Wie man dem Arbeitskräftemangel im Bereich Cybersicherheit zuvorkommt

Der Arbeitskräftemangel im Bereich der Cybersicherheit ist in vollem Gange, und Unternehmen auf der ganzen Welt bekommen seine Auswirkungen zu spüren. In unserem neuesten E-Book schlagen wir drei Strategien vor, die Sicherheitsverantwortlichen helfen, den Arbeitskräftemangel zu bewältigen.

Heute werden wir eine dieser Strategien untersuchen: die Modernisierung Ihrer PKI, die ein Segen für die Effizienz Ihrer IT- und Sicherheitsteams sowie für die Sicherheitslage Ihres Unternehmens sein kann. Doch zunächst lohnt es sich, eine Bestandsaufnahme der unzähligen Faktoren zu machen, die zum Fachkräftemangel im Bereich der Cybersicherheit beitragen. 

Verständnis des Arbeitskräftemangels im Bereich Cybersicherheit

The labor shortage isn’t a problem that will resolve itself quickly. Its symptoms and ramifications will hold major implications for the business world for years to come — even as the current demand for cybersecurity talent is outpacing the workforce.

The labor shortage isn’t a new problem either. Cybersecurity Ventures reports that 2013 saw one million unfilled cybersecurity roles worldwide. A 2022 Cybersecurity Workforce Study by (ISC)² showed that the cybersecurity labor pool reached an all-time high in 2022 at 4.7 million workers — an 11% increase since 2021. However, the workforce gap widened by 26.2%, creating a global shortage of 3.4 million workers. More than 700,000 of those vacant positions are in the U.S.

Cybersecurity Ventures asserts that the labor shortage is leveling off but not decreasing. They predict that the current gap of 3.4 million workers will hold steady through 2025.

Die Geschäftsrisiken eines unterbesetzten Sicherheitsteams sind hoch

A study from Trellix shows that the shortage affects 85% of organizations’ security posture. The (ISC)² survey polled cybersecurity professionals about the biggest obstacles exacerbated by the shortage.

• Falsch konfigurierte Systeme (32%) 
• Unzureichende Zeit für eine angemessene Risikobewertung und ein angemessenes Risikomanagement (30 %)
• Übermäßige Verzögerung bei der Aktualisierung kritischer Systeme (29 %)
• Überwachung von Verfahren und Prozessen (28%)
• Unfähigkeit, aktiven Bedrohungen gegen Unternehmensnetze einen Schritt voraus zu sein (27 %)
• Eilige Einsätze (27%)

These vulnerabilities can potentially disrupt business operations significantly, and no organization is immune. Crypto.com, the Red Cross, Microsoft, Cash App, and others suffered notable breaches in 2022. IBM’s Cost of a Data Breach report found that 85% of organizations suffered a breach — many experienced more than one. 

To compound the consequences, the cost of a breach has never been higher. IBM estimates that a data breach in the U.S. costs an average of $9.44M, with breaches in the healthcare industry costing even more — $10.10M on average.

Zertifikatsausfälle werden zu einem ebenso großen Problem wie Phishing-Angriffe und kompromittierte Anmeldedaten

Obwohl IBM feststellte, dass Phishing-Versuche und kompromittierte Anmeldedaten die häufigste und kostspieligste Ursache für Sicherheitsverletzungen sind, werden Ausfälle von Zertifikaten immer häufiger und teurer.

Keyfactor’s State of Machine Identity Management 2022 Report found that 81% of organizations have experienced at least two or more disruptive outages caused by expired certificates in the past two years, with the average organization suffering four certificate-related outages. The average cost of a certificate outage for a global 5,000 company came in at $15M.

Die Gründe dafür sind vielfältig.

• Das Volumen der Zertifikate, die ein durchschnittliches Unternehmen verwendet, liegt weit über einer Viertelmillion.
• Drei Viertel der Unternehmen geben an, dass die zunehmende Verwendung von digitalen Zertifikaten und Schlüsseln die operative Belastung ihrer IT-Organisation deutlich erhöht hat. 
• Verkürzte Lebenszyklen von Zertifikaten stellen eine Herausforderung dar. Im Jahr 2020 wurden die Lebenszyklen von Zertifikaten von 27 auf 13 Monate halbiert, was den Aufwand und das Risiko für Unternehmen ohne ausgereifte PKI-Prozesse (Public Key Infrastructure) verdoppelt.

