Основные факты

Как и в прошлые годы, ESG и ISSA получили базовую информацию о карьере специалистов по кибербезопасности. Например:

79% специалистов по кибербезопасности начали свою карьеру в сфере ИТ.

На вопрос о том, какие навыки наиболее полезны при переходе от ИТ к кибербезопасности, наиболее часто ответили: знания и навыки ИТ-операций (61%), навыки аналитики (53%), практические знания и навыки в области технологий (48%) и деловые навыки (применительно к ИТ-технологиям и процессам) (42%).

На вопрос о причинах для того, чтобы стать профессионалом в области кибербезопасности, главными ответами были возможность использовать навыки и любопытство для решения технических проблем (43%), возможность развить технические навыки и знания (40%), естественный карьерный переход от ИТ (34%) и притяжение к морали профессия (29%).

28% респондентов опроса говорят, что либо они, либо другие специалисты по кибербезопасности, которых они знают, столкнулись с серьезными личными проблемами из-за стресса, связанного с профессией кибербезопасности (например, злоупотребление наркотиками, алкоголизмом, депрессия и т. д.).

50% опрошенных специалистов по кибербезопасности говорят, что уровень стресса на работе вырос в прошлом году в результате поддержки удаленных сотрудников из-за пандемии COVID-19. Чтобы облегчить стресс, вызванный пандемией, 36% организаций установили больше «чек-инов» CISO с персоналом, 32% организовали социальные онлайн-встречи для команды кибербезопасности, а 24% добавили официальные программы управления стрессом, основанные на HR.

Респондентам опроса также был задан вопрос о том, работает ли в их организации директор по информационной безопасности. Тем, кто это сделал, было задано несколько других связанных вопросов. По этой теме исследование показало:

73% респондентов опроса говорят, что в их организации работает директор по информационной безопасности, а 5% говорят, что в их организации работает виртуальный директор по информационной безопасности (vCISO).

Из тех организаций, в которых работают директора по информационным технологиям, 43% говорят, что директор по информационным технологиям отчитывается перед директором, 29% считают, что директор по информационным технологиям подчиняется генеральному директору, 9% говорят, что директор по информационным технологиям отчитывается перед генеральным директором, 9% говорят, что «другие» и 10% не знают.

61% респондентов заявили, что их директор по информационной безопасности является активным участником исполнительного руководства и совета директоров (или аналогичной надзорной группы), 14% считают, что их директор по информационной безопасности не является активным участником исполнительного руководства и совета директоров (или аналогичной надзорной группы), а 24% - не знают. 51% считают, что их уровень участия директора по информационной безопасности организации в исполнительном руководстве и совете директоров является адекватным, 23% считают, что уровень участия директора по информационной безопасности организации в исполнительном руководстве и совете директоров является адекватным, а 26% не знают об этом.

43% считают, что их директор по информационной безопасности был очень эффективным, 49% считают, что их директор по информационной безопасности был в некоторой степени эффективным, 6% считают, что их директор по информационной безопасности не очень эффективен, а 2% считают, что их директор по информационной безопасности не был эффективным вообще.

Отвечая на вопрос о наиболее важных качествах успешного директора по информационной безопасности, 39% ответили на лидерские качества, а 30% ответили на операционные навыки. Остальные 31% включали деловые навыки, технические навыки, навыки управления, коммуникационные навыки и другие.

Респондентам опроса был задан вопрос о том, какие факторы могут привести к тому, что директора по организации перейдут из одной организации в другую. Наиболее популярные ответы: ИТ-директорам предлагается более высокий пакет вознаграждения в другой организации (33%), в организации нет культуры, в которой основное внимание уделяется кибербезопасности (31%), а бюджеты на кибербезопасность не соизмеримы с размером организации и отраслью (29%).

Получение работы по кибербезопасности

ESG и ISSA впервые спросили специалистов по кибербезопасности о том, как они нашли свою текущую работу (см. рис. 1). Самый высокий процент (38%) говорят, что они нашли свою работу, установив контакты с отраслевыми контактами, в то время как 24% рекрутеров связались с отраслевыми рекрутерами, а 22% ответили на вакансии в своей компании (см. рис. 1). Неудивительно, что существует незначительная корреляция между методами поиска работы и стажем работы. Старшие специалисты по кибербезопасности чаще найдут работу через отраслевые контакты и рекрутеры, в то время как те, у кого меньше опыта, чаще используют вакансии. Эта информация должна помочь руководителям по информационным технологиям и специалистам по персоналу в борьбе за заполнение заявок на вакансии.

