0 
0 Dave Stirling, CISO da Zions Bancorporation, não está esperando uma mudança no banco de talentos ou uma grande mudança no mercado de trabalho para resolver a lacuna de habilidades de segurança cibernética. Em vez disso, ele está fazendo sua própria sorte. Como? Ao mudar sua própria estratégia de pessoal, “tentando coisas diferentes e vendo o que funciona”.
Essa abordagem fez Stirling recrutar candidatos da equipe de TI e operações do banco, trabalhar com faculdades locais, investir mais em treinamento e repensar como ele publica vagas em aberto. Ele reconhece que tais medidas, mesmo quando tomadas em conjunto, não são uma bala de prata para os desafios bem divulgados de encontrar, contratar e manter funcionários. No entanto, ele diz que estão fazendo melhorias incrementais em sua capacidade de recrutar e reter talentos de segurança cibernética difíceis de encontrar.
Essa é uma tendência encorajadora, dadas as estatísticas sobre a lacuna de habilidades de segurança cibernética. A associação de governança profissional ISACA em seu State of Cybersecurity 2022: Global Update on Workforce Efforts, Resources and Cyberoperations quantifica o desafio aqui. De acordo com sua pesquisa com mais de 2.000 profissionais de segurança cibernética, 63% têm cargos de segurança cibernética não preenchidos (aumento de oito pontos percentuais em relação a 2021), enquanto 62% têm equipes de segurança cibernética insuficientes. Enquanto isso, 20% dizem que leva mais de seis meses para encontrar candidatos qualificados em segurança cibernética para vagas abertas e 60% relatam desafios para manter profissionais de segurança cibernética qualificados (aumento de sete pontos percentuais em relação a 2021).
Ao mesmo tempo, os líderes de segurança cibernética dizem que precisam não apenas preencher os cargos existentes, mas aumentar o número de funções em sua equipe devido à crescente superfície de ataque em suas organizações, bem como ao crescente número e sofisticação das tentativas de ataque. Essa dinâmica estimulou Stirling a ter tato, e outros também a tentar novas táticas.
Eles estão relatando sucesso. “Temos que fazer algumas mudanças muito intencionais em como procuramos recursos e como construímos capital humano de segurança”, diz Lamont Orange, CISO da fabricante de software de segurança Netskope.
Abaixo estão quatro estratégias que Stirling, Orange e outros estão usando para encontrar e reter talentos em segurança cibernética.
1. Crie melhores descrições de cargos de segurança
Jonathan Fowler também vem tomando medidas para neutralizar os desafios de pessoal que encontrou como CISO na empresa de tecnologia Consilio. Uma de suas estratégias tem como alvo as descrições de cargos que ele usa para recrutar. Ele diz que descobriu que as descrições de cargos que sua empresa estava usando para preencher as vagas em aberto descreviam o que um candidato ideal teria e quais tarefas ele estaria realizando. Geralmente era uma lista longa e muitas vezes irreal, diz ele. Então ele e sua equipe reescreveram a narrativa, criando descrições de cargos que descreviam o que “um ótimo funcionário realmente faz diariamente”.
“Trata-se realmente de definir o nível. É sobre dizer: ‘O que eu preciso? Quais são as tarefas básicas absolutas que eu preciso fazer?’ e depois partir daí”, diz Fowler, acrescentando que a nova abordagem “traz pessoas que podem não ter se candidatado ao cargo antes porque havia um ou dois deveres [listados] que nunca haviam feito antes”.
Stirling também reescreveu as descrições de cargos como parte de sua estratégia multifacetada para enfrentar os desafios de pessoal. Há alguns anos, ele e uma equipe de gerentes começaram a revisar as descrições de cargos para criar narrativas mais concisas. Ou, como ele diz, “destilá-los e remover a penugem”.
Stirling diz que no processo ele percebeu que as descrições de cargos normalmente descreviam o indivíduo que mais recentemente ocupou o cargo. Isso significava – principalmente para aqueles empregos desocupados que haviam superado – que a descrição do trabalho superava o que era necessário para realmente fazer o trabalho. A prática também muitas vezes significava que os candidatos em potencial que se candidataram espelhavam o trabalhador anterior, o que Stirling descobriu que dificultava os esforços para atrair talentos mais diversos.
