I fatti di base

Come negli anni passati, ESG e ISSA hanno ottenuto alcune informazioni di base sulle carriere dei professionisti della sicurezza informatica. Ad esempio:

Il 79% dei professionisti della sicurezza informatica ha iniziato la propria carriera lavorando nel settore IT.

Alla domanda su quali competenze fossero più utili nel passaggio dall'IT alla sicurezza informatica, le risposte migliori sono state conoscenze e competenze operative IT (61%), capacità di analisi (53%), conoscenze e competenze tecnologiche pratiche (48%) e competenze aziendali (in relazione alle tecnologie e ai processi IT) (42%).

Alla domanda sui motivi per diventare un professionista della sicurezza informatica, le risposte migliori sono state la possibilità di utilizzare abilità e curiosità per affrontare le sfide tecniche (43%), l'opportunità di sviluppare competenze e conoscenze tecniche (40%), essendo un naturale passaggio di carriera dall'IT (34%) e l'attrazione per la moralità di la professione (29%).

Il 28% degli intervistati afferma che loro o altri professionisti della sicurezza informatica che conoscono hanno riscontrato problemi personali significativi a causa dello stress associato alla professione di sicurezza informatica (ad esempio, abuso di droghe, abuso di alcol, depressione, ecc.).

Il 50% dei professionisti della sicurezza informatica intervistati afferma che i livelli di stress sul lavoro sono aumentati lo scorso anno a causa del supporto dei lavoratori remoti a causa della pandemia COVID-19. Per contribuire ad alleviare lo stress causato dalla pandemia, il 36% delle organizzazioni ha istituito più «check-in» CISO con il personale, il 32% ha creato riunioni sociali online per il team di sicurezza informatica e il 24% ha aggiunto programmi formali di gestione dello stress guidati dalle risorse umane.

Agli intervistati è stato anche chiesto se la loro organizzazione ha impiegato un CISO. A quelli che lo hanno fatto sono state poste molte altre domande correlate. Su questo argomento, la ricerca ha rivelato:

Il 73% degli intervistati afferma che la propria organizzazione impiega un CISO, mentre il 5% afferma che la propria organizzazione impiega un CISO virtuale (vCISO).

Di quelle organizzazioni che impiegano un CISO, il 43% afferma che il CISO riferisce al CIO, il 29% afferma che il CISO riferisce al CEO, il 9% afferma il COO, il 9% dice «altro» e il 10% non lo sa.

Il 61% degli intervistati afferma che il proprio CISO è un partecipante attivo con la direzione esecutiva e il consiglio di amministrazione (o un gruppo di supervisione simile), il 14% afferma che il proprio CISO non è un partecipante attivo con la direzione esecutiva e il consiglio di amministrazione (o un gruppo di supervisione simile) e il 24% non lo sa. il livello di partecipazione del CISO dell'organizzazione con la direzione esecutiva e il consiglio di amministrazione è adeguato, il 23% non ritiene adeguato il livello di partecipazione del CISO della propria organizzazione con la direzione esecutiva e il consiglio di amministrazione e il 26% non lo sa.

Il 43% ritiene che il proprio CISO sia stato molto efficace, il 49% ritiene che il CISO sia stato piuttosto efficace, il 6% afferma che il CISO non è stato molto efficace e il 2% afferma che il CISO non è stato affatto efficace.

Quando è stato chiesto di identificare le qualità più importanti di un CISO di successo, il 39% ha affermato capacità di leadership mentre il 30% ha affermato capacità operative. Il restante 31% comprendeva competenze aziendali, competenze tecniche, capacità di gestione, capacità di comunicazione e altro.

Agli intervistati è stato chiesto quali fattori potrebbero indurre i CISO a lasciare un'organizzazione per un'altra. Le risposte più popolari sono state: ai CISO viene offerto un pacchetto di compensi più elevato presso un'altra organizzazione (33%), l'organizzazione non ha una cultura che enfatizza la sicurezza informatica (31%) e i budget per la sicurezza informatica non sono commisurati alle dimensioni e al settore dell'organizzazione (29%).

