Un tuit reciente de Jen Easterly, directora de la principal agencia de ciberseguridad de Estados Unidos, no solo constituye una campaña de contratación a gran escala, sino que también es una señal de que el Gobierno necesita ayuda con carácter de urgencia.
«Únase a nuestro equipo», afirma la publicación de al son de música rock a todo volumen. «Usted es la pieza que faltaba», reza el mensaje, mientras la última pieza de un cubo de Rubik encaja en su sitio para mostrar el logotipo de su agencia. Easterly (@CISAJen), directora de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras, afirma en su tuit que, de no ser por su curiosidad y su «pasión por los rompecabezas», quizá no habría descubierto su vocación profesional.
El Gobierno necesita urgentemente más personas como ella. Hay más de 36,000 puestos vacantes en el sector público relacionados con la ciberseguridad, según los datos de recopilados por CyberSeek, un proyecto de contratación en el ámbito de la ciberseguridad adscrito al Departamento de Comercio. El verano pasado, el Departamento de Seguridad Nacional estimó que había unos 1,700 puestos de trabajo que debía cubrir solo en su propia agencia.
Si bien en el sector privado siempre ha existido una brecha en las competencias tecnológicas, la creciente escasez de personal en la administración pública supone un riesgo para la campaña de ciberseguridad de gran repercusión de la administración Biden, « » ( ), así como para la integridad de la seguridad nacional. Esta cuestión cobró mayor urgencia el November 3rd , cuando la Administración publicó una directiva de ciberseguridad de amplio alcance , en la que ordenaba a casi todos los organismos federales que corrigieran cientos de vulnerabilidades consideradas riesgos importantes de intrusión y daños en las redes federales.
«Hace cinco años ya sabíamos que, para tener éxito, necesitábamos incorporar a decenas de miles de nuevos profesionales de la ciberseguridad al Gobierno de Estados Unidos», afirma Ari Schwartz, antiguo director sénior de ciberseguridad en la Casa Blanca durante la presidencia de Obama. «Dado que la rotación de personal sigue siendo elevada, estamos llegando a un punto crítico en el que el Gobierno de EE. UU. simplemente no cuenta con el talento que necesita», afirma Schwartz, director general de servicios de ciberseguridad en Venable, una firma de servicios jurídicos y de asesoramiento empresarial.
El Gobierno se enfrenta a múltiples retos a la hora de intentar contratar y retener a los profesionales del sector de la tecnología de seguridad. Estos retos —la remuneración, la financiación, los recursos y las condiciones laborales— no son exclusivos del sector público. Se están convirtiendo en « » cada vez más empedernidos, en un contexto laboral en el que los trabajadores se muestran cada vez más dispuestos a abandonar sus carreras a medida que la pandemia se prolonga. En agosto, según un informe de
, 4.3 millones de empleados estadounidenses abandonaron sus puestos de trabajo, y en la actualidad hay casi 465,000 puestos vacantes en el ámbito de la ciberseguridad, tanto en el sector público como en el privado, en todo el país, según CyberSeek.
Límite superior
El principal reto al que se enfrenta el Gobierno a la hora de contratar a profesionales cualificados en ciberseguridad es la remuneración. Los profesionales del sector tecnológico pueden llegar a ganar hasta un 50 % más en el sector privado que en la función pública, afirma John Bambenek, experto en ciberseguridad de Netenrich, empresa que presta servicios de detección de amenazas cibernéticas.
En el sector público, a menudo existe también un límite máximo salarial incluso para los empleados con mejor rendimiento, lo cual (por supuesto) no ocurre en el sector privado. En los puestos de la administración pública, «llega un momento en el que es necesario ser un cargo político», afirma.
«. Dado que la rotación sigue siendo elevada, nos estamos acercando a un punto crítico.»Ari Schwartz, antiguo director sénior de ciberseguridad en la Casa Blanca de Obama
A nivel estatal, la cuestión salarial puede ser aún más importante. Según CyberSeek, los estados necesitaban cubrir 9,000 puestos de trabajo en el ámbito de la ciberseguridad el verano pasado. El año pasado, el salario medio anual de un empleado especializado en ciberseguridad de la administración local o estatal fue de unos 95,412 dólares, lo que supone unos 25,000 dólares menos que el salario de la administración federal.
«Se necesitará un poco de ingenio para hacer frente a la realidad de que resulta simplemente más lucrativo dejar la administración pública para pasar al sector privado», afirma Bambenek.
Para Quentin Hodgson, investigador sénior en ciberseguridad de Rand, una consultora de investigación sin ánimo de lucro, la decisión de abandonar la administración pública suele deberse a que los trabajadores ya no pueden más. Una de las principales frustraciones tiene que ver con los recursos y la financiación, afirma.
