Het tekort aan cyberbeveiligingstalent is structureel. Het risico dat dit met zich meebrengt, is reëel.

Volgens het jaarlijkse personeelsonderzoek van ISC² bedraagt het wereldwijde tekort aan cybersecurity personeel inmiddels meer dan vier miljoen onvervulde vacatures. In Europa is de situatie bijzonder nijpend: de vraag naar security professionals groeit sneller dan het opleidingsaanbod en de doorstroming vanuit andere sectoren deze vraag kunnen bijhouden. Organisaties in alle sectoren strijden om een beperkte groep mensen met de juiste combinatie van technische expertise, operationele ervaring en actuele kennis.

De meeste beveiligingsleiders zijn zich hier in theorie wel van bewust. Maar slechts weinigen hebben zich volledig gerealiseerd wat dit betekent voor de veerkracht van hun eigen beveiligingsactiviteiten – niet alleen vandaag, maar ook in de komende drie tot vijf jaar.

Het probleem gaat dieper dan alleen werving

Het zichtbare symptoom van het tekort aan talent is de moeilijkheid om mensen aan te nemen. Vacatures blijven maandenlang onvervuld. De salarisverwachtingen zijn sterk gestegen. Kandidaten met echte operationele ervaring – het soort dat voortkomt uit jarenlange incidentrespons, threat hunting of SOC-werk – vragen salarissen waar veel organisaties niet aan kunnen tippen.

Maar het minder zichtbare probleem is het behoud en de continuïteit van personeel. Beveiligingsteams die erin slagen capaciteit op te bouwen, zijn niet immuun voor personeelsverloop. Het aantal burn-outs in beveiligingsteams is hoog – de combinatie van alarmmoeheid, ploegendienst en de constante druk om je te verdedigen tegen asymmetrische bedreigingen eist een meetbare tol. Senior analisten vertrekken. Institutionele kennis loopt de deur uit. Teams die jaren hebben gekost om op te bouwen, kunnen uit balans raken door het vertrek van twee of drie sleutelfiguren.

Voor organisaties met kleine beveiligingsteams – en dat is de meerderheid – kan één vertrek al een aanzienlijk gat in de dekking veroorzaken. Een team van vier verliest een kwart van zijn capaciteit als één persoon vertrekt. Als die persoon specialistische kennis had van een cruciaal systeem of een belangrijke relatie met een leverancier beheerde, is de impact onevenredig groot in verhouding tot de verandering in het personeelsbestand.

“De meeste organisaties hebben een bedrijfscontinuïteitsplan voor hun IT-systemen. Zeer weinig hebben een zinvol continuïteitsplan voor hun beveiligingscapaciteit. Die twee zaken moeten met dezelfde ernst worden behandeld.”

Het risico van kennisconsolidatie

Gerelateerd aan personeelsbehoud is een risico dat zelden expliciet wordt genoemd: kennisconsolidatie. In veel organisaties zit cruciale beveiligingskennis – hoe de SIEM is afgestemd, welke regels belangrijk zijn, hoe je met een bepaald soort incident omgaat, wat de eigenaardigheden van de legacy-omgeving zijn – in de hoofden van één of twee personen. Die kennis is niet gedocumenteerd. Ze is niet op korte termijn overdraagbaar. En als die personen vertrekken, gaat die kennis met hen mee.

Dit is zowel een bestuursrisico als een operationeel risico. Besturen en het senior management die cyberweerbaarheid serieus nemen, moeten zich niet alleen afvragen “hebben we een beveiligingsteam?”, maar ook “hoe afhankelijk zijn we van specifieke personen, en wat gebeurt er als ze niet beschikbaar zijn?” Het antwoord is vaak ongemakkelijk.

Wat continuïteit eigenlijk vereist

Om continuïteitsrisico's op het gebied van talent aan te pakken, moet je in meerdere dimensies tegelijk denken.

Strategische continuïteit van het leiderschap

De CISO of het hoofd beveiliging is vaak het enige zwakke punt in de beveiligingsstrategie en de communicatie op bestuursniveau. Als die functie vacant is – door vertrek, ziekte of langdurig verlof – zitten organisaties vaak zonder iemand die op geloofwaardige wijze beveiligingsrisico's aan het management kan uitleggen of onder druk strategische beslissingen kan nemen.

Een virtuele CISO (vCISO) biedt hiervoor een gestructureerde oplossing. In plaats van volledig afhankelijk te zijn van één persoon, heeft de organisatie toegang tot senior beveiligingsleiders die continuïteit kunnen bieden tijdens overgangen, hiaten kunnen opvullen en een extern perspectief kunnen bieden bij strategische beslissingen. Voor organisaties die nog nooit een vaste CISO hebben gehad, biedt dit ook die mogelijkheid zonder de kosten en verplichtingen van het aannemen van een fulltime leidinggevende.

Operationele dekking

Dagelijkse beveiligingsactiviteiten – monitoring, detectie, respons – zijn bijzonder kwetsbaar voor personeelstekorten. Een SOC dat draait op een klein intern team heeft beperkte redundantie. Ziekte, vakantie en personeelsverloop zorgen voor gaten in de dekking die moeilijk te beheren zijn zonder ofwel te veel personeel in dienst te nemen ofwel periodes van verminderde waakzaamheid te accepteren.

Managed security services pakken dit aan door de operationele verantwoordelijkheid te verdelen over een groter team met ingebouwde redundantie. De analisten die je omgeving monitoren zijn niet één persoon die op een bepaalde avond misschien niet beschikbaar is — ze maken deel uit van een gestructureerde operatie met diepgang, ploegendienst en escalatiepaden. Voor veel organisaties betekent dit een aanzienlijke verbetering in operationele veerkracht die intern moeilijk te evenaren is tegen vergelijkbare kosten.

Specialistische diepgang op aanvraag

Naast de dagelijkse werkzaamheden vereisen veel beveiligingsprogramma’s specialistische expertise die je intern niet fulltime kunt onderhouden. Penetratietesten, PKI-architectuur, forensisch onderzoek bij incidenten, compliance-advies – dit zijn gebieden waar de vereiste kennis aanzienlijk is, de vraag periodiek is in plaats van constant, en de kosten voor het in dienst nemen van een fulltime specialist moeilijk te rechtvaardigen zijn.

Toegang tot gespecialiseerde professional services op projectbasis breidt de capaciteit van interne teams effectief uit zonder de overhead van vast personeel. Het betekent ook dat de organisatie niet afhankelijk is van één persoon voor een cruciale specialisatie – de kennis ligt bij een team, niet bij één persoon.

Een eerlijk gesprek

Het tekort aan talent lost zichzelf niet op binnen een tijdsbestek waarin de meeste organisaties er rekening mee kunnen houden. De instroom van nieuwe beveiligingsprofessionals groeit, maar niet snel genoeg om een tekort van vier miljoen mensen op korte termijn op te vullen. Organisaties die wachten tot de arbeidsmarkt verbetert, zullen waarschijnlijk nog lang moeten wachten.

De productievere vraag is hoe je een security programma opzet dat veerkrachtig is ondanks het tekort aan talent – een programma dat niet afhankelijk is van het altijd op het juiste moment kunnen aannemen van de juiste mensen, en dat de onvermijdelijke verstoring door personeelsverloop kan opvangen zonder aan operationele effectiviteit in te boeten. Dat is een vraag die het waard is om nu te stellen, voordat een vertrek of een gat in de dekking het urgent maakt.