Ottenere un lavoro nella sicurezza informatica

Per la prima volta, ESG e ISSA hanno chiesto ai professionisti della sicurezza informatica come hanno trovato il loro attuale lavoro (vedere Figura 1). La percentuale più alta (38%) afferma di aver trovato lavoro collegandosi in rete con i contatti del settore, mentre il 24% è stato contattato da un recruiter del settore e il 22% ha risposto a un annuncio di lavoro presso la propria azienda (cfr. figura 1). Non sorprende che vi sia una leggera correlazione tra i metodi utilizzati per trovare un lavoro e l'anzianità. I professionisti senior della sicurezza informatica hanno maggiori probabilità di trovare il loro lavoro attraverso i contatti del settore e i reclutatori, mentre quelli con meno esperienza hanno maggiori probabilità di utilizzare offerte di lavoro. Queste informazioni dovrebbero aiutare a guidare i CISO e i professionisti delle risorse umane mentre competono per soddisfare le richieste di lavoro.

Nonostante la continua carenza di competenze in materia di sicurezza informatica, i candidati qualificati spesso si lamentano del fatto che può essere molto difficile iniziare una carriera nella sicurezza informatica. Quando si incontrano candidati entry-level, agli analisti ESG e ai membri ISSA viene spesso chiesto consiglio in questo settore. Nel 2021, ESG e ISSA hanno affrontato direttamente questo problema includendo una nuova domanda del sondaggio che chiedeva agli intervistati le loro raccomandazioni per coloro che cercano di entrare nel campo della sicurezza informatica. Quasi la metà (49%) degli intervistati ha suggerito di ottenere una certificazione di base per la sicurezza informatica, il 42% ha proposto di entrare a far parte di un'organizzazione professionale del settore e il 36% ha raccomandato di trovare un mentore disposto ad aiutare a sviluppare competenze e piani di carriera (cfr. figura 2). Si spera che questa guida aiuti i candidati entry-level a far ripartire la loro carriera.

Le carriere nella sicurezza informatica dipendono dall'esperienza pratica e da alcune certificazioni

La sicurezza informatica è evidenziata da una pletora di certificazioni tecniche esoteriche, quindi ESG e ISSA hanno chiesto continuamente agli intervistati di comunicarci quali certificazioni hanno ottenuto e quali sono le più importanti. Come negli anni passati, agli intervistati è stato chiesto di scrivere la risposta a questa domanda e le risposte principali sono elencate nella Figura 3. Tra le certificazioni ottenute, le più utili per ottenere un lavoro sono rappresentate nella Figura 4. In entrambi i grafici, spicca il professionista della sicurezza dei sistemi informativi certificati (CISSP) di (ISC) 2: è la certificazione più popolare e quella più importante per ottenere un lavoro di sicurezza informatica. Altre certificazioni possono essere importanti tatticamente, ma dovrebbero essere viste come veicoli per l'avanzamento di carriera (in alcuni casi) o per aiutare i professionisti della sicurezza informatica ad acquisire conoscenze generali in una sottodisciplina della sicurezza informatica (ad esempio, hacker etico certificato).

I professionisti della sicurezza informatica perseguono una certificazione CISSP dopo aver maturato il numero richiesto di anni di esperienza in quanto questa certificazione è un requisito per la maggior parte dei lavori disponibili. Al di là del CISSP, tuttavia, gli intervistati adottano un approccio più tattico alle certificazioni aggiuntive in base alle loro competenze, interessi e piani di carriera. ESG e ISSA ritengono che questo sia l'approccio giusto per le certificazioni e lo sviluppo della carriera. Piuttosto che riempire i loro curriculum con acronimi, i professionisti della sicurezza informatica dovrebbero concentrarsi sulla formazione pratica, sul tutoraggio e sul networking professionale come mezzo primario per lo sviluppo delle competenze. Piuttosto, le certificazioni dovrebbero integrare queste attività.

ESG e ISSA hanno da tempo ritenuto che l'esperienza pratica sia il fattore più importante nello sviluppo della carriera nella sicurezza informatica, ma questa ipotesi era basata su dati aneddotici. Nel 2021, ESG e ISSA hanno testato l'ipotesi del sondaggio.

I dati supportano nuovamente questa convinzione di lunga data. Solo l'1% degli intervistati ritiene che le certificazioni di sicurezza siano più importanti dell'esperienza pratica. In alternativa, il 52% ritiene che l'esperienza pratica sia più importante delle certificazioni, mentre il 46% attribuisce lo stesso valore all'esperienza pratica e al conseguimento della certificazione (vedere Figura 5). Sulla base della ricerca, ESG e ISSA ritengono che coloro che ritengono che l'esperienza pratica e il raggiungimento delle certificazioni di sicurezza siano ugualmente importanti abbiano in mente la certificazione CISSP, in quanto questo è considerato un requisito fondamentale per una carriera nella sicurezza informatica.

