La presión dejará fuera de combate a una cuarta parte de los ciberdefensores
Hay muy pocos especialistas en seguridad cibernética para cubrir las vacantes laborales, pero un nuevo estudio sostiene que la escasez empeorará para 2025 a medida que los especialistas en seguridad cibernética se dirijan a las montañas.
Imagen: leowolfert/Adobe Stock
No es ningún secreto que el campo de la ciberseguridad enfrenta vacantes laborales y brechas de habilidades. Desafortunadamente, es posible que el alivio no llegue pronto si la predicción de la firma de investigación Gartner sostiene que una cuarta parte de los líderes de seguridad dejarán la ciberseguridad por completo para 2025 debido a las presiones laborales.
En un nuevo informe, la firma predice que casi la mitad de los líderes de seguridad cibernética cambiarán de trabajo y que la escasez de talento o el error humano serán responsables de más de la mitad de todos los incidentes cibernéticos importantes para 2025.
Salta a:
No preguntes a los trabajadores web «¿Por qué hablas tan en serio?»
Según Deepti Gopal, analista principal de Gartner, los líderes en ciberseguridad están quemando la vela en ambos extremos, equilibrando las necesidades técnicas, comerciales y ambientales para mantener o mejorar la seguridad de sus organizaciones.
Informes de seguridad de lectura obligada
«Si bien se apresuraron a hacerlo realidad, realmente repartieron el dinero», dijo Gopal. “Si observa detenidamente el mundo actual, el entorno de trabajo híbrido lo es todo; también está afectando a los líderes de seguridad cibernética, agregando complejidad a la forma en que trabajan y elaboran estrategias”.
Agrega que la «alineación entre el trabajo y la vida personal» que emplea la TI equivale a disolver la división entre el trabajo y el no trabajo, especialmente cuando el trabajo y el hogar se encuentran en el mismo lugar.
«Si escuchas a los líderes de seguridad cibernética, escucharás cosas como ‘Empiezo el día con trabajo, correo electrónico, alarmas y café’ y ‘Trabajo con un equipo estelar que siempre está disponible'», dijo Gopal. “No se quejan de la carga de trabajo. Son elementos que indican mucha presión, mucha demanda.
«Sin embargo, con el estrés relacionado con el trabajo, pueden salirse de control o descontrolarse, sin poder dedicar tiempo a las cosas que más importan. Me gusta pedir a los líderes que escriban las cosas que tienen que hacer absolutamente la próxima semana, y luego míralos en el calendario, a menudo me dicen que no tienen tiempo para las tareas de su lista».
Los equipos de ciberseguridad están infravalorados entre las empresas que se mueven rápido y rompen cosas
La investigación de Gartner muestra que los programas de seguridad cibernética centrados en el cumplimiento, los bajos niveles de aceptación de los ejecutivos y la seguridad por debajo del nivel de la industria son indicadores de organizaciones que no consideran que la gestión de riesgos de seguridad sea fundamental para el éxito comercial. Es probable que esas organizaciones vean que el talento en seguridad cibernética abandona sus empresas más apreciadas, donde su impacto se siente y valora, dijo Gopal.
“Cuando las organizaciones están encargadas de moverse rápido, hay situaciones en las que la seguridad no es una prioridad principal; eso debe cambiar”, dijo Gopal. «Necesitamos pensar en la ciberseguridad como algo inherente al diseño digital».
VER: 10 predicciones de ciberseguridad para líderes tecnológicos en 2023 (Tecnopedia)
El riesgo interno aumenta con la insatisfacción, la ‘fuga de cerebros’
El analista del vicepresidente de Gartner, Paul Furtado, dijo que la pérdida de ciberseguridad u otro talento, TI o de otro tipo, podría plantear un problema de seguridad en sí mismo porque genera preocupaciones de mala conducta interna.
«El personal de seguridad cibernética es un microcosmos de la sociedad, compuesto por individuos que responden de manera diferente a los diferentes factores desencadenantes del estrés», dijo Furtado. «Para algunos, dejan el trabajo con gracia y sin interrupciones.
