Un recente tweet di Jen Easterly, a capo della principale agenzia statunitense per la sicurezza informatica, non è solo una campagna di reclutamento intensificata, ma è anche un segnale che il governo ha urgente bisogno di aiuto.
«Entrate a far parte del nostro team», afferma il post pubblicato su all’indirizzo , accompagnato da musica rock ad alto volume. «Lei è il tassello mancante», recita il messaggio, mentre l’ultimo pezzo di un cubo di Rubik va a incastrarsi al suo posto, rivelando il logo della sua agenzia. La signora Easterly (@CISAJen), direttrice della Cybersecurity and Infrastructure Security Agency, afferma nel tweet che, se non fosse stato per la sua curiosità e per la sua “passione per gli enigmi”, forse non avrebbe intrapreso questa carriera.
Il governo ha un disperato bisogno di più persone come lei. Secondo i dati di “ ” raccolti da “ ” CyberSeek, un progetto di reclutamento nel settore della sicurezza informatica affiliato al Dipartimento del Commercio, vi sono oltre 36.000 posti vacanti nel settore pubblico nel campo della sicurezza informatica. La scorsa estate, il Dipartimento per la Sicurezza Interna ha stimato che, solo all’interno della propria agenzia, vi fossero circa 1.700 posti di lavoro da coprire.
Sebbene nel settore privato si sia sempre registrato un divario nelle competenze tecnologiche, l’aggravarsi della carenza nel settore pubblico rappresenta un rischio per la campagna di grande risonanza dell’amministrazione Biden in materia di sicurezza informatica e per l’integrità della sicurezza nazionale. La questione ha assunto un carattere ancora più urgente il 3 novembre , quando l’amministrazione ha emanato un mandato di ampia portata in materia di sicurezza informatica , ordinando a quasi tutte le agenzie federali di correggere centinaia di vulnerabilità considerate rischi significativi di intrusione e danno alle reti federali.
«Già cinque anni fa sapevamo che, per avere successo, avremmo dovuto assumere decine di migliaia di nuovi professionisti della sicurezza informatica presso il governo degli Stati Uniti», afferma Ari Schwartz, ex direttore senior per la sicurezza informatica alla Casa Bianca durante l’amministrazione Obama. «Poiché il tasso di turnover rimane elevato, stiamo raggiungendo un punto critico in cui il governo degli Stati Uniti semplicemente non dispone delle competenze di cui ha bisogno», afferma Schwartz, amministratore delegato dei servizi di sicurezza informatica presso Venable, uno studio legale e di consulenza aziendale.
Il governo deve affrontare numerose sfide nel tentativo di assumere e trattenere i professionisti del settore delle tecnologie per la sicurezza. Queste sfide — retribuzioni, finanziamenti, risorse e condizioni di lavoro — non sono un fenomeno esclusivo del settore pubblico. Si stanno trasformando in veri e propri “ ” in un contesto lavorativo in cui i lavoratori sono sempre più inclini a lasciare il proprio impiego man mano che la pandemia si protrae. Nel mese di agosto, secondo un dato record riportato da
, 4,3 milioni di lavoratori americani hanno lasciato il proprio impiego e, secondo CyberSeek, attualmente vi sono quasi 465.000 posti di lavoro vacanti nel settore della sicurezza informatica, sia nel settore privato che in quello pubblico, in tutto il Paese.
Limite massimo
La sfida più comune che il governo deve affrontare nel reclutamento di professionisti competenti nel campo della sicurezza informatica è quella relativa alla retribuzione. Secondo John Bambenek, esperto di sicurezza informatica presso Netenrich — azienda che fornisce servizi di rilevamento delle minacce informatiche — i professionisti del settore tecnologico possono ottenere una retribuzione fino al 50% superiore nel settore privato rispetto al settore pubblico.
Nel settore pubblico, inoltre, spesso viene applicato un limite massimo alla retribuzione anche per i dipendenti più meritevoli, cosa che (ovviamente) non avviene nel settore privato. Nei lavori nella pubblica amministrazione, «alla fine si arriva al punto in cui è necessario essere un incaricato politico», afferma.
«Poiché il tasso di turnover rimane elevato, stiamo raggiungendo un punto critico.»Ari Schwartz, ex direttore senior per la sicurezza informatica alla Casa Bianca durante l’amministrazione Obama
A livello statale, la questione salariale potrebbe rivelarsi ancora più rilevante. Secondo CyberSeek, la scorsa estate gli Stati avevano bisogno di coprire 9.000 posti di lavoro nel settore della sicurezza informatica. Lo scorso anno, lo stipendio medio annuo di un dipendente addetto alla sicurezza informatica presso un’amministrazione locale o statale era di circa 95.412 dollari, ovvero circa 25.000 dollari in meno rispetto alla retribuzione prevista dal governo federale.
«Ci vorrà un po’ di pensiero creativo per affrontare la realtà secondo cui è semplicemente più redditizio lasciare il settore pubblico per passare a quello privato», afferma Bambenek.
