La falta de profesionales en ciberseguridad preocupa a las empresas

No nos cansamos de repetirlo: la ciberseguridad es (o debe ser) una absoluta prioridad para empresas e instituciones públicas. Los ciberdelincuentes, que operan en muchas ocasiones como organizaciones criminales, no escatiman esfuerzos en estar a la última, explorar nuevas vías de ataque y, así, cumplir sus aviesos objetivos, ya sean robar, sabotear, robar información…

Por tanto es perentorio, para quien quiera proteger sus actividades y seguridad (todo el mundo, en realidad), tener una política de gestión de la misma que se adapte a las amenazas actuales y, al tiempo, que sea capaz de dar una rápida respuesta ante nuevas amenazas.

Sin embargo, hay algunos aspectos que no dependen directamente de los responsables de seguridad de las empresas. Son, en realidad, una responsabilidad colectiva de la que participan profesionales, empresas, sector formativo e instituciones públicas, y solo la acción conjunta por parte de todos los agentes permitirá que estemos verdaderamente protegidos ante esto.

Uno de esos aspectos, y que según un estudio llevado a cabo por Intel Security y el CSIS (Center for Strategic and International Studies) es un problema, es que existe una importante falta de talento dedicado a la ciberseguridad. Así, el 82% de los participantes en el estudio confirma que existe un gran déficit de profesionales especializados en esta área, un porcentaje superior al que se da en otras actividades relacionadas con la tecnología.

Esta carencia repercute, de manera muy directa, en la cantidad de ataques exitosos que se producen a diario, tanto en la no prevención de los mismos como en la minimización de los daños cuando son inevitables. Hasta un 76% de los encuestados opina que no se invierte lo suficiente en fomentar y formar a los profesionales que necesita el sector para cubrir esa falta de talento que tan peligrosa resulta. Y en concreto, no dudan en apuntar a gobiernos y administraciones públicas como quienes deben «mover ficha» a este respecto, y establecer planes de acción para revertir esta preocupante tendencia.

“La falta de personas con conocimientos en ciberseguridad tiene como consecuencia un daño directo en las empresas, tales como la pérdida de información”, afirma James A. Lewis, vicepresidente senior y director del programa de tecnologías estratégicas en el CSIS, “Se trata de un problema a nivel global, y cabe destacar que mayoría de los encuestados de todos los países relacionaron esta falta de talento con consecuencias negativas para su organización”.

Una falta de talento que, por ejemplo, se cuantifica en los 209.000 puestos de trabajo relacionados con la ciberseguridad que no pudieron ser cubiertos el año pasado en Estados Unidos. Y lo peor, no hay señales de que esto vaya a cambiar a corto plazo: los responsables de IT del estudio consideran que en el año 2020 se quedarán sin cubrir aproximadamente el 15% de los puestos de trabajo relacionados con la seguridad en sus empresas.

Los ciberdelincuentes se aprovechan de esta situación

Más peligroso aún es que los ciberdelincuentes son muy conscientes de esta situación, de la que no dudan en sacar partido. Saben que, al menos de momento, este problema juega a su favor, y consecuentemente no dudan en dedicar todos los recursos de los que disponen para atacar unos objetivos tan atractivos. Y el boom de los servicios en la nube, sumado a la incipiente llegada de Internet de las Cosas, no va a hacer sino agravar todavía más la situación, comprometiendo la seguridad de servicios, infraestructuras y sistemas de todo tipo.

Hasta ahora, según Chris Young, vicepresidente senior y director general de Intel Security Group, “el sector de la seguridad ha debatido en profundidad sobre cómo afrontar la tormenta de ataques y brechas, pero los gobiernos y el sector privado no han tenido demasiada urgencia en resolver la falta de talento en ciberseguridad”. ¿La solución? Según Young: “Para afrontar esta crisis de personal es necesario promover nuevos modelos educativos, acelerar la disponibilidad de oportunidades de formación y proporcionar una automatización más profunda para que ese talento sea usado de la mejor forma posible en primera línea. Por último y sin duda, tenemos que diversificar nuestros rangos”.

El informe plantea que este problema se sostiene en cuatro pilares fundamentales:

Gasto en ciberseguridad: La inversión en seguridad en las empresas es, sin duda, un termómetro determinante. La seguridad no depende exclusivamente del presupuesto dedicado a la misma (no, al menos, en lo que se refiere exclusivamente a la adquisición de licencias y contratación de servicios), pero a falta de talento, una puerta blindada es siempre mucho más segura que una que puede abrirse con una simple patada.

Educación y formación: La adaptación del sector de la formación a las nuevas necesidades es una importante laguna hoy en día. Solo un 23% de los participantes en el estudio considera que los sistemas educativos están preparando a los estudiantes de la manera adecuada. El modelo educativo actual se muestra un tanto obsoleto, y es necesario incluir en el mismo métodos no tradicionales, como hackatones y actividades similares, además de reforzar la formación práctica.

Dinámicas de los empleadores: Cuando se quiere contratar talento el salario es un aspecto importante, pero no lo único. Ofrecer un plan de carrera, otro de formación continua, proyectar una imagen atractiva de cara al exterior… hay muchos extras que, cuando un profesional debe decantarse por una u otra oferta, sirven para que tome uno u otro camino. Hacer que los departamentos de IT sean más y más atractivos es, por lo tanto, una importante vía para atraer más talento.

Políticas de la administración: La implicación de las administraciones públicas es, ya lo hemos dicho antes, fundamental. Hasta un 76% de los participantes en el estudio piensa que la inversión pública es insuficiente y, por su importancia, lo consideran un problema con la suficiente relevancia como para que los gobiernos tomen cartas en el asunto.

Es necesario, sin duda, un plan de acción integral para solucionar en este problema. Un plan que redefina el perfil de formación de los potenciales candidatos a esos puestos de trabajo, que apueste de manera decidida por la formación interna y externa de estos profesionales, que detecte qué campos son más dados para el empleo de soluciones que requieran una menor (o nula) intervención humana, sistemas de inteligencia colectiva dedicados a recoger información sobre ataques y al análisis de los mismos… No es sencillo, desde luego, pero hay que hacerlo tarde o temprano. Y, cuanto más tarde sea, más tiempo estaremos expuestos a un ya gigantesco, y aún así muy creciente, sector del cibercrimen.