缺乏熟練的網絡安全勞動力會阻礙任何組織安全計劃的有效性。是的，人工智能 (AI) 和機器學習 (ML) 等自動化工具和技術提供了一層支持，引入托管安全服務提供商 (MSSP) 可提供內部不具備的專業知識。但這還不夠，特別是對于最能從內部安全團隊中獲益的中型企業而言。
然而，人才短缺不僅僅影響當今的安全問題。現在缺乏熟練的勞動力將影響未來。組織難以填補的不僅僅是入門級職位；包括 CISO 和 CSO 在內的領導職位空缺。如果沒有掌握訣竅的人才，未來的安全管理可能會成為占位者，而不是積極的領導者。
(相關資料圖)
網絡安全需要了解安全在組織業務運營中的作用的領導者。但是，這些領導者將來會從哪里涌現呢？
CISO的由來第一次使用“首席信息安全官”（CISO）這個頭銜是在 20 世紀 90 年代中期。花旗集團（現為花旗集團）在公司遭受一系列網絡攻擊后聘請了史蒂夫卡茨。當時互聯網處于最早階段，當時組織對計算機和在線連接的依賴程度較低。那時候，員工很幸運能夠擁有一個超越內部通信的電子郵件地址。
Katz 在安全方面有經驗，或者正如SecurityWeek所說，“在安全存在之前，他一直處于安全的邊緣——他致力于產品生命周期和質量保證，并在 COBOL 和 FORTRAN 中包含了對 ID 和密碼模塊的要求”，然后才接手新發明的 CISO 角色。這本身就很不尋常，因為安全團隊及其領導通常來自 IT 部門。他們擁有必要的技術誠意，但在工作中學會了安全。
勞動力缺口根據(ISC)2 2022 勞動力研究，全球網絡安全勞動力數量接近 500 萬，并且一直以 26% 的年增長率增長。仍有超過 300 萬個工作崗位需要填補。
“網絡安全勞動力缺口危及該行業最基本的職能，如風險評估、監督和關鍵系統修補，”該研究稱。目前的網絡安全員工認為，人手不足的團隊會使組織面臨更高的攻擊風險。
雪上加霜的是，網絡安全行業對專業化的需求日益增長。入門級安全工作者的主要任務是閱讀日志的日子已經一去不復返了。根據ISACA 的一項研究，最缺乏的技能包括云計算、編碼、安全和數據控制、行為分析和軟件開發。研究發現，當今組織需要填補的前五個角色是云安全、身份和訪問管理、數據保護、事件響應和 DevSeOps。
缺乏的不僅僅是入門級和中級網絡安全人才。雖然這不是什么大問題，但許多公司都有不同級別的管理職位空缺。例如，17% 的受訪者表示他們的 CISO 職位空缺。此外，25% 的人需要高級經理或網絡安全主管。
CISO 來自哪里根據 ISACA 的研究，最缺乏的技能不是云計算和數據保護。最大的人才短缺是軟技能。網絡安全在培養領導技能方面做得不好，包括溝通或靈活性。下一批領導者不會在大學里培養，這將影響 CISO 的未來。
Heidrick & Struggles 的2022 年全球首席信息安全官 (CISO) 調查發現，CISO 經常流動，超過一半的人表示他們是從另一個 CISO 職位轉到現在的工作的，尤其是那些已經工作一年的人或更少。那些長期從事本職工作的人來自其他類型的工作。他們之前的大部分經驗都來自 IT。然而，該報告稱，“我們看到其他類型的功能性專業知識正在出現，尤其是軟件工程，它從去年的 7% 增加到今年的 10%。”
預計這種在安全人才庫之外尋找領導職位的趨勢將繼續下去。隨著年長的專業人士退休和中年專業人士精疲力盡，這種情況可能會變得更加明顯。人才短缺可能會導致雇主優先考慮留住技術工人，尤其是那些在專業領域捍衛流行攻擊媒介的工人，而不是將他們提拔到管理職位。或者，CISO 最終可能成為一名混合型員工，他們必須保持自己的實際安全功能，同時還要管理最高管理層的職責。
面對現代威脅今天的 CISO 應該了解“組織使用和期望的技術范圍通過控制框架遵守法規，評估信息資產風險，將安全擴展到組織之外（例如云、移動、社交媒體、威脅情報網絡）并知道如何隱私法規會影響組織（數據的位置、使用方式以及保護方式），”Dark Reading 的一篇文章稱。按照這個標準，最好的 CISO（或 CSO 或網絡安全領導層的任何人）將來自具有強大安全、數據隱私和合規經驗的背景。
但是，作為執行團隊的一員，CISO 需要在考慮業務運營和目標的同時考慮安全性。組織將尋找具有商業背景和技術背景的候選人。他們還可以培養在沒有初始網絡安全經驗的情況下表現出領導能力的員工。
在花旗集團聘請其首位 CISO 三十年后，Steve Katz 看起來像是一只獨角獸：由于他在安全領域的特殊背景而擔任這一職務。今天的 CISO 繼續來自其他學科并學習安全方面的知識。但隨著網絡威脅變得越來越復雜，我們對技術的依賴程度越來越高，CISO 將需要扎實的安全背景。只要人才缺口繼續擴大，就仍然很難從競爭者中找到領導候選人。
編譯自：IBM securityintelligence
原作者：蘇波倫巴
標簽：
