Black Hat USA 2022: Burnout, un problema significativo

La discussione sulle questioni relative alle risorse nel settore della sicurezza informatica non è un fenomeno nuovo; secondo Cybersecurity Ventures, il numero di posizioni vacanti nel settore della sicurezza informatica in tutto il mondo è cresciuto del 350% tra il 2013 e il 2021, da 1 milione a 3.5 milioni. L'articolo scompone ulteriormente questo numero, stimando che ci siano 1 milione di lavoratori della sicurezza informatica negli Stati Uniti e che a novembre 2021 circa 715,000 posizioni aggiuntive non occupate. Questi numeri raccontano la storia di un problema di risorse; raccontano anche la storia di un settore che attualmente utilizza circa due terzi delle risorse di cui ha bisogno.

Una presentazione nel programma Black Hat US 2022 di Stacy Rioux, Ph. D. Psicologia clinica e organizzativa/aziendale ha attirato la mia attenzione –Cercare di essere tutto per tutti: parliamo di burnout. Quando c’è una così grande carenza di talenti nel settore della sicurezza informatica, coloro che sono in prima linea sono potenzialmente inclini a soffrire di burnout. La mia ipotesi era che la presentazione avrebbe approfondito lo stress a cui sono sottoposti i team di sicurezza informatica utilizzando casi di studio ed esempi specifici, e poi come riconoscere l'esistenza del problema e i passaggi che possono aiutare ad alleviare il dolore che qualcuno soffre. Sfortunatamente, la presentazione è stata poco esemplificativa ed è stata più una presentazione sulla questione del burnout, piuttosto che identificarlo e mitigarlo nel contesto della sicurezza informatica.

I segni del burnout sono estremamente importanti da individuare e alcuni dei segni rivelatori presentati includevano stanchezza, cinismo, non apprezzare il lavoro e possibilmente bere o mangiare troppo, non necessariamente fino al punto di dipendenza ma come misura di conforto. Due – forse tre – dei quattro sono probabilmente identificabili in quasi tutti i partecipanti Black Hat: stanchezza dovuta alla cultura delle feste di Las Vegas, bere troppo, è Las Vegas e, infine, il cinismo, sembra essere un requisito lavorativo nel settore della sicurezza informatica – noi sono condizionati a non fidarsi di nulla e verificare tutto.

Parlando più seriamente, si tratta di una questione estremamente importante e qualcosa di cui tutte le aziende, grandi e piccole, devono essere consapevoli e affrontare. La definizione di burnout presentata da Stacy è “Il burnout professionale è clinicamente definito come una sindrome psicologica che si verifica a causa di fattori di stress cronici emotivi e interpersonali sul lavoro” con “interpersonale” spiegato come “relativo alle relazioni o alla comunicazione tra persone”.

Gli identificatori di burnout trattati nella presentazione e che si riferiscono specificamente alla sicurezza informatica sono stati:

• Alti livelli di carico di lavoro mentale
• Anticipazione degli attacchi informatici
• Carenza di personale e aumento del carico di lavoro
• Fatica a trovare il proprio posto all’interno di un’organizzazione
• Il lavoro spesso non è apprezzato nell'organizzazione

Esistono strategie che possono aiutare ad affrontare il burnout e consiglio di dedicare del tempo a ricercarle per comprenderle meglio. Un dipartimento o un professionista competente delle risorse umane dovrebbe essere in grado di indirizzare i dipendenti sulla strada giusta o fornire materiale informativo sull'argomento.

Il problema, a mio avviso, è una combinazione dovuta alla mancanza di persone esperte e di talento, all’accelerazione della trasformazione digitale a cui abbiamo assistito negli ultimi due anni e più e alla raffica infinita di attacchi informatici che i team di sicurezza informatica sono tenuti ad affrontare. La fine di questa carenza è in vista; Se solo fosse vero! Molte aziende richiedono che i candidati abbiano un livello di istruzione superiore e possiedano una sicurezza informatica riconosciuta nel settore qualifica come CISSP e avere 3-5 anni di esperienza. Questi requisiti sono potenzialmente, almeno in parte, responsabili delle posizioni vacanti nel campo della sicurezza informatica.

I datori di lavoro devono abbassare i requisiti di credenziali o di istruzione per i lavori di sicurezza informatica e coinvolgere sul posto di lavoro alcuni dei meno esperti ma interessati e appassionati affinché acquisiscano quell’esperienza e diventino gli esperti di talento necessari per difendersi dagli attacchi del futuro. È anche fondamentale, a mio avviso, che la sicurezza informatica diventi parte integrante di tutti gli argomenti curriculari del sistema educativo, a partire dalle scuole superiori. Parliamo della necessità che la sicurezza informatica sia considerata in tutte le parti della progettazione del prodotto, in ogni parte di un processo aziendale e simili, quindi probabilmente appartiene a ogni argomento insegnato in classe. Anche le lezioni sui talenti creativi come l'arte trarrebbero beneficio fornendo una comprensione di come proteggere un NFT: ci sono pochissimi argomenti che non trarrebbero beneficio da una comprensione e un apprezzamento della sicurezza informatica.

Si spera che la normalizzazione della sicurezza informatica in questo modo eviterebbe la carenza di talenti domani e, soprattutto, il burnout di coloro che scelgono una carriera nella sicurezza informatica.