Il burnout e lo stress causati dalla pandemia hanno fatto sì che nel 2021 il numero di posizioni vacanti nel settore della sicurezza informatica fosse superiore rispetto all’anno precedente. E non vi è alcun segno che tali posti di lavoro vengano presto occupati da professionisti qualificati, al fine di far fronte all’innalzamento dei livelli di minaccia legati alla guerra russa contro l’Ucraina e all’avvertimento del presidente Biden di questa settimana, secondo cui gli attacchi informatici russi sono «in arrivo».
Il che porta a chiedersi: dove sono oggi i leader nel campo della sicurezza informatica?
«La “Grande Dimissione” sta aggravando le difficoltà di assunzione e fidelizzazione del personale che il settore della sicurezza informatica Community affronta ormai da anni», afferma Jonathan Brandt, direttore delle pratiche professionali e dell’innovazione presso l’ISACA (Information Systems Audit and Control Association). L’associazione internazionale del settore IT ha pubblicato oggi la sua ottava indagine annuale “ : State of Cybersecurity” ( ), condotta su oltre 2.000 professionisti della sicurezza informatica in tutto il mondo.
I risultati preoccupanti parlano da soli: più di sei intervistati su 10 hanno dichiarato di avere carenza di personale. Uno su cinque ha dichiarato che occorrono più di sei mesi per trovare un candidato qualificato da assumere.
Di conseguenza, negli Stati Uniti rimangono vacanti quasi 600.000 posizioni nel settore della sicurezza informatica, secondo i dati di CyberSeek dell’ . Migliaia di aziende sono maggiormente esposte al rischio di attacchi informatici. Infatti, il 69% dei partecipanti al sondaggio dell’ISACA che lo scorso anno hanno subito una qualche forma di attacco informatico ha dichiarato di disporre di personale insufficiente.
Valutazione del divario di competenze in materia di sicurezza informatica
Secondo i partecipanti al sondaggio condotto dall’ISACA, è stato difficile reperire personale qualificato per colmare il divario di competenze nel campo della sicurezza informatica. Poco più della metà ha segnalato che ai candidati mancavano competenze trasversali, tra cui la comunicazione, il pensiero critico e la capacità di risolvere i problemi. Le competenze in cui si riscontrava la seconda maggiore carenza riguardavano il cloud computing, seguito dall’implementazione dei controlli di sicurezza, dalla programmazione e dallo sviluppo software.
Data la difficoltà nel reperire candidati validi, non c’è da stupirsi che molte aziende abbiano iniziato a cercare di sottrarre i professionisti della sicurezza informatica alla concorrenza. Quasi il 60% delle aziende ha affermato che la maggior parte dei professionisti ha lasciato il proprio posto di lavoro perché è stata assunta da un’altra azienda. Gli altri principali motivi che hanno spinto le persone a lasciare il proprio lavoro durante la pandemia derivavano da scarsi incentivi economici, opportunità limitate di promozione o crescita professionale, elevati livelli di stress lavorativo e mancanza di sostegno da parte della dirigenza.
Lo scorso anno alcuni datori di lavoro hanno spinto i dipendenti a tornare in ufficio, il che potrebbe aver indotto un numero maggiore di persone a lasciare il posto di lavoro. L’ISACA ha riferito che quest’anno un numero maggiore di intervistati ha segnalato possibilità limitate di lavoro a distanza e politiche lavorative poco flessibili rispetto all’anno precedente. L’ISACA ha ipotizzato che la carenza di manodopera potrebbe aumentare qualora i dipendenti decidessero di lasciare il proprio posto di lavoro alla ricerca di orari più vantaggiosi, mentre le aziende che favoriscono il lavoro da remoto potrebbero trovarsi in una posizione di vantaggio nell’attrarre personale qualificato.
«Esiste un’enorme tensione tra datori di lavoro e dipendenti», afferma Brandt. «Le nostre difficoltà sono ferite da arma da fuoco che ci siamo inflitti da soli.»
E il divario generazionale non fa che accentuare il divario di competenze in materia di sicurezza informatica. «Per questa nuova generazione non è solo una questione di stipendio», aggiunge Brandt. «Quello che stiamo osservando è che, alla fine della giornata, desiderano staccare la spina. «Vogliono equilibrio.»
Colmare il divario di competenze nel settore della sicurezza informatica
Di conseguenza, per colmare la carenza di personale qualificato nel settore della sicurezza informatica, le aziende stanno ampliando il bacino di candidati per includere anche coloro che non hanno conseguito una laurea. Solo il 52% degli intervistati dichiara di richiedere ora una laurea, ovvero 6 punti percentuali in meno rispetto a un anno fa. Inoltre, la percentuale di aziende che offrono corsi di formazione trasversale ai propri dipendenti interessati alla sicurezza informatica è aumentata del 2%. Uno dei vantaggi della formazione trasversale è che i dipendenti hanno già una certa conoscenza dell’azienda e del suo funzionamento.
Organizzazioni senza scopo di lucro quali , , NPower — che offre formazione tecnologica alle comunità svantaggiate — e la Cybersecurity Talent Initiative dell’ , che mette in contatto i talenti nel campo della sicurezza informatica con le aziende alla ricerca di personale in questo settore, rappresentano un elemento fondamentale per garantire il rifornimento futuro di talenti.
Il numero di intervistati che ha fatto ricorso a consulenti e collaboratori esterni per colmare le carenze di personale sul posto di lavoro è aumentato di 5 punti percentuali rispetto all’anno precedente. Esperti come Rebecca Herold, CEO di Privacy and Security Brainiacs, , hanno recentemente dichiarato a, , , Endpoint che il ricorso a risorse esterne dà i migliori risultati quando queste si occupano anche della formazione del personale interno.
Forse a causa della carenza di personale qualificato, solo il 41% degli intervistati ha dichiarato all’ISACA di aver effettuato una valutazione dei rischi informatici nell’ultimo anno. Le ragioni principali addotte per la mancata esecuzione di controlli frequenti sono state la mancanza di tempo, indicata dal 43% degli intervistati, e la mancanza di personale qualificato, indicata dal 40%. Secondo l’ISACA, una valutazione una volta all’anno è probabilmente una frequenza sufficiente, considerando la rapidità con cui gli hacker modificano i propri metodi di attacco.
Sebbene Brandt affermi che le valutazioni annuali dei rischi informatici sembrino essere la norma, «si registra una crescente tendenza a ridurre» l’intervallo di tempo tra tali valutazioni. Una valutazione, afferma, viene spesso considerata come un «enorme mostro burocratico». Un’alternativa alle valutazioni generali più frequenti dovrebbe consistere nel “threat hunting” ( ), nell’eliminazione delle pratiche scorrette e nell’attuazione delle misure di base di “cyber hygiene” ( ).
Nonostante le sfide attuali, o forse proprio a causa di esse, Brandt ritiene che vi sia una lezione fondamentale da imparare per i leader del mondo degli affari e della tecnologia. La pandemia e la guerra in Ucraina hanno dimostrato che «ogni anello della catena di approvvigionamento è vulnerabile, tutto è soggetto a manipolazione». Essere consapevoli di ciò, afferma, «dovrebbe consentire di prendere decisioni più oculate in materia di rischio».
Ulteriori risorse su come ovviare alla carenza di personale qualificato nel settore della sicurezza informatica
3 modi per aiutare i dipendenti a combattere lo stress causato dalla pandemia
Per coinvolgere i dipendenti, sostenete le loro comunità
In che modo NPower apre la strada alla prosperità
Come Code.org sta insegnando ai ragazzi delle scuole di tutto il mondo a programmare
