Incluso a medida que las universidades y las escuelas de comercio se gradúan cada vez más en el campo, cientos de miles de puestos de ciberseguridad están sin cubrir, y muchas empresas sufren escasez de personal mientras arrastran el proceso de contratación. Es difícil entender lo que realmente está sucediendo aquí, pero quizás sea momento de que las empresas piensen en cómo podrían estar contribuyendo al problema.
Alrededor del 60 por ciento de los ejecutivos de ciberseguridad afirman que sus empresas no tienen suficiente personal, según ISACA (la Asociación de Auditoría y Control de Sistemas de Información) en su novena encuesta anual sobre el Estado de la Ciberseguridad de más de 2,000 líderes comerciales en todo el mundo. Solo en los EE. UU., alrededor de 570,000 puestos de ciberseguridad están vacantes, según CyberSeek.
Las posiciones permanecen abiertas aunque casi el 40 por ciento de los encuestados dicen que sus organizaciones están experimentando más ciberataques que un año atrás, y el 31 por ciento dice que la cantidad de ataques se mantuvo igual.
Jonathan Brandt, director de prácticas profesionales e innovación en ISACA, describió la enorme cantidad de aperturas como una “herida autoinfligida” por las empresas.
Para profundizar en el problema de los puestos vacantes, ISACA preguntó por primera vez a los encuestados si buscaban trabajadores para puestos experimentados o trabajos de nivel básico.
Alrededor del 50 por ciento dijo que tenía vacantes para trabajos de nivel de experiencia, mientras que el 21 por ciento buscaba cubrir puestos de nivel básico.
Brandt se sorprendió de que el 38 por ciento de los encuestados dijera que se necesitaron de tres a seis meses para cubrir un puesto de nivel básico, a pesar del hecho de que las universidades y los programas técnicos han visto un número creciente de graduados en ciberseguridad.
“¿Me está bromeando?” dice. “¿Cuál es exactamente el problema real?”
El “conmoción de autoadhesivos” de las contrataciones de nivel básico
Brandt cree que un problema clave en la contratación cibernética hoy en día se relaciona con una noción lopside importante promulgada por los líderes empresariales y su personal de recursos humanos. ¿El concepto erróneo? “Posiciones de nivel básico”, sospecha, “no son realmente de nivel básico”.
“Los puestos de nivel básico no son realmente de nivel básico”.Jonathan Brandt, director de prácticas profesionales e innovación, ISACA
Cree que, debido a que los salarios iniciales de ciberseguridad tienden a ser más altos, los gerentes de contratación pueden esperar demasiado en términos de calificaciones cuando entrevistan a candidatos para trabajos de nivel inicial. “Es el impacto autoadhesivo de lo que cuesta contratar a alguien”, dice. Eso puede llevar a algunas empresas a esperar un “unicornio” para justificar el salario más alto.
Las altas expectativas pueden ser el motivo por el que solo el 26 por ciento de los encuestados dicen que creían que al menos la mitad de los solicitantes estaban bien calificados para los puestos que buscaban.
Donde los solicitantes que se graduaron recientemente de la universidad no tenían habilidades como comunicación, pensamiento crítico y trabajo en equipo, el 68 por ciento de los encuestados dijo. En comparación, solo el 54 por ciento dijo que los recién graduados carecían de las habilidades de implementación de controles de seguridad que buscaban.
Según la encuesta, los profesionales experimentados en ciberseguridad no solo son difíciles de encontrar, sino que también son difíciles de mantener. Alrededor del 56 por ciento dijo que tenía dificultades para retener trabajadores calificados.
Competir a través de los beneficios
Hacer que la contratación y la retención sean más difíciles es un cambio por parte de las empresas para recortar los beneficios.
Aunque el 65 % de los empleadores reembolsan los cargos de certificación, ese número cayó un punto porcentual con respecto al año anterior. Aquellos que ofrecen bonificaciones de reclutamiento disminuyeron dos puntos porcentuales, y aquellos que pagan la matrícula universitaria bajaron cinco puntos porcentuales al 28 por ciento.
ISACA señala que la reducción de los beneficios está generalizada entre las industrias, no algo específico de la ciberseguridad, debido a la incertidumbre sobre las condiciones económicas.
Aun así, Brandt ve una excelente oportunidad para que las empresas se distingan de sus rivales. Si una firma desea el mejor talento y puede pagarlo, dice, puede decir: “Podemos permitirnos lanzar un poco más de dinero”.
Otras formas en que una empresa puede compensar la reducción de costosos beneficios es ser más flexible con los mandatos de regreso al trabajo. Alrededor del 28 por ciento de los encuestados dijo que los límites en el trabajo remoto eran la causa probable de dejar un trabajo, cuatro puntos porcentuales más que un año antes.
Las empresas con poco personal deben ser un poco más complacientes, especialmente cuando se trata de incentivos no monetarios, dice Brandt.
Por ahora, capacitar al personal que no es de seguridad para que pase a roles de seguridad sigue siendo la principal manera de manejar la escasez de personal, según la encuesta de ISACA. Menos empresas informaron haber contratado contratistas y consultores para cubrir las brechas en comparación con el año pasado.
El borde DEX
Una forma en que las empresas podrían tener una ventaja en la contratación de los mejores cibertalentos o en atraer personal que no sea de seguridad a la seguridad es ofreciendo soluciones de experiencia digital del empleado (DEX) que mejoren la interacción de los empleados con las herramientas digitales que utilizan en sus trabajos. Las soluciones DEX monitorean el rendimiento de los dispositivos en el endpoint para rastrear, entre otras cosas, la utilización de CPU, el rendimiento y el espacio libre en disco, y luego trabajan para aumentar la eficiencia de la tecnología. El objetivo es reducir la frustración y la insatisfacción de los empleados con su lugar de trabajo.
Las empresas que se vuelven conocidas por sus programas DEX pueden contratar a los mejores talentos lejos de sus rivales y/o contratar desde adentro si el personal actual sabe que no habrá obstáculos tecnológicos.
El impulso de DEX es lo suficientemente nuevo como para que la encuesta ISACA no incluya ninguna pregunta específica de DEX, pero Brandt dice que la asociación está realizando investigaciones para ver qué impacto puede tener. La implementación varía entre las empresas, lo que dificulta las comparaciones, pero cualquier cosa que ayude a facilitar el uso de la tecnología en el trabajo está destinada a mejorar la moral y la seguridad.
Los procedimientos y sistemas de ciberseguridad, “ya sea que deseemos admitir o no, son inconvenientes” para algunos trabajadores que buscan el camino de menor resistencia, dice Brandt.
Los empleados pueden tener dificultades para cambiar las contraseñas regularmente, buscar soluciones alternativas para evitar algunos procedimientos de seguridad o usar dispositivos no autorizados que les resulten más convenientes. Un énfasis de DEX que conduzca a un uso más fácil de la tecnología puede reducir dichas acciones.
[Leer también: Por qué los trabajadores violan las políticas de ciberseguridad; no es lo que piensa]
La historia importante en los próximos años será el intento de cubrir los muchos puestos abiertos de nivel inicial, predice Brandt. Las empresas en regiones alejadas de áreas de alto costo, como el corredor Atlántico medio, pueden atraer a los candidatos con salarios iniciales más bajos a cambio de requerir menos calificaciones.
“Todos deben comenzar en algún lugar”, dice Brandt.
