Es esta una gran realidad en tecnologías de la información y es que tal vez se minimiza, me refiero al término de lo que es la ciberseguridad, si estamos en sintonía debemos tener presente que esta es una preocupación crítica para las empresas de todos los tamaños, sabemos que, a medida que la tecnología sigue avanzando, también lo hacen los métodos que utilizan los ciberdelincuentes para vulnerar los sistemas de seguridad y robar información confidencial.
Para protegerse contra estas amenazas, las organizaciones debemos tener una sólida postura de ciberseguridad, no se trata de decir “el tema es ciberseguridad que lo vean los TI, son los expertos, hoy en día esto ya no es ni funcional, ni una buena postura a fin de proteger el bien más valioso del negocio, que es su información”, en las empresas maduras y actualizadas tecnológicamente, como les comentaba, saben que deben hacer para que esté protegida y para que eso suceda, deben tener suficientes miembros del personal de TI o seguridad, con la capacitación y las herramientas adecuadas, listos para asumir el desafío.
Ahí es donde entra la adecuada gestión de captación de talento, créanme el encontrar la proporción dorada de personal de TI, no es tarea sencilla, entonces, la cantidad de profesionales de seguridad cibernética que deben emplearse en función del tamaño y las necesidades de una organización se vuelve tardía, lenta porque no hay muchos especialistas.
Durante muchos años, siempre he sostenido que, para construir y mantener un equipo de seguridad cibernética capaz de mantenerse al día con el panorama de rápido movimiento, debe tener la cantidad adecuada de personas dedicadas a él, sin embargo, la mayoría de las empresas simplemente carecen de la experiencia o los datos para determinar cuál es ese número perfecto.
Estoy convencido de que mantenerse protegido contra las amenazas modernas de ciberseguridad requiere mucha experiencia, tecnología y estrategias. ¿Tiene tu negocio lo que necesita para mantenerse seguro?, ¿Qué tan cubierto está tu negocio?
Una escasez de talento en la industria.
La escasez mundial de mano de obra en ciberseguridad es actualmente de 3.4 millones de profesionales aproximadamente, me dicen, me preguntan y me cuestionan, ¿Quién lo hubiera pensado, que TI tuviera tanta demanda?, bueno, es curioso cómo no estar en la vanguardia de los negocios, te deja en una isla, no solo de tecnología en general, el no ver como se mueve el mundo, es lo que propicia esas preguntas, sin embargo, ¡no importa!, el punto fino es que esta escasez de trabajadores de TI especialistas en ciberseguridad, ha generado desafíos importantes para las empresas que intentan crear y mantener equipos de seguridad cibernética sólidos, muchas organizaciones luchan por encontrar candidatos calificados, y las que lo hacen a menudo se enfrentan a una dura competencia de otras empresas, lo que dificulta y encarece la retención de talento.
La escasez de trabajadores también significa que los que existen se quedan con una mayor carga de trabajo, lo que provoca que las organizaciones tengan aún más problemas de retención debido a los altos niveles de agotamiento y estrés.
Proporciones de personal de TI y la ciberseguridad
Las proporciones de personal de TI son una consideración clave cuando se trata de construir un equipo de seguridad cibernética sólido, estas proporciones se refieren a la cantidad de profesionales de ciberseguridad que deben emplearse en función de las necesidades de su negocio.
No existe un enfoque único para las proporciones de personal de TI para ciberseguridad, no obstante, existen algunas proporciones típicas que las organizaciones pueden usar como punto de partida.
Digamos, de acuerdo con el Instituto Nacional de Estándares y Tecnología (NIST), una pequeña organización hasta 500 empleados debe tener al menos un profesional de ciberseguridad a tiempo completo en el personal, además de los integrantes habituales de soporte técnico, infraestructura, administradores, etc., en la misma proporción de profesionales de ciberseguridad a empleados para organizaciones más grandes debería ser mayor.
Vale la pena señalar que las proporciones de personal de TI para ciberseguridad pueden variar ampliamente según factores como:
Industria:
Las empresas financieras o de atención médica deben cumplir con regulaciones más estrictas que otras empresas, lo que significa más controles de seguridad y más tareas de protección.
