Black Hat USA 2022: Tükenmişlik, önemli bir konu

Siber güvenlik sektöründe kaynak bulma sorunlarının tartışılması yeni bir olgu değil; buna göre Siber Güvenlik GirişimleriDünya çapında doldurulmayan siber güvenlik pozisyonlarının sayısı 350 ile 2013 arasında %2021 artarak 1 milyondan 3.5 milyona çıktı. Makale, ABD'de 1 milyon siber güvenlik çalışanının bulunduğunu ve Kasım 2021 itibarıyla yaklaşık 715,000 ek, doldurulmamış pozisyonun bulunduğunu tahmin ederek bu sayıyı daha da detaylandırıyor. Bu rakamlar bir kaynak bulma sorununun öyküsünü anlatıyor; ayrıca şu anda ihtiyaç duyduğu kaynağın yaklaşık üçte ikisiyle çalışan bir endüstrinin öyküsünü de anlatıyorlar.

Black Hat ABD 2022 programında Klinik ve Örgütsel/İş Psikolojisi Doktorası Stacy Rioux'nun bir sunumu gözüme çarptı:Herkesin Her Şeyi Olmaya Çalışmak: Tükenmişlik Hakkında Konuşalım. Siber güvenlik sektöründe bu kadar büyük bir yetenek sıkıntısı olduğunda, ön saflarda yer alanlar potansiyel olarak tükenmişlik yaşamaya eğilimlidir. Benim varsayımım, sunumun vaka çalışmaları ve spesifik örnekler kullanarak siber güvenlik ekiplerinin yaşadığı stresleri derinlemesine ele alacağı, ardından sorunun varlığının nasıl fark edileceği ve birinin acı çekmesi durumunda acıyı hafifletmeye yardımcı olabilecek adımların ele alınacağı yönündeydi. Ne yazık ki sunum örnek niteliğindeydi ve tükenmişliği siber güvenlik ortamlarında tespit edip hafifletmekten ziyade daha çok tükenmişlik meselesine ilişkin bir sunumdu.

Tükenmişliğin belirtilerini tespit etmek son derece önemlidir ve sunulan bazı işaretler arasında yorgunluk, şüphecilik, işten zevk almama ve muhtemelen bağımlılık noktasına varacak derecede olmasa da bir rahatlık ölçüsü olarak çok fazla içki veya yemek yeme yer alıyordu. Dört kişiden ikisi (belki de üçü) muhtemelen neredeyse tüm Black Hat katılımcılarında tanımlanabilir: Vegas parti kültüründen kaynaklanan yorgunluk, çok fazla içki içmek, burası Vegas ve son olarak alaycılık, siber güvenlik endüstrisinde bir iş gereksinimi gibi görünüyor - biz şartlandırılmıştır hiçbir şeye güvenme ve her şeyi doğrulamak.

Daha ciddi bir ifadeyle, bu son derece önemli bir konudur ve büyük ve küçük tüm şirketlerin farkında olması ve ele alması gereken bir konudur. Stacy tarafından sunulan tükenmişliğin tanımı “Mesleki tükenmişlik, klinik olarak işteki kronik duygusal ve kişilerarası stresörler nedeniyle ortaya çıkan psikolojik bir sendrom olarak tanımlanır” ve “kişilerarası”, “insanlar arasındaki ilişkiler veya iletişimle ilgili” olarak açıklanmaktadır.

Sunumda ele alınan ve özellikle siber güvenlikle ilgili tükenmişlik tanımlayıcıları şunlardı:

• Yüksek düzeyde zihinsel iş yükü
• Siber saldırıların öngörülmesi
• Personel sıkıntısı ve iş yükünde artış
• Bir organizasyon içerisinde kendine yer bulmakta zorlanır
• Organizasyonda iş genellikle takdir edilmez

Tükenmişlikle başa çıkmanıza yardımcı olabilecek stratejiler var ve daha iyi bir anlayış elde etmek için bunları araştırmaya zaman ayırmanızı öneririm. Yetkili bir insan kaynakları departmanı veya uzmanı, çalışanları doğru yola yönlendirebilmeli veya konuyla ilgili sağlam okuma materyalleri sağlayabilmelidir.

Bana göre sorun, deneyimli yetenekli insan eksikliği, son iki yıldan fazla süredir tanık olduğumuz hızlandırılmış dijital dönüşüm ve siber güvenlik ekiplerinin uğraşmak zorunda olduğu bitmek bilmeyen siber saldırı barajından kaynaklanıyor. Bu kıtlığın sonu yaklaşıyor; Keşke bu doğru olsaydı! Pek çok şirket, adayların lisans seviyesinde eğitim almasını, sektörde tanınan bir siber güvenlik sertifikasına sahip olmasını şart koşuyor CISSP gibi yeterliliklere sahip olmak ve 3-5 yıllık deneyime sahip olmak. Bu gereksinimler, doldurulmamış siber güvenlik pozisyonlarının sorumlusu olarak potansiyel olarak en azından bir katkıda bulunabilir.

İşverenlerin, siber güvenlik işleri için yeterlilik veya eğitim gereksinimlerini azaltmaları ve bu deneyimi kazanmak ve geleceğin saldırılarına karşı savunmak için ihtiyaç duyulan uzman yetenek haline gelebilmeleri için daha az deneyimli ancak ilgili ve istekli olanlardan bazılarını işyerine almaları gerekiyor. Benim görüşüme göre, siber güvenliğin lise ve daha genç yaşlarda eğitim sistemindeki tüm müfredat konularına dahil edilmesi de zorunludur. Siber güvenliğin ürün tasarımının her aşamasında, iş sürecinin her aşamasında ve buna benzer konularda dikkate alınması gerektiğinden bahsediyoruz, bu nedenle muhtemelen sınıfta öğretilen her konuya dahil edilmelidir. Sanat gibi yaratıcı yeteneklere ilişkin dersler bile bir anlayış sağlayarak fayda sağlayacaktır. NFT'nin güvenliği nasıl sağlanır?: Siber güvenlik anlayışı ve takdirinden faydalanmayacak çok az konu vardır.

Siber güvenliğin bu şekilde normalleştirilmesi, yarınki yetenek eksikliğini ve daha da önemlisi siber güvenlik alanında kariyer seçenlerin tükenmişliğini önleyecektir.