A Petra Vukmirovic piace riparare le cose. È per questo che inizialmente ha scelto di diventare medico di pronto soccorso. Tuttavia, desiderava poter esprimere maggiore creatività sul lavoro, in un momento della pandemia in cui molte persone stavano rivalutando le proprie scelte di vita.
«Ho cercato di capire in quale ambito le mie competenze mediche fossero maggiormente trasferibili, e la mia scelta è ricaduta sulla sicurezza informatica», afferma Vukmirovic. Attualmente lavora come ingegnere senior specializzato in sicurezza informatica presso Zava, un’azienda operante nel settore della sanità digitale con sede a Londra.
«In entrambe le professioni, si tratta in gran parte di risolvere problemi e svolgere un lavoro di indagine nel campo dell’ », ha affermato in un’intervista con Endpoint. «Mi piace riparare le cose e ho scoperto che la tecnologia è il campo ideale per farlo.»
Il crescente divario di competenze informatiche sta costringendo il settore a cercare un numero sempre maggiore di professionisti provenienti da altri settori, come Vukmirovic, per far fronte al forte aumento degli attacchi ransomware e di altri attacchi informatici. La carenza di manodopera nel settore della sicurezza informatica, da tempo un problema complesso e urgente, ha indotto i responsabili della sicurezza e della tecnologia a rivolgersi a bacini di talenti e strategie non tradizionali per ovviare alla scarsità di lavoratori. Stanno inoltre eliminando i requisiti relativi al titolo di studio e aggiornando i profili di assunzione tradizionali per garantire un flusso costante di candidati.
“Per colmare il divario di personale nel settore della sicurezza informatica, dobbiamo ampliare il bacino di talenti e abbattere le barriere all’ingresso, abbandonando una mentalità incentrata esclusivamente sulla tecnologia e ricercando invece le solide competenze non tecniche necessarie per avere successo nel campo della sicurezza informatica”, afferma Clar Rosso, CEO dell’ente di formazione International Information System Security Certification Consortium, ovvero (ISC)². «I professionisti della sicurezza informatica ritengono che spiccate capacità di risoluzione dei problemi, curiosità e voglia di imparare, ottime capacità comunicative e pensiero strategico siano altrettanto importanti, o [addirittura] più importanti, delle certificazioni e dell’esperienza specifica nel campo della sicurezza informatica.»
Ampliare il bacino di personale specializzato in sicurezza informatica
(ISC)² ha stimato, nel suo ultimo studio annuale sulla forza lavoro “ ” ( ), che a livello globale siano necessari circa 2,7 milioni di professionisti in più nel settore della sicurezza informatica. Secondo le stime dell’organizzazione, la forza lavoro globale nel settore della sicurezza informatica deve crescere del 65% per difendere efficacemente le risorse critiche.
«Dobbiamo ampliare il bacino di talenti ricercando solide competenze non tecniche, necessarie per avere successo nel settore della sicurezza informatica.»Clar Rosso, CEO, (ISC)²
Un recente sondaggio condotto da Deloitte nell’ambito dell’iniziativa “ ” ( ) fornisce ulteriori prove del fatto che la competizione per i talenti nel settore della sicurezza informatica rimane accanita, in particolare negli Stati Uniti, dove il 31% dei dirigenti intervistati afferma che le proprie organizzazioni spesso non riescono ad assumere e a trattenere i professionisti della sicurezza informatica. Solo circa la metà (16%) dei dirigenti non statunitensi dichiara di affrontare le stesse difficoltà in materia di reclutamento e fidelizzazione del personale.
Analogamente, un terzo degli intervistati in un sondaggio condotto dall’ Tanium ha affermato che la carenza di competenze interne in materia di sicurezza informatica rappresenta una delle principali sfide per le operazioni di sicurezza. Il problema è particolarmente grave in ambito governativo. Anche i CISO con esperienza nel settore dell’ e sono pochi. CyberSeek ha creato una mappa interattiva degli Stati Uniti per aiutare a visualizzare le lacune.
La neurodiversità sul posto di lavoro
Per individuare nuove e ricche fonti di talenti, le aziende stanno puntando ad assumere un numero maggiore di lavoratori non convenzionali nel settore della sicurezza informatica, tra cui persone “neurodiverse” affette da disturbi quali l’autismo, il disturbo da deficit di attenzione e iperattività (ADHD) e la dislessia. Secondo i ricercatori, i dipendenti neurodiversi spesso eccellono nella valutazione dei rischi informatici e nell’analisi delle attività online sospette, grazie a caratteristiche quali l’iperconcentrazione, la precisione, la tenacia e la capacità di individuare schemi ricorrenti.
Durante la pandemia, la società di consulenza Ernst & Young ha più che triplicato il numero dei propri dipendenti con neurodiversità a livello globale. Nel 2021, EY ha costituito a Boston un team composto da 10 persone con neurodiversità, specializzato in sicurezza informatica e in altri settori, nell’ambito dei propri Centri di eccellenza per la neurodiversità. All’inizio del 2022, l’azienda contava oltre 300 dipendenti con neurodiversità a livello globale.