Несмотря на постоянную нехватку навыков в области кибербезопасности, квалифицированные кандидаты часто жалуются на то, что начать карьеру в области кибербезопасности может быть очень сложно. При встречах с кандидатами начального уровня аналитики ESG и члены МАСО часто обращаются за советом в этой области. В 2021 году ESG и МАСО обратились к этой проблеме напрямую, включив новый вопрос опроса, в котором респондентам опроса предлагались рекомендации для тех, кто хочет войти в сферу кибербезопасности. Почти половина (49%) респондентов предложили получить базовый сертификат по кибербезопасности, 42% предложили присоединиться к профессиональной отраслевой организации, а 36% рекомендовали найти наставника, который готов помочь в развитии навыков и карьерном плане (см. рис. 2). Надеемся, что это руководство поможет кандидатам начального уровня начать свою карьеру.

Карьера в сфере кибербезопасности зависит от практического опыта и некоторых сертификатов

Кибербезопасность подчёркивается множеством эзотерических технических сертификатов, поэтому ESG и ISSA постоянно просили респондентов опроса рассказать нам, какие сертификаты они получили, а какие — наиболее важные. Как и в прошлые годы, респондентам опроса было предложено написать ответ на этот вопрос, а лучшие ответы приведены на рис. 3. Из полученных сертификатов наиболее полезные для получения работы показаны на рис. 4. На обоих графиках выделяется сертифицированный специалист по безопасности информационных систем (CISSP) из (ISC) 2 — это самая популярная сертификация, которая наиболее важна для получения работы в сфере кибербезопасности. Другие сертификаты могут быть важны с тактической точки зрения, но их следует рассматривать как средство для карьерного роста (в некоторых случаях) или для того, чтобы помочь специалистам по кибербезопасности получить общие знания в области кибербезопасности (например, сертифицированный этический хакер).

Специалисты по кибербезопасности после накопления необходимого количества лет опыта проводят сертификацию CISSP, поскольку эта сертификация является обязательным условием для большинства доступных рабочих мест. Однако, помимо CISSP, респонденты опроса используют более тактический подход к дополнительным сертификатам, основываясь на своих навыках, интересах и карьерных планах. ESG и ISSA считают, что это правильный подход к сертификации и карьерному росту. Вместо того, чтобы заполнять резюме акронимами, профессионалам в области кибербезопасности следует сосредоточиться на практической подготовке, наставничеству и профессиональном обучении в качестве основного средства развития навыков. Скорее, сертификаты должны дополнять эти виды деятельности.

ESG и ISSA давно считают, что практический опыт является важнейшим фактором карьерного роста в сфере кибербезопасности, но это предположение было основано на недостоверных данных. В 2021 году ESG и МАСО проверили гипотезу в опросе.

Данные снова подтверждают это давнее убеждение. Только 1% респондентов считают, что сертификаты безопасности важнее практического опыта. С другой стороны, 52% считают, что практический опыт важнее сертификации, в то время как 46% оценивают практический опыт и сертификационные достижения (см. рис. 5). Основываясь на результатах исследования, ESG и ISSA считают, что те, кто считает, что практический опыт и получение сертификатов безопасности одинаково важны, имеют в виду сертификацию CISSP, поскольку это считается основополагающим требованием для карьеры в области кибербезопасности.

Основываясь на этих данных, начинающие и продвинутые специалисты по кибербезопасности должны применять сбалансированный подход к развитию навыков. Как уже говорилось ранее, практический опыт должен быть дополнен соответствующими сертификатами безопасности по мере необходимости.

Профессионалы в области кибербезопасности: взгляд на 360 градусов

Каковы наиболее важные факторы, которые определяют удовлетворительную и неудовлетворительную работу в области кибербезопасности? Этот вопрос был постоянным в исследовательском исследовании ESG/ISSA в течение пяти лет. Интересно, что результаты были довольно последовательными. Тремя главными приоритетами в 2021 году являются приверженность руководства бизнесом надежной кибербезопасности, конкурентное или лидирующее в отрасли финансовое вознаграждение, а также способность работать с высококвалифицированными и талантливыми сотрудниками по кибербезопасности (см. рис. 6).

Руководители ИТ-отделов и HR принимают на это внимание, поскольку эти данные отражают то, что потребуется для найма и удержания специалистов по кибербезопасности.

