Black Hat USA 2022: Burnout, un tema importante

El debate sobre las cuestiones de recursos dentro del sector de la ciberseguridad no es un fenómeno nuevo; de acuerdo a Empresas de ciberseguridad, el número de puestos de ciberseguridad vacantes en todo el mundo creció un 350 % entre 2013 y 2021, de 1 millón a 3.5 millones. El artículo desglosa aún más este número, estimando que hay 1 millón de trabajadores de ciberseguridad en los EE. UU. y, a partir de noviembre de 2021, alrededor de 715,000 puestos adicionales sin cubrir. Estos números cuentan la historia de un problema de recursos; también cuentan la historia de una industria que actualmente funciona con aproximadamente dos tercios de los recursos que necesita.

Me llamó la atención una presentación en el programa Black Hat US 2022 de Stacy Rioux, Ph. D. Clinical and Organizational/Business Psychology:Tratando de ser todo para todos: hablemos sobre el agotamiento. Cuando hay una escasez tan grande de talento en la industria de la ciberseguridad, aquellos que están en primera línea son potencialmente propensos a sufrir agotamiento. Supuse que la presentación profundizaría en el estrés que sufren los equipos de seguridad cibernética utilizando estudios de casos y ejemplos específicos, y luego cómo reconocer la existencia del problema y los pasos que pueden ayudar a aliviar el dolor que alguien sufre. Desafortunadamente, la presentación fue escasa en ejemplos y fue más una presentación sobre el tema del agotamiento, en lugar de identificarlo y mitigarlo en entornos de seguridad cibernética.

Los signos de agotamiento son extremadamente importantes para detectar, y algunos de los signos reveladores presentados incluyen cansancio, cinismo, no disfrutar del trabajo y posiblemente beber o comer demasiado, no necesariamente hasta el punto de la adicción, sino como una medida de comodidad. Dos –quizás tres– de los cuatro son probablemente identificables en casi todos los asistentes de Black Hat: cansancio debido a la cultura de fiesta de Las Vegas, beber demasiado, es Las Vegas y, por último, el cinismo, parece ser un requisito laboral en la industria de la ciberseguridad. están condicionados a confiar en nada y verificar todo.

En una nota más seria, este es un tema extremadamente importante, y algo que todas las empresas, grandes y pequeñas, deben conocer y abordar. La definición de agotamiento presentada por Stacy es "El agotamiento ocupacional se define clínicamente como un síndrome psicológico que ocurre debido a factores estresantes emocionales e interpersonales crónicos en el trabajo" y "interpersonal" se explica como "relacionado con las relaciones o la comunicación entre personas".

Los identificadores de agotamiento cubiertos en la presentación y que se relacionan específicamente con la ciberseguridad fueron:

• Altos niveles de carga de trabajo mental.
• Anticipación de ciberataques
• Escasez de personal y aumento de la carga de trabajo
• Luchas para encontrar su lugar dentro de una organización.
• El trabajo a menudo no es apreciado en la organización.

Existen estrategias que pueden ayudar a lidiar con el agotamiento, y recomiendo tomarse el tiempo para investigarlas para obtener una mayor comprensión. Un departamento o profesional de recursos humanos competente debe ser capaz de encaminar a los empleados por el camino correcto o proporcionar algún material de lectura sólido sobre el tema.

El problema, en mi opinión, es una combinación debido a la falta de personas talentosas y experimentadas, la transformación digital acelerada que hemos presenciado en los últimos dos años y el aluvión interminable de ataques cibernéticos que los equipos de seguridad cibernética deben enfrentar. El final de esta escasez está a la vista; ¡si eso fuera cierto! Muchas empresas requieren que los candidatos estén educados a nivel de grado, tengan un título de ciberseguridad reconocido en la industria. calificación como CISSP y tener de 3 a 5 años de experiencia. Estos requisitos son potencialmente, al menos un contribuyente, los culpables de los puestos de seguridad cibernética vacantes.

Los empleadores deben reducir sus requisitos de credenciales o educación para los trabajos de seguridad cibernética y obtener algunos de los menos experimentados pero interesados ​​​​y entusiastas en el lugar de trabajo para que obtengan esa experiencia y se conviertan en el talento experto necesario para defenderse contra los ataques del futuro. También es imperativo, en mi opinión, que la seguridad cibernética se incorpore a todos los temas del plan de estudios en el sistema educativo en la escuela secundaria o antes. Hablamos de la necesidad de que la seguridad cibernética se considere en todas las partes del diseño del producto, en cada parte de un proceso comercial y similares, por lo que probablemente pertenezca a todos los temas que se enseñan en el aula. Incluso las lecciones sobre talentos creativos como el arte se beneficiarían al proporcionar una comprensión de cómo asegurar un NFT: hay muy pocos temas que no se beneficiarían de una comprensión y apreciación de la seguridad cibernética.

Con suerte, normalizar la ciberseguridad de esta manera evitaría la escasez de talento mañana y, lo que es más importante, el agotamiento de quienes eligen una carrera en ciberseguridad.