A Petra Vukmirovic le gusta arreglar cosas. Por eso se convirtió, en un principio, en médica de urgencias. Sin embargo, anhelaba más creatividad en su trabajo, en un momento de la pandemia en el que muchas personas se estaban replanteando sus decisiones vitales.
«Intenté averiguar en qué ámbito mis conocimientos médicos resultaran más aplicables, y acabé decantándome por la ciberseguridad», afirma Vukmirovic. Actualmente trabaja como ingeniera sénior de ciberseguridad en Zava, una empresa de salud digital con sede en Londres.
«En ambas profesiones hay que resolver muchos problemas y realizar un trabajo de investigación e », afirmó en una entrevista con Endpoint. «Me gusta arreglar cosas, y he descubierto que la tecnología es el ámbito perfecto para ello».
La creciente escasez de profesionales especializados en ciberseguridad está obligando al sector a buscar a más personas que cambian de trayectoria profesional, como Vukmirovic, para hacer frente al intenso aumento de los ataques de ransomware y otros ciberataques. La escasez de mano de obra en el sector de la ciberseguridad, un problema que desde hace tiempo resulta preocupante y urgente, ha llevado a los responsables de seguridad y tecnología a recurrir a fuentes de talento y estrategias no tradicionales para hacer frente a la falta de trabajadores. Además, están eliminando los requisitos de titulación y actualizando los perfiles de contratación tradicionales para cubrir las vacantes.
«Para reducir la escasez de personal en el ámbito de la ciberseguridad, debemos ampliar la reserva de talento y eliminar las barreras de acceso, dejando de lado una mentalidad que antepone la tecnología y centrándonos, en su lugar, en las sólidas competencias no técnicas que son necesarias para tener éxito en la ciberseguridad», afirma Clar Rosso, director ejecutivo de la organización de formación International Information System Security Certification Consortium, o (ISC)². «Los profesionales de la ciberseguridad consideran que una gran capacidad para resolver problemas; la curiosidad y el afán por aprender; unas sólidas habilidades de comunicación; y el pensamiento estratégico son tan importantes como —o [incluso] más importantes que— las certificaciones y la experiencia relevante en ciberseguridad».
Ampliar la reserva de personal especializado en ciberseguridad
(ISC)² estimó en su último estudio anual sobre el personal dedicado a la ciberseguridad, titulado « » ( ), que se necesitan unos 2.7 millones de profesionales de la ciberseguridad adicionales en todo el mundo. La organización estima que la plantilla mundial dedicada a la ciberseguridad debe crecer un 65 % para defender de forma eficaz los activos críticos.
«. Debemos ampliar la reserva de talento buscando aquellas habilidades no técnicas sólidas que son necesarias para tener éxito en el ámbito de la ciberseguridad.»Clar Rosso, director ejecutivo de (ISC)²
Una encuesta reciente de Deloitte titulada « » ( ) aporta nuevas pruebas de que la competencia por el talento en ciberseguridad sigue siendo feroz, especialmente en EE. UU., donde el 31 % de los ejecutivos encuestados afirma que sus organizaciones a menudo no logran contratar ni retener a profesionales de la ciberseguridad. Solo aproximadamente la mitad (16 %) de los directivos no estadounidenses afirman que se enfrentan a los mismos retos en materia de contratación y retención.
Del mismo modo, un tercio de los participantes en una encuesta de Tanium afirmó que la falta de personal cualificado en ciberseguridad dentro de la propia empresa constituía uno de los principales retos para las operaciones de seguridad. El problema es especialmente grave en el ámbito gubernamental. Incluso los CISO de « » son escasos. CyberSeek ha creado un mapa interactivo de Estados Unidos para ayudar a visualizar las carencias.
La neurodiversidad en el ámbito laboral
Con el fin de encontrar nuevas y abundantes fuentes de talento, las empresas se están centrando en contratar a un mayor número de trabajadores no tradicionales para el sector de la ciberseguridad, incluidas las personas con «neurodiversidad» que padecen trastornos como el autismo, el trastorno por déficit de atención con hiperactividad (TDAH) y la dislexia. Según los investigadores, los empleados con neurodiversidad suelen destacar en la evaluación de riesgos cibernéticos y en el análisis de actividades sospechosas en Internet, gracias a rasgos como la hiperconcentración, la precisión, la perseverancia y la capacidad para identificar patrones.
La consultora Ernst & Young triplicó con creces su plantilla de personas neurodivergentes a nivel mundial durante la pandemia. En 2021, EY creó en Boston un equipo neurodiverso compuesto por 10 personas que se centró en la ciberseguridad y otras áreas, como parte de sus Centros de Excelencia Neurodiversos. A principios de 2022, la empresa contaba con más de 300 empleados con neurodiversidad en todo el mundo.
[Lea también: La próxima generación de la ciberseguridad]
Otro importante grupo de talentos lo constituyen los antiguos miembros de las Fuerzas Armadas, que suelen contar con una sólida formación técnica, operativa y en materia de seguridad. Los CISO también están reciclando al personal de seguridad ya existente, así como contratando a profesionales de las tecnologías de la información y formándolos en ciberseguridad. Han recurrido a ámbitos tan diversos como la contabilidad, la auditoría y la gestión del control de calidad, y se han dirigido a grupos infrarrepresentados, como las mujeres y las personas de color. En ocasiones, buscan a personas como Vukmirovic, que dan el salto desde ámbitos que, a primera vista, podrían parecer ajenos a este campo.
