Black Hat USA 2022: Kelelahan, masalah penting

Diskusi tentang masalah sumber daya dalam sektor keamanan siber bukanlah fenomena baru; berdasarkan Usaha Cybersecurity, jumlah posisi keamanan siber yang tidak terisi di seluruh dunia tumbuh 350% antara tahun 2013 dan 2021, dari 1 juta menjadi 3.5 juta. Artikel tersebut memecah jumlah ini lebih jauh, memperkirakan bahwa ada 1 juta pekerja keamanan siber di AS dan pada November 2021 sekitar 715,000 posisi tambahan yang tidak terisi. Angka-angka ini menceritakan kisah masalah sumber daya; mereka juga menceritakan kisah sebuah industri yang saat ini menjalankan sekitar dua pertiga dari sumber daya yang dibutuhkannya.

Presentasi dalam jadwal Black Hat US 2022 oleh Stacy Rioux, Ph. D. Psikologi Klinis dan Organisasi/Bisnis menarik perhatian saya –Mencoba Menjadi Segalanya untuk Semua Orang: Mari Bicara Tentang Kelelahan. Ketika ada kekurangan bakat yang sangat besar di industri keamanan siber, mereka yang berada di garis depan berpotensi rentan mengalami kelelahan. Asumsi saya adalah bahwa presentasi tersebut akan menyelami lebih dalam tekanan yang dialami tim keamanan siber menggunakan studi kasus dan contoh spesifik, dan kemudian bagaimana mengenali keberadaan masalah dan langkah-langkah yang dapat membantu meringankan rasa sakit seseorang jika menderita. Sayangnya, presentasi tersebut merupakan contoh yang ringan, dan lebih merupakan presentasi tentang masalah burnout, daripada mengidentifikasi dan menguranginya dalam pengaturan keamanan siber.

Tanda-tanda kelelahan sangat penting untuk dikenali, dan beberapa tanda yang ditunjukkan termasuk kelelahan, sinisme, tidak menikmati pekerjaan dan mungkin minum atau makan terlalu banyak, tidak harus sampai pada titik kecanduan tetapi sebagai ukuran kenyamanan. Dua –mungkin tiga– dari empat mungkin dapat diidentifikasi di hampir semua peserta Black Hat: kelelahan karena budaya pesta Vegas, minum terlalu banyak, ini Vegas, dan terakhir, sinisme, tampaknya menjadi persyaratan pekerjaan di industri keamanan siber – kami dikondisikan untuk tidak mempercayai apa pun dan memverifikasi semuanya.

Pada catatan yang lebih serius, ini adalah masalah yang sangat penting, dan sesuatu yang harus diperhatikan dan ditangani oleh semua perusahaan besar dan kecil. Definisi burnout yang dikemukakan oleh Stacy adalah “Occupational burnout secara klinis didefinisikan sebagai sindrom psikologis yang terjadi karena stres emosional dan interpersonal kronis di tempat kerja” dengan “interpersonal” dijelaskan sebagai “berkaitan dengan hubungan atau komunikasi antar orang”.

Pengidentifikasi burnout yang tercakup dalam presentasi dan yang terkait secara khusus dengan keamanan siber, adalah:

• Beban kerja mental tingkat tinggi
• Antisipasi serangan siber
• Kekurangan staf dan peningkatan beban kerja
• Perjuangan untuk menemukan tempat seseorang dalam sebuah organisasi
• Pekerjaan sering tidak dihargai dalam organisasi

Ada strategi yang dapat membantu mengatasi kelelahan, dan saya sarankan meluangkan waktu untuk menelitinya untuk mendapatkan pemahaman yang lebih baik. Sebuah departemen sumber daya manusia atau profesional yang kompeten harus dapat menempatkan karyawan di jalur yang benar atau memberikan beberapa bahan bacaan yang bagus tentang topik tersebut.

Masalahnya, menurut saya, adalah kombinasi karena kurangnya orang-orang berbakat yang berpengalaman, transformasi digital yang dipercepat yang telah kita saksikan dalam dua tahun terakhir dan rentetan serangan siber yang tidak pernah berakhir yang harus dihadapi oleh tim keamanan siber. Akhir dari kekurangan ini sudah di depan mata; andai saja itu benar! Banyak perusahaan membutuhkan kandidat untuk dididik hingga tingkat sarjana, memiliki keamanan siber yang diakui industri kualifikasi seperti CISSP dan memiliki pengalaman 3-5 tahun. Persyaratan ini berpotensi, setidaknya menjadi kontributor, untuk disalahkan atas posisi keamanan siber yang tidak terisi.

Pengusaha perlu menurunkan kredensial atau persyaratan pendidikan mereka untuk pekerjaan keamanan siber dan mendapatkan beberapa yang kurang berpengalaman tetapi tertarik dan tertarik ke tempat kerja agar mereka mendapatkan pengalaman itu dan menjadi bakat ahli yang dibutuhkan untuk bertahan melawan serangan di masa depan. Menurut pendapat saya, penting juga bahwa keamanan siber dimasukkan ke dalam semua topik kurikulum dalam sistem pendidikan di sekolah menengah atas atau yang lebih muda. Kami berbicara tentang perlunya keamanan siber untuk dipertimbangkan di semua bagian desain produk, di setiap bagian dari proses bisnis dan semacamnya, jadi mungkin itu termasuk dalam setiap topik yang diajarkan di kelas. Bahkan pelajaran dalam bakat kreatif seperti seni akan bermanfaat dengan memberikan pemahaman tentang cara mengamankan NFT: ada sangat sedikit topik yang tidak akan mendapat manfaat dari pemahaman dan apresiasi keamanan siber.

Menormalkan keamanan siber dengan cara ini, mudah-mudahan, akan menghindari kekurangan bakat di masa depan, dan yang terpenting adalah kelelahan bagi mereka yang memilih karir di keamanan siber.