Профессионалы в области кибербезопасности продолжают тактически управлять своей карьерой при небольшом долгосрочном планировании. Многие специалисты по кибербезопасности считают, что их организациям необходимо делать больше, чтобы соответствовать требованиям кибербезопасности.

Нехватка навыков в области кибербезопасности, похоже, усугубляется, что вынуждает перегруженные специалисты по кибербезопасности постоянно тушить пожар. Несмотря на то, что нехватка квалифицированных кадров будет продолжаться без конца, исследования этого года показывают, что организации могут и должны делать больше для решения этой проблемы.

Выходные решения для профессионалов в области кибербезопасности

Как и в прошлых отчетах, специалисты по кибербезопасности, особенно те, кто находится на ранних стадиях карьеры в сфере кибербезопасности, или люди, желающие выйти в эту область, должны использовать это исследование для планирования карьеры. Поэтому профессионалам в области кибербезопасности следует:

Начните сетевое взаимодействие, продолжайте работу в сети. Респонденты опроса рекомендуют специалистам по безопасности начального уровня присоединиться к профессиональной организации, чтобы получить первую работу. Данные также показывают, что профессиональные организации выступают катализатором поиска работы, карьерного роста и непрерывного образования. В совокупности исследование ESG/ISSA показывает, что профессиональные организации могут помочь на протяжении всей карьеры в сфере кибербезопасности, выплачивая дивиденды за вложенные деньги и время. ISSA сама по себе является хорошим выбором, но, судя по данным, профессионалы в области кибербезопасности получат выгоду от других региональных, отраслевых и профессиональных организаций.

Сопротивляйтесь загрузке сертификатов — это не платит. После пяти лет исследований ESG и ISSA стало ясно, что CISSP и несколько других ограниченных сертификатов могут стать ценными строительными блоками для карьеры в области кибербезопасности. Другие могут хорошо выглядеть в резюме или визитной карточке, но профессионалы в области кибербезопасности постоянно утверждают, что получают гораздо больше практического опыта, такого как стажировки, программы наставничества или ротация персонала. Сертификаты безопасности должны использоваться для конкретных сценариев использования, для соответствия требованиям работы или для увеличения периода работы на рабочем месте.

Принесите личную приверженность развитию навыков и обучению. В среднем в год специалисты по кибербезопасности получают около 40 часов обучения. Исследование этого года показало, что 54% опрошенных сообщили, что в прошлом году у них было более 40 часов обучения, 24% - около 40 часов обучения, а 21% - менее 40 часов обучения. Эти данные кажутся положительными, но ESG и ISSA также обнаружили, что многие часы «обучения» действительно используются как средство для получения кредитов CPE, а не для развития реальных навыков. Профессиональная карьера в области кибербезопасности аналогична врачам, так как непрерывное образование имеет решающее значение для каждого типа профессии, чтобы навыки и знания профессионалов были актуальными и актуальными. Поэтому профессионалы в области кибербезопасности должны взять на себя обязательства по развитию навыков и обучению, даже если это означает вкладывать свое время/деньги или наталкивать на работодателей, которые сводят к минимуму непрерывное образование. Учитывая постоянно меняющийся характер кибербезопасности, люди, вкладывающие средства в собственные навыки, должны получать высокую рентабельность инвестиций на протяжении всей своей карьеры.

Выберите технологический или бизнес-путь. Карьера в сфере кибербезопасности ведет к двум основным дорогам. Один из них согласовывает безопасность и бизнес-операции, завершая работу «С-уровня», например, CISO, специалист по защите данных и т. д. Другой изучает технологию на таких должностях, как инженер по безопасности, архитектор облачной безопасности, аналитик угроз и т. д. Очевидно, что каждая дорога требует разных навыков, но исследование ESG/ISSA показывает, что многие специалисты по кибербезопасности бессистемно справляются со своей карьерой, не имея конечной цели. Действительно, трудно заглянуть в будущее на пять-десять лет, но, по крайней мере, профессионалы в области кибербезопасности должны решить, видят ли они себя на технических или бизнес-должностях. Приняв это решение, они должны обратить внимание на командную цепочку и на то, какие навыки и опыт понадобятся им для того, чтобы занять следующие самые высокие должности.

Помните, что при выборе новой работы отношения имеют значение. Исследование ESG/ISSA показывает, что специалисты в области кибербезопасности получают удовлетворение от таких факторов, как конкурентное вознаграждение, способность работать с сильной командой и передовыми технологиями, а также дополнительные льготы для путешествий, обучения, участия в отрасли и т. д. профессионалы в области информационной безопасности должны помнить, что должно быть много открытых рабочих мест, предлагающих эти преимущества. Поэтому ESG и ISSA рекомендуют углубиться, задавая такие вопросы, как: Каковы отношения между отделами безопасности и ИТ? Хорошо ли эти команды сотрудничают друг с другом или есть разногласия? Включают ли руководители и совет директоров кибербезопасность в стратегическое планирование и принятие решений? Каковы взаимоотношения между командой безопасности и персоналом, юридическими командами и бизнес-подразделением? Поскольку кибербезопасность — это действительно совместная работа, эти взаимосвязи могут определить успех программы кибербезопасности. Стоит провести несколько исследований, задать вопросы и встретиться с нетехническими менеджерами в рамках процесса собеседования.

