De harde schreeuw om (gecertificeerd) IT-personeel

Ja én nee. Maar één ding is volgens Michael Heering van SANS Institute zeker: ”Voor velen was de pandemie een digitale wake-up call.”

In de afgelopen jaren is de vraag naar IT-expertise vele malen groter geworden dan het aanbod. Een veelbesproken gebied is dat van de security-skills. Helaas lijkt er weinig schot in te zitten als het gaat om oplossingen. Waarom? Door de versnelde digitale transformatie, mede op- en aangejaagd door COVID, neemt de vraag naar beveiligingsskills toe. Naarmate organisaties steeds afhankelijk zijn van digitale processen, wordt het waarborgen van de security binnen organisaties belangrijker. Deze toegenomen afhankelijkheid kent ook een andere implicatie: het heeft zowel IT-beveiliging als security-skills op de agenda gezet. Dit betekent dat security-skills niet langer worden gezien als louter een essentiële technologische aangelegenheid. Ze zijn ook vanuit zakelijk perspectief inmiddels een standaardelement bij zakelijke beslissingen geworden.

Positieve invloed

Security-skills zijn niet alleen voorbehouden aan de mensen van de IT-afdeling maar een aandachtspunt voor de hele organisatie. Iedere werknemer heeft een (in)directe impact op IT-beveiliging. Verschillende onderzoeken tonen aan dat goed opgeleid IT-personeel en een continue flow aan (security)trainingen een directe, positieve invloed heeft op de productiviteit, efficiëntie en digitale veerkracht van de onderneming.

Als gevolg van de technologische vooruitgang en werken vanaf ‘waar dan ook’ verandert de wereld van beveiligingspersoneel mee. In dat licht beweegt de cybercriminaliteit mee en gedijt deze branche zeer goed door onder meer de inzet van ransomware-aanvallen die geregeld het nieuws halen. Security is daarom noodgedwongen een essentieel agendapunt voor iedere organisatie, groot of klein.

Eerste verdedigingslinies

De hamvraag is en blijft: waar te beginnen? Waar kan een bedrijf de wezenlijke slag slaan om digitale aanvallen tegen te houden en de interne organisatie digicrime proof te maken? Endpoints (computers, laptops en mobiele toestellen) vormen de eerste verdedigingslinie. Zij zijn de voornaamste ingang voor cybercriminelen en vormen een uitdaging voor beveiligingsteams om volledig te dekken. De grote diversiteit aan apparatuur, besturingssystemen en ‘overal werken’-modellen stimuleren de vraag naar gedegen eindpuntbeveiliging: (bijna) realtime zichtbaarheid van de endpoints kan het aanvalsoppervlak van organisaties helpen verkleinen.

Na de uitbraak van COVID zijn Managed Security Services (MSS) enorm gegroeid. In tegenstelling tot hardware-oplossingen voor de eerdergenoemde devices is ‘MSS’ eenvoudig te implementeren, zelfs voor bedrijven zonder cyberbeveiligingsspecialisten. Aanvallen in de supply chain zorgen er ook indirect voor dat kleine(re) bedrijven meer aandacht aan cyberbeveiliging moeten besteden zodat ze dan met grotere ondernemingen kunnen blijven samenwerken. Daarom staat het mkb niet onwelwillend tegenover MSS. Ga je wat verder, dan is ook Managed Detection and Response (MDR) beschikbaar. MDR verwijst naar uitbestede beveiligingsdiensten die zijn ontworpen om data en bedrijfsmiddelen te beschermen, zelfs als een bedreiging de organisatie was ontgaan. Naarmate MDR steeds meer voet aan de grond krijgt, hebben bedrijven verschillende voorkeuren in het onverhoopte geval van een beveiligingsinbreuk. Deze variëren van een provider die een inbreuk volledig verhelpt (zonder de noodzaak zijn klant te informeren) tot een meer hands-off benadering, waarbij het team van de klant de inbreukreactie laat uitvoeren.

Tot zover enkele externe oplossingen die organisaties kunnen inzetten. Maar het is mogelijk nog beter om vanuit de interne organisatie IT-personeel bij de hand te nemen en rondom cybersecuritykwesties op te leiden.

Prioriteit #1: securitypersoneel

Uit een recent onderzoek van IDC blijkt dat de gemiddelde kosten van een datalek zo’n US$ 4,24 miljoen bedragen. De digitale transformatie en remote working hebben de gemiddelde kosten hiervan verhoogd. En zoals eerder aangehaald, is dit een eye-opener voor vele organisaties. Het is daarom niet verwonderlijk dat 51% van de organisaties van plan is in het komende jaar fulltime cybersecuritypersoneel aan te nemen. Het belang van goed opgeleide IT-professionals wordt zo een onlosmakelijk onderdeel van iedere organisatie.

Het eerder aangehaalde IDC-onderzoek toont aan dat, ongeacht in welke fase van herstel of groei een bedrijf zich bevindt, cyberbeveiligingsvaardigheden een van de vereiste top 2-vaardigheden is. In een tijd waarin digitale weerbaarheid een sleutelwoord is geworden, toont IDC aan dat goed opgeleide IT-professionals hieraan een grote bijdrage leveren en tegelijkertijd productiever zijn.

Certificeringen: louter voordelen

Studies hebben aangetoond dat de certificering van IT-medewerkers de productiviteit, wendbaarheid en efficiëntie verhoogt, wat op zijn beurt resulteert in een sterk rendement op de investering voor de organisatie. Het onderzoek van IDC toont aan dat certificeringen een hoge return of investment van drie jaar opleveren dankzij aanzienlijke productiviteitswinsten van het IT-team en operationele efficiëntie. Naast efficiëntie en verbeterde prestaties leidt certificering tot professionele impact. Zo hebben IT-professionals met één certificering 2,5 keer zoveel invloed op digitale transformatieprojecten als IT-professionals zonder certificeringen in hun eerste jaar in een functie. Daarnaast hebben IT-professionals met twee tot vijf certificeringen na drie jaar evenveel professionele invloed als IT-professionals zonder certificeringen na zes jaar. Ten slotte: na zeven jaar in een functie hebben IT-professionals met meer dan twee certificeringen ongeveer 20% meer professionele impact op transformatieprojecten dan IT-professionals zonder certificering.

‘Reduceren van verloop’

Voor individuele IT-professionals betekent het behalen van certificeringen een carrière-boost. Ze zijn efficiënter en productiever en dus waardevoller voor werkgevers. Dit wordt ook weerspiegeld in de gemiddelde salarissen; uit onderzoeken blijkt dat werknemers met behaalde certificeringen een voordeel van 10 tot 20% hebben in vergelijking met werknemers zonder. Uit IDC’s onderzoek blijkt ook dat IT-professionals die zijn opgeleid en een certificering hebben behaald, gemiddeld 15% langer bij hun werkgever blijven. In een markt met een schaars aanbod is het van cruciaal belang om verloop te minimaliseren.

SANS Institute en GIAC Certifications faciliteren dergelijke certificeringen. Het instituut werd in 1989 opgericht en is door de jaren uitgegroeid tot een gerenommeerde bron voor cybersecuritytrainingen voor securityprofessionals. SANS-instructeurs geven meer dan 60 verschillende cursussen online en live tijdens meer dan 200 evenementen. Daarnaast ontwikkelen en onderhouden de professionals van SANS de grootste collectie (gratis toegankelijke) onderzoeksdocumenten op het gebied van informatiebeveiliging.