Tra i licenziamenti diffusi nel settore tecnologico a cui abbiamo assistito nell’ultimo anno, c’è almeno un barlume di speranza: i team di sicurezza informatica non stanno subendo un impatto così grave come si pensava in precedenza.
Da un recente studio globale intitolato “ ” , condotto dall’organizzazione senza scopo di lucro (ISC)², è emerso che, sebbene la metà dei 1.000 dirigenti di alto livello intervistati sia molto propensa ad approvare licenziamenti quest’anno, solo il 10% prevede di ridurre il personale addetto alla sicurezza informatica. Ciò fa eco ad altri segnali positivi per i team di sicurezza: il numero totale di professionisti della sicurezza informatica occupati nel 2022 è rimasto relativamente invariato rispetto alle stime precedenti, secondo i dati dell’ pubblicati a gennaio, e le assunzioni sono in aumento nel settore pubblico presso enti quali la National Security Agency (NSA), che ha avviato un’ campagna di assunzioni “senza precedenti” per coprire i posti di lavoro nel campo della sicurezza informatica nel 2023.
Ciò suggerisce che i dirigenti aziendali, sia nel settore privato che in quello pubblico, siano consapevoli di non poter ridurre eccessivamente il personale addetto alla sicurezza informatica, vista la diffusione del ransomware ,, , delle truffe tramite e-mail aziendali e di altre minacce in corso . Tuttavia, i licenziamenti modificheranno indubbiamente il panorama delle minacce , rendendo ancora più importante per i dirigenti aziendali aggiornare regolarmente le proprie strategie di sicurezza informatica.
Ad esempio, le aziende e gli utenti potrebbero registrare un aumento dei tentativi di phishing di tipo “ ” , che mirano a indurre i dipendenti a cliccare su link pericolosi. Oltre a sondaggi fasulli, premi e richieste di aiuto rivolte a a principi nigeriani in difficoltà, i lavoratori licenziati potrebbero iniziare a ricevere tentativi di phishing con link che promettono aggiornamenti sui benefici aziendali.
Le organizzazioni possono inoltre subire ripercussioni negative a causa dei dipendenti “lasciati indietro”, che si sentono demoralizzati, temono di essere i prossimi a ricevere la lettera di licenziamento e diventano meno produttivi, afferma Max Solonski, CISO di Hexview, una società di consulenza per dirigenti.
«Quando le aziende licenziano un certo numero di dipendenti, il morale dei dipendenti rimasti spesso non è dei migliori», afferma. «In alcuni casi, potrebbero non attribuire sufficiente importanza alla questione da reagire ai problemi, il che aumenta il rischio complessivo.»
A peggiorare la situazione, un atteggiamento negativo da parte del personale aumenterà il rischio interno dell’azienda, rendendo necessario un ulteriore cambiamento nella strategia di sicurezza. I licenziamenti, anche se non incidono direttamente sui team di sicurezza, comportano sempre un costo.
Il “piccolo segreto scomodo” dei licenziamenti nel settore IT
Per essere chiari, i responsabili della sicurezza informatica (CISO) delle società del settore “ ” e i loro team non hanno evitato del tutto i licenziamenti, e alcuni stanno addirittura smantellando interi team dedicati alla sicurezza. Ad esempio, Patreon, una piattaforma di abbonamento per creatori che non subiva attacchi informatici dal 2015, , lo scorso settembre ha licenziato il proprio team di sicurezza informatica composto da cinque persone .
”Se si rinuncia alla sicurezza per due anni, sì, si risparmiano 20 milioni di dollari. Tuttavia, correte il rischio estremamente elevato di perdere molto di più.”Richard Stiennon, capo analista di ricerca presso IT-Harvest
«Le garantisco che vi sono grandi aziende che hanno licenziato i propri CISO e il personale addetto alla sicurezza informatica nel quadro di un ridimensionamento delle proprie strutture», afferma Steve Zalewski, ex CISO di Levi Strauss e fondatore di S3 Consulting. «Non lo sottolineano. «È il loro piccolo segreto sporco.»
Il fascino di risparmiare qualche dollaro nell’immediato è comprensibile, ma un approccio del genere è «miope», sostiene Richard Stiennon, capo analista di ricerca presso IT-Harvest.
«Per garantire un buon livello di sicurezza, occorrono circa 10 milioni di dollari all’anno», afferma Stiennon. «Se si rinuncia alla sicurezza per due anni, sì, si risparmiano 20 milioni di dollari. «Ma correte il rischio estremamente elevato di perdere molto di più di questo.»
In effetti, le aziende potrebbero rendersi conto che disporre di un numero inferiore di professionisti della sicurezza all’interno del proprio organico le rende meno in grado di difendersi dai tipi di attacchi sempre più sofisticati che probabilmente dovranno affrontare nei prossimi anni.
«Con risorse più limitate, le organizzazioni potrebbero non essere in grado di stare al passo con gli ultimi aggiornamenti di sicurezza e le patch, aumentando così il rischio che le vulnerabilità vengano sfruttate», afferma George Lamont, responsabile informatico e fondatore di IronNet Cybersecurity. «I team di sviluppatori software tendono spesso a inserire di default le correzioni di sicurezza e le patch relative al programma “ ” nel backlog, il che comporta un rischio per i sistemi e i prodotti fino a quando tali problemi non vengono risolti.»
