Durch die Pandemie verursachtes Burnout und Stress machten im Jahr 2021 mehr Cybersicherheitspositionen im Vergleich zum Vorjahr unbesetzt. Und es gibt keine Anzeichen dafür, dass die Arbeitsplätze in Kürze mit qualifizierten Fachkräften besetzt werden, um die erhöhten Bedrohungsstufen im Zusammenhang mit dem russischen Krieg gegen die Ukraine und der Warnung von Präsident Biden diese Woche zu erfüllen, dass russische Cyberangriffe „kommen“.
Welche Frage stellt sich: Wo sind die Cybersicherheitsleiter von heute?
„Die große Kündigung verstärkt die seit Jahren bestehenden Herausforderungen bei Einstellung und Bindung der Cybersicherheitsgemeinschaft“, sagt Jonathan Brandt, Direktor für professionelle Praktiken und Innovation bei ISACA (Information Systems Audit and Control Association). Der internationale IT-Verband hat heute seine achte jährliche Umfrage zum Stand der Cybersicherheit unter mehr als 2 000 Cybersicherheitsexperten auf der ganzen Welt veröffentlicht.
Die herausfordernden Ergebnisse sprechen für sich: Mehr als sechs von 10 Befragten gaben an, dass sie unterbesetzt sind. Jeder Fünfte berichtete, dass es mehr als sechs Monate dauert, einen qualifizierten Bewerber zu finden, um ihn einzustellen.
Infolgedessen bleiben laut CyberSeek fast 600 000 Cybersicherheitspositionen in den USA unbesetzt. Tausende von Unternehmen sind einem größeren Risiko durch Cyberangriffe ausgesetzt. Tatsächlich gaben 69 % der Umfrageteilnehmer von ISACA, die letztes Jahr eine Form eines Cyberangriffs erlitten haben, an, unterbesetzt zu sein.
Bewertung der Cybersicherheitskompetenzlücke
Qualifizierte Talente zu finden, um die Cybersicherheitslücke zu schließen, war schwierig, sagten die Befragten der ISACA-Umfrage. Etwas mehr als die Hälfte gab an, dass die Bewerber Soft Skills fehlten, einschließlich Kommunikation, kritisches Denken und Problemlösung. Die zweithäufigsten Fähigkeiten waren Cloud-Computing, gefolgt von der Implementierung von Sicherheitskontrollen, der Codierung und der Softwareentwicklung.
Mit guten Kandidaten, die schwer zu finden sind, ist es kein Wunder, dass sich viele Unternehmen an die Suche nach Cybersicherheitsexperten gewandt haben. Fast 60 % der Unternehmen gaben an, dass die meisten Fachleute einen Job verließen, weil sie von einem anderen Unternehmen eingestellt wurden. Die anderen wichtigsten Gründe für den Austritt aus der Pandemiezeit waren schlechte finanzielle Anreize, begrenzte Möglichkeiten für Beförderung oder Entwicklung, ein hohes Arbeitsstressniveau und mangelnde Unterstützung des Managements.
Einige Arbeitgeber haben die Arbeiter dazu gedrängt, letztes Jahr ins Büro zurückzukehren, was möglicherweise dazu geführt hat, dass mehr Menschen das Büro verlassen haben. ISACA berichtete, dass in diesem Jahr mehr Befragte begrenzte Remote-Arbeitsmöglichkeiten und unflexible Arbeitsrichtlinien nannten als ein Jahr zuvor. Arbeitsengpässe könnten zunehmen, spekulierte ISACA, wenn Mitarbeiter Arbeitsplätze für bessere Stunden verlassen, während Unternehmen, die Remote-Arbeit unterstützen, einen Vorteil bei der Gewinnung qualifizierter Talente haben könnten.