Учитывая удовлетворенность работой, ESG и ISSA также хотели получить представление о самых стрессовых аспектах работы в сфере кибербезопасности. Почти две трети (32%) респондентов опроса утверждают, что они узнают об IT/инициативах/проектах, которые были начаты другими командами (внутри организации) без надзора за безопасностью (см. рис. 7). В этом есть смысл. Профессионалы в области безопасности хотят участвовать в проектах с самого начала, чтобы они могли «запекать», а не «прижиматься» к безопасности. Аналогичным образом, почти треть (31%) респондентов считают, что работа с незаинтересованными руководителями бизнеса вызывает стресс, в то время как еще 31% респондентов указывают на чрезмерную нагрузку. Как и в случае с высшим ответом, 24% специалистов в области безопасности считают, что удовлетворение потребностей в области безопасности, связанных с новыми ИТ-инициативами, вызывает стресс. Очевидно, что профессионалы в области кибербезопасности хотят участвовать в проектах с самого начала и хотят видеть приверженность кибербезопасности со стороны деловых и ИТ-специалистов. Когда эти условия отсутствуют, организации, скорее всего, столкнутся с высоким выгоранием сотрудников и выкидом персонала.

Как и в прошлом, специалистам по безопасности задавали свои мнения по нескольким темам (см. рис. 8). Несколько статистических данных выделяются:

Конфликт между потребностью в обучении и временем, выделенным на обучение, остается критической проблемой: 91% респондентов согласны с тем, что профессионалы в области кибербезопасности должны не отставать от своих навыков или организации находятся в невыгодном положении, однако 59% согласны с тем, что, хотя они пытаются не отставать от навыков кибербезопасности, это трудно сделать, учитывая требования, предъявляемые к их работе. ESG и МАСО называют эту ситуацию парадоксом обучения кибербезопасности. CISO обращают внимание на это и убеждают организацию в том, что достаточное количество времени и ресурсов для обучения является абсолютным требованием.

Профессионалы в области кибербезопасности, как правило, гордятся своей выносливостью и конкурентоспособностью, скрывая личную цену за эти рабочие места. Исследование подтверждает это, поскольку 60% согласны с тем, что карьера в сфере кибербезопасности может привести к нарушению баланса между работой и личной жизнью, а 38% согласны с тем, что они часто испытывают нездоровый уровень стресса на работе. Соответственно, CISO должны постоянно следить за психическим здоровьем членов команды при разработке программ для снятия стресса.

58% респондентов опроса согласны с тем, что специалисты по безопасности тратят слишком много времени на технические аспекты кибербезопасности и недостаточно времени на то, как кибербезопасность соответствует корпоративной миссии. ESG и ISSA считают, что это фундаментальная отраслевая дилемма, которую иногда называют «проблемой блестящих объектов». Чтобы решить эту проблему, руководители ИТ-служб должны всегда уделять больше внимания кибербезопасности в команде безопасности.

Интересно, что, несмотря на личные проблемы, связанные с этими данными, 79% специалистов по кибербезопасности согласны с тем, что они довольны как профессионалы в области кибербезопасности. ESG и ISSA считают, что именно эта приверженность миссии, независимо от проблем, делает профессионалов в области кибербезопасности особенными. Вместо деловых или технических специалистов специалисты в области кибербезопасности ведут себя как преданные своему делу государственные служащие, ориентированные на большее благо, а не на личные похвалы.

В другом мнении респондентам опроса был задан вопрос о том, сколько времени требуется специалисту по кибербезопасности, чтобы освоиться на своей работе. Множество респондентов (35%) считают, что для развития реальных навыков кибербезопасности требуется от 3 до 5 лет, в то время как 25% считают, что требуется от 2 до 3 лет, а 17% утверждают, что для этого требуется более 5 лет (см. рис. 9). От трех до пяти лет — это большой срок. CISO должны сделать все возможное, чтобы ускорить развитие навыков сотрудников и удержать сотрудников с таким уровнем опыта.

Часто говорят, что кибербезопасность — это «командный вид спорта». Другими словами, успех программы кибербезопасности организации зависит не только от команды информационной безопасности, но и от приверженности и сотрудничества всей организации. Исходя из этого идеала совместной работы, респондентам опроса было предложено охарактеризовать рабочие отношения между командой кибербезопасности организации и другими отделами (см. рис. 10). Данные показывают, что наилучшие отношения — это отношения с ИТ-отделом, руководителями, юридическими и оперативными группами, но ESG и МАСО считают, что некоторые моменты заслуживают внимания:

16% респондентов отметили, что отношения между командами безопасности и ИТ являются справедливыми или плохими. Это вызывает тревогу, поскольку этим командам приходится постоянно работать вместе над такими задачами, как развертывание технологий, управление конфигурацией и снижение рисков.

