Black Hat USA 2022: Burnout, um problema significativo

A discussão das questões de recursos no setor da cibersegurança não é um fenómeno novo; de acordo com Empreendimentos de segurança cibernética, o número de posições de segurança cibernética não preenchidas em todo o mundo cresceu 350% entre 2013 e 2021, de 1 milhão para 3.5 milhões. O artigo detalha ainda mais esse número, estimando que existam 1 milhão de trabalhadores de segurança cibernética nos EUA e, em novembro de 2021, cerca de 715,000 vagas adicionais não preenchidas. Esses números contam a história de uma questão de recursos; eles também contam a história de uma indústria que está atualmente operando com cerca de dois terços dos recursos de que necessita.

Uma apresentação na programação Black Hat US 2022 por Stacy Rioux, Ph. D. Psicologia Clínica e Organizacional/Business chamou minha atenção –Tentando ser tudo para todos: vamos falar sobre burnout. Quando há uma escassez tão grande de talentos no setor de segurança cibernética, aqueles que estão na linha de frente são potencialmente propensos a sofrer desgaste. Minha suposição era que a apresentação mergulharia profundamente nas tensões que as equipes de segurança cibernética estão sofrendo usando estudos de caso e exemplos específicos e, em seguida, como reconhecer a existência do problema e as etapas que podem ajudar a aliviar a dor que alguém está sofrendo. Infelizmente, a apresentação foi leve no exemplo e foi mais uma apresentação sobre a questão do burnout, em vez de identificá-lo e mitigá-lo nas configurações de segurança cibernética.

Os sinais de burnout são extremamente importantes de detectar, e alguns dos sinais indicadores apresentados incluem cansaço, cinismo, não gostar do trabalho e possivelmente beber ou comer demais, não necessariamente ao ponto de dependência, mas como medida de conforto. Dois – talvez três – dos quatro são provavelmente identificáveis ​​em quase todos os participantes da Black Hat: cansaço devido à cultura da festa de Las Vegas, beber demais, é Las Vegas e, por último, o cinismo, parece ser um requisito de trabalho na indústria de segurança cibernética – nós estão condicionados a não confie em nada e verifique tudo.

Em uma nota mais séria, esta é uma questão extremamente importante e algo que todas as empresas, grandes e pequenas, precisam estar cientes e abordar. A definição de burnout apresentada por Stacy é “Burnout ocupacional é clinicamente definido como uma síndrome psicológica que ocorre devido a estressores emocionais e interpessoais crônicos no trabalho” com “interpessoal” explicado como “relacionado a relacionamentos ou comunicação entre pessoas”.

Os identificadores de burnout abordados na apresentação e que se relacionam especificamente à segurança cibernética foram:

• Altos níveis de carga de trabalho mental
• Antecipação de ataques cibernéticos
• Falta de pessoal e aumento da carga de trabalho
• Lutas para encontrar um lugar dentro de uma organização
• O trabalho muitas vezes não é apreciado na organização

Existem estratégias que podem ajudar a lidar com o burnout, e recomendo dedicar um tempo para pesquisá-las para obter uma maior compreensão. Um departamento ou profissional de recursos humanos competente deve ser capaz de colocar os funcionários no caminho certo ou fornecer algum material de leitura sólida sobre o assunto.

O problema, na minha opinião, é uma combinação devido à falta de pessoas talentosas experientes, à transformação digital acelerada que testemunhamos nos últimos dois anos e à enxurrada interminável de ataques cibernéticos com os quais as equipes de segurança cibernética são obrigadas a lidar. O fim dessa escassez está à vista; se isso fosse verdade! Muitas empresas exigem que os candidatos sejam formados em nível de graduação, possuam um certificado de segurança cibernética reconhecido pelo setor qualificação como CISSP e ter 3 a 5 anos de experiência. Esses requisitos são potencialmente, pelo menos um contribuinte, culpados pelas posições de segurança cibernética não preenchidas.

Os empregadores precisam reduzir seus requisitos de credencial ou educação para trabalhos de segurança cibernética e obter alguns dos menos experientes, mas interessados ​​e interessados ​​no local de trabalho, para que ganhem essa experiência e se tornem o talento especializado necessário para se defender contra os ataques do futuro. Também é imperativo, na minha opinião, que a segurança cibernética seja incorporada a todos os tópicos do currículo do sistema educacional no ensino médio ou mais jovem. Falamos sobre a necessidade de a cibersegurança ser considerada em todas as partes do design do produto, em todas as partes de um processo de negócios e afins, então provavelmente pertence a todos os tópicos ensinados em sala de aula. Mesmo as lições de talentos criativos, como a arte, se beneficiariam ao fornecer uma compreensão como proteger um NFT: há muito poucos tópicos que não se beneficiariam de uma compreensão e apreciação da segurança cibernética.

A normalização da segurança cibernética dessa maneira, esperamos, evitaria a escassez de talentos amanhã e, principalmente, o esgotamento daqueles que escolhem uma carreira em segurança cibernética.