«Otros pueden sentir que el artefacto que crearon o contribuyeron es su propiedad intelectual personal y, por lo tanto, hacen una copia. Algunos pueden sentir que quieren divulgar algunos datos que pueden ayudarlos en su empleo con un empleador diferente». role.»
También existe la posibilidad, quizás más lejana, de que las personas, sin importar dónde se encuentren en la organización, puedan ir más allá del robo y cometer actos que dañen o destruyan sistemas o datos.
“La realidad es que los líderes de seguridad deben estar preparados para cada incidente que ocurra, hay muchos ejemplos de estos comportamientos”, dijo Furtado. «Lo que da miedo: en algunos casos, los expertos no esperan despidos o renuncias para iniciar estas acciones.
«Prepararse para gestionar el riesgo interno es fundamental para evitar que se convierta en un incidente de amenaza interna real».
Gartner predice que para 2025, la mitad de las medianas y grandes empresas tendrán planes para abordar el riesgo interno, un aumento del 10 % actual.
Clasificación de las amenazas internas y cómo tratarlas
Según Furtado, la actividad de amenazas internas generalmente gira en torno a:
- Suplantación de identidad.
- Tergiversación.
- Robo financiero y otras formas de malversación, como el fraude de tarifas.
- Revelar o ver datos no autorizados.
- Infracciones del sistema que involucran malware, ransomware, bloqueos de cuentas y eliminación de datos.
3 tipos de actores de amenazas
Identificó tres tipos de actores:
- Usuario descuidado: exposición accidental de datos confidenciales y/o de propiedad, incluidos errores y configuraciones incorrectas.
- Usuario malintencionado: Vandalismo o sustracción de datos por motivos personales o lucrativos.
- Credenciales comprometidas: Credenciales explotadas por alguien fuera de la organización con fines de robo o destrucción de datos.
Secuencia de ataque de amenazas internas
Según Furtado, la taxonomía de los ataques internos muestra que muchos ataques identificados y planeados siguen la siguiente secuencia:
- El actor comete un verdadero error y lo invierte.
- Cuando no surgieron consecuencias, los participantes probaron si el error podía repetirse a voluntad.
- Se alcanza un punto de inflexión cuando una combinación de factores estresantes laborales, factores estresantes personales y defectos de carácter permiten a los actores racionalizar el comportamiento dañino como debido, el servicio a una causa superior, etc.
Lidiando con amenazas internas
Para abordar este riesgo, Furtado recomienda que las organizaciones:
- La regla de los tres: implemente la «regla de los tres» para reducir el riesgo mientras hace un uso eficiente de los recursos de seguridad limitados. Eso implica evitar que las personas tomen medidas en primer lugar, detectar actividad y sabotear los esfuerzos, dijo Furtado.
- Cultura de seguridad: establezca una cultura de seguridad en toda la empresa mediante el desarrollo de un programa de riesgo interno formal alineado con áreas clave de la organización, especialmente recursos humanos y legales.
- Gobernanza social y de riesgos: Reducir el riesgo interno a través de la implementación de técnicas de comportamiento, medición de riesgos y prácticas sólidas de gobernanza (Anexo A).
Figura A
Imagen: Gartner. Las tres reglas para las amenazas internas.
Humanos: Razones y Metas
Gartner predice que la falta de talento o el error humano serán responsables de más de la mitad de todos los incidentes cibernéticos importantes para 2025, debido en parte a un aumento en las vulnerabilidades de ingeniería social y una higiene de datos inadecuada. Sin embargo, los datos de la empresa también sugieren que las percepciones de riesgo de los empleados pueden no reflejar los peligros de ciberseguridad claros y actuales. De lo contrario, la orientación de arriba hacia abajo puede ser inútil.
La primavera pasada, cuando Gartner encuestó a aproximadamente 1300 empleados, el 69 % dijo que había eludido las pautas de ciberseguridad de su organización en los últimos 12 meses, y el 74 % dijo que lo habría hecho si las pautas de ciberseguridad les hubieran ayudado a ellos o a sus equipos a lograr negocios, y están dispuestos a eludir las pautas de seguridad cibernética para ser objetivos.
