Hay un aumento en la demanda, por lo menos en el sector privado, de profesionales de seguridad que sean, como mínimo, expertos en comunicaciones.
da, por lo menos en el sector privado, de profesionales de seguridad que sean, como mínimo, expertos en comunicaciones, administración de empresas y en explicar el riesgo a los ejecutivos en los términos de su negocio.
“Siempre habrá la necesidad de conocimien- tos técnicos dentro de la seguridad. Sin embargo, en muchas empresas estas posiciones se subsumen en las operaciones o son subcontratadas a proveedores especializados”, dijo Brian Honan, fundador de BH Consulting con sede en Dublín, Irlanda.
Para que esto sea posible, Honan anticipa que la automatización de la seguridad está en camino, como la que vemos en la gestión de los parches, la de las vulnerabilidades y el control de los cambios.
“También vamos a ver mejores soluciones automatizadas para detectar y reaccionar a las amenazas de forma automática,” anticipó Honan.
Queda por ver si ese nivel de automatización tiene nuevas dificultades que incrementarán la carga de trabajo del profesional en seguridad.
En cualquier caso los mismos necesitarán, para sobrevivir en los años venideros, estas habilidades:
Detectar el panorama general de los riesgos: A medida que son automatizados más aspectos de la seguridad y más tareas de este campo son tercerizadas, los profesionales del área deberán definir con precisión los riesgos a los líderes de la empresa, proporcionar las mejores soluciones para conocerlos, ayudar a cuantificar los existentes en diferentes arquitecturas de TI y aconsejar en cuanto a las personas, herramientas y procesos necesarios para gestionarlos.
”Para conducir exitosamente tales evaluaciones los profesionales de seguridad deberán desarrollar otras capacidades, como una mejor comunicación, presentación y habilidades de negocios; para interactuar con la administración y garantizar que los requisitos de seguridad coincidan con los de la empresa”, dijo Honan.
Los ninjas de datos son necesarios: El aumento de la generación y el uso de los datos empresariales, la mayor complejidad de las arquitecturas de TI y la demanda de las empresas de entender todos los datos referentes a seguridad que generan; van a aumentar la demanda de profesionales que puedan trabajar con los científicos de datos para identificar y responder mejor a las amenazas.
“Estoy totalmente convencido de que el mercado de inteligencia para amenazas cibernéticas tendrá un crecimiento explosivo durante al menos la siguiente década. Esto significa que temas como el análisis de amenazas, la ingeniería inversa y los especialistas en datos forenses de respuesta a incidentes (DFIR, por su sigla en inglés) tendrán una gran demanda a nivel mundial”, comentó Martin Dipo Zimmermann, CTO y cofundador de la Red de Inteligencia para Amenazas Cibernéticas.
Ser un colaborador: Debe estar preparado para colaborar, a medida que la gestión de TI empresarial se mueve hacia el despliegue, los modelos de integración son más continuos y más empresas acogen DevOps; los profesionales de seguridad deberán colaborar en una forma más eficaz y estrecha con los equipos de operación, los diseñadores, los desarrolladores y las líneas del negocio.
“Creo que veremos menos CISO como laterales de la oficina y más liderazgo con la atención puesta en Info-Sec como una función de equipo. Aún debe ser capaz de realizar buenas evaluaciones de riesgo , de arquitectura y análisis de estructuras de red”, explicó Zimmermann. Por lo tanto, no más tigres de papel con certificaciones pero sin habilidades; y más personas que crecieron desde los equipos administrativos hacia la seguridad y conocen de lo que están hablando, tanto en términos técnicos y de los intereses del negocio.
Tener tanto un liderazgo empresarial como técnico: “Creo que el conjunto de habilidades, que es una combinación de una amplia base técnica con un fuerte liderazgo empresarial y habilidades para la comunicación serán necesarias para que los CISO tengan éxito. A menudo, hoy se puede encontrar una u otra, pero encontrar ambas habilidades en una sola persona es el desafío”, dijo Jay Leek, CISO de The Blackstone Group. Zimmermann coincide con él. “También deben sobresalir en comunicarse con la administración superior para transmitir los retos de la gestión de riesgo”, dijo el experto.
Ser un TI empresarial erudito: Si las empresas de arquitectura pueden ahora parecer complejas, comparadas con las de hace una década, con nubes híbridas públicas/ privadas, un gran núme-
Brian Honan BH Consulting.
“Siempre habrá la necesidad de conocimientos técnicos dentro de la seguridad. Sin embargo, en muchas empresas estas posiciones se subsumen en las operaciones o son subcontratadas a proveedores especializados”.
ro de arquitecturas y más dispositivos generando y manipulando más datos sobre más conexiones de red; la realidad es que su complejidad está en permanente crecimiento. Durante los siguientes cinco años vamos a ver más elementos conectados con el IoT, más portables y, en general, habrá más dispositivos para controlar
“Este crecimiento de la complejidad obliga a que además de encontrar las habilidades concretas sea necesario el hallazgo de personas que puedan manejar en su cabeza múltiples disciplinas a la vez”, dijo Zimmerman.
Hay más necesidad de habilidades multidimensionales. Así que una persona puede hacer múltiples cosas o se necesitan muchas personas para que cada uno lleve a cabo una. “¿Queremos probadores (testers) de 30 años de edad con habilidades comerciales, legales, etc? Esto es imposible. Muy pocos pueden acumular un conocimiento tan diverso antes de los 50”, afirmó Honan.
“Lo no se puede hacer es contratar a un ciberguerrero sin una base de algún tipo, salvo aquellos que estén muy por encima de la curva de campana. Algunas personas crecen sólo hackeando, pero la mayoría necesitamos un poco de orientación.
Mientras que el futuro es brillante para los que tienen el conjunto de habilidades, es probable que sea bastante pálido para los que opten por no entrenar continuamente y hacer crecer sus capacidades.