Nivel de riesgo:
La cantidad de información confidencial que tiene, el tamaño de su negocio, la forma en que almacena los datos, su industria, su ubicación y más pueden afectar el nivel de riesgo para su negocio, recuerden, cuanto mayor sea el riesgo, más seguridad necesitará.
Sensibilidad de los datos:
Sin importar la industria, si está recopilando información confidencial, cómo información de tarjetas de crédito, información personal como direcciones o números de teléfono, o cualquier historial de compras, su negocio podría ser un objetivo más grande y requerir mayores equipos de seguridad.
Historial de ataques:
Las organizaciones con un historial de ataques frecuentes por cualquier motivo pueden necesitar un equipo de ciberseguridad más grande para mantenerse protegidas.
Complejidad de la infraestructura:
Si su empresa maneja tecnologías más complejas, podría necesitar controles de seguridad más complejos para protegerlas.
En última instancia, el objetivo de establecer una proporción de personal de TI adecuada para la seguridad cibernética es garantizar que la organización tenga los recursos necesarios para identificar, prevenir y responder a las amenazas cibernéticas de manera efectiva, por supuesto, al hacerlo, las organizaciones pueden proteger mejor sus activos, clientes, reputación y mitigar el riesgo de costosos ciberataques.
Encontrar la proporción adecuada de personal para su organización
Determinar la proporción adecuada de personal de TI para la ciberseguridad requiere una evaluación integral del negocio en cuestión, si no nos salvamos hay que analizar cuidadosamente la cantidad de dispositivos, tipos de usuarios, sucursales, trasnacionales, etc., les recomiendo algunos pasos que las empresas pueden tomar para evaluar sus necesidades de personal de seguridad cibernética:
Realice una evaluación de riesgos:
Una evaluación de riesgos es un examen dirigido por expertos de la red, los dispositivos y la conciencia general de seguridad de la organización de su empresa para determinar las debilidades, las fortalezas y los riesgos generales de los ataques cibernéticos, puede ayudar a las organizaciones a comprender las posibles amenazas y vulnerabilidades a las que se enfrentan y el impacto que estas amenazas podrían tener en su negocio, esto puede ayudar a guiar las decisiones sobre el nivel apropiado de personal de seguridad cibernética necesario para mitigar esos riesgos.
Evaluar los niveles actuales de dotación de personal:
Las organizaciones deben evaluar si tienen suficientes recursos para abordar las amenazas y vulnerabilidades existentes, esta evaluación debe tener en cuenta el tamaño de la organización, la complejidad de su infraestructura tecnológica y el nivel de riesgo que enfrenta el negocio.
Identificar brechas de personal:
Después de evaluar los niveles actuales de personal, las organizaciones deben identificar cualquier brecha en su experiencia en seguridad cibernética, esto puede ayudar a guiar las decisiones sobre el tipo de profesionales que deben contratarse o el nivel de capacitación y desarrollo requerido para formar el personal existente.
Monitoree y ajuste continuamente los niveles de personal:
Las amenazas y los riesgos de ciberseguridad están en constante evolución, y las organizaciones deben estar preparadas para ajustar sus niveles de personal en consecuencia, supervisar y evaluar periódicamente las necesidades de personal puede ayudar a garantizar que una organización tenga los recursos necesarios para hacer frente a las amenazas actuales y futuras.
Considere las opciones de subcontratación:
La subcontratación de algunas o todas las necesidades de seguridad cibernética de una organización puede ser una solución rentable para abordar las brechas de personal, un proveedor de servicios de seguridad administrados (MSSP) tiene un equipo completo de expertos y la tecnología necesaria para ejecutar estrategias de seguridad.
Al seguir estos pasos, las organizaciones pueden obtener una mejor comprensión de sus necesidades de personal de seguridad cibernética y tomar decisiones informadas sobre las proporciones de personal de TI adecuadas para su negocio.
