Nhân sự an ninh mạng khan hiếm do gia tăng các mối đe dọa bảo mật

Mỹ công bố hệ thống tuyển dụng chuyên gia an ninh mạng

Bộ An ninh Nội địa Mỹ (DHS), một cơ quan quan trọng về an ninh mạng, vừa công bố một hệ thống mới sẽ giúp cơ quan này tuyển dụng, phát triển và đào tạo lại những chuyên gia về an ninh mạng trong chính phủ liên bang.

Hệ thống tuyển dụng mới của DHS, được gọi là Hệ thống quản lý nhân tài an ninh mạng (CTMS), ra mắt trong bối cảnh thị trường lao động thiếu hụt nghiêm trọng các chuyên gia an ninh mạng, những người hiện các cơ quan như DHS có nhu cầu cực cao và do đó có thể yêu cầu mức lương cao.

DHS chỉ là một bộ phận liên bang, nhưng đóng vai trò đặc biệt trong việc ứng phó với các cuộc tấn công mạng lớn vào cơ sở hạ tầng quan trọng của Mỹ. Cơ quan này hy vọng hệ thống mới sẽ giúp họ tìm kiếm và có thể giữ chân nhân tài cho các vị trí quan trọng, với mục tiêu tuyển dụng 150 vị trí ưu tiên trong suốt năm 2022.

"CTMS sẽ cho phép DHS lấp đầy các vị trí an ninh mạng quan trọng bằng cách sàng lọc các ứng viên dựa trên năng lực đã được chứng minh, trả công cho nhân viên một cách cạnh tranh và giảm thời gian được tuyển dụng vào bộ phận", thông báo của DHS cho biết.

Các vị trí tuyển dụng chuyên gia an ninh mạng đầu tiên được thực hiện bằng CTMS sẽ là các công việc "ưu tiên cao" tại Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA) và Văn phòng Giám đốc thông tin của DHS. Sau đó vào năm 2022, DHS sẽ tuyển dụng các vị trí làm công tác liên quan đến bảo mật mạng cho các cơ quan thuộc DHS.

Mức lương của các chuyên gia an ninh mạng làm ở các vị trí lãnh đạo được tuyển dụng thông qua hệ thống CTMS sẽ đạt tới mức 255.800 USD trong năm 2021. Ngoài ra, sẽ có những mức lương mở rộng trong những vị trí hạn chế, đặc biệt khó tìm người. Ở những vị trí này, mức lương nhân sự an ninh mạng có thể lên đến 332.100 USD.

DHS hiện đang tuyển dụng nhiều vị trí về an ninh mạng, bao gồm ứng phó sự cố, phân tích rủi ro, phát hiện và đánh giá lỗ hổng, tình báo và điều tra, kỹ sư mạng và hệ thống, điều tra số (forensics) và bảo hiểm phần mềm.

Bộ trưởng Bộ An ninh Nội địa, Alejandro N. Mayorkas, cho biết CTMS "về cơ bản thay đổi cách DHS tuyển dụng, phát triển và duy trì nhân tài an ninh mạng đa dạng và cấp cao".

"Khi quốc gia của chúng ta tiếp tục đối mặt với bối cảnh mối đe dọa ngày càng tăng, chúng ta không thể chỉ dựa vào các công cụ tuyển dụng truyền thống để lấp đầy các vị trí cần tuyển dụng quan trọng. Hệ thống mới này sẽ cho phép Bộ chúng ta trở nên cạnh tranh tốt hơn trong việc tuyển dụng các chuyên gia an ninh mạng và vẫn đủ nhanh để đáp ứng nhu cầu của nhiệm vụ an ninh mạng quan trọng".

Chính quyền Tổng thống Joe Biden đặt ưu tiên cao cho vấn đề an ninh mạng và đã bổ nhiệm phó cố vấn an ninh quốc gia thứ nhất của Mỹ về mạng, Anne Neuberger, người đã dẫn đầu các cuộc điều tra liên bang về các cuộc tấn công SolarWinds và Exchange.

DHS, đặc biệt là Cơ quan An ninh mạng và Cơ sở hạ tầng, hay CISA, cũng được trao một vai trò an ninh mạng nâng cao, thông qua lệnh điều hành an ninh mạng của Biden.

