El aumento del número de trabajadores a distancia está poniendo a prueba los esfuerzos por proteger los datos, ya que las empresas tienen dificultades para encontrar profesionales con las habilidades y los conocimientos necesarios para garantizar la seguridad de los sistemas y las redes empresariales.
La competencia por el talento se intensificó en 2021 con respecto al año anterior, lo que dejó a muchas empresas con equipos de protección de datos con falta de personal. Así se desprende del informe « : Privacy in Practice 2022» (: Privacidad en la práctica 101), publicado recientemente por ISACA, una encuesta realizada a 832 miembros con formación certificada en ciberseguridad o privacidad.
Y lo que es peor, se prevé que la demanda de talento aumente este año, a medida que más consejos de administración expresen su apoyo a unas medidas de seguridad más estrictas, según ha señalado la asociación mundial de tecnologías de la información en su informe, publicado hoy y coincidiendo con el Día de la Privacidad de los Datos de este año, que se celebra el 28 de enero.
Más de la mitad de los encuestados (55 %) por ISACA, la Asociación de Auditoría y Control de Sistemas de Información, afirman que carecen de suficiente personal técnico. Alrededor del 46 % afirma carecer de conocimientos especializados en materia jurídica y de cumplimiento normativo. La contratación se ha ralentizado debido a la escasez extrema de personal cualificado. La mitad de los candidatos a puestos técnicos carecen de conocimientos sobre marcos de trabajo o controles. Otros, sencillamente, no cuentan con los conocimientos técnicos suficientes.
«Se está exigiendo mucho más a los equipos de protección de datos, que se encuentran en el punto de mira de formas diferentes a las de antes», afirma Safia Kazi, asesora de prácticas profesionales en materia de protección de datos de ISACA, quien dirigió la elaboración de la encuesta. Y aunque la falta de talento disponible es la razón principal de la escasez de personal, le sigue de cerca la falta de concienciación que muestran algunas empresas respecto a este tema.
Lo que no saben les está perjudicando
Uno de cada cinco participantes en la encuesta de ISACA —en la que también participaron equipos jurídicos y de cumplimiento normativo que se enfrentan a una escasez de personal cualificado— afirmó que ni siquiera sabía si se había producido alguna violación de la privacidad en los últimos 12 meses. Esto resulta especialmente sorprendente, además de alarmante, teniendo en cuenta la amplia variedad de ataques cibernéticos de gran repercusión que se produjeron en 2021. «Es fascinante que no tengan ni idea», afirma Kazi. «Es posible que no estén llevando a cabo el seguimiento adecuado».
«Ni siquiera existe ningún tipo de supervisión», afirma Rebecca Herold, directora ejecutiva de la consultora Privacy & Security Brainiacs. Herold afirma que muchas organizaciones aún no han identificado por completo sus redes y bases de datos, ni los dispositivos personales que utilizan sus empleados cuando trabajan a distancia. Añade que algunas empresas tampoco saben qué datos han confiado a proveedores externos ni qué medidas están adoptando dichos proveedores para garantizar la seguridad de los datos.
«Hay tantos lugares en los que se almacenan datos que es posible que una empresa ni siquiera conozca», afirma Herold. «Esto dificulta enormemente la realización de evaluaciones de riesgos adecuadas».
Por eso, lo primero que recomiendan los expertos en ciberseguridad es realizar un análisis exhaustivo y un inventario de del hardware y el software de una empresa, así como elaborar un catálogo completo de quién tiene acceso a qué datos y por dónde circulan dichos datos. El inventario permite a una empresa implementar prácticas básicas de ciberhigiene y de ciberseguridad destinadas a protegerse frente a los ciberdelincuentes, los hackers patrocinados por Estados y los hacktivistas.
«Hay tantos lugares en los que residen datos que es posible que una empresa ni siquiera conozca. Esto complica enormemente la evaluación de riesgos.»Rebecca Herold, directora ejecutiva de Privacy & Security Brainiacs
Para subsanar la falta de personal cualificado, casi la mitad de las empresas encuestadas afirman que están formando a personal que no se dedica a la protección de datos para que pase a desempeñar funciones en este ámbito. Una ventaja: esos trabajadores conocen más a fondo la empresa y su funcionamiento. Aproximadamente un tercio de las empresas encuestadas afirman que están recurriendo a contratistas externos o a consultores especializados en ciberseguridad y protección de datos, quienes pueden aportar herramientas y conocimientos actualizados para mejorar la seguridad de la empresa con mayor rapidez.
Formar a los trabajadores en materia de ciberseguridad y protección de datos
Según Herold, recurrir a ayuda externa da mejores resultados si los expertos externos también forman a los empleados de la empresa sobre la mejor manera de proteger los datos. Eso también significa que una actualización puntual no es suficiente. Herold afirma que son demasiados los líderes empresariales y tecnológicos que le dicen que sus redes son seguras porque han ejecutado una herramienta de supervisión una sola vez. Una vez no es suficiente. El seguimiento debe ser continuo.
A largo plazo, la educación debe ser una prioridad absoluta. Y no solo cuando los trabajadores llegan al trabajo. Según Herold, la protección de datos debería enseñarse en la escuela, ya que los niños llevan siempre consigo sus teléfonos inteligentes. «Enséñeles a utilizar esos dispositivos de forma segura —afirma— y «contará con una población que se incorpore al mercado laboral consciente de la privacidad de los datos».
Kazi está de acuerdo y afirma que la formación temprana haría que la profesión relacionada con la protección de datos resultara más atractiva para los jóvenes que se incorporan al mercado laboral.
La buena noticia es que, según la encuesta, la probabilidad de que se reduzcan los presupuestos destinados a la protección de la privacidad es baja.
«Es una necesidad mucho más acuciante para las empresas», afirma Kazi. «Hemos sido testigos del claro perjuicio que causan las filtraciones de datos y de cómo pueden arruinar la vida de las personas».
