di requisiti professionali meno elevati.
«Tutti devono pur iniziare da qualche parte», afferma Brandt.
