En medio de los despidos generalizados que se han producido en el sector tecnológico durante el último año, hay al menos un rayo de esperanza: los equipos de ciberseguridad no se están viendo tan afectados como se pensaba inicialmente.
Un reciente estudio global titulado « » ( ), elaborado por la organización sin ánimo de lucro (ISC)², ha revelado que, si bien la mitad de los 1,000 altos directivos encuestados tienen muchas probabilidades de aprobar despidos este año, solo el 10 % prevé reducir la plantilla dedicada a la ciberseguridad. Esto se suma a otras señales positivas para los equipos de seguridad: el número total de trabajadores empleados en el ámbito de la ciberseguridad en 2022 se mantuvo relativamente sin cambios con respecto a las estimaciones anteriores, según los datos de « » publicados en enero, y la contratación está aumentando en el sector público en organismos como la Agencia de Seguridad Nacional (NSA), que puso en marcha una campaña de contratación «sin precedentes» para cubrir puestos de ciberseguridad en 2023.
Esto sugiere que los responsables empresariales, tanto del sector privado como del público, son conscientes de que no pueden reducir en exceso la plantilla dedicada a la ciberseguridad, dado el aumento de el ransomware, el suplantación de identidad en el correo electrónico empresarial y otras amenazas persistentes. Sin embargo, los despidos alterarán sin lugar a dudas el panorama de amenazas de , lo que hace que sea aún más importante que los responsables de las empresas actualicen periódicamente sus estrategias de ciberseguridad.
Por ejemplo, es posible que las empresas y los usuarios observen un aumento de los intentos de phishing , que tratan de engañar a los trabajadores para que hagan clic en enlaces peligrosos. Además de las encuestas falsas, los premios y las peticiones de ayuda a para príncipes nigerianos en apuros, los trabajadores despedidos podrían empezar a recibir mensajes de phishing con enlaces que prometen información actualizada sobre las prestaciones de su empresa.
Las organizaciones también pueden verse afectadas negativamente por los empleados «que se quedan atrás», que se sienten desanimados, se preocupan por si serán los siguientes en recibir la carta de despido y pierden productividad, afirma Max Solonski, director de seguridad de la información (CISO) de Hexview, una consultora ejecutiva.
«Cuando las empresas despiden a un número considerable de empleados, la moral de los que se quedan no suele ser muy alta», afirma. «Es posible que, en algunos casos, no les preocupe lo suficiente como para reaccionar ante los problemas, lo que aumenta el riesgo general».
Y lo que es peor, una actitud negativa por parte del personal aumentará el riesgo interno de la empresa, lo que exigirá un nuevo cambio de estrategia en materia de seguridad. Los despidos, aunque no afecten directamente a los equipos de seguridad, siempre tienen sus consecuencias.
El «pequeño secreto a voces» de los despidos en el sector de las tecnologías de la información
Para que quede claro, los responsables de seguridad de la información de y sus equipos no han evitado por completo los despidos, y algunos incluso están suprimiendo equipos de seguridad al completo. Por ejemplo, Patreon, una plataforma de suscripciones para creadores que no había sufrido ninguna brecha de seguridad desde 2015, , despidió a su equipo de ciberseguridad, compuesto por cinco personas, , el pasado mes de septiembre.
»Si se pasa dos años sin medidas de seguridad, sí, se ahorran 20 millones de dólares. Sin embargo, corre usted un riesgo extremadamente elevado de perder mucho más que eso.»Richard Stiennon, analista jefe de investigación de IT-Harvest
«Les garantizo que hay grandes empresas que han despedido a sus responsables de seguridad de la información (CISO) y a su personal de seguridad informática al tiempo que reducían la plantilla de sus organizaciones», afirma Steve Zalewski, antiguo responsable de seguridad de la información de Levi Strauss y fundador de S3 Consulting. «No hacen hincapié en eso. «Es su pequeño y sórdido secreto».
El atractivo de ahorrar algo de dinero a corto plazo es comprensible, pero ese enfoque es «miope», según señala Richard Stiennon, analista jefe de investigación de IT-Harvest.
«Para contar con un buen sistema de seguridad, se necesitan unos 10 millones de dólares al año», afirma Stiennon. «Si se pasa dos años sin medidas de seguridad, sí, se ahorran 20 millones de dólares». «Pero corre usted un riesgo extremadamente elevado de perder mucho más que eso».
De hecho, las empresas podrían darse cuenta de que contar con menos profesionales de la seguridad en su plantilla les hace menos capaces de defenderse frente al tipo de ataques cada vez más sofisticados a los que probablemente se enfrentarán en los próximos años.
«Al disponer de menos recursos, es posible que las organizaciones no puedan mantenerse al día con las últimas actualizaciones y parches de seguridad, lo que aumenta el riesgo de que se aprovechen las vulnerabilidades», afirma George Lamont, director de sistemas de información y fundador de IronNet Cybersecurity. «Los equipos de desarrolladores de software suelen posponer de forma habitual la incorporación de correcciones de seguridad y parches de en la lista de tareas pendientes, lo que supone un riesgo para los sistemas y los productos hasta que se resuelvan».