Opciones de ciberseguridad para empresas sin un gran personal de TI
Para muchas empresas, la creación de un gran equipo de seguridad puede no ser factible debido a restricciones presupuestarias o al acceso limitado a profesionales calificados en ciberseguridad, sin embargo, eso no significa que estas empresas no puedan gestionar eficazmente sus riesgos de ciberseguridad, pueden trabajar con un proveedor de servicios de seguridad administrados (MSSP) puede ser una forma rentable de abordar las brechas de personal de seguridad cibernética.
Los MSSP ofrecen una variedad de servicios de seguridad, como seguridad de red, protección de terminales y monitoreo de seguridad, que se pueden personalizar para satisfacer las necesidades específicas de una organización.
Al asociarse con un MSSP, las empresas pueden acceder a un equipo de expertos en ciberseguridad altamente capacitados que pueden monitorear y responder a posibles incidentes de seguridad, esto puede ser especialmente valioso para empresas con recursos limitados o aquellas que operan fuera del horario comercial tradicional.
Además, trabajar con un MSSP puede brindar acceso a tecnologías y herramientas de seguridad avanzadas que pueden ser prohibitivamente costosas para que una empresa las compre y mantenga por su cuenta, los MSSP pueden aprovechar las economías de escala para proporcionar soluciones de seguridad de nivel empresarial a organizaciones de todos los tamaños.
En general, trabajar con un MSSP puede ser una forma efectiva para que las empresas aborden sus necesidades de ciberseguridad sin el costo de construir un gran equipo de seguridad interna, al subcontratar sus necesidades de seguridad a un proveedor experimentado y calificado, las organizaciones pueden ganar tranquilidad y concentrarse en sus operaciones principales mientras dejan la ciberseguridad a los expertos.
Conclusiones clave
Las proporciones de personal de TI son una consideración importante para construir un equipo de seguridad cibernética fuerte porque las empresas más grandes con más riesgo necesitan más personal de seguridad, determinar la proporción adecuada de personal requiere una evaluación integral de las necesidades de una organización.
“Las proporciones de personal de TI para ciberseguridad pueden variar ampliamente según el tamaño y las necesidades de una organización”
Actualmente, existe una escasez significativa de profesionales de ciberseguridad en todo el mundo, lo que dificulta que las organizaciones encuentren y retengan talento calificado.
Realizar una evaluación de riesgos puede ayudar a orientar las decisiones sobre el nivel adecuado de personal de seguridad cibernética necesario, considero que parte de esto es evaluar los niveles actuales de personal, lo que puede ayudar a identificar cualquier brecha en la experiencia en seguridad cibernética.
La subcontratación de algunas o todas las necesidades de ciberseguridad de una organización puede ser una solución rentable para abordar las brechas de personal.
Debemos de considerar al crear un equipo de seguridad cibernética fuerte requiere una consideración cuidadosa de las necesidades y riesgos únicos de una organización, al evaluar sus necesidades de personal, identificar brechas y monitorear y ajustar continuamente los niveles de personal, las organizaciones pueden protegerse mejor contra las amenazas cibernéticas y mitigar el riesgo de costosos ataques cibernéticos.
No obstante, las empresas que carecen de los recursos para adquirir equipos de seguridad del tamaño adecuado deben buscar fuentes externas, como los MSSP, para obtener la experiencia y los controles que necesitan.
¿Tiene tu empresa la tecnología, las herramientas, las estrategias y la experiencia que necesita para mantenerse protegida contra las amenazas modernas de ciberseguridad?
¿Qué tan cubierto está su negocio?, resuelve esta pregunta para determinar qué tan preparado está tu negocio para defenderse.
Recomiendo tener por lo menos una persona en local para estar revisando las acciones de los proveedores MSSP, esto para que pueda marcarse una ruta de atención y cuando se tenga un evento este no se desborde, en caso de que el proveedor no pueda mitigar o contener la situación, esto lo menciono por experiencia, los proveedores y fabricantes de elementos de ciberseguridad, están, como nosotros, vamos atrás de los entes malosos, que ellos si cuentan con un gran presupuesto que han obtenido o de los países a los que sirve.
Muchas gracias por leerme, saludos desde México.
Su amigo,
Visitas: 7