50% doanh nghiệp (DN) đầu tư mạnh vào các nền tảng an ninh mạng mới

Theo Báo cáo Lương và Kỹ năng CNTT năm 2021 (Global Knowledge 2021 IT Skills and Salary Report) của Skillsoft, 76% các giám đốc CNTT trên toàn thế giới đang phải đối mặt với những lỗ hổng kỹ năng quan trọng trong bộ phận của họ, tăng 145% kể từ năm 2016. Đồng thời, 50% bộ phận CNTT cho biết an ninh mạng là lĩnh vực đầu tư quan trọng nhất, tiếp theo là điện toán đám mây (ĐTĐM).

Báo cáo của Skillsoft đã thu thập dữ liệu từ 9.300 câu trả lời của các chuyên gia CNTT ở Bắc Mỹ, Mỹ La-tinh; Châu Âu, Trung Đông, Châu Phi và Châu Á - Thái Bình Dương.

Để mang lại những trải nghiệm số cho khách hàng, các đơn vị CNTT trong các tổ chức buộc phải đổi mới nhanh chóng và mang tính đột phá hơn. Công tác bảo mật từng ứng dụng và nền tảng mới đòi hỏi các kỹ thuật và công nghệ an ninh mạng mới mà hầu hết các bộ phận CNTT hiện nay không có nhân viên đủ năng lực CNTT hỗ trợ. Do đó, nhiều người trong ngành CNTT được yêu cầu làm hai hoặc nhiều công việc cùng một lúc. 

55% các nhà lãnh đạo CNTT cho biết tác động lớn nhất của khoảng cách kỹ năng đối với DN ngày nay là nhân viên phải làm nhiều việc và căng thẳng. Tuy nhiên, để các nhóm CNTT làm việc quá sức không phải là giải pháp, ngay cả trong ngắn hạn, do những căng thẳng về thời gian và nguồn lực khiến họ ít có các sáng kiến CNTT. Hãng nghiên cứu IDC dự báo vào năm 2022, thiệt hại về tiền do thiếu hụt kỹ năng CNTT sẽ là 775 tỷ USD trên toàn thế giới.

Tốc độ thay đổi của công nghệ và áp lực đổi mới lên các nhóm CNTT là nguyên nhân chủ yếu dẫn đến khoảng cách kỹ năng ngày càng gia tăng. Trong đó, áp lực lớn nhất của các bộ phận CNTT là về an ninh mạng. Theo các nhà lãnh đạo CNTT được khảo sát, 50% DN đang tích cực đầu tư vào các hệ thống và nền tảng an ninh mạng mới. 6 năm liên tiếp vừa qua, chuyên gia an ninh mạng là những nhân lực được săn đón nhiều nhất trên toàn cầu. 

Ngoài ra, ĐTĐM là lĩnh vực khó tuyển dụng thứ hai, theo 28% các nhà quản lý trên toàn thế giới. Ngoài ra, tỷ lệ chấp nhận ứng dụng công nghệ đám mây đang tăng cao hơn so với quy mô đào tạo, vì vậy các nhà lãnh đạo về CNTT rất khó tìm ra những cá nhân phù hợp để bắt kịp với nhu cầu công nghệ đang phát triển.

Các chuyên gia CNTT hiểu biết về ĐTĐM, an ninh mạng, phân tích và dữ liệu lớn cũng như kỹ năng AI và học máy đang được các công ty, tổ chức chào đón, họ thường xuyên nhận được lời mời phỏng vấn cho các công việc mới. Theo các cuộc thảo luận mà trang VentureBeat đã có với các giám đốc CNTT hiện đang tuyển dụng, thông thường các chuyên gia CNTT có kinh nghiệm trong các lĩnh vực này sẽ được hưởng mức lương, tiền thưởng và quyền chọn cổ phiếu cao hơn 25% - 30% so với thông thường.