Выносы для директоров по директоров и организаций

Это исследование следует использовать в качестве руководства для создания сильной и счастливой команды кибербезопасности. CISO и их организации должны прислушаться к следующим советам:

Для блага добра, платите своим людям! Конкурентная компенсация была несколько раз в этом исследовательском проекте и, безусловно, имеет решающее значение для найма и удержания персонала службы безопасности. Учитывая конкуренцию за талантливых специалистов в области безопасности, организации, которые не могут достичь этого порога, не добьются успеха в найме и, скорее всего, потеряют ключевых сотрудников службы безопасности, которых постоянно настойчиво преследуют рекрутеры и другие организации. CISO должны использовать архаичные модели персонала и классы оплаты труда и довести этот вопрос до руководителей и корпоративных советов директоров, стремясь к краткосрочным изменениям в структурах вознаграждения. Бизнес-менеджеры должны понимать, что без опытных сотрудников службы безопасности все инвестиции и стратегии в области безопасности потерпят неудачу.

Дальнейшее развитие безопасности в бизнесе. Организации должны быть встревожены тем фактом, что 29% респондентов заявили, что отношения команды безопасности с HR являются справедливыми или плохими, 28% отметили, что отношения с бизнес-менеджерами справедливые или плохие, 27% респондентов заявили, что отношения с советом директоров являются справедливыми или плохими, а 24% отметили, что отношения с советом директоров являются справедливыми или плохими, а 24% отметили, что отношения с юридической командой являются справедливыми или плохими. Это должно послужить сигналом тревоги, чтобы как можно скорее решить эти организационные проблемы. CISO должны немедленно оценить эти взаимоотношения в своих организациях, в то время как корпоративные советы директоров должны делать то же самое. Плохие отношения приведут к организационным трениям, проблемам со связью, человеческим ошибкам и, в конечном итоге, к росту киберрисков. Идея ясна: организации с культурой кибербезопасности находятся в лучшем положении. Конечно, руководители компаний должны принять меры по обеспечению кибербезопасности, но также важно, чтобы директора по информационным технологиям приближали сотрудников, процессы и технологии к бизнесу. Это может потребовать обучения, расширенного межведомственного сотрудничества и реинжиниринга процессов — это трудные, но достойные изменения.

Найдите время и ресурсы для обучения и развития навыков в области кибербезопасности. Некоторые директора по информационным технологиям считают, что инвестиции в обучение — это пустая трата денег, которая служит бесплатным образованием для специалистов по кибербезопасности, которые в конечном итоге покинут организацию ради более зеленых пастбищ. ESG и ISSA считают, что это мнение не может быть более ошибочным. Добросовестные сотрудники, ожидающие продолжения образования, просто вкладывают свое время и деньги, в то же время возмущаясь организацией. Другие будут томиться со все более ограниченными наборами навыков. В то же время киберриски постоянно растут. В нынешнем состоянии рынка навыков кибербезопасности некоторые сотрудники, безусловно, найдут более прибыльных возможностей, но инвестирование в обучение безопасности повысит эффективность сотрудников по кибербезопасности, укрепит моральный дух и поможет организациям снизить киберриски. Такие преимущества стоят вложений.

Поскольку нехватка навыков в области кибербезопасности никуда не исчезнет, разработайте долгосрочный план решения этой проблемы. Как уже упоминалось ранее, нехватка навыков в области кибербезопасности привела к нехватке квалифицированных специалистов по кибербезопасности, а также к постоянному разрыву в продвинутых навыках кибербезопасности. Немногие организации располагают ресурсами и призывами нанять всех необходимых специалистов, а данные ESG/ISSA за пять лет показывают, что в ближайшее время ничего не изменится. Поэтому CISO нужна реалистичная стратегия, предполагающая кадровые риски и риски, связанные с навыками. Например, организациям, которые пытаются полностью укомплектовать операционный центр безопасности (SOC), следует подумать об инвестициях в автоматизацию процессов и управляемые услуги для увеличения персонала. Цель здесь должна состоять в том, чтобы охватить все требования безопасности, сделав существующий персонал максимально эффективным и продуктивным.

Подумайте, что необходимо для того, чтобы сделать вашу организацию привлекательной площадкой для профессионалов в области кибербезопасности. Проактивные CISO хотят сохранить существующий персонал при наборе новых сотрудников. Исследование ESG/ISSA дает рецепт для этого. Прежде всего, организация должна предлагать конкурентоспособную компенсацию, включая льготы для продолжения образования и карьерного роста. Программы стажировки могут понравиться кандидатам начального уровня и создать конвейер для новых сотрудников, а программы наставничества и ротации персонала помогут обучить и акклиматизировать талантливых людей. Организации, которые формируют культуру кибербезопасности и вводят кибербезопасность в бизнес-планирование и планирование ИТ, получат явное преимущество. Наконец, CISO должны обратиться к профессиональным организациям, местным группам по распространению угроз, колледжам и университетам и т. Д., Чтобы рассказать о преимуществах трудоустройства в своих организациях. Хотя эта стратегия не устраняет неистощение, она должна создать здоровую и привлекательную рабочую среду.