Ampliar el ámbito de actuación de los profesionales de la ciberseguridad
El sector de la ciberseguridad ha sido objeto de críticas por imponer requisitos poco realistas en los puestos de trabajo de nivel inicial. Algunos empleadores siguen exigiendo titulaciones profesionales y títulos de posgrado cuya obtención lleva años. Por ejemplo, en una oferta de empleo para un puesto de analista junior en un centro de operaciones de seguridad de un importante banco se exigía una titulación universitaria, al menos cuatro años de experiencia en técnicas avanzadas y certificados profesionales.
(ISC)² ha comunicado a Endpoint que está llevando a cabo una prueba piloto de una certificación de ciberseguridad de nivel básico, destinada a ayudar a quienes desean reorientar su carrera hacia la ciberseguridad y a los jóvenes profesionales a demostrar a las empresas que cuentan con las competencias básicas y las cualidades personales necesarias para desarrollar una carrera en este ámbito. La certificación también puede ser utilizada por profesionales que necesiten demostrar que conocen las mejores prácticas en materia de ciberseguridad. Por ejemplo, si la SEC aprueba las normas propuestas según las cuales las empresas que cotizan en bolsa deben contar con expertos en ciberseguridad en su consejo de administración, dicha certificación podría servir para verificar los conocimientos de los miembros del consejo.
Otra forma en que las empresas están ampliando sus criterios de contratación es dejando de exigir que los trabajadores trabajen presencialmente. Este ha sido un problema clave en materia de contratación y retención de personal durante la era del trabajo híbrido.
La ciberseguridad como carrera profesional al servicio de la comunidad
Ann Cleaveland, directora ejecutiva del Centro « » para la Ciberseguridad a Largo Plazo de la Universidad de California en Berkeley, afirma que las carreras profesionales en ciberseguridad pueden promocionarse entre los jóvenes trabajadores que buscan una forma de marcar la diferencia en el mundo. «La ciberseguridad está relacionada con el servicio público y con el servicio a las comunidades», afirma. «Sería de gran ayuda que el público lo considerara más bien como un trabajo que, en algunos aspectos, se asemeja al de un profesional sanitario, en lugar del estereotipo de un hacker con sudadera con capucha sentado en algún rincón». «Eso hace que la misión tenga un impacto mucho mayor en personas de muy distintos perfiles».
«[Piense en ello] más bien como un profesional sanitario, en lugar del estereotipo de un hacker con sudadera con capucha.»Ann Cleaveland, directora ejecutiva del Centro para la Ciberseguridad a Largo Plazo de la Universidad de California en Berkeley
El CTLC está trabajando para crear una red internacional de centros en universidades que cuente con la participación tanto de los departamentos de informática como de estudiantes de carreras no técnicas, con el fin de inculcar en los estudiantes un sentido de la misión y ayudarles a conseguir puestos de trabajo en el ámbito de la ciberseguridad en organizaciones sin ánimo de lucro y otras entidades dedicadas a causas benéficas. «Es necesario que la ciberseguridad resulte más atractiva para un mayor número de estudiantes de distintos ámbitos académicos», afirma Cleaveland.
Ampliar el alcance de este campo a más disciplinas académicas «significa que los clientes obtienen una mejor ciberseguridad e incluso asistencia técnica», añade Cleaveland. «Hemos acabado atrayendo a estudiantes de la facultad de Derecho, de la escuela de políticas públicas y de salud pública: personas que quizá nunca hubieran considerado la ciberseguridad como una vía profesional interesante para ellas».
Rachael Cornejo recibió su formación en ciberseguridad a través de la «Citizen Clinic» del CTLC, una iniciativa de seguridad digital que se define a sí misma como una iniciativa de interés público. En la Universidad de California en Berkeley, la señorita Cornejo pensaba que quería dedicarse al periodismo, pero luego descubrió que le interesaba más la defensa de causas y la promoción del cambio. Gracias a su formación, tras graduarse pudo conseguir un puesto de trabajo como consultora de ciberseguridad en Deloitte.
[Lea también: Reducir la brecha de género en la ciberseguridad nos proporcionará mayor seguridad]
Como estudiante de humanidades y ciencias sociales, la Sra. Cornejo afirmó que lo que más le sorprendió fue que su carrera en ciberseguridad requiriera menos conocimientos técnicos de lo que había esperado. «La piratería informática se basa en la ciencia pura, pero eso no es más que una pequeña parte de la ciberseguridad», afirma. «En realidad, se trata de una disciplina mucho más cualitativa».
La Sra. Cornejo recurre a sus habilidades interpersonales para entrevistar a personas sobre los riesgos, con el fin de ayudar a priorizarlos y elaborar una evaluación de riesgos « » (). «Básicamente, se trata de meterse en la mente de los piratas informáticos», afirma. «Eso puede resultar divertido y gratificante».
