Escasez de personal en el equipo de seguridad de TI: gestionar riesgos y atraer talento

En esta época del año, son muchas las prioridades que tienen los directivos de nivel C en las empresas: conseguir cuadrar el presupuesto del próximo año mientras asegura también que el negocio continúa en la senda correcta para cumplir con los objetivos fijados, son las dos cosas que lideran esta lista. Otro elemento clave que los directivos deben tener en cuenta para afrontar 2018 es dotar de personal a su equipo de seguridad de TI.

A medida que los ciberdelincuentes siguen sacando provecho de las estrategias de ataque más innovadoras y dañinas, y lo hacen cada vez con mayor frecuencia, es fundamental dotar a la empresa de los recursos de seguridad y de personal adecuados. Sin embargo, de unos años a esta parte, la industria de ciberseguridad ha experimentado una escasez de talento, y este problema persistirá en 2018.

Oportunidades de empleo para los trabajadores de seguridad TI

Según las predicciones del grupo de defensa de la seguridad de la información sin ánimo de lucro ISACA, habrá una escasez asombrosa de profesionales de seguridad: hasta 2019, los expertos pronostican que faltarán dos millones de profesionales en ciberseguridad, según informa Forbes.

“Cada año, solo en Estados Unidos, 40.000 puestos de trabajo de analistas de seguridad de la información se dejan sin cubrir, y los empresarios están luchando esforzándose para cubrir otros 200.000 cargos en ciberseguridad», tal y como escribe Jeff Kauflin, colaborador de Forbes. «Y por cada diez trabajos de ciberseguridad que aparecen en portales de empleo, solo siete personas acceden a uno de los anuncios, y muchos menos se presentan”.

En general, la falta de profesionales capacitados en seguridad TI es un problema al que se enfrentan las organizaciones de todos los sectores. Y a medida que el escenario de amenazas continúa creciendo, la escasez de personal TI se convierte en un problema más acuciante.

Por fortuna para los empleados de ciberseguridad y sus empleadores, una vez que se recluta e incorpora el talento a la organización, los puestos son considerablemente estables. Gartner señala que, a día de hoy, la industria de la ciberseguridad posee una tasa de desempleo del 0%, un fenómeno que no se ve en prácticamente ningún otro sector.

«Somos uno de los pocos sectores que registra un 0% de desempleo», indica el experto en ciberseguridad Robert Herjavec. «Desgraciadamente, la fuente del talento en seguridad no está donde se necesita para ayudar a frenar la epidemia de ciberdelitos. Hasta que no seamos capaces de rectificar y transformar la calidad de la educación y la formación que reciben nuestros nuevos ciberexpertos, seguiremos estando por detrás de los Black Hats”.  

Reclutar el mejor talento TI

Los expertos se refieren al de la ciberseguridad como el área menos masificada en tecnología, y no es difícil ver por qué: la demanda de profesionales capacitados simplemente es superior al número de individuos formados y con experiencia. Y hasta que la próxima promoción de candidatos cualificados haya sido debidamente formada y esté lista para desempeñar sus funciones y ocupar cargos en su campo, la reserva de talento disponible continúa siendo pequeña, y cada vez se hará más pequeña.

Esto coloca a las empresas en una posición en la que deben trabajar más duro de lo habitual para atraer a los mejores talentos en seguridad TI a su organización con la esperanza de superar la escasez de personal. Afortunadamente, hay algunas estrategias útiles que las empresas en esta posición pueden utilizar para dar mejor apoyo a su equipo interno de TI:

• Considerar candidatos con un background no tradicional: Marc van Zadelhoff, colaborador de Harvard Business Review, explica que uno de los motivos de la escasez de personal en ciberseguridad es el hecho de que la mayoría de las empresas buscan candidatos con experiencia y formación más tradicionales, que incluyan títulos de cuatro años y otras credenciales. No cabe la menor duda de que la educación superior es una ayuda para hacer frente a la escasez, pero los responsables de la contratación en las compañías deben abrir el abanico de opciones y considerar también a los candidatos que no hayan estado en un programa de informática en la universidad. Además, incorporar al equipo a alguien con una formación menos convencional podría ofrecer esa nueva perspectiva que la empresa necesita para reforzar su postura de seguridad.
• Aprovechar la presencia de la empresa en medios sociales para interactuar con el talento joven: las empresas que buscan un grupo de candidatos recién salidos de la universidad deben poder atraer la atención de los jóvenes talentos. La colaboradora de CIO, Sharon Florentine, propuso iniciar conversaciones con posibles candidatos en redes sociales y profesionales como LinkedIn y Twitter. Si bien los profesionales de ciberseguridad serán más cautelosos a la hora de interactuar online, esto puede ayudar a las empresas a conectarse con nuevos talentos, así como acercarse a profesionales más capacitados.
• Ofrezcer incentivos más allá del salario: la competencia para contratar empleados de ciberseguridad es notablemente feroz. Para destacar, puede resultar útil ofrecer beneficios laborales que vayan más allá del sueldo tradicional. Esto puede incluir oportunidades para trabajar de forma remota, días libres adicionales pagados u otros incentivos para ayudar a cambiar la elección de los solicitantes a favor de la compañía.

No debemos olvidar que el personal de ciberseguridad juega un papel importante en la protección de los datos corporativos, tengámoslo presente a la hora de reclutar al mejor talento.   

Gestionar los riesgos ante la falta de personal

Al igual que las empresas trabajan para atraer talento, también deben ser capaces de mantener su posición de seguridad y proteger los activos de TI y los datos de la organización de entrometidos y agentes maliciosos.  

Uno de los primeros pasos es garantizar que todos en la empresa, desde el equipo de TI hasta los empleados del resto de departamentos, comprendan los riesgos a los que se enfrenta la compañía, así como sus propias responsabilidades para respaldar la postura de seguridad de la corporación. Proporcionar educación continua a los empleados fuera del ámbito TI puede ser muy útil. Educar a los empleados es importante, especialmente cuando tiene que ver con concienciar sobre las últimas estrategias de ataque y las mejores prácticas en materia de protección de datos; es clave asegurarse de que los propios empleados de la compañía no son el eslabón más débil de la cadena de la ciberseguridad.

También es esencial que el equipo interno de TI cuente con el soporte adecuado. Con recursos de personal limitados, los directivos de nivel C deberían trabajar para liberar a su personal de las tareas manuales o administrativas y asegurar que estos empleados optimizan su tiempo y habilidades dedicándose a aquello que es más eficaz. Automatizar tareas menos críticas o externalizar cierto tipo de actividades a un proveedor de servicios gestionados puede proporcionar más tiempo a los trabajadores de TI para centrarse en las cuestiones de seguridad más urgentes.

También puede ser beneficioso apoyarse en soluciones de software de seguridad robustas para ayudar a cubrir la brecha de personal. Los ejecutivos deberían trabajar con los administradores de TI para buscar sistemas proactivos que incluyan monitorización e informes, de este modo, si surgen actividades sospechosas o cuestionables dentro de la red, el equipo de TI podrá responder antes de que surja un problema a gran escala.