Cómo mantenerse a la vanguardia de la escasez de talento en ciberseguridad

La escasez de mano de obra en ciberseguridad está en pleno apogeo, y las organizaciones de todo el mundo están sintiendo sus efectos. En nuestro último ebook, sugerimos tres estrategias para ayudar a los responsables de seguridad a sortear la escasez de mano de obra.

Hoy exploraremos una de esas estrategias: modernizar su PKI, lo que puede ser un gran beneficio para la eficiencia de sus equipos de TI y seguridad, así como para la postura de seguridad de su organización. Pero primero, vale la pena hacer un balance de los innumerables factores que contribuyen a la escasez de mano de obra en ciberseguridad. 

Comprender la escasez de mano de obra en ciberseguridad

The labor shortage isn’t a problem that will resolve itself quickly. Its symptoms and ramifications will hold major implications for the business world for years to come — even as the current demand for cybersecurity talent is outpacing the workforce.

The labor shortage isn’t a new problem either. Cybersecurity Ventures reports that 2013 saw one million unfilled cybersecurity roles worldwide. A 2022 Cybersecurity Workforce Study by (ISC)² showed that the cybersecurity labor pool reached an all-time high in 2022 at 4.7 million workers — an 11% increase since 2021. However, the workforce gap widened by 26.2%, creating a global shortage of 3.4 million workers. More than 700,000 of those vacant positions are in the U.S.

Cybersecurity Ventures asserts that the labor shortage is leveling off but not decreasing. They predict that the current gap of 3.4 million workers will hold steady through 2025.

Los riesgos empresariales de un equipo de seguridad con personal insuficiente son elevados

A study from Trellix shows that the shortage affects 85% of organizations’ security posture. The (ISC)² survey polled cybersecurity professionals about the biggest obstacles exacerbated by the shortage.

• Sistemas mal configurados (32%) 
• Tiempo insuficiente para una evaluación y gestión de riesgos adecuadas (30%)
• Tiempo de retraso excesivo en la aplicación de parches a sistemas críticos (29%)
• Descuidos en procedimientos y procesos (28%)
• Incapacidad para anticiparse a las amenazas activas contra las redes de la empresa (27%)
• Implementaciones apresuradas (27%)

These vulnerabilities can potentially disrupt business operations significantly, and no organization is immune. Crypto.com, the Red Cross, Microsoft, Cash App, and others suffered notable breaches in 2022. IBM’s Cost of a Data Breach report found that 85% of organizations suffered a breach — many experienced more than one. 

To compound the consequences, the cost of a breach has never been higher. IBM estimates that a data breach in the U.S. costs an average of $9.44M, with breaches in the healthcare industry costing even more — $10.10M on average.

Las interrupciones de certificados se están convirtiendo en una preocupación tan grande como los ataques de phishing y las credenciales comprometidas

Aunque IBM descubrió que los intentos de phishing y las credenciales comprometidas eran la causa más frecuente y costosa de las brechas, las interrupciones de certificados son cada vez más comunes y más caras.

Keyfactor’s State of Machine Identity Management 2022 Report found that 81% of organizations have experienced at least two or more disruptive outages caused by expired certificates in the past two years, with the average organization suffering four certificate-related outages. The average cost of a certificate outage for a global 5,000 company came in at $15M.

Las razones de esto son múltiples.

• El volumen de certificados utilizados por la empresa promedio supera con creces el cuarto de millón.
• Tres cuartas partes de las organizaciones afirman que el creciente uso de certificados y claves digitales ha aumentado significativamente la carga operativa de su departamento de TI. 
• La disminución de los ciclos de vida de los certificados plantea un desafío. En 2020, los ciclos de vida de los certificados se redujeron a la mitad, de 27 a 13 meses, lo que esencialmente duplicó el trabajo y el riesgo de mantenerlos para las organizaciones que carecen de procesos maduros de infraestructura de clave pública (PKI).

El agotamiento provocado por la pandemia es un contribuyente significativo a la escasez de mano de obra

CyberSN, a cybersecurity job board, reported that resignations in the cybersecurity field had risen around 20% since the pandemic’s start. Before the Covid 19 pandemic, cybersecurity workers on both the East Coast and the West Coast cited a lack of growth opportunities as their top reason for resigning. Notably, burnout did not make the top five reasons for quitting a role on either coast. Contrast that to today, where burnout is the top reason for resignation on the West Coast and the second-highest reason on the East Coast, accounting for 30% of resignations for each.

Una PKI modernizada y automatizada proporciona más capacidad a los equipos de ciberseguridad

Muchos equipos de ciberseguridad dedican horas a tareas operativas que podrían automatizarse fácilmente, liberándolos para centrarse en otras responsabilidades. Más allá del ahorro de tiempo, la automatización también puede tener otros impactos positivos en el negocio, ya que puede mitigar los riesgos asociados con la mala configuración debido a errores humanos. Los equipos de TI y seguridad que gestionan manualmente la PKI de su organización se enfrentan a barreras que incluyen:

• A lack of expertise creates downstream inefficiencies
  
  PKI is an unforgiving endeavor. It must be designed perfectly from the very outset because certain elements, once set in place, are impossible to alter without a restart of your PKI project. Generalist teams rarely possess the expertise to get PKI right the first time, which creates more work for them in managing and maintaining PKI.
• Manual processes inhibit scalability
  
  The process of requesting, creating, issuing, and tracking certificates is tedious and manual. According to Keyfactor’s State of Machine Identity Management 2022 Report, 42% of respondents still use spreadsheets to track certificates. This undoubtedly costs your team hours upon hours each week. 
• A lack of centralization obscures visibility
  
  Keyfactor’s State of Machine Identity Management 2022 Report shows that enterprise-wide visibility into the status of all certificates is the top priority for PKI teams. The complexity of achieving this visibility makes it a job unto itself. Without a centralized hub for managing PKI, teams can’t lay the groundwork for automation or act proactively to prevent certificate outages.

