El agotamiento y el estrés provocados por la pandemia hicieron que en 2021 quedaran más puestos de ciberseguridad sin cubrir en comparación con el año anterior. Y no hay indicios de que dichos puestos vayan a ser ocupados en un futuro próximo por profesionales cualificados que puedan hacer frente al aumento de los niveles de amenaza relacionados con la guerra de Rusia contra Ucrania y con la advertencia del presidente Biden de esta semana de que los ciberataques rusos «están al caer».
Lo cual nos lleva a preguntarnos: ¿dónde están los líderes actuales en ciberseguridad?
«La Gran Renuncia está agravando los retos de contratación y retención del personal a los que se enfrenta desde hace años el sector de la ciberseguridad», afirma Jonathan Brandt, director de prácticas profesionales e innovación de ISACA (la Asociación de Auditoría y Control de Sistemas de Información). La asociación internacional de tecnologías de la información ha publicado hoy su octava encuesta anual « : State of Cybersecurity» ( ), en la que han participado más de 2,000 profesionales de la ciberseguridad de todo el mundo.
Los preocupantes resultados hablan por sí solos: más de seis de cada 10 encuestados afirmaron que carecen de personal suficiente. Uno de cada cinco afirmó que se tarda más de seis meses en encontrar un candidato cualificado para contratar.
Como consecuencia, siguen sin cubrirse casi 600,000 puestos de ciberseguridad en EE. UU., según CyberSeek. Miles de empresas corren un mayor riesgo de sufrir ciberataques. De hecho, el 69 % de los encuestados por ISACA que sufrieron algún tipo de ciberataque el año pasado indicaron que carecían de personal suficiente.
Evaluación del déficit de competencias en ciberseguridad
Según los participantes en la encuesta de ISACA, ha resultado difícil encontrar personal cualificado para cubrir el déficit de competencias en ciberseguridad. Algo más de la mitad señaló que a los candidatos les faltaban habilidades interpersonales, entre ellas la comunicación, el pensamiento crítico y la resolución de problemas. Las segundas competencias más demandadas que resultaban escasas eran las relacionadas con la computación en la nube, seguidas de la implementación de controles de seguridad, la programación y el desarrollo de software.
Dada la dificultad para encontrar buenos candidatos, no es de extrañar que muchas empresas hayan recurrido a la captación de profesionales de la ciberseguridad. Casi el 60 % de las empresas afirmaron que la mayoría de los profesionales abandonaban un puesto de trabajo porque habían sido contratados por otra empresa. Las demás razones principales para dejar un empleo durante la pandemia se debían a unos incentivos económicos insuficientes, a unas oportunidades limitadas de ascenso o desarrollo profesional, a unos altos niveles de estrés laboral y a la falta de apoyo por parte de la dirección.
El año pasado, algunas empresas presionaron a sus empleados para que volvieran a la oficina, lo que podría haber provocado que más personas decidieran marcharse. ISACA ha informado de que, este año, un mayor número de encuestados ha señalado las limitadas posibilidades de teletrabajo y las políticas laborales poco flexibles en comparación con el año anterior. ISACA especuló con que la escasez de mano de obra podría aumentar si los empleados abandonan sus puestos de trabajo en busca de horarios más favorables, mientras que las empresas que apoyan el teletrabajo podrían tener una ventaja a la hora de atraer a personal cualificado.
«Existe una gran tensión entre empresarios y trabajadores», afirma Brandt. «Nuestros retos son heridas de bala autoinfligidas».
Y la brecha generacional no hace sino agravar la falta de competencias en materia de ciberseguridad. «Para esta nueva generación, no todo se reduce al sueldo», añade Brandt. «Lo que observamos es que, al final del día, lo que desean es desconectar». «Quieren equilibrio».
Cubrir la falta de personal cualificado en ciberseguridad
En consecuencia, para cubrir la escasez de personal cualificado en ciberseguridad, las empresas están ampliando el abanico de candidatos para incluir a quienes no han obtenido un título universitario. Solo el 52 % de los encuestados afirma que ahora exige un título universitario, lo que supone 6 puntos porcentuales menos que hace un año. Además, el porcentaje de empresas que ofrecen formación multidisciplinar a los empleados actuales interesados en la ciberseguridad se incrementó en un 2 %. Una de las ventajas de la formación polivalente es que los empleados ya cuentan con ciertos conocimientos sobre la empresa y su funcionamiento.
Organizaciones sin ánimo de lucro como , , NPower —que ofrece formación tecnológica a comunidades desfavorecidas— y la Iniciativa de Talento en Ciberseguridad de la —que pone en contacto a profesionales del ámbito de la ciberseguridad con empresas que buscan cubrir puestos en este sector—, constituyen un elemento clave para garantizar la disponibilidad de talento en el futuro.
El número de encuestados que han recurrido a consultores y contratistas para cubrir la escasez de personal en el lugar de trabajo aumentó en 5 puntos porcentuales con respecto al año anterior. Expertos como Rebecca Herold, directora ejecutiva de Privacy and Security Brainiacs, , han declarado recientemente a, , y Endpoint que la ayuda externa da mejores resultados cuando también se forma al personal interno.
Quizás debido a la escasez de trabajadores cualificados, solo el 41 % de los encuestados indicó a ISACA que había llevado a cabo una evaluación de riesgos cibernéticos durante el último año. Las principales razones aducidas para no realizar comprobaciones frecuentes fueron la falta de tiempo, mencionada por el 43 % de los encuestados, y la falta de personal cualificado, mencionada por el 40 %. Según ISACA, es probable que una evaluación al año sea suficiente, teniendo en cuenta la rapidez con la que los piratas informáticos cambian sus métodos de ataque.
[Lea también: Las puntuaciones de riesgo cibernético deberían ser algo más que una simple cifra]
Aunque Brandt afirma que las evaluaciones anuales de riesgos cibernéticos parecen ser la norma, «existe un deseo cada vez mayor de acortar» el tiempo que transcurre entre dichas evaluaciones. Según él, una evaluación suele considerarse una «gran monstruosidad formal». Una alternativa a las evaluaciones generales más frecuentes debería consistir en la búsqueda de amenazas , la eliminación de las malas prácticas y la aplicación de medidas básicas de ciberhigiene .
A pesar de los retos actuales, o quizá precisamente por ellos, Brandt considera que los líderes empresariales y tecnológicos tienen una lección fundamental que aprender. La pandemia y la guerra en Ucrania han puesto de manifiesto que «cada eslabón de la cadena de suministro es vulnerable, todo está sujeto a manipulación». Sabiendo eso, afirma, «debería permitir tomar mejores decisiones en materia de riesgos».
Más recursos para hacer frente a la escasez de personal cualificado en ciberseguridad
3 formas de ayudar a los empleados a combatir el estrés provocado por la pandemia
Para fomentar el compromiso de los empleados, contribuya al bienestar de sus comunidades
Cómo NPower abre caminos hacia la prosperidad
Cómo Code.org está enseñando a programar a los escolares de todo el mundo
