Steven LafortuneAnnunciare che esiste una grave carenza di professionisti della cybersicurezza non è certo una notizia dell’ultima ora. La crisi dei talenti è in corso da diversi anni. Oggi si stima che 4,8 milioni di posizioni nella cybersicurezza siano vacanti a livello mondiale, e tale numero cresce di circa il 19% ogni anno.
Tuttavia, ciò che merita certamente attenzione è la sorprendente rivelazione contenuta nel nuovo 2025 Cybersecurity Workforce Research Report di SANS. Per la prima volta, la maggioranza dei responsabili delle assunzioni afferma che il problema principale che affrontano nel reclutamento in ambito cybersicurezza non è la mancanza di interesse da parte dei candidati. Piuttosto, faticano a trovare persone che possiedano il giusto mix di competenze pronte per il lavoro, in grado di rendere efficaci loro stesse, il proprio team e l’organizzazione nel suo complesso.
La capacità tecnica emerge come qualifica principale per l’assunzione
Il report SANS ha coinvolto quasi 3.400 responsabili della cybersicurezza e delle risorse umane provenienti da tutto il mondo, e ha rilevato che per il 52% degli intervistati la capacità tecnica ha ora superato l’esperienza lavorativa e i titoli accademici come qualifica più apprezzata nelle assunzioni.
Va aggiunto che, in questo senso, la capacità tecnica non si limita a competenze come la programmazione, l’analisi del rischio, il controllo della sicurezza di rete e altre cosiddette “hard skills”. Comprende anche fattori come l’adattabilità, la voglia di imparare e la capacità di lavorare bene in un contesto di squadra.
Si tratta di un significativo cambiamento rispetto al pensiero convenzionale delle organizzazioni, che privilegiava l’aumento del numero di dipendenti. In altre parole: per molti anni, il compito dei responsabili delle assunzioni è stato quello di inserire in organico persone con solide conoscenze in ambito cybersicurezza, ma non necessariamente capacità dimostrate. Oggi, molti responsabili delle assunzioni affermano che questo approccio non è ottimale. Preferiscono invece concentrarsi su candidati con il giusto mix di competenze pronte per il lavoro, mostrando diffidenza verso chi ha solo un curriculum di grande effetto.
La fine della crisi dei talenti nella cybersicurezza?
Il cambiamento di paradigma rivelato dal report SANS sta convincendo alcuni esperti a concludere che la crisi dei talenti nella cybersicurezza, almeno nel modo in cui è stata tradizionalmente descritta e discussa, sia terminata. È stata invece sostituita da un mandato per le organizzazioni: individuare lavoratori qualificati fuori dai tradizionali bacini di talenti della cybersicurezza, in aree come contabilità, istruzione, risorse umane e altri ambiti inaspettati, e coltivare attivamente queste nuove risorse fino a farne professionisti efficaci della cybersicurezza.
Ha commentato Helen Patton, ex CISO e leader della cybersicurezza in Cisco: “Il mio punto di vista personale è che in realtà non abbiamo una carenza di talenti nella cybersicurezza. Il vero problema sta nel comprendere le competenze necessarie per i ruoli che si hanno, e nel trovare le persone che possiedono tali competenze.”
Consigli per aziende e candidati
Il modello ottimale per trovare, assumere e trattenere i talenti della cybersicurezza potrebbe stare cambiando. Ma ciò che non cambia è che questa resterà una sfida importante per molti anni ancora.
Per fare luce su questa situazione e indicare la via da seguire, abbiamo chiesto al CIO di Devolutions, Simon Chalifoux, di condividere alcuni consigli per le aziende che affrontano una carenza di competenze in ambito cybersicurezza. Abbiamo inoltre chiesto a Simon di fornire alcuni suggerimenti per i candidati che, pur avendo solide conoscenze e credenziali, mancano delle competenze pronte per il lavoro che li renderebbero candidati di prim’ordine.
-
Consiglio per le aziende: dopo anni di carenza di competenze, è del tutto comprensibile che l’attuale ondata di nuovi arrivati non abbia un’ampia esperienza pratica. È il momento di far parte della soluzione. Dobbiamo accogliere queste persone nel nostro settore, altrimenti la situazione non farà che continuare. Sebbene sia ideale trovare candidati che possiedano sia competenze tecniche che non tecniche, in molti mercati del lavoro questa aspettativa è irrealistica. Le aziende dovrebbero quindi essere flessibili e assumere in base all’atteggiamento e alla volontà di imparare, per poi crescere insieme alle nuove risorse.
-
Consiglio per i candidati: dato l’attuale stato del settore, se non trovate il vostro primo impiego nella cybersicurezza, uno dei modi migliori per andare avanti è rafforzare la propria rete di contatti. Partecipate a conferenze sulla cybersicurezza o a eventi capture-the-flag, costruite relazioni o coinvolgetevi in programmi di bug bounty. Potete anche dedicare tempo e competenze come volontari presso organizzazioni della comunità, oppure assumere un ruolo più attivo in associazioni professionali. E non pensate che la mancanza di conoscenze o esperienze approfondite in ambito cybersicurezza vi escluda dalla considerazione. Competenze come la comunicazione, il lavoro di squadra, l’adattabilità e il pensiero critico sono estremamente importanti e apprezzate. Mettete in luce e dimostrate queste capacità, poiché rappresentano un vantaggio competitivo.
Qual è il vostro punto di vista?
State osservando cambiamenti recenti nelle pratiche di assunzione in ambito cybersicurezza? Se sì, qual è la vostra opinione su questi cambiamenti? Li considerate positivi o negativi?
Inoltre, quali consigli avete per le aziende che affrontano difficoltà nel reclutamento in ambito cybersicurezza? Cosa stanno trascurando o facendo di sbagliato?
E quali consigli avete per chi desidera entrare nel settore della cybersicurezza? Cosa dovrebbero fare per rafforzare la propria candidatura, sia durante il processo di selezione che all’inizio del nuovo lavoro? Quali strategie dovrebbero adottare e quali errori dovrebbero evitare?
Condividete le vostre opinioni, esperienze, consigli e avvertimenti commentando qui sotto.