Per Quentin Hodgson, ricercatore senior nel campo della sicurezza informatica presso Rand, un’organizzazione di consulenza e ricerca senza scopo di lucro, la decisione di lasciare il settore pubblico è spesso dovuta al fatto che i dipendenti ne hanno abbastanza. Una delle principali fonti di frustrazione riguarda le risorse e i finanziamenti, afferma.
Nel mondo della tecnologia, in rapida evoluzione, è fin troppo facile rimanere indietro. I limiti di finanziamento e i ritardi nell’erogazione delle risorse possono portare rapidamente a sistemi obsoleti. Un ambito che sta assumendo un’importanza sempre maggiore per l’implementazione di una solida difesa informatica nel settore privato è la pratica emergente del DevSecOps DevSecOps, , una strategia che coinvolge i team di sicurezza nei progetti di sviluppo software sin dalle prime fasi. Ciò, a sua volta, consente loro di individuare potenziali vulnerabilità della rete prima che tali progetti siano troppo avanzati. Gli esperti sostengono che la sicurezza informatica del governo sia molto in ritardo nell’adozione di questa pratica.
La mancanza di investimenti nella sicurezza informatica sta aumentando i rischi per le agenzie governative: il rischio di subire attacchi informatici, di subire fughe di dati sensibili e di vedere le proprie reti messe fuori uso. Le agenzie degli enti locali sono soggette a una minaccia : secondo un sondaggio 2020 condotto dall’International City/County Management Association, circa il 25% afferma che si verificano tentativi di violazione ogni ora, mentre il 14% segnala un tentativo al giorno.
«Le persone si sentono frustrate dalla burocrazia, dalle procedure e dalla mancanza di risorse», afferma Hodgson. «Hanno l’impressione di non ricevere le risorse necessarie per svolgere il proprio lavoro. E hanno l’impressione che tutti vi ignorino in quanto professionisti della sicurezza informatica finché non si verifica un problema, e a quel punto iniziano a prendervi di mira chiedendovi il perché.”
Esaurito
Molti operatori della sicurezza informatica del settore pubblico sono in una situazione di esaurimento professionale. «Se si analizzano i motivi per cui le persone lasciano il proprio posto di lavoro, storicamente ciò è stato generalmente associato al burnout», afferma J. Michael Daniel, responsabile della sicurezza informatica dell’ex presidente Obama. «Per chiunque si occupi di sicurezza informatica durante la pandemia, la situazione molto probabilmente non ha fatto che peggiorare, a causa delle esigenze legate al lavoro da remoto e a quelle della forza lavoro ibrida.»
A complicare ulteriormente la situazione vi è un processo di assunzione macchinoso. Il governo federale effettua spesso controlli approfonditi sui precedenti personali, una prassi che può scoraggiare i lavoratori, dato che le imprese private richiedono raramente tali verifiche. Inoltre, qualora un candidato abbia precedenti legati all’uso di sostanze stupefacenti, anche di lieve entità risalenti al periodo delle scuole superiori o dell’università, gli viene solitamente vietato di lavorare per la pubblica amministrazione.
Gli esperti del settore sottolineano inoltre la necessità di considerare i giovani talenti da una prospettiva diversa. Daniel, che attualmente ricopre la carica di presidente e direttore del programma " CEO " della Cyber Threat Alliance, un'associazione senza scopo di lucro che si occupa di sicurezza informatica, sostiene che alcune richieste in materia di formazione siano superflue.
«Stiamo forse imponendo requisiti arbitrari che allontanano le persone?» dice. «State richiedendo un titolo di master quando in realtà non è necessario?»
In considerazione di questa specifica questione, il Segretario del DHS Alejandro Mayorkas ha avviato un programma di eccellenza, che prevede l’iniziativa di reclutare neolaureati in discipline legate alla sicurezza informatica per un corso di sviluppo professionale della durata di un anno. Coloro che porteranno a termine il programma potranno candidarsi per posizioni a tempo pieno nel settore della sicurezza informatica presso il dipartimento.
Robert Spalding, un generale di brigata in pensione dell’Aeronautica Militare che ha ricoperto incarichi di difesa a Pechino, afferma di aver lasciato l’esercito dopo essersi stancato di utilizzare sistemi obsoleti sui bombardieri stealth B-2. Egli sostiene che la carenza di competenze e infrastrutture da parte del governo nel campo della sicurezza informatica e delle tecnologie di difesa abbia raggiunto un punto critico.
«Non solo ci troviamo in una situazione di crisi, ma ci troviamo in una situazione di crisi già da un po’ di tempo, senza che si intravedano segni di riforma», afferma.
Per affrontare la questione, Spalding ritiene che il governo dovrebbe ridurre la spesa per la difesa destinata alle armi e concentrarsi invece sugli investimenti e sul reclutamento nei settori delle infrastrutture, dell’industria manifatturiera, della tecnologia e dell’ e istruzione STEM.
