Tekort securityspecialisten: een nieuwe dreiging

Volgens schattingen is er momenteel wereldwijd een tekort aan een miljoen security specialisten. Wie nu bijvoorbeeld zelf met een SOC wil beginnen kan dat wel vergeten. De benodigde experts zitten al bij een securityspecialist, kosten buitengewoon veel geld om ze over te nemen en nog veel meer om ze vervolgens vast te kunnen houden. Daarmee komen organisatie in de vervelende positie dat zij wel willen beveiligen, maar het niet kunnen.

Wat ik merk in de praktijk is dat veel bedrijven hun securityprobleem graag met gestrekt been aan willen pakken door meteen een Security Operations Center te willen opzetten. De juiste mensen daarvoor zijn niet te vinden en de SOC-plannen moeten noodgedwongen worden afgeblazen. Het tekort aan securityprofessionals is dan onmiddellijk voelbaar en de aanpak van de beveiliging moet anders.

Op korte termijn kan een zogeheten white label SOC een oplossing zijn. Dat is een SOC die geëxploiteerd wordt door securitybedrijven die derde partijen toegang geven. De white label SOCs bieden in feite managed security services aan en verlossen daarmee een organisatie in elk geval van een flink deel van het complexe securitywerk. Uitbesteden lijkt dus een goede oplossing. ‘Lijkt’, want juist vanwege het tekort aan specialisten zal dit tot maar op zekere hoogte mogelijk zijn. Als veel bedrijven uitbesteden, zullen deze securitybedrijven het werk niet meer aankunnen doordat ook zij de benodigde mensen niet kunnen vinden.

Een andere voor de hand liggende maatregel is het opvoeren van trainingen en opleidingen. Dat gebeurt ook en Cisco draagt hieraan bij door onlangs wereldwijd 10 miljoen dollar ter beschikking te stellen om meer mensen te kunnen opleiden tot securityspecialist. Maar voor al die opleidingen moeten eerst de kandidaten nog gevonden worden en er gaat tijd overheen voordat de studenten hun opleiding voltooid hebben. Het gigantische tekort zal daar zeker niet anytime soon mee verholpen worden.

Bovendien zijn we nog lang niet uitgeconnecteerd. Alle digitale verbindingen vormen een securityrisico. Deze groei van de digitale verbindingen en de bijbehorende risico’s enerzijds en het nu al enorme tekort aan securitymensen anderzijds, zullen de digitale wereld nog veel onveiliger maken. Met opleidingen alleen komen we er niet.

Temeer niet omdat ik bij menig bedrijf zie dat er talloze gefragmenteerde securityproducten in gebruik zijn, bij grotere organisatie zijn al gauw zo’n 50 securityoplossingen van allerlei leveranciers in gebruik. En dan zijn er erg veel specialisten nodig om dat echt veilig te houden. Geen wonder dat er zo’n gigantisch tekort is!

De enige manier om hier structureel iets aan te doen is vergaand integreren en automatiseren, zodat er significant minder specialisten nodig zijn. Dus weg met die gefragmenteerde securityoplossingen, kies een geïntegreerd geheel en ga ook met security mee in de software defined trend die vergaande analyse en automatisering van security mogelijk maakt.

Ik heb niet de illusie niet dat deze ontwikkeling de security-expert overbodig maakt, maar wel dat het aantal benodigde specialisten drastisch zal afnemen. Laten we zeggen met een factor 10. Dan nog blijft er wereldwijd een flink tekort, niet van een miljoen, maar van 100.000 specialisten. En zo’n tekort – pakweg 1000 in Nederland - is te overzien en met opleidingen goed aan te pakken.

Fred Noordam, Cybersecurity Lead Nederland van Cisco