2 thách thức lớn trong việc giữ chân nhân tài an ninh mạng

Trong ngành y tế, việc tuyển dụng chuyên gia an ninh mạng để bảo vệ các tổ chức cung cấp dịch vụ chăm sóc sức khỏe (CSSK) cũng gặp nhiều khó khăn, do khan hiếm nguồn nhân lực. 

Theo phát biểu trên trang Healthcare IT News của James L. Angle, giám đốc sản phẩm, dịch vụ CNTT, bảo mật thông tin, tại hệ thống y tế Trinity Health có trụ sở tại Livonia, Michigan (Mỹ), khoảng cách giữa nhu cầu tuyển dụng chuyên gia an ninh mạng và thực tế số lượng nguồn nhân lực đang tiếp tục rộng hơn khi nhiều mối đe dọa mới xảy ra. Khi các mối đe dọa như ransomware phát triển và trở nên tinh vi hơn, các nhà tuyển dụng nhận ra rằng họ cần được trợ giúp nhiều hơn và điều này trở nên căng thẳng do số lượng các chuyên gia an ninh mạng rất hạn chế. Nhu cầu tuyển dụng tăng lên, tiền lương không thay đổi, khiến các tổ chức CSSK quy mô vừa và nhỏ khó cạnh tranh hơn để tìm được nhân tài.

Một xu hướng khác là bề mặt tấn công của các tổ chức CSSK đang mở rộng và thay đổi khi chuyển sang ĐTĐM. Trong quá khứ, các tổ chức đã xây dựng một hệ thống phòng thủ vành đai vững chắc để ngăn chặn tin tặc. Nhưng cách tiếp cận này không còn khả thi khi chuyển lên ĐTĐM, điều này khiến các tổ chức càng cần đến các chuyên gia an ninh mạng để kiểm soát mối đe dọa, có nghĩa là họ cần nhiều chuyên gia an ninh mạng có kỹ năng về ĐTĐM hơn. 

Vấn đề là hầu hết các chuyên gia bảo mật không có nhiều kỹ năng. Trong khi họ có kiến thức cơ bản về tất cả các kỹ năng này, nhưng họ không có chuyên môn về tất cả các kỹ năng.

Theo James L. Angle, để giải quyết vấn đề, các tổ chức cần thuê đúng người cho đúng công việc. Nghĩa là, không thuê người có kỹ năng mềm như GRC (các kỹ năng về quản trị, quản lý rủi ro và tuân thủ quy định) làm quản trị viên tường lửa hoặc quản trị viên tường lửa làm kiến trúc sư bảo mật. Đây là những kỹ năng rất khác nhau và mỗi kỹ năng cần được đào tạo để trở nên thành thạo.

Ngoài ra, các tổ chức nên đào tạo chéo tất cả nhân sự của mình, nhưng đừng thuê người cho những công việc mà họ không đủ tiêu chuẩn. Đặc biệt, cần đào tạo nhân viên về ý thức an ninh mạng, bởi vì mối đe dọa ngày càng lớn và trở nên tinh vi hơn, vì vậy họ phải theo kịp những thay đổi.

Một điều quan trọng khác để phát triển các phương pháp bảo mật tốt là lãnh đạo phải nói về an ninh mạng và dẫn dắt bằng ví dụ.

Hiện nay, vấn đề giữ chân các chuyên gia an ninh mạng đang có hai thách thức lớn. Đầu tiên là sự thiếu hụt các chuyên gia an ninh mạng. Sự thiếu hụt này có nghĩa là một số tổ chức sẽ cố gắng thuê lao động từ các công ty khác. Điều này khiến mức lương của các nhân sự tăng cao và khiến các tổ chức nhỏ khó tuyển dụng và giữ nhân tài hơn.

Khía cạnh thứ hai và quan trọng nhất là cách các tổ chức của họ đối xử với các chuyên gia an ninh mạng. Không ai thích phải thực thi các điều khoản bảo mật, như đặt mật khẩu dài, có những trang web bị chặn và nhiều vấn đề phát sinh, những điều đó thường bị đổ lỗi “do bảo mật”. Điều này dẫn đến việc các chuyên gia bảo mật bị đối xử như thể họ là những tác nhân gây trở ngại cho các hoạt động, chứ không phải là một tài sản của tổ chức./.