Usando pesquisas sobre as melhores práticas de recrutamento, Stirling diz que ele e seus gerentes eliminaram requisitos e frases supérfluos que encorajariam candidatos qualificados a se auto-selecionarem. Por exemplo, Stirling e sua equipe usaram “foster” em vez de “impor” e “colaborar e comunicar” para palavras que implicam comando e controle – mudanças que Stirling diz refletir melhor as necessidades de seu departamento de segurança, ao mesmo tempo em que atraem um grupo mais amplo de candidatos.
“Foi uma mudança notável quando fizemos tudo isso e descobrimos que tínhamos pessoas qualificadas que talvez não tivessem se candidatado antes”, acrescenta.
2. Amplie o pool de talentos de segurança
Alguns CISOs foram ainda mais longe: estão revisando o que querem nos candidatos e optando por mudar e até reduzir alguns dos requisitos convencionalmente buscados nas contratações de segurança cibernética.
Joanna Burkey, CISO da HP, é uma delas. Ela divulgou sua mudança em um post no LinkedIn, declarando “eu abandonei os requisitos de graduação”. Ela escreveu: “Aprendi que precisamos ser mais flexíveis quando se trata de contratar talentos cibernéticos. Exigimos uma variedade de níveis de experiência e um conjunto de talentos mais diversificado, que inclui pessoas que se deslocam de outras indústrias, populações historicamente carentes, trabalhadores sem diplomas tradicionais e pessoas com habilidades transferíveis interessadas em uma mudança mais tarde em suas carreiras.”
Burkey não está apenas abandonando os requisitos de graduação; ela diz que também está “aberta, receptiva e até mesmo encorajadora a experiências que não sejam específicas do ciberespaço”. Esses movimentos a ajudaram a ampliar seu grupo de candidatos, diz ela, atraindo indivíduos com credenciais educacionais variadas, mas sem diplomas, veteranos militares e trabalhadores experientes com anos de conhecimento no trabalho.
Suas decisões de contratação não diminuem os padrões, enfatiza Burkey. Na verdade, eles têm o efeito oposto, explicando que estão ajudando a reduzir o risco organizacional e aumentar a resiliência de sua empresa, garantindo que ela tenha um conjunto completo de talentos qualificados com uma diversidade de experiência e pensamento. Ela diz, por exemplo, que precisa de funcionários que entendam de estratégia de negócios, finanças e operações (que possam ser treinados em segurança) para que possam identificar pontos fracos que precisam de atenção e alinhar melhor as estratégias de segurança aos objetivos funcionais. “Eles trazem conhecimento de áreas que precisamos proteger”, acrescenta ela.
3. Crie um pipeline de talentos de segurança mais forte
Travis Gibson, CTO e CSO do Big Brothers Big Sisters of America, adotou uma abordagem semelhante. Ele diz que repensou quanta experiência ele precisava para os cargos, bem como se um diploma universitário era necessário para todos os cargos. Como ele observa: “Não faz sentido que um cargo de nível básico exija no mínimo dois anos de experiência”.
Essa postura permite que Gibson veja a força de trabalho de TI de sua organização como um canal viável para a equipe de segurança. “Eles são adjacentes à segurança durante a maior parte de suas carreiras”, diz ele, acrescentando que muitos funcionários de TI estão interessados em migrar para a segurança.
Gibson reconhece que o talento de TI também não é fácil de encontrar. Mas ele diz que as estatísticas mostram que recrutar profissionais de TI não é tão difícil quanto contratar profissionais de segurança. Ele também observa que é fundamental que os chefes de segurança, como ele, tenham um bom relacionamento e uma abordagem coordenada com os líderes de TI para que o recrutamento de TI não seja visto como caça ilegal.
Além disso, ele diz que o recrutamento de TI, bem como a remoção dos requisitos de experiência e educação, exige um compromisso com o treinamento e o desenvolvimento de carreira. Até esse ponto, Gibson diz que ele e seus gerentes desenvolvem planos de treinamento quando identificam candidatos promissores para que esses trabalhadores possam fazer a transição para a segurança.
Gibson diz que usou essa estratégia para preencher cerca de 20% dos cargos em sua equipe de segurança nos últimos anos. A estratégia também permite que ele preencha as vagas mais rapidamente do que se tivesse ido ao mercado para contratar. “Além disso, você acaba com habilidades multidisciplinares na equipe”, acrescenta.
