Estados Unidos necesita urgentemente una academia virtual de ciberseguridad para capacitar a ciberdefensores en materia de seguridad nacional, según la Alianza de Seguridad en Internet (ISA).
En una reciente actualización de su Informe sobre Ciberamenazas de la Defensa Nacional, la ISA señaló que el gobierno federal debe mostrar la determinación demostrada al final de la Segunda Guerra Mundial, cuando EE.UU. estableció la Academia de la Fuerza Aérea para garantizar que la nación contara con el personal capacitado para defenderse en el nuevo teatro de operaciones aéreo.
“Hoy en día, Estados Unidos enfrenta una deficiencia casi idéntica, esta vez en lo que respecta al conflicto digital”, afirmó la ISA. “La nación, incluyendo todos los sectores de infraestructura crítica, sufre constantes ciberataques por parte de estados-nación con una sólida financiación, y carecemos del personal capacitado necesario para defender los sistemas gubernamentales y privados”.
Explicó que, a pesar de la alta inversión en ciberseguridad, el déficit de personal es abrumador, con entre 500.000 y 750.000 vacantes en ciberseguridad en todo el país, incluyendo 35.000 puestos vacantes en el gobierno federal.
“Estados Unidos debe responder con la misma urgencia que se mostró después de la Segunda Guerra Mundial”, argumentó. “Si bien existen algunos programas gubernamentales para promover la capacitación en ciberseguridad a cambio de servicio público, como lo haría la academia virtual, son demasiado pequeños. Necesitamos abordar el problema a gran escala”.
Ciberseguridad gratuita para el Tío Sam.
La ISA describió un plan mediante el cual los graduados de la academia recibirían un salario similar al de los graduados de West Point y Annapolis durante su servicio público obligatorio.
Esos salarios son mucho más bajos que los que se pagan a los contratistas independientes por realizar esos trabajos. La diferencia entre lo que el gobierno paga a los graduados de la academia y lo que paga a los contratistas independientes es tan significativa que cubriría el costo total de su capacitación. En esencia, esto es ciberseguridad gratuita para el gobierno federal, razonó la ISA.
Además, agregó, una vez que los graduados de la academia completen su servicio público, probablemente accederán a empleos de ciberseguridad en el sector privado, donde continuarán defendiendo a nuestra nación contra los ataques de los estados-nación.
La financiación de la academia podría provenir de la Ley Cyber PIVOTT, una propuesta de ley actualmente en el Congreso que busca capacitar a 10.000 ciberdelincuentes al año para puestos gubernamentales, explicó la ISA.
“En Darktrace, vemos de primera mano la apremiante necesidad de una fuerza laboral de ciberseguridad más sólida”, afirmó Marcus Fowler, director ejecutivo de Darktrace Federal, una empresa global de inteligencia artificial para ciberseguridad. Existe una gran cantidad de puestos vacantes en ciberseguridad en Estados Unidos, lo que deja vulnerables a empresas y agencias gubernamentales.
“La reciente Ley PIVOTT es un paso fundamental para cerrar esta brecha al crear vías de desarrollo laboral más inteligentes, ampliar el acceso a la capacitación práctica y construir una cartera de talentos en ciberseguridad basada en habilidades que satisfaga las demandas de la economía actual”, declaró.
Sin embargo, Fowler añadió que, para lograr ese objetivo, también debemos asegurarnos de que los equipos de seguridad reciban capacitación en las herramientas más avanzadas para que la tecnología pueda alcanzar su potencial para aumentar la fuerza laboral y actuar como un verdadero multiplicador de fuerza.
“Creemos que una política federal más inteligente para la fuerza laboral cibernética, combinada con una mayor adopción de tecnologías de ciberseguridad basadas en IA, marca el mejor camino para satisfacer las necesidades de habilidades y capacidades de Estados Unidos y construir una ciberdefensa nacional más resiliente”, afirmó.
Riesgos y deficiencias de financiación.
David Kertai, asistente de investigación de la Fundación de Tecnología de la Información e Innovación, un centro de estudios sobre ciencia y tecnología con sede en Washington, D.C., sostuvo que es evidente que los gobiernos federales, estatales y locales de Estados Unidos necesitan más profesionales en ciberseguridad para prepararse y responder al creciente número de ciberamenazas y ataques.
Por ejemplo, señaló que el programa CyberCorps: Becas por Servicio ofrece becas a cambio de servicio en puestos federales de ciberseguridad. “Si bien este programa es un paso en la dirección correcta, debería ampliarse”, declaró. Una academia virtual de ciberseguridad podría complementar el programa CyberCorps conectando a personas con instituciones educativas existentes para que completen sus estudios e ingresen al mercado laboral de ciberseguridad.
Una academia virtual de ciberseguridad podría ser valiosa, pero solo si evita los inconvenientes que han hecho ineficaces a otros programas federales de capacitación, afirmó Morgan Peirce, asistente de investigación del programa de tecnología y seguridad nacional del Centro para la Nueva Seguridad Estadounidense, un centro de estudios con sede en Washington, D.C., centrado en la política de seguridad nacional y defensa de Estados Unidos.
“Estados Unidos ya opera varios programas importantes de capacitación en ciberseguridad, como CyberCorps SFS, los Centros de Excelencia Académica de la NSA y diversas iniciativas de la agencia. Estos programas tienen recursos limitados y están estructuralmente fragmentados”, declaró. Esta nueva academia virtual tendría que cubrir las carencias específicas de los programas existentes.
