Per alleviare la carenza di addetti alla sicurezza informatica, ampliare la pipeline dei candidati

Lavoro nel settore tecnologico da 25 anni, quasi tutti nella sicurezza informatica. Ho ricoperto posizioni di leadership nella sicurezza per oltre un decennio, inclusi i 18 mesi come responsabile della sicurezza per una piattaforma API con oltre 20 milioni di utenti.

Ho avuto una carriera di successo nella sicurezza delle informazioni e l'ho fatta senza una laurea.

Semplicemente non sono convinto del valore di una laurea per i lavori di sicurezza informatica. A dire il vero, alcuni che vanno a scuola prima di intraprendere una carriera nella sicurezza informatica possono beneficiare dell'istruzione e della formazione. Ma molti altri si ritrovano semplicemente gravati dal debito studentesco, solo per imparare materiale che è spesso obsoleto o potrebbe non essere nemmeno rilevante per il lavoro.

Alla fine della giornata, con abbastanza passione, intelligenza grezza e duro lavoro, chiunque può essere un professionista della sicurezza informatica di successo, indipendentemente dal fatto che abbia una laurea o che non abbia un background in informatica e informatica.

Assunzioni di sicurezza informatica storicamente si è concentrato su un ristretto pool di candidati: persone con le solite credenziali accademiche, esperienza lavorativa, certificazioni di sicurezza e set di competenze di sicurezza tecnica specifiche. Ma poiché la domanda di professionisti della sicurezza informatica continua ad aumentare, è chiaro che il settore deve diventare più creativo nella caccia al talento.

La domanda nella mente di ogni CISO è come. Ecco quattro idee.

Rilascia i requisiti per la laurea

Richiedere almeno una laurea per un lavoro di sicurezza informatica (o qualsiasi lavoro nel settore tecnologico, se è per questo) è pensiero obsoleto. Le abilità e i tratti della personalità come il desiderio, la curiosità, l'amore per l'apprendimento, la calma sotto pressione e l'ambizione sono ciò che conta davvero.

Torno alla mia esperienza. Ho provato il community college, perché era quello che ci si aspettava, ma non sono mai stato un bravo studente perché non ero interessato al materiale.

Il mio college si è rivelato essere il mio primo lavoro informatico in cui ho trascorso del tempo all'help desk, come ingegnere desktop, come ingegnere di sistema, e alla fine ho lasciato come ingegnere di rete. Quello che ho imparato durante i miei quattro anni lì mi ha dato le conoscenze di base per passare al lavoro/livello successivo.

Amavo tutta la tecnologia e volevo imparare il più possibile, ma non riuscivo a decidere se volevo essere sul lato della rete o dei sistemi. Sono finito in sicurezza perché era un'area che mi permetteva di essere coinvolto in tutti gli aspetti della tecnologia.

Ora, anni dopo, guido un team combinato di sicurezza e operazioni IT con più di 30 membri, concentrandomi sulla creazione di un programma di sicurezza moderno che supporti le esigenze di un'azienda in rapida crescita.

Cerca talenti al di fuori della sicurezza

Invece di a caccia di unicorni, le aziende dovrebbero estrarre non solo altre aree del reparto IT, ma parti completamente diverse dell'azienda per persone con competenze adiacenti che potrebbero renderle grandi professionisti della sicurezza informatica.

Qualcuno con un background di bibliotecario, ad esempio, potrebbe portare il forte orientamento ai dettagli necessario per il lavoro di conformità alla sicurezza. Un ex membro dell'esercito può possedere la grazia sotto tiro necessaria per il lavoro frenetico nel centro operativo di sicurezza (SOC).

Analizzare più attentamente i candidati che non si adattano al tipico stampo degli specialisti della sicurezza informatica richiede una mossa più aggressiva verso il miglioramento delle competenze e la riqualificazione dei dipendenti esistenti. E al di là del suo vantaggio come fonte di talento, guardare all'interno piuttosto che all'esterno per chiedere aiuto potrebbe anche fornire protezione contro la minaccia di recessione e possibili blocchi delle assunzioni. Il che porta al nostro terzo punto...

Allenati come un matto

Se qualcuno ha le capacità naturali per avere successo nella sicurezza informatica ma non ha mai nemmeno visto un SOC, chi se ne frega? Le abilità possono essere insegnate. Ecco perché esistono sessioni di formazione e boot camp sulla sicurezza informatica.

Le aziende dovrebbero investire in programmi di formazione formalizzati per individui con un background di sicurezza non tradizionale. Dovrebbero essere formati in anticipo e continuamente forniti di ulteriori opportunità di formazione, proprio come il resto della tua squadra.

Diffondi la ricchezza

Il bello di DevOps e DevSecOps è che spostano alcune responsabilità di sicurezza dai team di sicurezza dedicati nelle operazioni al lato di sviluppo, con l'idea che la sicurezza dovrebbe essere integrata durante tutto il processo di sviluppo dell'applicazione.

Ciò offre una nuova opportunità a più persone in tutta l'organizzazione di assumere ruoli come campioni della sicurezza, ambasciatori della sicurezza, sostenitori della sicurezza: scegli il tuo termine. E riduce la pressione sulle aziende per assumere posizioni nei team di sicurezza e aumenta l'incentivo a diventare creativi nel cercare internamente questi campioni.

Seguendo questi quattro passaggi, le aziende possono trovare persone che hanno l'attitudine e la passione per la sicurezza e che possono essere trasformate in professionisti di prim'ordine con un po' di formazione e tutoraggio.

L'industria ha fatto la stessa cosa più e più volte, a caccia dei soliti sospetti, ed è tempo di nuovi approcci.