21% респондентов отметили, что отношения между безопасностью и руководителями были справедливыми или плохими. Аналогичным образом, 27% отметили, что отношения между безопасностью и советом директоров были справедливыми или плохими. Вероятно, это организации, которые по-прежнему считают, что безопасность связана с технологиями, а не с бизнесом. Вероятно, эти компании по-прежнему приравнивают безопасность к нормативным требованиям.

29% респондентов отметили, что отношения между безопасностью и персоналом были справедливыми или плохими. Это вызывает беспокойство, поскольку обе группы работают вместе над такими проектами, как обучение безопасности, набор и наем. Эти задачи, вероятно, решаются неоптимально в организациях с честными или плохими рабочими отношениями в области безопасности и управления персоналом.

Что могут сделать организации, чтобы улучшить некоторые из этих взаимоотношений? Респондентам опроса был задан этот вопрос непосредственно о взаимоотношениях между командами по безопасности, ИТ и бизнес-менеджменту. Что касается улучшения взаимоотношений между безопасностью и ИТ, специалисты по безопасности предлагают обеспечить участие сотрудников безопасности во всех ИТ-проектах с самого начала, включить сотрудников по кибербезопасности в функциональные технологические группы и повысить уровень обучения кибербезопасности для всего ИТ-персонала (см. рис. 11).

Эти предложения особенно интересны. Напомним, что наиболее стрессовым аспектом работы по обеспечению безопасности, выявленным ранее, являются ИТ-проекты/инициативы, которым не хватает надзора за безопасностью. Устранение этой проблемы не только снизит стресс сотрудников, но и улучшит рабочие отношения между безопасностью и ИТ, а также общую защиту безопасности. Встраивание сотрудников по кибербезопасности в группы функциональных технологий происходит с помощью таких мероприятий, как DevSecOps, ориентированных на разработку облачных приложений. Наряду с дополнительными тренингами по безопасности (особенно для разработчиков программного обеспечения) организации внедряют вопросы безопасности в другие аспекты ИТ-специалистов, процессов и технологий.

Что касается взаимосвязи между безопасностью и управлением бизнесом, респонденты опроса предлагают поощрять участие кибербезопасности в бизнес-планировании и стратегии, улучшать идентификацию/количественную оценку киберрисков и сосредоточить ресурсы и инвестиции в области кибербезопасности на критически важные для бизнеса активы (см. Рисунок 12). Как и в отношениях с ИТ, специалисты по кибербезопасности считают, что более тесное и раннее сотрудничество с бизнес-командами может принести пользу. В этом случае группы безопасности должны быть подготовлены правильные коммуникации, отчеты и показатели, которые представляют кибербезопасность в бизнес-контексте.

Нехватка навыков кибербезопасности сохраняется и во многих случаях продолжает ухудшаться

ESG и ISSA считают, что нехватка навыков кибербезопасности имеет два основных последствия. Наиболее очевидным является нехватка талантливых специалистов в области кибербезопасности, на которых вакансий в сфере кибербезопасности просто больше, чем квалифицированных кандидатов. Другой вывод не так широко обсуждается, но, по крайней мере, столь же важен: многие из нынешних сотрудников по кибербезопасности не обладают продвинутыми навыками, необходимыми для защиты критически важных бизнес-активов или противодействия изощренным кибер-злоумышленникам.

Исследуя дефицит навыков кибербезопасности в течение пяти лет, ESG и МАСО убеждены, что это реально и эффективен, но каждый доклад на эту тему получает большое количество негативных отзывов, ставящих под сомнение его существование. Комментарии включают теории о том, что существует множество профессионалов в области кибербезопасности, если бы только организации знали, как и где их нанимать.

Основываясь на этих отзывах, ESG и МАСО задали респондентам опроса основной вопрос в опросе 2021 года: не завышена ли нехватка навыков кибербезопасности? Оказывается, треть респондентов разделяют мнение о том, что нехватка навыков была сильно или несколько завышена, но самый высокий процент специалистов в области кибербезопасности (44%) считают, что ей было уделено должное внимание, в то время как 23% утверждают, что она была занижена (см. рис. 13).