“Añadir un nuevo programa, en lugar de ampliar los existentes, podría fragmentar aún más la financiación”, afirmó. Si bien el componente virtual aumenta la comodidad, será importante no sacrificar la capacitación que requiere un componente presencial.
Academia Híbrida.
Si se estableciera una academia, sería necesario replantear los enfoques pedagógicos actuales en materia de seguridad de la información. El modelo tradicional de educación en ciberseguridad no puede escalar para cubrir las aproximadamente 500.000 plazas vacantes solo en Estados Unidos, afirmó Michael Bell, director ejecutivo de Suzu Testing, proveedor de servicios de ciberseguridad basados en IA, en Las Vegas.
“Una academia virtual elimina las barreras geográficas y permite la capacitación práctica mediante laboratorios virtuales y simulacros de amenazas que pueden ser incluso más efectivos que las clases presenciales tradicionales”, declaró.
El riesgo es que estos canales de capacitación se conviertan en fábricas de certificados en lugar de instituciones educativas genuinas. Por lo tanto, cualquier academia nacional debe contar con estándares rigurosos, requisitos prácticos para proyectos finales y la validación de empleadores para garantizar que los graduados estén realmente cualificados para defender sistemas críticos, afirmó.
Bell imaginó que la academia combinaría cursos asincrónicos con laboratorios virtuales en vivo, mentoría de profesionales en ejercicio y proyectos finales prácticos con socios gubernamentales y del sector privado.
Pensemos en un modelo híbrido, observó, con un plan de estudios básico que cubra seguridad de redes, respuesta a incidentes, inteligencia de amenazas y arquitectura segura, junto con especializaciones: seguridad ofensiva, seguridad en la nube, seguridad OT/ICS y seguridad de IA.
Es fundamental establecer alianzas con empleadores que se comprometan a contratar a los graduados, creando una vía directa de la formación al empleo, añadió. La infraestructura de entrenamiento virtual existente en el ejército podría servir como base, aunque necesitaría mejorarse considerablemente, adaptarse al uso civil e integrarse con los programas de acreditación de los colegios comunitarios, como los de la Ley PIVOTT.
Límites de los modelos de entrenamiento actuales.
Cualquier academia debería exigir entrenamiento práctico en grandes entornos corporativos simulados y la orientación de profesionales de alto nivel que instruyan y capaciten a los alumnos, aconsejó Ian Amit, fundador y director ejecutivo de Gomboc, proveedor de soluciones automatizadas de seguridad para infraestructuras en la nube, en la ciudad de Nueva York.
«Los elementos clave del trabajo de un profesional de la ciberseguridad implican una estrecha coordinación con otras partes interesadas», declaró. No se trata de dominar herramientas o lenguajes específicos, sino más bien de la experiencia trabajando en incidentes y coordinando la respuesta.
Sin embargo, Amit argumentó que no necesitamos más trabajadores de nivel inicial en el sector de la ciberseguridad. Ya está saturado de personas que tienen dificultades para incorporarse al mercado laboral, especialmente a medida que se ofrecen herramientas más avanzadas para ayudar a cubrir las tareas que realizan los trabajadores de nivel inicial.
Esta parece ser la visión del gobierno sobre la macroeconomía. Si bien escasean los profesionales cualificados, las iniciativas que ofrecen formación virtual para cubrir puestos de nivel inicial son simplemente erróneas, sostuvo.
Si bien es cierto que existe un importante déficit de profesionales y mano de obra en el ámbito cibernético, lo cual es problemático dadas las crecientes tensiones cibernéticas y las incursiones de adversarios patrocinados o apoyados indirectamente por Irán, Rusia, Corea del Norte y China, la formación por sí sola no puede resolver el problema del déficit, añadió Jeff Le, director ejecutivo de 100 Mile Strategies, una consultora de asuntos gubernamentales y tecnologías emergentes en Washington, D.C.
Es necesaria una inversión concertada y una búsqueda de contactos específicos para reducir el exceso de certificaciones y enfatizar la experiencia basada en habilidades y los modelos de aprendizaje, declaró.
Advertencia de Seguridad Nacional.
El énfasis de la ISA en la ciberseguridad nacional como una responsabilidad pública-privada compartida es acertado, señaló Rosario Mastrogiacomo, director de estrategia de Sphere Technology Solutions, empresa de software y servicios de gobernanza de datos, en Hoboken, Nueva Jersey.
«Pero los desafíos de la fuerza laboral no se resolverán solo con políticas», declaró. «Necesitamos una infraestructura escalable y sostenible para el aprendizaje continuo, una mejor alineación entre el cumplimiento normativo y la reducción de riesgos reales, y herramientas que permitan a los equipos de seguridad centrarse en la prevención, no en el papeleo».
«El informe de la ISA es una llamada de atención», añadió Ensar Seker, CISO de SOCRadar, empresa de inteligencia de amenazas, en Newark, Delaware. «Replantea la ciberseguridad no como un centro de costos ni un silo de TI, sino como un pilar de la fortaleza nacional», declaró.
Necesitamos reformas sistémicas, sí, pero también necesitamos humanizar el desafío de la fuerza laboral, continuó. El agotamiento, la fragmentación y los cuellos de botella de talento tienen solución, pero solo si tratamos a los profesionales cibernéticos no solo como defensores, sino como activos estratégicos en los que vale la pena invertir.
