Cyber-burnout: el costo oculto de una carrera en seguridad

por Corin Imai, asesor senior de seguridad en DomainTools

Los problemas de ciberdelincuencia y salud mental son rampantes. Este artículo analizará cómo los problemas de salud mental pueden hacer que las organizaciones corran un mayor riesgo de cometer un delito cibernético y cómo la lucha contra el delito cibernético puede afectar la salud mental.

El agotamiento profesional es definido como una condición de estrés relacionada con el trabajo que causa agotamiento, una sensación de reducción de logros y pérdida de identidad personal. Existe una amplia literatura sobre este fenómeno en las relaciones con los profesionales de la salud, que necesitan tomar decisiones importantes en el día a día, trabajar bajo una gran presión y con importantes limitaciones de recursos. Sin embargo, recientemente, el agotamiento profesional se ha asociado con la industria de la ciberseguridad.

Las nuevas tecnologías equivalen a nuevos desafíos desde una perspectiva de seguridad, que recaen sobre los hombros de los equipos de ciberseguridad. No ayuda que la transformación digital haya ampliado significativamente la superficie de ataque que los profesionales de la seguridad deben proteger, que las nuevas reglas de cumplimiento estén entrando en vigencia a nivel mundial y que las amenazas continúen evolucionando para evadir la detección. Para agravar el problema, estos equipos carecen de personal crónicamente, están sobrecargados de trabajo y operan con presupuestos limitados por los que deben luchar muy duro para obtenerlos.

Por lo tanto, tal vez como era de esperar, los profesionales de la seguridad han comenzado a informar altos niveles de estrés y síntomas. compatible con agotamiento.

El precio del estrés

A encuesta realizado por Exabeam encontró que el sesenta y dos por ciento de los profesionales de ciberseguridad citan que están estresados ​​o muy estresados ​​en su trabajo, y el 44% no siente que están logrando un equilibrio entre el trabajo y la vida.

Ciertamente, los vínculos entre el estrés y la salud física, así como el estrés y el rendimiento, han sido ampliamente documentados. Un estudio que analizó específicamente los efectos de la repetición, la fatiga y el entorno de trabajo sobre el error humano en las industrias manufactureras, encontró que hasta un 48,8% de la variación en el error humano puede explicarse por estos cuatro factores.

Si bien no existen estadísticas específicas para describir qué proporción de errores humanos en los equipos de ciberseguridad se debe a síntomas de agotamiento, podemos esperar al menos algunos de los 90% de las brechas de seguridad debido a errores humanos estar asociado con el alto nivel de estrés que experimentan los profesionales de seguridad de TI.

Esto se traduce en una alta rotación de empleados: Los CISO solo tienen una permanencia promedio de 26 mesesy un reporte del instituto Ponemon descubrió que el problema se extiende mucho más allá de la alta dirección. De hecho, el 65% de los profesionales de TI y seguridad consideran dejar su trabajo debido al agotamiento, una estadística preocupante que podría suponer una carga adicional para una industria que ya tiene recursos limitados.

Las soluciones

Ofrecer recursos específicos de salud mental

Los empleados deben sentirse cómodos hablando sobre su bienestar mental. La cultura de su organización debe permitir que los profesionales expresen su nivel de estrés, y debe haber un compromiso de ofrecer asesoramiento y recursos psicológicos para ayudarlos a hacer frente a las demandas de su trabajo diario de misión crítica.

Identificar el problema es el primer paso para entablar una conversación significativa sobre la salud mental en las funciones de seguridad de TI. Los gerentes deben informarse sobre cómo ofrecer mejor apoyo a sus equipos, construyendo un tipo de comunicación franco y honesto para alentar a las personas a discutir sus preocupaciones y síntomas, y remitirlos a los recursos apropiados.