Para evaluar la viabilidad de automatizar su PKI, hay algunos factores a considerar.

Evalúe el estado actual de la PKI

Consulte con los equipos y líderes involucrados en el proceso de PKI para comprender cómo se gestionan los certificados y cuánto tiempo lleva aprovisionarlos, instalarlos y renovarlos. 

Este equipo puede ayudar a trazar la infraestructura de autoridad de certificación (CA) de su organización, qué aplicaciones requieren certificados y los flujos de trabajo relacionados con la gestión de certificados. Con una visión completa, podrá evaluar mejor el coste total de propiedad de su estrategia PKI actual. Las siguientes preguntas le ayudarán a determinar el coste total de propiedad asociado a sus procesos de gestión de PKI.

• ¿Cuántas horas se dedican a la gestión de PKI por semana y mes, y cuál es el coste monetario asociado a esos gastos de mano de obra?
• ¿Cuánto gasta su organización en herramientas relacionadas con PKI y tarifas de licencia? 
• ¿Con qué frecuencia experimenta su organización interrupciones relacionadas con certificados? 
• ¿Cuánto tiempo se tarda en responder a una interrupción relacionada con un certificado?
• ¿Cuánto pierde en tiempo de inactividad, interrupción de procesos, oportunidades perdidas y daño a la reputación debido a estas interrupciones?

Evalúe el coste de mantener el rumbo

The burden of inefficient PKI management and infrastructure isn’t static. It will grow over time as certificate usage increases, compliance regulations escalate, and the risks of a breach become more severe. Doing nothing comes at a cost, a cost you should consider while evaluating a PKI investment.

Tenga en cuenta que las organizaciones que confían la PKI a equipos generales de TI y seguridad lo hacen a expensas de sus funciones principales. Cuando estos equipos se ven obligados a elegir entre esas funciones principales y la gestión de la PKI, la PKI casi siempre pasa a un segundo plano. Esto es natural, pero conlleva un coste monetario que solo aumentará a medida que las organizaciones se esfuercen por hacer más con menos personal en todos los departamentos.

• ¿Cuáles son los riesgos en su proceso PKI actual, y cómo se intensificarán esos riesgos con el tiempo (incluido el cumplimiento normativo)?
• Si los miembros del equipo que gestionan la PKI en su organización tuvieran más horas para dedicar a sus responsabilidades principales, no relacionadas con la PKI, ¿cuánto valor generaría eso para el negocio? ¿Cuánto de este valor está perdiendo a medida que la PKI se vuelve más inmanejable, ocupando más tiempo de estos miembros del equipo?
• ¿Están las tareas de PKI restando eficacia a los miembros del equipo en sus funciones principales? Por ejemplo, ¿se resuelven los problemas más lentamente o está pagando horas extras a los miembros del equipo para que completen el alcance total de su trabajo? ¿En qué momento la carga de trabajo exigirá una nueva contratación, y cuál es su coste?
• A medida que su uso de PKI se escala con su proceso actual, sus problemas también se escalarán. ¿A qué ritmo se volverán más frecuentes y graves? ¿Cuál es el punto de ruptura para su organización? ¿Cuánto costará ese punto de ruptura, y cuánto costará recuperarse?

Aunque la automatización requiere una inversión sustancial en tecnología, es una gran ventaja para las organizaciones que pueden recuperar eficiencias perdidas, lo que tiene un beneficio financiero directo en un mercado laboral ajustado.

Defina el éxito para su PKI modernizada

La gestión de PKI puede y debe permitir la automatización, la visibilidad, la escalabilidad y un enfoque preventivo y proactivo. Una vez configurada, el mantenimiento y la gestión de la PKI se convierten en una carga menor.

• Si su equipo actual de PKI pudiera automatizar, escalar y ser proactivo en la gestión de PKI, ¿cuánto ancho de banda les devolvería eso que podría centrarse en otras tareas de seguridad y TI? ¿Qué pasaría si pudiera quitarles la PKI de encima por completo?
• ¿Cuáles son las eficiencias a nivel de infraestructura que se crearán al modernizar la PKI, y cómo se traducen esas eficiencias en costes reducidos o mayores ingresos? 
• Entre menos interrupciones y horas-hombre gastadas de forma más eficaz, ¿cuánto tiempo tardará su solución en amortizarse?

La eficiencia obtenida a través de la automatización mitiga el agotamiento

Cybersecurity and IT professionals are passionate about the hard work they do. They aren’t burning out because of overwork — they’re burning out because of needless work. The most often overlooked way to change the efficiency curve is to find and eliminate manual processes in favor of automation. 

And while the rise in cyber-professional wages will undoubtedly draw more workers to the industry and eventually quell the labor shortage, experts believe it takes anywhere from two to five years to become proficient in a cybersecurity profession, creating a long lead time for developing and sourcing talent.

Fortunately, the future is not all bleak. We still need to focus on fixing the labor shortage, but it’s also imperative for organizations to adopt technologies that can help their existing cybersecurity teams work more efficiently. These technologies can go a long way toward resolving the challenges we face today.

¿Necesita ayuda para avanzar en sus esfuerzos de ciberseguridad?

Keyfactor helps companies (including those with under-resourced teams) secure every digital key and certificate for multi-cloud enterprises, DevOps, and embedded IoT security. Click here to learn more about what we offer, including how our Cloud PKI-as-a-Service offers every organization access to an elite team of cybersecurity experts.

To learn more about how a modernized approach to PKI can help your cybersecurity team become more efficient, download our new ebook: Three Strategies to Help Security Leaders Navigate the Cybersecurity Labor Shortage.