Arbeidstekort bedreigt cybersecurity

Alles staat op groen, business as usual? Totdat je iets overkomt waarvoor je niet de kennis en kunde in huis hebt. Onwetendheid kan bij securityzaken een hele dure zaak zijn. Het tekort aan experts bedreigt ons aller beveiliging. Dat zegt Martijn Van Lom, hoofd van Kaspersky Lab Benelux.

“Onze computers zijn op slot gezet. Dus we moeten klanten nu gratis van onze diensten gebruik laten maken.” Of: “Onze internetverbinding is verzadigd door een DDoS-aanval. Dus onze werknemers moeten maar even niet werken.” Of: “We lijden weer schade door digitale fraude.” Dit zijn interne dialogen van realistische en zelfs recente gebeurtenissen waarbij ICT-security het heeft afgelegd tegen hedendaagse cyberaanvallen.

Gewone gijzelingssoftware en DDoS

Het gaat hierbij niet eens om geavanceerde en langlopende aanvallen die zijn uitgevoerd door goed onderlegde hackers, met bijvoorbeeld de financiële en technische middelen van stiekeme staatssteun. Zo heeft het openbaar vervoer in San Francisco te maken gehad met een ‘normaal’ security-incident: ransomware die op interne systemen terecht is gekomen. Ze hebben vanzelfsprekend security-experts in dienst, die hard hun best doen om hun organisatie te laten herstellen.

Toch is en blijft voorkomen beter dan genezen. Nu zijn sommige security-incidenten niet honderd procent te voorkomen. Het blijft immers een ratrace, die mede wordt aangejaagd door technische verfijning van aanvalsmiddelen en toenemende DDoS-capaciteit van bijvoorbeeld connected devices in het Internet of Things (IoT). Vergeet ook niet het gevaar van openlijke beschikbaarheid van die verfijning en toenemende capaciteit.

Fundament voor cybersecurity

Met een gedegen voorbereiding valt er echter toch iets aan te doen; namelijk de mogelijke schade beperken door de impact van security-incidenten in te perken. Wat is er nodig voor zo’n goede voorbereiding? Een commerciële partij zal ongetwijfeld zijn producten of diensten aanprijzen, maar er is nog een belangrijk ander element. Een element dat veel fundamenteler is en dat zowel de afnemers van ICT-security raakt als ook de leveranciers daarvan.

Voor een goede voorbereiding, sterke verdediging, gedegen afweer en ook vlot herstel is simpelweg kennis nodig. Kennis en expertise. Alleen is het geen simpele zaak om dat te verkrijgen. Het bijbrengen van kennis en het ontwikkelen van expertise is een zaak van vooruitkijken, investeren, opleiden, en natuurlijk ook bijblijven.

Gevraagd: toptalent

Onze CEO Eugene Kaspersky heeft eerder dit jaar al openlijk geroepen om méér security-experts. Zijn oproep geldt voor de hele cybersecuritywereld. Want we hebben tegenwoordig, laat staan straks, veel meer te beschermen. Meer nog dan vroeger. Naast de oh zo belangrijke bits zijn er ook de alledaagse atomen van fysieke zaken die meer en meer connected worden. Security-by-design is daarbij helaas nogal eens het kind van de rekening.

Kijk maar eens naar de groei die industriële bedrijfssystemen en het Internet of Things nu doormaken. In die stroomversnelling gaan bedrijven mee die vroeger nooit iets te maken hadden met ICT-security en daar nu ineens wel over na moeten denken. Helaas zie je die groei niet terug in opleidingen.

De bedrijven die security al serieus nemen hebben de grootste moeite om experts binnen te halen. Ook omdat de meeste experts zelfstandige zijn en een hoog tarief kunnen vragen. De beveiligingsbewuste bedrijven zijn dus dagelijks bezig met recruitment op dit vlak; een noodzakelijke maar budgetopslokkende activiteit.

Vraag, aanbod en voorbereiding

Cybersecurity is dus een groeiende arbeidsmarkt, waar ook een tekort groeit. Geen wonder dat consultancy Frost & Sullivan voorspelt dat er tegen 2020 een tekort van maar liefst 1,5 miljoen experts zal zijn. Dit ondanks de inspanningen van onderwijsinstellingen wereldwijd. Wie zal dit gebrek aan kennis en expertise vooral gaan voelen? De IT-afdelingen van reguliere bedrijven. Zij zullen maar tot een bepaalde hoogte mee kunnen gaan in het aantrekken van securitytalent.

Het is immers een kwestie van (veel) vraag, (weinig) aanbod en dus (hoge) prijs. Ondertussen zullen leveranciers als Kaspersky Lab strijden om specialisten die diepgaande securityskills combineren met industriedoorkruisende domeinkennis. We willen deze strijd eigenlijk voorkomen (of inperken), door een goede voorbereiding te treffen. Daarom zetten we sterk in op onderwijs, opleiding en training.

Onderwijzen en uitdagen

De security-expert van de toekomst en de lerende jongeren van nu komen namelijk niet vanzelf aanwaaien. Daarvoor moeten wij investeren en nauwe banden onderhouden met universiteiten. Met wij bedoel ik hier niet alleen Kaspersky Lab en ook niet alleen de security-industrie. Het tekort aan specialisten voor cybersecurity is breder dan ons bedrijf, breder dan onze industrie: het raakt onze hele maatschappij.

Het is dus nodig studenten te informeren over ICT-security en hun te stimuleren om voor dit vakgebied te kiezen. Want de aanwas moet zeker van de opleidingen komen. Er is echter weinig animo op dit moment en dus moet je vroeg beginnen: nog vóór jongeren aan studies beginnen. Daag ze uit, bijvoorbeeld zoals de Nederlandse inlichtingendienst AIVD doet met zijn online-game. Maak security leuk en interessant.

Hard werk, hard nodig

Zo stomen we met z’n allen de nieuwe generatie IT’ers en cybersecurity-experts klaar voor de toekomst, om zo een veiligere toekomst te kunnen creëeren. Dit is hard werk en het is hard nodig, want gebrek aan experts is een vorm van onveiligheid die ons aller cybersecurity ernstig kan ondermijnen. Want kennis is macht. Ontwikkel dus die kennis plus expertise zodat cybersecurity leidt tot cybersafety.