[Leggi anche: La prossima generazione della sicurezza informatica]
Un altro ricco bacino di talenti è costituito dagli ex membri delle forze armate, che spesso vantano una solida esperienza in ambito tecnico, operativo e di sicurezza. I CISO stanno inoltre aggiornando le competenze del personale di sicurezza già in servizio, oltre a reclutare personale IT e a formarlo in materia di sicurezza informatica. Hanno attinto da ambiti tanto diversi quali la contabilità, la revisione contabile e la gestione della garanzia della qualità, rivolgendosi inoltre a gruppi sottorappresentati quali le donne e le persone di colore. A volte cercano persone come Vukmirovic, che provengono da settori che, a prima vista, potrebbero non sembrare correlati.
Creare uno spazio più ampio per i professionisti della sicurezza informatica
Il settore della sicurezza informatica è stato oggetto di critiche per i requisiti irrealistici richiesti per i posti di lavoro di livello base. Alcuni datori di lavoro continuano a richiedere certificazioni professionali e titoli di studio avanzati che richiedono anni per essere conseguiti. Ad esempio, un annuncio di lavoro per un analista junior presso il centro operativo di sicurezza di una grande banca richiedeva una laurea triennale, almeno quattro anni di esperienza nell’uso di tecniche sofisticate e certificazioni professionali.
(ISC)² ha comunicato a Endpoint che sta sperimentando una certificazione di base nel campo della sicurezza informatica, volta ad aiutare coloro che intendono cambiare carriera in questo settore e i giovani professionisti a dimostrare ai datori di lavoro di possedere le competenze fondamentali e le qualità personali necessarie per una carriera nel campo della sicurezza informatica. La certificazione può essere utilizzata anche dai professionisti che devono dimostrare di possedere una conoscenza delle migliori pratiche in materia di sicurezza informatica. Ad esempio, qualora la SEC adottasse le proposte di regolamentazione secondo cui le società quotate in borsa devono disporre di competenze in materia di sicurezza informatica all’interno del proprio consiglio di amministrazione, tale certificazione potrebbe verificare le conoscenze dei membri del consiglio.
Un altro modo in cui i datori di lavoro stanno ampliando i propri criteri di assunzione consiste nel non pretendere più che i lavoratori siano presenti in sede. Questo è stato un problema fondamentale in materia di reclutamento e fidelizzazione nell’era del lavoro ibrido.
Una carriera nel settore della sicurezza informatica come servizio " Community "
Ann Cleaveland, direttrice esecutiva del Centro per la sicurezza informatica a lungo termine dell’ presso l’Università della California, Berkeley, afferma che le carriere nel campo della sicurezza informatica possono essere promosse tra i giovani lavoratori alla ricerca di un modo per fare la differenza nel mondo. «La sicurezza informatica è legata al servizio pubblico e all’impegno a favore delle comunità», afferma. “Sarebbe utile se l’opinione pubblica lo considerasse più come un lavoro che, per certi aspetti, è simile a quello di un operatore sanitario, piuttosto che come lo stereotipo di un hacker in felpa con cappuccio seduto in un angolo da qualche parte.” «Questo fa sì che la missione trovi un’eco molto più ampia presso un pubblico molto variegato».
«[Pensatelo] più come un operatore sanitario, piuttosto che come lo stereotipo dell’hacker con la felpa con cappuccio.»Ann Cleaveland, direttrice esecutiva del Center for Long-Term Cybersecurity dell’Università della California, Berkeley
Il CTLC sta lavorando alla creazione di una rete internazionale di centri presso le università che coinvolga sia i dipartimenti di informatica sia gli studenti di corsi di laurea non tecnici, con l’obiettivo di infondere negli studenti un senso di missione e di aiutarli a trovare impiego nel settore della sicurezza informatica presso organizzazioni non profit e altre realtà impegnate nel sociale. «La sicurezza informatica deve diventare più attraente per una più ampia varietà di studenti provenienti da una più ampia varietà di discipline», afferma Cleaveland.
Ampliare la portata di questo settore a un maggior numero di discipline accademiche «significa che i clienti beneficiano di una maggiore sicurezza informatica e persino di assistenza tecnica», aggiunge Cleaveland. «Abbiamo finito per attirare studenti della facoltà di giurisprudenza, della scuola di scienze politiche e di sanità pubblica: persone che forse non avrebbero mai considerato la sicurezza informatica come un percorso interessante per loro».
Rachael Cornejo ha seguito un corso di formazione sulla sicurezza informatica presso la Citizen Clinic del CTLC, un’iniziativa che si propone come progetto di sicurezza digitale di interesse pubblico. All’Università della California di Berkeley, la Cornejo pensava di voler intraprendere una carriera nel giornalismo, ma poi ha scoperto di essere più interessata all’attivismo e alla promozione del cambiamento. Grazie alla formazione ricevuta, dopo la laurea è riuscita a trovare lavoro come consulente in materia di sicurezza informatica presso Deloitte.
In qualità di studentessa di discipline umanistiche e arti liberali, la signorina Cornejo ha affermato che la sorpresa più grande è stata scoprire che la sua carriera nel campo della sicurezza informatica richiedeva meno competenze tecniche di quanto si aspettasse. «L’hacking si basa su principi scientifici rigorosi, ma questa è solo una piccola parte della sicurezza informatica», afferma. «Si tratta in realtà di una disciplina molto più orientata alla qualità.»
La signora Cornejo si ritrova a mettere in pratica le proprie competenze trasversali per intervistare le persone in merito ai rischi, al fine di stabilire un ordine di priorità e redigere una valutazione dei rischi " ". «In sostanza, si tratta di entrare nella mente degli hacker», afferma. «Può essere divertente e gratificante.»