Sulla base di questi dati, gli aspiranti e avanzati professionisti della sicurezza informatica dovrebbero adottare un approccio equilibrato allo sviluppo delle competenze. Come affermato in precedenza, l'esperienza pratica dovrebbe essere integrata con le certificazioni di sicurezza appropriate in base alle esigenze.

Professionisti della sicurezza informatica: una visione a 360 gradi

Quali sono i fattori più importanti che distinguono un lavoro di sicurezza informatica soddisfacente e insoddisfacente? Questa domanda è stata una costante nello studio di ricerca ESG/ISSA per cinque anni. È interessante notare che i risultati sono stati abbastanza coerenti. Le tre priorità principali nel 2021 sono l'impegno della direzione aziendale per una forte sicurezza informatica, una compensazione finanziaria competitiva o leader del settore e la capacità di lavorare con personale altamente qualificato e di talento per la sicurezza informatica (cfr. figura 6).

I CISO e i dirigenti delle risorse umane ne prendono nota, poiché questi dati rappresentano ciò che servirà per assumere e fidelizzare professionisti della sicurezza informatica.

Tenendo presente la soddisfazione sul lavoro, ESG e ISSA volevano anche approfondire gli aspetti più stressanti di un lavoro di sicurezza informatica. Quasi due terzi (32%) degli intervistati affermano di aver scoperto le iniziative/progetti IT avviati da altri team (all'interno dell'organizzazione) senza alcuna supervisione della sicurezza (vedi Figura 7). Questo ha senso. I professionisti della sicurezza vogliono essere coinvolti in progetti fin dall'inizio in modo da poter «infornare» piuttosto che «imbullonare» la sicurezza. Allo stesso modo, quasi un terzo (31%) degli intervistati ritiene che sia stressante lavorare con manager aziendali disinteressati, mentre un altro 31% indica il carico di lavoro travolgente. Analogamente alla risposta più alta, il 24% dei professionisti della sicurezza ritiene che sia stressante stare al passo con le esigenze di sicurezza delle nuove iniziative IT. Chiaramente, i professionisti della sicurezza informatica vogliono essere coinvolti nei progetti fin dall'inizio e vogliono vedere l'impegno in materia di sicurezza informatica da parte di aziende e collaboratori IT. Quando queste condizioni sono assenti, le organizzazioni dovranno probabilmente affrontare un elevato esaurimento dei dipendenti e un logoramento del personale.

Come in passato, ai professionisti della sicurezza è stato chiesto il loro parere su diversi argomenti (cfr. figura 8). Sspiccano alcune statistiche:

Il conflitto tra la necessità di formazione e il tempo dedicato alla formazione rimane un problema critico: il 91% degli intervistati concorda sul fatto che i professionisti della sicurezza informatica devono tenere il passo con le proprie competenze o che le loro organizzazioni sono in uno svantaggio significativo, eppure il 59% concorda sul fatto che mentre cerca di tenere il passo con le competenze in materia di sicurezza informatica, è difficile da fare date le esigenze del loro lavoro. ESG e ISSA definiscono questa situazione il paradosso della formazione sulla sicurezza informatica. I CISO prendono nota e si assicurano di convincere l'organizzazione che un ampio tempo e risorse di formazione sono un requisito assoluto.

I professionisti della sicurezza informatica tendono ad essere orgogliosi della loro resistenza e competitività, mascherando il prezzo personale che questi posti di lavoro possono avere. La ricerca sostiene questo dato che il 60% concorda sul fatto che una carriera nella sicurezza informatica può gravare sull'equilibrio tra lavoro e vita privata e il 38% concorda sul fatto che spesso si sente un livello di stress malsano con il proprio lavoro. Di conseguenza, i CISO dovrebbero monitorare costantemente la salute mentale dei membri del team mentre stabiliscono programmi per alleviare lo stress.

Il 58% degli intervistati concorda sul fatto che i professionisti della sicurezza dedicano troppo tempo agli aspetti tecnici della sicurezza informatica e non abbastanza tempo su come la sicurezza informatica si allinea alla missione aziendale. ESG e ISSA ritengono che questo sia un dilemma fondamentale del settore, a volte chiamato il «problema degli oggetti lucenti». Per risolvere questo problema, i CISO devono sempre rafforzare l'attenzione aziendale della sicurezza informatica all'interno del team di sicurezza.