Affrontare le conseguenze
Gli esperti avvertono che le aziende devono fare tutto il possibile per mantenere i propri livelli di sicurezza, soprattutto a seguito dei licenziamenti, che trasformeranno l’impresa sia internamente che esternamente. Per prepararsi a tali cambiamenti, ecco 5 misure proattive che i responsabili aziendali e della sicurezza possono adottare.
Assicuratevi che tutti siano sulla stessa lunghezza d'onda
Lamont afferma che, quando il personale scarseggia, è ancora più importante garantire che tutti coloro che continuano a lavorare per l’azienda — dai reparti IT e operativi a quelli delle risorse umane, dell’ufficio legale, del marketing, dei servizi e dell’assistenza — siano coordinati e pronti a intervenire nel caso in cui si verifichi un attacco informatico. Ciò significa rispolverare e rivedere le vostre procedure di risposta agli incidenti , oppure elaborare tali piani qualora non ne disponiate già. Consiglia inoltre di organizzare esercitazioni congiunte di simulazione, come i giochi di guerra.
«Un atteggiamento ostile da parte dei dipendenti rimasti in servizio dopo un licenziamento aumenta il rischio interno, rendendo necessario un ulteriore riorientamento delle misure di sicurezza.”
«Molto spesso, nel corso di un’ esercitazione teorica sulla sicurezza informatica (TTX), ci si accorge che i nomi e le catene di comando del personale chiave sono cambiati», afferma Lamont. «Non vorreste certo trovarvi in una situazione del genere in un evento reale.»
Automazione
Se il numero di persone addette alla gestione delle questioni di sicurezza dovesse diminuire, l’automazione delle attività essenziali non sarà una scelta, ma una necessità. L'automazione della sicurezza, un tempo considerata il "Santo Graal" e non particolarmente diffusa, sta ora vivendo una rinascita.
[Read also: A security automation playbook for 2023]
Gli strumenti di automazione della sicurezza possono contribuire a ridurre i rischi immediati e ad alleggerire il carico di lavoro dei dipendenti affetti da burnout e dei team IT cronicamente a corto di personale. I sistemi di gestione convergenti endpoint , ad esempio, supportano l’automazione end-to-end grazie all’accesso ai dati in tempo reale. La centralizzazione e l’automazione della gestione delle identità, che spesso è frammentata all’interno delle unità aziendali, può contribuire a garantire che gli utenti e i dispositivi abbiano accesso solo alle risorse e ai dati appropriati a cui hanno diritto.
Consolidare
Di fronte a difficili scelte di bilancio, i dirigenti devono eliminare gli strumenti superflui e non necessari. Troppo spesso le organizzazioni ritengono che la soluzione a un problema che i loro strumenti attuali non riescono a gestire consista nell’aggiungerne altri.
Purtroppo, ciò porta a una proliferazione incontrollata di strumenti, in cui un numero eccessivo di soluzioni puntuali comporta un aumento dei costi, della complessità e dei rischi informatici. Secondo alcuni esperti, disporre di un’unica piattaforma autorizzata in grado di gestire molteplici funzioni rappresenta la soluzione più efficiente e praticabile.
Assumete, assumete, assumete
Potrebbe sembrare controintuitivo per un’azienda che sta procedendo a licenziamenti, ma probabilmente in questo momento il numero di professionisti della sicurezza in cerca di lavoro è il più alto degli ultimi anni. E se si considera che, secondo , vi sono oltre 3,4 milioni di posti di lavoro nel settore della sicurezza informatica ancora vacanti, come emerge da un altro studio condotto da (ISC)², ciò rappresenta una vera e propria opportunità. Proprio come gli investitori immobiliari individuano occasioni nei mercati in calo, i datori di lavoro più accorti possono scovare alcune perle nascoste tra i talenti in questo contesto economico turbolento.
Si tratta di una mossa particolarmente prudente per i responsabili della sicurezza nel settore pubblico. Secondo l’Ufficio per la gestione del personale, il governo federale prevede di coprire quest’anno oltre 22.000 posti di lavoro nel settore tecnologico , tra cui quelli presso la NSA e l’Agenzia per la sicurezza informatica e delle infrastrutture (CISA), che lo scorso anno ha assunto centinaia di nuovi dipendenti e prevede di assumerne ancora di più nel 2023.
Molte agenzie statali e locali stanno inoltre potenziando il personale dei nuovi programmi di sicurezza informatica a livello statale, avvalendosi del miliardo di dollari di fondi destinati alla sicurezza informatica stanziati nel disegno di legge sulle infrastrutture del presidente Biden.
Si consideri la possibilità di ricorrere all’assistenza di terzi
Spesso, come potrebbe essere avvenuto nel caso di Patreon, le aziende che hanno ridotto il personale si rendono conto di non disporre delle competenze interne necessarie per rafforzare la propria sicurezza e si rivolgono ai fornitori di servizi di sicurezza gestiti (MSSP) per ricevere assistenza. Stiennon sostiene che questo sia un approccio intelligente per molte aziende.
«Ci sono centinaia, se non migliaia, di validi MSSP che sarebbero più che lieti di occuparsene al posto vostro», afferma. «Si tratterebbe di un aumento netto delle spese, poiché si devono comunque sostenere i costi relativi alle indennità di fine rapporto e ai contributi COBRA per i dipendenti appena licenziati.» «Ma in materia di sicurezza informatica sareste coperti.»