Outros líderes de segurança também estão encontrando maneiras de construir um pipeline melhor de talentos em segurança. Por exemplo, a empresa de serviços profissionais Deloitte & Touche está trabalhando com a Flatiron School para criar novos profissionais de segurança cibernética . “Estamos procurando criar uma oferta – novos talentos líquidos”, diz Deborah Golden, líder de risco cibernético e estratégico da Deloitte nos EUA.
Os candidatos solicitam admissão ao Cyber Career Accelerator da Deloitte; a empresa cobre o custo do programa de treinamento de segurança cibernética de nove a 12 semanas. Até agora, a Deloitte teve três coortes passando por treinamento. Golden diz que a empresa ofereceu uma “grande porcentagem” dos cargos de coorte na empresa. “E desses, tivemos uma taxa de aceitação de 99%.”
Orange, o Netskope CISO, também está trabalhando para aumentar o fluxo de talentos de segurança por meio de treinamento no trabalho e iniciativas com faculdades e universidades da área. Por exemplo, ele e sua equipe trabalham com professores para identificar alunos para se matricularem em aulas semestrais de crédito com treinamento experimental de segurança cibernética seguido de um estágio na Netskope.
A Orange também promove oportunidades de orientação e acompanhamento. Ele traz lições de segurança do tipo estudo de caso do mundo real para as faculdades para garantir que mais graduados estejam prontos para trabalhar em segurança cibernética quando se formarem.
4. Melhorar o ambiente de trabalho
Trazer talento na porta é apenas metade da equação; manter os trabalhadores de segurança é a outra parte, e é igualmente desafiador. O Info-Tech Research Group para seu Relatório de Prioridades de Segurança de 2022 pediu aos líderes de segurança e TI que nomeassem suas principais prioridades de segurança e seus principais obstáculos para o sucesso da segurança em 2022. O talento liderou a lista em ambas as categorias. Cerca de 30% listaram a aquisição e retenção de talentos como uma das principais prioridades, tornando-a a prioridade mais citada (antes de proteger e responder a ransomware e garantir uma força de trabalho remota). Cerca de 31% citaram as restrições de pessoal como um dos principais obstáculos.
Isabelle Hertanto, diretora principal de pesquisa para a prática de segurança e privacidade da Info-Tech, diz que os CISOs devem envolver seus colegas de negócios com antecedência e com frequência para que possam antecipar quais habilidades de segurança serão necessárias, quando e como obter essas habilidades. Como ela explica, essa abordagem estratégica permite que os CISOs selecionem parceiros terceirizados que complementam melhor sua equipe interna.
“É pensar em como um MSP [provedor de serviços gerenciados] pode reforçar sua equipe existente de forma a mitigar o risco de perdê-los”, diz Hertanto. O MSP pode pegar, por exemplo, as tarefas de rotina que a equipe interna considera mundanas ou distrativas. Isso dá aos funcionários mais tempo para tarefas envolventes de maior valor e mais tempo para aprender novas e mais avançadas habilidades de segurança.
Vários líderes de segurança ecoam essa perspectiva. Eles dizem que fornecer um local de trabalho onde as equipes de segurança tenham o nível certo de trabalho desafiador, mas sem serem constantemente sobrecarregadas, é fundamental para a retenção. “As pessoas deixam os empregos porque não são compatíveis em uma empresa ou porque não estão sendo cuidadas”, diz Deidre Diamond, fundadora e CEO da CyberSN, que fornece serviços de pesquisa e colocação para a profissão de segurança cibernética.
Para contrariar isso, Diamond diz que aconselha os CISOs a organizar suas equipes para que os gerentes tenham a largura de banda para realmente gerenciar suas equipes – ou seja, eles tenham tempo para fornecer feedback, aconselhar e treinar. Ela diz que também aconselha os CISOs a terem cargas de trabalho realistas para cada cargo. “Isso significa um emprego por pessoa, não dois empregos por pessoa, que é o que está acontecendo agora”, diz ela, reconhecendo que é uma tarefa difícil, mas essencial para evitar o esgotamento que leva os trabalhadores para fora da porta.
FONTE: CSO ONLINE