È interessante notare che, nonostante le sfide personali rappresentate in questi dati, il 79% dei professionisti della sicurezza informatica concorda di essere felice come professionisti della sicurezza informatica. ESG e ISSA ritengono che questo impegno nella missione indipendentemente dalle sfide sia ciò che rende speciali i professionisti della sicurezza informatica. Piuttosto che professionisti aziendali o tecnici, i professionisti della sicurezza informatica si comportano come dipendenti pubblici dedicati, con un focus che si inclina verso il bene più grande piuttosto che verso riconoscimenti personali.

In un'altra domanda di opinione, agli intervistati è stato chiesto quanto tempo impiega un professionista della sicurezza informatica per diventare competente nel proprio lavoro. La pluralità degli intervistati (35%) ritiene che occorrano dai 3 ai 5 anni per sviluppare una reale competenza in materia di sicurezza informatica, mentre il 25% dice da 2 a 3 anni e il 17% afferma che occorrono più di 5 anni (vedi Figura 9). Da tre a 5 anni sono lunghi. I CISO dovrebbero fare tutto il possibile per accelerare lo sviluppo delle competenze del personale e mantenere i dipendenti con questo livello di esperienza.

Si dice spesso che la sicurezza informatica sia uno «sport di squadra». In altre parole, il successo del programma di sicurezza informatica di un'organizzazione va oltre il solo team di sicurezza delle informazioni e dipende dall'impegno e dalla cooperazione nell'intera organizzazione. Tenendo presente questo ideale collaborativo, agli intervistati è stato chiesto di caratterizzare il rapporto di lavoro tra il team di sicurezza informatica della propria organizzazione e altri reparti (vedere la Figura 10). I dati indicano che le migliori relazioni sono con IT, dirigenti, team legali e operativi, ma ESG e ISSA ritengono che alcuni punti siano degni di nota:

Il 16% degli intervistati ha affermato che il rapporto tra team addetti alla sicurezza e team IT è equo o insufficiente. Ciò è alquanto allarmante poiché questi team devono lavorare costantemente insieme su attività come l'implementazione della tecnologia, la gestione della configurazione e la mitigazione dei rischi.

Il 21% degli intervistati ha affermato che il rapporto tra sicurezza e dirigenti è equo o scarso. Allo stesso modo, il 27% afferma che il rapporto tra sicurezza e consiglio di amministrazione è equo o scarso. Probabilmente si tratta di organizzazioni che credono ancora che la sicurezza sia legata alla tecnologia e non al business. È probabile che queste aziende continuino a paragonare la sicurezza alla conformità normativa.

Il 29% degli intervistati ha affermato che il rapporto tra sicurezza e risorse umane è equo o scarso. Ciò è motivo di preoccupazione poiché i due gruppi lavorano insieme su progetti come la formazione di sensibilizzazione alla sicurezza, il reclutamento e l'assunzione. Queste attività sono probabilmente gestite in modo non ottimale presso organizzazioni con rapporti di lavoro corretti o scadenti in materia di sicurezza/risorse umane.

Cosa possono fare le organizzazioni per migliorare alcune di queste relazioni? Ai partecipanti al sondaggio è stata posta questa domanda direttamente sulle relazioni tra team di sicurezza, IT e gestione aziendale. Per quanto riguarda il miglioramento del rapporto sicurezza/IT, i professionisti della sicurezza suggeriscono di assicurarsi che il personale addetto alla sicurezza sia incluso in tutti i progetti IT fin dall'inizio, incorporando il personale di sicurezza informatica all'interno di gruppi tecnologici funzionali e aumentando la formazione sulla sicurezza informatica per tutto il personale IT (vedere la Figura 11).

Questi suggerimenti sono particolarmente interessanti. Ricordiamo che l'aspetto più stressante di un lavoro di sicurezza identificato in precedenza riguarda progetti/iniziative IT prive di supervisione della sicurezza. La riduzione di questo problema non solo ridurrà lo stress dei dipendenti, ma migliorerà anche il rapporto di lavoro tra sicurezza e IT, nonché la protezione generale della sicurezza. L'integrazione dei membri del personale di sicurezza informatica in gruppi tecnologici funzionali avviene con attività come DevSecOps incentrate sullo sviluppo di applicazioni native per il cloud. Oltre alla formazione aggiuntiva sulla sicurezza (in particolare per gli sviluppatori di software), le organizzazioni stanno unendo la sicurezza in più aspetti delle persone, dei processi e delle tecnologie IT.