Как ясно показывают дальнейшие исследования, нехватка навыков кибербезопасности реальна, что приводит к множеству проблем для организаций. В то же время исследование указывает на тот факт, что некоторые организации могут испытывать раны, нанесенные самим собой, и действительно плохо набирают сотрудников, обеспечивают необходимый уровень подготовки или решают проблему нехватки навыков с помощью правильных стратегий. По сути, обе группы правы: нехватка навыков реальна, но организации могут и должны делать больше.

Как и в прошлые годы, ESG и МАСО хотели понять последствия глобальной нехватки навыков в области кибербезопасности и как она влияет на организации. Впервые данные немного улучшились. В этом году 57% организаций заявили, что на них повлияла нехватка навыков кибербезопасности, по сравнению с 70% в 2020 году и 73% в 2019 году (см. рис. 14).

Хотя эти данные, по-видимому, отражают обнадеживающую тенденцию, дополнительные данные рисуют иную картину. В прошлом году ESG и МАСО добавили вопрос специалистам по кибербезопасности, считают ли они, что нехватка навыков в области кибербезопасности улучшается или ухудшается. Результаты этого года ужасают, поскольку 44% считают, что дефицит навыков в области кибербезопасности (и его влияние) за последние несколько лет усугубился, а 51% считают, что сегодня ситуация примерно такая же, как и в последние несколько лет (см. рис. 15). К сожалению, только 5% считают, что ситуация улучшилась.

Основываясь на многолетних исследованиях, ESG и МАСО твердо убеждены в том, что нехватка навыков в области кибербезопасности — это долгосрочная реальность, в которой отрасль не достигла значительного прогресса. Хотя программы обучения и найма могут быть достойными, руководители ИТ-служб должны разработать программы корпоративной безопасности, которые учитывают и планируют постоянную нехватку навыков.

Как и в прошлом, респондентам опроса, работающим в организациях, на которых сказывается нехватка навыков в области кибербезопасности, был задан вопрос о последствиях этого (см. рис. 16). Опять же, наивысший отклик (62%) заключался в том, что он увеличил нагрузку на существующий персонал (аналогично прошлогодним результатам, 58%). Это самое серьезное последствие нехватки навыков на сегодняшний день. Кроме того, 38% респондентов указали, что нехватка навыков привела к тому, что новые рабочие места в сфере безопасности остаются открытыми в течение нескольких недель или месяцев (это может быть одной из причин, по которой 29% организаций должны нанимать и обучать младших сотрудников, а не опытных кандидатов). В соответствии с темой психического здоровья, описанной ранее, 38% респондентов заявили, что нехватка навыков привела к выгоранию сотрудников и их выкиданию.

Примечательно также, что треть респондентов считают, что нехватка навыков привела к тому, что команда по кибербезопасности не в состоянии изучить или использовать некоторые технологии безопасности в полной мере. Задумайтесь на мгновение: организации считают, что им нужны новые технологии безопасности для предотвращения угроз, обнаружения и реагирования на них. Они проходят тщательное исследование, приобретение, тестирование, настройку, развертывание и эксплуатацию продукта, а также обучение персонала. После всей этой работы им по-прежнему не хватает персонала или навыков для правильной работы с продуктом. В этой ситуации CISO должны пересмотреть свои приоритеты, приобретая только те технологии, которые могут быть использованы надлежащим образом. В других случаях организациям следует рассматривать управляемые услуги как альтернативу недостаточно используемым технологиям безопасности.

Впервые организациям, утверждающим, что на них повлияла нехватка навыков в области кибербезопасности, было предложено определить факторы, способствующие этому. Три главных ответа включали вопросы, связанные с компенсацией, пониманием персоналом навыков кибербезопасности и работой в отрасли, которая может оказаться непривлекательной для специалистов по кибербезопасности (см. рис. 17). Стоит также отметить, что 25% указали на нереалистичные вакансии (то есть, запрашивали навыки, которые не были соизмеримы с предлагаемой компенсацией, реальные требования к работе и т.д.). В некоторой степени эти данные подтверждают теорию о том, что нехватка навыков кибербезопасности связана с бесхозяйственности, а не с нехваткой квалифицированных кандидатов или продвинутых навыков.

Компенсация — это бинарная проблема, либо организация предлагает конкурентоспособную компенсацию, либо нет. То же самое можно сказать и о отрасли организации. Если компенсация или отрасль непривлекательны, нанимающая компания находится в явно невыгодном положении и добьется успеха в найме только в том случае, если другие характеристики работы будут особенно привлекательными (например, рабочее время, возможности обучения, льготы и т. Д.). Что касается вознаграждения, руководители ИТ-отделов должны лоббировать кадровые, финансовые и другие отделы, чтобы предлагать конкурентоспособные зарплаты, иначе они будут постоянно проигрывать в битве за набор и удержание персонала. Что касается других упомянутых факторов, руководители ИТ-отделов должны убедиться, что HR-отделы и рекрутеры хорошо разбираются в потребностях кибербезопасности и составлять точные и реалистичные вакансии в рамках процесса найма.