En el vertiginoso mundo de la tecnología, es muy fácil quedarse atrás. Los límites de financiación y los retrasos en la dotación de recursos pueden provocar rápidamente que los sistemas queden obsoletos. Un ámbito que reviste una importancia cada vez mayor para la implantación de una ciberdefensa sólida en el sector privado es la práctica emergente denominada « » (DevSecOps), , una estrategia que integra a los equipos de seguridad en los proyectos de desarrollo de software desde el principio. Esto, a su vez, les permite detectar posibles vulnerabilidades de la red antes de que dichos proyectos hayan avanzado demasiado. Los expertos afirman que la ciberseguridad gubernamental va muy a la zaga en la adopción de esta práctica.
La falta de inversión en ciberseguridad está aumentando el riesgo para los organismos públicos: el riesgo de sufrir ataques informáticos, de que se filtren datos confidenciales y de que se interrumpa el funcionamiento de las redes. Las administraciones locales se enfrentan a una amenaza : alrededor del 25 % afirma que se producen intentos de intrusión cada hora y el 14 % denuncia un intento cada día, según una encuesta 2020 realizada por la Asociación Internacional de Gestión de Ciudades y Condados.
«La gente se siente frustrada por la burocracia, los trámites y la falta de recursos», afirma Hodgson. «Tienen la sensación de que no disponen de los recursos necesarios para desempeñar su trabajo». «Y tienen la sensación de que todo el mundo les ignora como profesionales de la ciberseguridad hasta que algo sale mal, y entonces empiezan a acosarles preguntándoles por qué».
Agotado
Muchos profesionales de la ciberseguridad del sector público sufren agotamiento . «Si se analizan las razones por las que la gente abandona su puesto, históricamente esto se ha asociado, en general, al agotamiento», afirma J. Michael Daniel, exresponsable de ciberseguridad del expresidente Obama. «Para cualquiera que se dedique a la ciberseguridad durante la pandemia, es muy probable que la situación no haya hecho más que empeorar, debido a las exigencias del teletrabajo y a las de una plantilla híbrida».
A todo ello se suma un proceso de contratación engorroso. El Gobierno federal suele realizar exhaustivas comprobaciones de antecedentes, una práctica que puede disuadir a los trabajadores, dado que las empresas privadas rara vez exigen este tipo de comprobaciones. Además, si un solicitante tiene antecedentes relacionados con las drogas, aunque sean leves y se remonten a la época del instituto o la universidad, por lo general se le prohíbe trabajar para la Administración.
Los expertos del sector también señalan la necesidad de considerar a los jóvenes talentos desde una perspectiva diferente. Daniel, que actualmente ocupa el cargo de presidente y director ejecutivo de la Cyber Threat Alliance, una asociación sin ánimo de lucro dedicada a la ciberseguridad, afirma que algunas exigencias en materia de formación son innecesarias.
«¿Estamos imponiendo requisitos arbitrarios que ahuyentan a la gente?», se pregunta. «¿Exigen títulos de máster cuando en realidad no es necesario tener uno?»
Consciente de esta cuestión concreta, el secretario del DHS, Alejandro Mayorkas, puso en marcha un «Programa de Excelencia», que incluye una iniciativa destinada a captar a recién titulados en ámbitos relacionados con la ciberseguridad para que participen en un curso de desarrollo profesional de un año de duración. Las personas que completen el programa podrán optar a puestos de ciberseguridad a tiempo completo en el departamento.
Robert Spalding, un general de brigada retirado de la Fuerza Aérea que ocupó un cargo como funcionario de defensa en Pekín, afirma que abandonó el ejército tras hartarse de utilizar sistemas obsoletos en los bombarderos furtivos B-2. Afirma que la falta de personal cualificado y de infraestructuras por parte del Gobierno en materia de ciberseguridad y tecnología de defensa ha alcanzado un punto crítico.
«No solo nos encontramos en una situación de crisis, sino que llevamos ya un tiempo en ella sin que se vislumbre ninguna reforma», afirma.
Para abordar esta cuestión, Spalding considera que el Gobierno debería reducir el gasto en defensa destinado a armamento y centrarse, en su lugar, en la inversión y la contratación en los sectores de las infraestructuras, la industria manufacturera, la tecnología y la educación en ciencias, tecnología, ingeniería y matemáticas (STEM).