In termini di relazione tra sicurezza e gestione aziendale, gli intervistati suggeriscono di incoraggiare la partecipazione della sicurezza informatica alla pianificazione e alla strategia aziendale, migliorare l'identificazione/quantificazione del rischio informatico e concentrare le risorse e gli investimenti in sicurezza informatica sugli asset business-critical (cfr. Figura 12). Come la relazione IT, i professionisti della sicurezza informatica ritengono che lavorare più vicino e più presto con i team aziendali possa essere vantaggioso. In questo caso, i team addetti alla sicurezza devono essere preparati con le comunicazioni, i report e le metriche corrette che presentano la sicurezza informatica in un contesto aziendale.

La carenza di competenze in materia di sicurezza informatica persiste e, in molti casi, continua a peggiorare

ESG e ISSA ritengono che la carenza di competenze in materia di sicurezza informatica abbia due importanti implicazioni. La più ovvia è una carenza di professionisti di talento nella sicurezza informatica, con semplicemente più offerte di lavoro per la sicurezza informatica rispetto ai candidati qualificati per riempirli. L'altra implicazione non è così ampiamente discussa, ma è almeno altrettanto importante: molti membri dell'attuale forza lavoro di sicurezza informatica non hanno le competenze avanzate necessarie per salvaguardare le risorse aziendali critiche o contrastare sofisticati avversari informatici.

Dopo aver studiato la carenza di competenze in materia di sicurezza informatica per cinque anni, ESG e ISSA sono convinti che sia reale e di impatto, eppure ogni rapporto sull'argomento riceve una discreta quantità di feedback negativi, mettendo in dubbio la sua esistenza. I commenti includono teorie secondo cui ci sono molti professionisti della sicurezza informatica da visitare, se solo le organizzazioni sapessero come e dove reclutarli.

Sulla base di questo feedback, ESG e ISSA hanno posto agli intervistati una domanda di base nel sondaggio del 2021: la carenza di competenze in materia di sicurezza informatica è stata sopravvalutata? A quanto pare, un terzo degli intervistati condivide l'opinione che la carenza di competenze sia stata notevolmente o alquanto sopravvalutata, ma la percentuale più alta di professionisti della sicurezza informatica (44%) ritiene di aver ricevuto la giusta attenzione, mentre il 23% afferma che è stata sottovalutata (cfr. figura 13).

Come indicano chiaramente ulteriori ricerche, la carenza di competenze in materia di sicurezza informatica è reale, causando molti problemi alle organizzazioni. Allo stesso tempo, tuttavia, la ricerca sottolinea il fatto che alcune organizzazioni potrebbero subire ferite autoinflitte e davvero non reclutano bene, forniscono il giusto livello di formazione o affrontano la carenza di competenze con le giuste strategie. In sostanza, entrambi i gruppi hanno ragione: la carenza di competenze è reale, ma le organizzazioni potrebbero e dovrebbero fare di più.

Come negli anni passati, ESG e ISSA volevano comprendere le implicazioni della carenza di competenze in materia di sicurezza informatica globale e il modo in cui sta influenzando le organizzazioni. Per la prima volta, i dati sono leggermente migliorati. Quest'anno, il 57% delle organizzazioni afferma di essere stato colpito dalla carenza di competenze in materia di sicurezza informatica, rispetto al 70% nel 2020 e al 73% nel 2019 (cfr. figura 14).

Sebbene questo punto dati sembri rappresentare una tendenza incoraggiante, dati aggiuntivi dipingono un quadro diverso. L'anno scorso, ESG e ISSA hanno aggiunto una domanda chiedendo ai professionisti della sicurezza informatica se ritengono che la carenza di competenze in materia di sicurezza informatica stia migliorando o peggiorando. I risultati di quest'anno sono angoscianti in quanto il 44% ritiene che la carenza di competenze in materia di sicurezza informatica (e il suo impatto) sia peggiorata negli ultimi anni, mentre il 51% afferma che oggi è più o meno lo stesso degli ultimi anni (cfr. figura 15). Purtroppo, solo il 5% ritiene che la situazione sia migliorata.