„Es besteht eine große Spannung zwischen Arbeitgebern und Mitarbeitern“, sagt Brandt. „Unsere Herausforderungen sind selbst zugefügte Schusswunden.“
Und die Generationslücke vertieft nur die Qualifikationslücke für Cybersicherheit. „Es geht nicht nur um das Gehalt mit dieser neuen Generation“, fügt Brandt hinzu. „Was wir sehen, ist, dass sie am Ende des Tages ausstecken möchten. Sie wollen ein Gleichgewicht.“
Füllen der Cybersicherheits-Talentlücke
Daher erweitern Unternehmen den Bewerberpool, um die Cybersicherheits-Talentlücke zu schließen, um diejenigen einzuschließen, die kein Hochschulstudium abgeschlossen haben. Nur 52 % der Befragten geben an, dass sie jetzt einen Universitätsabschluss benötigen, 6 Prozentpunkte weniger als ein Jahr zuvor. Und der Prozentsatz der Unternehmen, die aktuelle Mitarbeiter, die an Cybersicherheit interessiert sind, Cross-Training anbieten, stieg um 2 %. Ein Vorteil von Cross-Training ist, dass Mitarbeiter bereits einige Kenntnisse über das Unternehmen und seine Funktionsweise haben.
Gemeinnützige Organisationen wie NPower, die unterversorgten Gemeinschaften technische Schulungen anbietet, und die Cybersecurity Talent Initiative, die Cybersicherheitstalent mit Unternehmen zusammenbringt, die Cybersicherheitsrollen besetzen möchten, sind ein wichtiger Teil der Besetzung der zukünftigen Talentpipeline.
Die Anzahl der Befragten, die Berater und Auftragnehmer hinzugezogen haben, um Arbeitsplatzengpässe zu füllen, stieg um 5 Prozentpunkte im Vergleich zum Vorjahr. Experten wie Rebecca Herold, CEO von Privacy and Security Brainiacs, haben kürzlichEndpoint gesagt , dass externe Hilfe am besten funktioniert, wenn sie auch interne Mitarbeiter schulen.
Vielleicht aufgrund des Mangels an geschulten Mitarbeitern gaben nur 41 % der Befragten an, dass ISACA im vergangenen Jahr eine Cyber-Risikobewertung durchgeführt hat. Die Hauptgründe für die Nichtdurchführung häufiger Kontrollen waren ein Zeitmangel, der von 43 % der Befragten angegeben wurde, und ein Mangel an geschultem Personal, der von 40 % angegeben wurde. Eine Bewertung einmal pro Jahr ist wahrscheinlich häufig genug, sagte ISACA, da Hacker ihre Angriffsmethoden schnell ändern.
[Auch lesen: Cyber-Risikobewertungen sollten mehr als nur eine Zahl sein]
Während Brandt sagt, dass jährliche Cyber-Risikobewertungen die Norm zu sein scheinen, besteht ein wachsender Wunsch, die Zeit zwischen diesen Risikobewertungen zu verkürzen. Eine Bewertung, sagt er, wird oft als „große formelle Monstrosität“ angesehen. Eine Alternative zu häufigeren Gesamtbewertungen sollte die Bedrohungssuche, die Beseitigung von schlechten Praktiken und die Implementierung grundlegender Cyberhygiene sein.
Trotz der heutigen laufenden Herausforderungen oder vielleicht aufgrund dieser, ist Brandt der Meinung, dass es eine wichtige Lektion gibt, die von Führungskräften aus den Bereichen Wirtschaft und Technologie gelernt werden muss. Die Pandemie und der Krieg in der Ukraine haben gezeigt, dass „jeder Teil der Lieferkette fehlbar ist, alles manipuliert wird.“ Das zu wissen, sagt er, „sollt bessere Risikoentscheidungen beeinflussen.“
Mehr Ressourcen zur Behebung des Cyber-Talentmangels
Unternehmen werden kreativ, um die Cybersicherheitslücke zu schließen
3 Möglichkeiten, Mitarbeitern bei der Bekämpfung von Pandemiestress zu helfen
Um Mitarbeiter einzubinden, geben Sie ihren Gemeinden etwas zurück
Wie NPower Wege zum Wohlstand schafft
Wie Code.org den Schulkindern der Welt Programmieren beibringt
Die Überbrückung der Geschlechterlücke in der Cybersicherheit wird uns alle sicherer machen