Pandemiebedingtes Burnout ist ein wesentlicher Grund für den Arbeitskräftemangel

CyberSN, a cybersecurity job board, reported that resignations in the cybersecurity field had risen around 20% since the pandemic’s start. Before the Covid 19 pandemic, cybersecurity workers on both the East Coast and the West Coast cited a lack of growth opportunities as their top reason for resigning. Notably, burnout did not make the top five reasons for quitting a role on either coast. Contrast that to today, where burnout is the top reason for resignation on the West Coast and the second-highest reason on the East Coast, accounting for 30% of resignations for each.

Eine modernisierte, automatisierte PKI verschafft Cybersecurity-Teams mehr Spielraum

Viele Cybersicherheitsteams verschwenden Stunden mit operativen Aufgaben, die leicht automatisiert werden könnten, so dass sie sich auf andere Aufgaben konzentrieren können. Neben der Zeitersparnis kann die Automatisierung auch andere positive Auswirkungen auf das Unternehmen haben, da sie die Risiken im Zusammenhang mit Fehlkonfigurationen aufgrund menschlicher Fehler verringern kann. IT- und Sicherheitsteams, die die PKI ihres Unternehmens manuell verwalten, sehen sich unter anderem mit folgenden Hindernissen konfrontiert:

• A lack of expertise creates downstream inefficiencies
  
  PKI is an unforgiving endeavor. It must be designed perfectly from the very outset because certain elements, once set in place, are impossible to alter without a restart of your PKI project. Generalist teams rarely possess the expertise to get PKI right the first time, which creates more work for them in managing and maintaining PKI.
• Manual processes inhibit scalability
  
  The process of requesting, creating, issuing, and tracking certificates is tedious and manual. According to Keyfactor’s State of Machine Identity Management 2022 Report, 42% of respondents still use spreadsheets to track certificates. This undoubtedly costs your team hours upon hours each week. 
• A lack of centralization obscures visibility
  
  Keyfactor’s State of Machine Identity Management 2022 Report shows that enterprise-wide visibility into the status of all certificates is the top priority for PKI teams. The complexity of achieving this visibility makes it a job unto itself. Without a centralized hub for managing PKI, teams can’t lay the groundwork for automation or act proactively to prevent certificate outages.

Bei der Abwägung, ob eine Automatisierung Ihrer PKI sinnvoll ist, sind einige Faktoren zu berücksichtigen.

Bewertung des aktuellen Stands der PKI

Sprechen Sie mit den Teams und Führungskräften, die mit dem PKI-Prozess in Berührung kommen, um zu verstehen, wie die Zertifikate verwaltet werden und wie viel Zeit die Bereitstellung, Installation und Erneuerung der Zertifikate in Anspruch nimmt. 

Dieses Team kann Ihnen dabei helfen, die Infrastruktur der Zertifizierungsstelle (CA) Ihres Unternehmens, die Anwendungen, für die Zertifikate benötigt werden, und die Arbeitsabläufe bei der Verwaltung von Zertifikaten darzustellen. Mit diesem Gesamtüberblick können Sie die Gesamtbetriebskosten Ihrer aktuellen PKI-Strategie besser einschätzen. Die folgenden Fragen helfen Ihnen dabei, die Gesamtbetriebskosten für Ihre PKI-Verwaltungsprozesse zu erfassen.

• Wie viele Stunden werden pro Woche und Monat für die Verwaltung der PKI aufgewendet, und wie hoch ist der Dollarbetrag, der diesen Arbeitskosten entspricht?
• Wie viel gibt Ihre Organisation für PKI-bezogene Tools und Lizenzgebühren aus? 
• Wie oft kommt es in Ihrer Organisation zu Ausfällen im Zusammenhang mit Zertifikaten? 
• Wie lange dauert es, auf einen Ausfall von Zertifikaten zu reagieren?
• Wie viel verlieren Sie durch Ausfallzeiten, Prozessunterbrechungen, entgangene Chancen und Rufschädigung aufgrund dieser Ausfälle?

Abwägen des Preises für die Beibehaltung des Kurses

The burden of inefficient PKI management and infrastructure isn’t static. It will grow over time as certificate usage increases, compliance regulations escalate, and the risks of a breach become more severe. Doing nothing comes at a cost, a cost you should consider while evaluating a PKI investment.