Afrontar las consecuencias
Los expertos advierten de que las empresas deben hacer todo lo posible por mantener sus niveles de seguridad, especialmente tras los despidos, que transformarán a la empresa tanto a nivel interno como externo. Para prepararse ante esos cambios, a continuación se presentan 5 medidas proactivas que pueden adoptar los responsables empresariales y de seguridad.
Asegúrese de que todos estén en sintonía
Lamont afirma que, cuando la plantilla se ve reducida, es aún más importante garantizar que todas las personas que siguen trabajando en la empresa —desde los departamentos de TI y operaciones hasta los de recursos humanos, jurídico, marketing, atención al cliente y asistencia técnica— estén coordinadas y preparadas para actuar en caso de que se produzca un ciberataque. Esto implica revisar y actualizar sus manuales de respuesta ante incidentes de o , así como elaborar dichos planes si aún no dispone de ellos. Asimismo, recomienda llevar a cabo ejercicios conjuntos de simulación, como los juegos de guerra.
«Una actitud negativa entre el personal que permanece en la empresa tras un recorte de plantilla aumenta el riesgo interno, lo que exige un nuevo cambio de estrategia en materia de seguridad».
«En numerosas ocasiones, durante un ejercicio de simulación de ciberseguridad (TTX), se descubre que han cambiado los nombres y las cadenas de comunicación del personal clave», afirma Lamont. «No le conviene pasar por eso en un evento del mundo real».
automatizar
Si hay menos personal para ocuparse de las cuestiones de seguridad, la automatización de las tareas esenciales no será una opción, sino una necesidad. La automatización de la seguridad, que en su día se consideró el santo grial y no gozaba de gran popularidad, está viviendo ahora un renacimiento.
[Read also: A security automation playbook for 2023]
Las herramientas de automatización de la seguridad pueden ayudar a reducir los riesgos inmediatos y a aliviar la carga de trabajo de los empleados agotados y de los equipos de TI que sufren una falta crónica de personal. Los sistemas de gestión convergente de terminales, por ejemplo, permiten la automatización de principio a fin gracias al acceso a datos en tiempo real. La centralización y la automatización de la gestión de identidades —que a menudo se encuentra fragmentada en las distintas unidades de negocio— pueden contribuir a garantizar que los usuarios y los dispositivos solo tengan acceso a aquellos recursos y datos adecuados a los que tienen derecho.
Consolidar
Ante las difíciles consideraciones presupuestarias, los responsables deben eliminar los conjuntos de herramientas redundantes e innecesarios. Con demasiada frecuencia, las organizaciones piensan que la solución a un problema que sus herramientas actuales no logran resolver consiste en añadir más elementos a la ecuación.
Lamentablemente, esto da lugar a una proliferación de herramientas, en la que un número abrumador de soluciones puntuales conlleva un aumento de los costes, la complejidad y el riesgo cibernético. Según algunos expertos, disponer de una única plataforma autorizada para gestionar múltiples funciones es la solución más eficiente y viable.
Contratar, contratar, contratar
Aunque pueda parecer contradictorio para una empresa que ha estado despidiendo personal, es probable que en estos momentos haya más profesionales de la seguridad en busca de empleo que en los últimos años. Y si tenemos en cuenta que, según , hay más de 3.4 millones de puestos de trabajo en ciberseguridad sin cubrir, según otro estudio de (ISC)², esto supone una oportunidad sin igual. Del mismo modo que los inversores inmobiliarios encuentran oportunidades en los mercados a la baja, los empresarios con visión de futuro pueden descubrir auténticas joyas de talento ocultas en esta economía tan convulsa.
Se trata de una medida especialmente prudente para los responsables de seguridad del sector público. Según la Oficina de Gestión de Personal, el Gobierno federal tiene previsto cubrir más de 22,000 puestos en el ámbito tecnológico este año, entre ellos los de la NSA y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), que el año pasado incorporó a cientos de personas a su plantilla y tiene previsto contratar a aún más en 2023.
Muchas agencias estatales y locales también están reforzando la plantilla de los nuevos programas de ciberseguridad a escala estatal, utilizando los 1.000 millones de dólares de fondos destinados a la ciberseguridad que se han reservado en el proyecto de ley de infraestructuras del presidente Biden.
Considere la posibilidad de recurrir a servicios de asistencia de terceros
A menudo, como puede haber ocurrido en el caso de Patreon, las empresas que han reducido su plantilla se dan cuenta de que carecen de los conocimientos técnicos internos necesarios para reforzar su seguridad, por lo que recurren a proveedores de servicios de seguridad gestionados (MSSP) en busca de ayuda. Stiennon afirma que se trata de un enfoque inteligente para muchas empresas.
«Hay cientos, si no miles, de buenos MSSP que estarían más que encantados de hacerse cargo de eso por usted», afirma. «Supondría un aumento neto de los gastos, ya que aún debe hacer frente a las indemnizaciones por despido y a los pagos de COBRA correspondientes a los empleados a los que acaba de despedir». «Pero estaría cubierto en materia de ciberseguridad».