Ayuda del sector privado
A medida que han ido aumentando los retos a los que se enfrenta el Gobierno a la hora de contratar personal especializado en tecnología y reforzar sus defensas cibernéticas, han prosperado los servicios de ciberseguridad que el sector privado presta a los organismos públicos. «El sector privado está haciendo prácticamente todo por el Gobierno», afirma Schwartz, ya que proporciona tanto productos de ciberseguridad como personal. Y estas empresas están dirigidas por antiguos empleados del sector tecnológico del Gobierno y por titulados en tecnologías de la información que quizá hubieran considerado anteriormente una carrera en el sector público, afirma.
Las empresas privadas ofrecen servicios cibernéticos básicos: pruebas de penetración, auditorías de seguridad de hardware, auditorías de parches de software, seguridad de pasarelas de pago y servicios de autenticación y cifrado de datos, afirma Ken Bodnar, especialista en transformación de datos.
«Como mínimo, la mayoría de los organismos federales utilizan tecnología y herramientas del sector privado, como cortafuegos, sistemas de gestión de redes, filtrado de correo electrónico y supervisión», afirma el exresponsable de ciberseguridad Daniel. «Lo que varía de una agencia a otra es la combinación de servicios de ciberseguridad prestados por personal propio, por contratistas y por terceros». «Las agencias más grandes y con mayor capacidad técnica realizan más tareas internamente».
Los servicios y herramientas privados deben garantizar que la seguridad de las redes gubernamentales sea sólida y ofrezca una capacidad de detección proactiva de amenazas. Por ejemplo, estas herramientas deberían permitir a las agencias catalogar su red y su inventario de activos , de modo que sepan exactamente dónde se almacenan los datos confidenciales. Asimismo, deberían aplicar prácticas de «cero confianza» y, a ser posible, disponer de una plataforma de detección proactiva de amenazas , además de implementar una gestión automatizada de parches y una supervisión automatizada del software .
De hecho, la automatización de las tareas tediosas —que son más numerosas en el sector público— constituye un reto clave al que se enfrentan los organismos públicos. Mientras que el sector privado aporta constantemente recursos y se esfuerza por reducir las ineficiencias que pueden provocar pérdidas de ingresos, el sector público no persigue ese mismo objetivo. En cambio, sus factores impulsores son la transformación digital, la satisfacción de los ciudadanos y la seguridad nacional.
La falta de automatización también explica por qué resulta más difícil cubrir los puestos de trabajo relacionados con la ciberseguridad en el sector público. Existen docenas de procesos manuales que llevan a cabo los empleados públicos y que sus homólogos del sector privado quizá no realicen. Entre ellas pueden figurar la aplicación manual de parches en distintos sistemas operativos, la creación y la aplicación de normas de cumplimiento en todos los terminales, el uso de múltiples herramientas heredadas y obsoletas, y la combinación manual de los datos de todas ellas de forma que faciliten una rápida toma de decisiones.
El futuro cifrado
Según Bodnar, el cifrado será la próxima frontera del sector público para las empresas tecnológicas. Entre las áreas de desarrollo se encuentran: el cifrado homomórfico, que permite modificar datos cifrados sin necesidad de descifrarlos; las pruebas de conocimiento cero, que permiten a una parte demostrar a otra que una afirmación es cierta sin revelar ninguna información; y la eIDV (verificación electrónica de la identidad), que utiliza fuentes de datos públicas y privadas para identificar a las personas.
Por su parte, Spalding está poniendo en marcha actualmente una iniciativa para ofrecer a los organismos públicos soluciones tecnológicas cifradas en el ámbito de la defensa.
En todo el país, siguen sin cubrirse puestos vacantes en el ámbito de la ciberseguridad pública, con descripciones de puesto y niveles jerárquicos muy diversos. Los expertos afirman que el Gobierno debe apostar por un sentido de la misión para aumentar la contratación, mejorar sus capacidades en materia de ciberseguridad y mantenerse al día de las innovaciones en este ámbito. En los puestos de alta dirección, los empleos en el ámbito de la ciberseguridad en el sector público pueden parecer más significativos que los de la empresa privada, y el Gobierno debería aprovechar eso, afirma Daniel.
«Tiene la capacidad de influir directamente en los resultados de las políticas y de participar en negociaciones internacionales y cosas por el estilo», afirma. «En el sector privado no siempre se consigue eso».
La última palabra debería corresponder a Michael Hamilton, antiguo director de seguridad de la información (CISO) de la ciudad de Seattle. «Las administraciones locales se encargan de que los inodoros funcionen y de que el agua sea apta para el consumo, y los ciberdelincuentes pueden paralizar fácilmente todo eso», afirma Hamilton, fundador del proyecto «Public Infrastructure Security Cyber Education System» (PISCES), que pone en contacto a estudiantes de ciberseguridad de con las administraciones locales. «Se trata de puestos de ciberseguridad de vital importancia, pero a menudo se excluye a las personas de estos puestos porque la remuneración no es competitiva».