Sulla base di anni di ricerca, ESG e ISSA credono fermamente che la carenza di competenze in materia di sicurezza informatica sia una realtà a lungo termine in cui il settore ha compiuto pochi progressi. Mentre i programmi di istruzione e reclutamento possono essere utili, i CISO devono elaborare programmi di sicurezza aziendale che soddisfino e pianificino la carenza di competenze perpetue.

Come in passato, gli intervistati che lavorano presso le organizzazioni colpite dalla carenza di competenze in materia di sicurezza informatica sono state interpellate sulle conseguenze riscontrate (cfr. figura 16). Ancora una volta, la risposta più alta (62%) è stata l'aumento del carico di lavoro sul personale esistente (simile ai risultati dello scorso anno, 58%). Questa è di gran lunga la più grande conseguenza della carenza di competenze. Inoltre, il 38% degli intervistati ha dichiarato che la carenza di competenze ha portato a nuovi posti di lavoro di sicurezza rimasti aperti per settimane o mesi (questo potrebbe essere uno dei motivi per cui il 29% delle organizzazioni deve assumere e formare dipendenti junior piuttosto che candidati esperti). Coerentemente con il tema della salute mentale descritto in precedenza, il 38% degli intervistati ha affermato che la carenza di competenze ha portato al burnout dei dipendenti e al logoramento dei dipendenti.

È anche interessante notare che un terzo degli intervistati afferma che la carenza di competenze ha portato a una situazione in cui il team di sicurezza informatica non è in grado di apprendere o utilizzare alcune tecnologie di sicurezza al massimo delle proprie potenzialità. Pensaci per un momento: le organizzazioni stabiliscono di aver bisogno di una nuova tecnologia di sicurezza per la prevenzione, il rilevamento o la risposta alle minacce. Passano attraverso il rigore della ricerca, dell'acquisto, del test, della configurazione, della distribuzione e del funzionamento del prodotto, nonché della formazione del personale. Dopo tutto questo lavoro, mancano ancora del personale o delle competenze per utilizzare correttamente il prodotto. Data questa situazione, i CISO devono rivalutare le loro priorità, acquistando solo tecnologie che possano essere utilizzate in modo appropriato. In altri casi, le organizzazioni dovrebbero considerare i servizi gestiti come un'alternativa alle tecnologie di sicurezza sottoutilizzate.

Per la prima volta, alle organizzazioni che affermano di essere state colpite dalla carenza di competenze in materia di sicurezza informatica è stato chiesto di identificare i fattori che contribuiscono. Le tre risposte principali includevano questioni relative alla retribuzione, alla comprensione delle competenze di sicurezza informatica da parte delle risorse umane e al lavoro in un settore che potrebbe non essere attraente per i professionisti della sicurezza informatica (cfr. figura 17). Vale anche la pena notare che il 25% ha indicato offerte di lavoro non realistiche (ad esempio, la richiesta di competenze non commisurate alla retribuzione offerta, requisiti di lavoro reali, ecc.). In una certa misura, questi dati supportano la teoria secondo cui la carenza di competenze in materia di sicurezza informatica è correlata alla cattiva gestione piuttosto che alla carenza di candidati qualificati o competenze avanzate.

La retribuzione è un problema binario: un'organizzazione offre un compenso competitivo oppure no. Lo stesso si potrebbe dire del settore di un'organizzazione. Se la retribuzione o l'industria non sono allettanti, la società di assunzione è in netto svantaggio e avrà successo nel reclutamento solo se altri attributi del lavoro sono particolarmente interessanti (ad esempio, orari di lavoro, opportunità di formazione, benefici, ecc.). Per quanto riguarda i risarcimenti, i CISO devono fare pressioni sulle risorse umane, sulla finanza e su altri dipartimenti per offrire stipendi competitivi, oppure devono affrontare una battaglia perenne per il reclutamento e la conservazione del personale. Per quanto riguarda gli altri fattori menzionati, i CISO devono garantire che i dipartimenti delle risorse umane e i reclutatori siano esperti nelle esigenze di sicurezza informatica e mettere insieme annunci di lavoro accurati e realistici come parte del loro processo di reclutamento.

Ulteriori dati dai risultati dell'indagine di quest'anno aggiungono ulteriori prove dell'entità della carenza di competenze in materia di sicurezza informatica. Secondo la Figura 18, quando viene chiesto quanto sia difficile reclutare professionisti della sicurezza informatica, il 76% dei professionisti della sicurezza afferma che è estremamente (18%) o alquanto difficile (58%).