Beachten Sie, dass Unternehmen, die die PKI allgemeinen IT- und Sicherheitsteams anvertrauen, dies auf Kosten ihrer primären Aufgaben tun. Wenn diese Teams gezwungen sind, zwischen diesen primären Aufgaben und der Verwaltung von PKI zu wählen, wird PKI fast immer an zweiter Stelle stehen. Das ist nur natürlich, aber es ist mit einem Kostenaufwand verbunden, der nur zunehmen wird, wenn die Unternehmen versuchen, mit weniger Personal in allen Abteilungen mehr zu erreichen.

• Welche Risiken birgt Ihr derzeitiger PKI-Prozess, und wie werden sich diese Risiken im Laufe der Zeit erhöhen (einschließlich der Einhaltung von Vorschriften)?
• Wenn die Teammitglieder, die in Ihrem Unternehmen für die PKI zuständig sind, mehr Stunden für ihre primären, nicht mit der PKI zusammenhängenden Aufgaben zur Verfügung hätten, wie viel Wert würde das für das Unternehmen bedeuten? Wie viel von diesem Wert geht Ihnen verloren, weil PKI immer schwerfälliger wird und mehr Zeit der Teammitglieder in Anspruch nimmt?
• Beeinträchtigen PKI-Aufgaben die Effektivität der Teammitglieder in ihren Hauptaufgaben? Werden beispielsweise Probleme langsamer gelöst, oder müssen Sie Teammitglieder für Überstunden bezahlen, damit sie ihre Arbeit vollständig erledigen können? Ab welchem Punkt erfordert die Arbeitsbelastung eine Neueinstellung, und was kostet das?
• In dem Maße, in dem Sie die PKI im Rahmen Ihres aktuellen Prozesses einsetzen, werden auch Ihre Probleme zunehmen. In welchem Maße werden sie häufiger und schwerwiegender werden? Wo liegt die Schwelle für Ihr Unternehmen? Wie viel wird diese Schwelle kosten, und wie viel wird es kosten, sie zu überwinden?

Die Automatisierung erfordert zwar beträchtliche Investitionen in die Technologie, ist aber ein großer Gewinn für Unternehmen, die verlorene Effizienzgewinne zurückgewinnen können - was sich auf dem angespannten Arbeitsmarkt direkt finanziell auswirkt.

Definieren Sie den Erfolg für Ihre modernisierte PKI

Die PKI-Verwaltung kann und sollte Automatisierung, Transparenz, Skalierbarkeit und einen präventiven, proaktiven Ansatz ermöglichen. Einmal eingerichtet, wird die Wartung und Verwaltung der PKI zu einer geringeren Belastung.

• Wenn Ihr derzeitiges PKI-Team die PKI-Verwaltung automatisieren, skalieren und proaktiv gestalten könnte, wie viel Bandbreite würde es dadurch zurückgewinnen, die es für andere Sicherheits- und IT-Aufgaben nutzen könnte? Wie wäre es, wenn Sie ihnen die PKI komplett abnehmen könnten?
• Welche Effizienzgewinne auf Infrastrukturebene werden durch die Modernisierung der PKI erzielt, und wie schlagen sich diese Effizienzgewinne in geringeren Kosten oder höheren Einnahmen nieder? 
• Wie lange wird es dauern, bis sich Ihre Lösung durch weniger Ausfälle und effektiver geleistete Arbeitsstunden amortisiert hat?

Durch Automatisierung gewonnene Effizienz mindert Burnout

Cybersecurity and IT professionals are passionate about the hard work they do. They aren’t burning out because of overwork — they’re burning out because of needless work. The most often overlooked way to change the efficiency curve is to find and eliminate manual processes in favor of automation. 

And while the rise in cyber-professional wages will undoubtedly draw more workers to the industry and eventually quell the labor shortage, experts believe it takes anywhere from two to five years to become proficient in a cybersecurity profession, creating a long lead time for developing and sourcing talent.

Fortunately, the future is not all bleak. We still need to focus on fixing the labor shortage, but it’s also imperative for organizations to adopt technologies that can help their existing cybersecurity teams work more efficiently. These technologies can go a long way toward resolving the challenges we face today.

Benötigen Sie Hilfe bei der Verbesserung Ihrer Cybersicherheitsmaßnahmen?

Keyfactor helps companies (including those with under-resourced teams) secure every digital key and certificate for multi-cloud enterprises, DevOps, and embedded IoT security. Click here to learn more about what we offer, including how our Cloud PKI-as-a-Service offers every organization access to an elite team of cybersecurity experts.

To learn more about how a modernized approach to PKI can help your cybersecurity team become more efficient, download our new ebook: Three Strategies to Help Security Leaders Navigate the Cybersecurity Labor Shortage.