En una charla reveladora en Black Hat 2018, Rhett Greenhagen, Investigador senior de seguridad del grupo de programas avanzados de McAfee, a quien se le diagnosticó el síndrome de Asperger a la edad de 12 años, destacó la importancia de adaptar el lugar de trabajo a las necesidades de todos los empleados. Desde alentar a los empleados a buscar atención profesional para ayudarlos a comprender sus síntomas hasta estar en sintonía con los requisitos de todos, ya sea tener un área tranquila donde tomar un descanso o tomarse un tiempo libre para caminar y relajarse, hay varios pequeños cambios que puede marcar una diferencia dramática en el bienestar diario de los profesionales de la seguridad.

Impulsar la campaña de reclutamiento

Es más fácil decirlo que hacerlo, pero contratar más personal de seguridad es el primer paso para garantizar que los profesionales no trabajen en exceso y tengan la oportunidad de establecer trabajos de forma rotativa (cuando sea apropiado).

El nombramiento de más líderes de seguridad también puede ayudar a aliviar la presión y compartir la carga de la responsabilidad, de modo que todos sepan lo que deben hacer para abordar problemas específicos y no tendrán que lidiar con la confusión de recoger las piezas cuando una persona se va.

Considere un equipo de respaldo

Reclutar y retener talentos es difícil y quizás incorporar un equipo externo podría ser más rentable para su negocio. Hoy en día, existen proveedores de servicios gestionados que se adaptan a las necesidades específicas de prácticamente cualquier organización, con paquetes que se adaptan a empresas de todos los tamaños.

Puede optar por subcontratar todas o solo algunas de sus operaciones de seguridad, lo que permite que su equipo interno se concentre en lo que considera que son tareas de mayor seguridad, mientras que un equipo dedicado se encarga de todo lo que pueda tener dificultades para administrar internamente.

Automatice las tareas mundanas

Según una encuesta reciente DomainTools realizado con el Instituto Ponemon, una de las principales razones por las que las empresas introducen la automatización es para reducir la carga de trabajo de los profesionales de la seguridad y el tiempo que necesitan dedicar a tareas mundanas y repetitivas.

Si bien debe planificarse cuidadosamente para asegurarse de que se integrará con otras soluciones de seguridad, y se brindará capacitación para garantizar que la fuerza laboral tenga las habilidades necesarias para operarlo, una herramienta de automatización puede mejorar en gran medida la eficiencia de la función de seguridad de TI. , lo que permite a los humanos concentrarse donde más se necesitan.

Brindar capacitación y reconocimiento

Mantenerse al día con el panorama de amenazas en evolución es exigente y requiere mucho tiempo, y puede hacer que los empleados se sientan abrumados por el desafío de hacer malabarismos con las tareas de su función diaria y la necesidad de mejorar continuamente. Por esta razón, ofrecer a los empleados cursos de capacitación, seminarios y actividades educativas elevará la moral y liberará parte de la presión que pesa sobre los profesionales de seguridad de TI. Proporcione a su equipo libros de jugadas y material actualizados y disponibles sobre experiencias de capacitación recientes a los que puedan consultar en caso de un incidente.

Es importante que el personal se sienta valorado e invertir en su desarrollo y formación profesional es una de las formas de demostrarles que reconoce los esfuerzos que realizan para mantener la seguridad de su organización.

Crea espacio para que los empleados se tomen un descanso

Sin tener que ir a los extremos de Google, donde se instalaron cápsulas para dormir de $ 5,000 para que los empleados tomaran siestas durante sus descansos, las organizaciones pueden reorganizar su espacio para asegurarse de que haya áreas asignadas para que los equipos de seguridad se relajen y eliminen el estrés.

La implementación de políticas como los descansos requeridos y el tiempo libre es, en última instancia, beneficioso para la eficiencia, ya que los trabajadores volverán al trabajo renovados y se desempeñarán mejor, además de sentir que su empleador valora su salud y bienestar.

En última instancia, la ciberseguridad puede ser de alguna manera una profesión intrínsecamente de alto estrés, pero al centrar nuestra atención en el problema, no hay ninguna razón por la que la situación no deba aliviarse. La prevención es siempre mejor que la cura, y la comunicación y la educación siguen siendo la clave para crear una cultura positiva y de apoyo, donde los empleados sientan que pueden hablar y donde los gerentes pueden reconocer los signos de agotamiento y tienen el conocimiento y los recursos para abordar ellos.