Agli intervistati è stato chiesto di identificare le aree con le carenze di competenze più gravi. Quasi quattro su dieci (39%) citano la sicurezza del cloud computing, seguita da quasi un terzo (30%) che identifica la sicurezza delle applicazioni e/o le analisi e le indagini sulla sicurezza come aree di carenza del personale (vedere la Figura 19).

I CISO devono comprendere il livello di competizione per i candidati con queste competenze. Potrebbe essere utile elaborare piani di backup se gli sforzi di reclutamento languiscono o falliscono completamente. Esempi includono la formazione degli sviluppatori di software e del personale DevOps sulla sicurezza delle applicazioni, il reclutamento e la formazione degli amministratori della virtualizzazione dei server in qualità di specialisti della sicurezza del cloud computing e la collaborazione con fornitori di servizi gestiti esperti.

La ricerca sottolinea inoltre che è più difficile reclutare professionisti della sicurezza informatica a metà carriera e senior, mentre un numero inferiore di organizzazioni ha difficoltà a reclutare personale di sicurezza entry-level o dirigenti della sicurezza informatica (vedere Figura 20).

Mentre le organizzazioni hanno difficoltà a reclutare e assumere personale di sicurezza informatica, i professionisti della sicurezza vengono costantemente reclutati per nuove posizioni con promesse di retribuzioni più elevate, migliori benefici e un assortimento di vantaggi. Infatti, il 70% dei professionisti della sicurezza informatica intervistati sono invitati a prendere in considerazione altre opportunità di lavoro almeno una volta al mese (cfr. figura 21). Inoltre, il 71% degli intervistati ritiene che la frequenza/volume delle richieste di lavoro sia aumentato negli ultimi anni. La sicurezza informatica rimane davvero un mercato di vendita.

Nel 2021, agli intervistati è stato chiesto ancora una volta di identificare chi è responsabile per affrontare la carenza di competenze in materia di sicurezza informatica. Gli intervistati indicano che i CISO e le organizzazioni della società civile possiedono realmente questo problema (vedere Figura 22). Questi individui e le organizzazioni per cui lavorano stanno facendo abbastanza per affrontare la carenza di competenze in materia di sicurezza informatica? Non secondo gli intervistati, poiché il 27% ritiene che la propria organizzazione potrebbe fare qualcosa di più per affrontare la carenza di competenze, mentre quasi un terzo (32%) afferma che le proprie organizzazioni potrebbero fare molto di più qui (vedere Figura 23).

Come affermato in precedenza, questi dati rafforzano la necessità per i CISO/CSO e le organizzazioni per le quali lavorano di pianificare la carenza di personale e competenze includendo piani per l'uso aggiuntivo di servizi professionali/gestiti e l'automazione dei processi. Le organizzazioni dovrebbero inoltre ricercare, testare e sperimentare soluzioni di sicurezza «intelligenti» basate su analisi avanzate. Queste tecnologie variano notevolmente in termini di efficacia e dovrebbero essere affrontate con cautela, ma vale la pena perseguire il loro potenziale di accrescimento delle competenze umane in futuro.

Dato che la maggior parte degli intervistati ritiene che le loro organizzazioni possano fare di più per affrontare la carenza di competenze, ESG e ISSA hanno chiesto loro alcune raccomandazioni specifiche (cfr. figura 24). I professionisti della sicurezza informatica hanno suggerito azioni come aumentare l'impegno nella formazione sulla sicurezza informatica, aumentare i compensi, fornire ulteriori vantaggi e creare o migliorare un programma di tirocinio sulla sicurezza informatica.

Le tre raccomandazioni principali sono chiare; le organizzazioni devono offrire compensi competitivi, vantaggi e opportunità di formazione per attirare i migliori talenti della sicurezza informatica. Oltre a queste nozioni di base, gli intervistati hanno alcuni consigli aggiuntivi come guardare oltre la sicurezza e l'IT per i talenti, lavorare più a stretto contatto con le organizzazioni professionali della sicurezza informatica e aumentare il lavoro con i college e le università locali. In sintesi, il successo del reclutamento nel campo della sicurezza informatica richiede un po' di sperimentazione e creatività. Le organizzazioni dovrebbero correre dei rischi con l'obiettivo di creare programmi che siano attraenti per la comunità della sicurezza informatica. I CISO dovrebbero raccogliere ulteriori feedback e ottenere l'aiuto del dipartimento HR per creare questo tipo di ambiente.