Sostegno da parte del settore privato
Con l’aumentare delle difficoltà del governo nell’assumere personale qualificato nel settore tecnologico e nel potenziare le difese informatiche, i servizi di sicurezza informatica offerti dal settore privato alle agenzie governative hanno registrato una forte espansione. «Il settore privato sta facendo praticamente tutto per conto del governo», afferma Schwartz, fornendo sia prodotti per la sicurezza informatica sia personale. E queste iniziative sono gestite da ex dipendenti pubblici del settore tecnologico e da laureati in discipline tecnologiche che in passato avrebbero potuto prendere in considerazione una carriera nel settore pubblico, afferma.
Le aziende private offrono servizi informatici di base: test di penetrazione, verifiche sulla sicurezza dell’hardware, verifiche sulle patch software, sicurezza dei gateway di pagamento e servizi di autenticazione e crittografia dei dati, afferma Ken Bodnar, esperto di trasformazione dei dati.
«Come minimo, la maggior parte delle agenzie federali utilizza tecnologie e strumenti del settore privato, quali firewall, sistemi di gestione della rete, filtri per la posta elettronica e sistemi di monitoraggio», afferma l’ex responsabile della sicurezza informatica Daniel. «Ciò che varia da un’agenzia all’altra è la combinazione tra servizi di sicurezza informatica gestiti internamente, forniti da appaltatori e affidati a terzi. «Le agenzie più grandi e con maggiori competenze tecniche svolgono una parte maggiore del lavoro internamente.»
I servizi e gli strumenti privati dovrebbero garantire che la sicurezza delle reti governative sia solida e offra capacità di rilevamento proattivo delle minacce. Ad esempio, tali strumenti dovrebbero consentire alle agenzie di catalogare la propria rete , l’inventario delle risorse ,e , in modo da sapere esattamente dove sono archiviati i dati sensibili. Dovrebbero inoltre adottare pratiche zero-trust e, idealmente, fornire una piattaforma di threat hunting , oltre a implementare la gestione automatizzata delle patch e il monitoraggio del software .
In effetti, l’automazione delle attività ripetitive — che nel settore pubblico sono più numerose — rappresenta una sfida fondamentale per gli enti pubblici. Mentre il settore privato mette costantemente a disposizione risorse e si impegna a ridurre le inefficienze che possono comportare una perdita di entrate, il settore pubblico non persegue lo stesso obiettivo. Al contrario, i fattori trainanti sono la trasformazione digitale, la soddisfazione dei cittadini e la sicurezza nazionale.
La mancanza di automazione spiega inoltre perché sia più difficile coprire i posti di lavoro nel settore della sicurezza informatica nel settore pubblico. Esistono decine di procedure manuali che i dipendenti pubblici svolgono e che i loro omologhi del settore privato potrebbero non svolgere. Tra queste possono figurare l’applicazione manuale delle patch su più sistemi operativi, la creazione e l’applicazione di regole di conformità su tutti gli endpoint, l’utilizzo di diversi strumenti legacy obsoleti e la combinazione manuale dei dati provenienti da tutti questi strumenti in modo da consentire un processo decisionale rapido.
Il futuro crittografato
Secondo Bodnar, la crittografia rappresenterà la prossima frontiera nel settore pubblico per le imprese tecnologiche. Tra le aree di sviluppo figurano: la crittografia omomorfica, che consente di apportare modifiche ai dati crittografati senza decrittografarli; le prove a conoscenza zero, che permettono a una parte di dimostrare a un’altra parte che un’affermazione è vera senza rivelare alcuna informazione; e l’eIDV (verifica elettronica dell’identità), che utilizza fonti di dati pubbliche e private al fine di identificare gli individui.
Da parte sua, Spalding sta attualmente avviando un’iniziativa volta a fornire alle agenzie governative soluzioni tecnologiche crittografate nel settore della difesa.
In tutto il Paese, i posti vacanti nel settore della sicurezza informatica pubblica, con diverse mansioni e livelli gerarchici, rimangono coperti. Gli esperti sostengono che il governo debba fare leva su un senso di missione per aumentare le assunzioni, potenziare le proprie capacità in materia di sicurezza informatica e rimanere al passo con le innovazioni in questo settore. A livelli dirigenziali, i posti di lavoro nel settore della sicurezza informatica nel settore pubblico possono risultare più significativi rispetto a quelli nel settore privato, e il governo dovrebbe trarne vantaggio, afferma Daniel.
«Si ha la possibilità di influenzare direttamente i risultati delle politiche e di partecipare a negoziati internazionali e iniziative simili», afferma. «Nel settore privato non sempre è possibile ottenere davvero tutto ciò.»
L'ultima parola spetta a Michael Hamilton, ex responsabile della sicurezza informatica (CISO) della città di Seattle. «Gli enti locali garantiscono il corretto funzionamento degli impianti idrici e la potabilità dell’acqua, ma i cyber-aggressori possono facilmente bloccare tutto ciò», afferma Hamilton, fondatore del progetto Public Infrastructure Security Cyber Education System (PISCES), che mette in contatto gli studenti di sicurezza informatica dell’ con gli enti locali. «Si tratta di figure professionali di fondamentale importanza nel settore informatico, ma spesso le persone vengono escluse da questi posti di lavoro perché la retribuzione non è competitiva».