Дополнительные данные из результатов опроса этого года еще больше подтверждают масштабы нехватки навыков в области кибербезопасности. Согласно диаграмме 18, на вопрос о том, насколько сложно нанять специалистов по кибербезопасности, 76% специалистов в области безопасности отвещают, что это чрезвычайно (18%) или несколько сложно (58%).

Респондентам опроса было предложено определить области с наиболее острым дефицитом навыков. Почти четыре из десяти (39%) указывают на безопасность облачных вычислений, за ними следуют почти треть (30%), которые определяют безопасность приложений и/или анализ безопасности и расследования как области нехватки персонала (см. рис. 19).

CISO должны понимать уровень конкуренции для кандидатов с такими навыками. Возможно, стоит разработать резервные планы, если усилия по набору персонала будут слабеть или полностью потерпеть неудачу. Примеры включают обучение разработчиков программного обеспечения и DevOps безопасности приложений, набор и обучение администраторов виртуализации серверов в качестве специалистов по безопасности облачных вычислений, а также работу с опытными поставщиками управляемых услуг.

Исследование также указывает на то, что труднее всего нанять специалистов среднего и старшего звена по кибербезопасности, в то время как меньшее число организаций испытывают трудности с наймом сотрудников по безопасности начального уровня или руководителей в области кибербезопасности (см. рис. 20).

В то время как организациям трудно нанимать и нанимать сотрудников по кибербезопасности, специалисты по безопасности постоянно набираются на новые должности, обещая более высокую зарплату, лучшие льготы и различные льготы. Более того, 70% опрошенных специалистов по кибербезопасности должны рассматривать другие вакансии не реже одного раза в месяц (см. рис. 21). Кроме того, 71% респондентов опроса считают, что частота/объем вакансий увеличился за последние несколько лет. Кибербезопасность действительно остается рынком сбыта.

В 2021 году респондентов опроса еще раз попросили определить, кто несет ответственность за решение проблемы нехватки навыков в области кибербезопасности. Респонденты указывают, что CISO/ОГО действительно владеют этой проблемой (см. рис. 22). Достаточно ли этих людей и организаций, над которыми они работают, чтобы решить проблему нехватки навыков в области кибербезопасности? По мнению респондентов опроса, 27% опрошенных считают, что их организация могла бы сделать больше для решения проблемы нехватки навыков, а почти треть (32%) считают, что их организации могли бы сделать здесь гораздо больше (см. рис. 23).

Как уже говорилось ранее, эти данные усиливают потребность в том, чтобы CISO/ОГО и организации, в которых они работают, планировали нехватку персонала и навыков, включая планы дополнительного использования профессиональных/управляемых услуг и автоматизации процессов. Организациям также следует исследовать, тестировать и опробовать «умные» решения безопасности, основанные на расширенной аналитике. Эффективность этих технологий сильно различается, и к ним следует подходить осторожно, но их потенциал для повышения человеческих навыков в будущем заслуживает внимания.

Поскольку большинство респондентов считают, что их организации могут сделать больше для решения проблемы нехватки навыков, ESG и МАСО попросили их дать некоторые конкретные рекомендации (см. рис. 24). Специалисты по кибербезопасности предложили такие действия, как повышение приверженности обучению кибербезопасности, увеличение вознаграждения, предоставление дополнительных льгот, а также создание или улучшение программы стажировок по кибербезопасности.

Три главных рекомендации ясны: организациям необходимо предлагать конкурентоспособные вознаграждения, льготы и возможности обучения для привлечения лучших специалистов в области кибербезопасности. Помимо этих основ, респонденты опроса могут получить дополнительные советы, такие как не только безопасность и ИТ для талантов, более тесное сотрудничество с профессиональными организациями в области кибербезопасности и расширение сотрудничества с местными колледжами и университетами. Таким образом, успешный набор сотрудников в области кибербезопасности требует немного экспериментов и творчества. Организации должны рисковать с целью создания программ, привлекательных для сообщества кибербезопасности. CISO должны собрать дополнительную обратную связь и заполучить помощь отдела кадров для создания такой среды.