inoticia

DENVER (AP) — Había presión. Alguien, en algún lugar, estaba atacando los sistemas informáticos para que los clientes no pudieran acceder a ciertos sitios web. En una habitación sin ventanas en Denver, Zack Privette había trabajado toda la mañana con su equipo de seguridad para descubrir qué estaban haciendo los extraños cibernéticos.

“Lo que sucedió es que tenemos un atacante que ha estado revisando nuestros diferentes sitios web y encontró una vulnerabilidad en nuestro directorio activo y…”, explicó Privette a Richard Mac Namee, identificado como director de operaciones de la empresa atacada.

“Está bien, no soy técnico. ¿Qué significa eso?” interrumpió Mac Namee, quien en realidad es el director del nuevo Centro de Ciberseguridad en la Universidad Estatal Metropolitana de Denver. Y en realidad es bastante técnico.

Esto fue una simulación.

El centro de comando improvisado “Cyber ​​Range” dentro del Centro de Ciberseguridad de MSU Denver tenía varias pantallas de televisión que mostraban mapas siniestros de amenazas cibernéticas en vivo. Es parte de un campo de entrenamiento único para estudiantes, recién graduados y personas que ni siquiera asisten a la universidad pero que están interesadas en carreras de seguridad cibernética.

Privette, que no es estudiante de MSU, pudo experimentar el programa Cyber ​​Range porque está abierto a personas externas. La industria necesita más gente de fuera. Según una estimación, hay 66 profesionales de ciberseguridad por cada 100 puestos vacantes en todo el país. Es más estricto en Colorado, donde hay 59 por cada 100. Y la demanda está creciendo más rápido de lo que pueden graduarse los programas de capacitación como MSU.

Mac Namee está detrás del Centro de Seguridad Cibernética de la escuela y logró que la escuela fuera designada como Centro Nacional de Excelencia Académica en Defensa Cibernética en marzo. Mac Namee, excomandante de las Fuerzas Especiales del Reino Unido que ha trabajado como especialista en contraterrorismo, lo mantiene práctico. Durante la simulación, finge ser un ejecutivo ordinario de la empresa. Los estudiantes deben descubrir cómo explicar el caos cibernético a los no expertos en tecnología, ¡y rápido!

“Es una base de datos gigante que… contiene su servidor DNS. Y lo que hace un servidor DNS es que cuando escribe Google.com, lo cambiará a la dirección IP que la computadora realmente lee. Eso se cayó, razón por la cual las personas no pueden acceder a los sitios web correctamente”, dijo Privette a Mac Namee. “Eso fue a las 3:30:29. Desde entonces, lo hemos traído de vuelta a las 3:44”.

“Entonces, 14 minutos de interrupción”, dijo Mac Namee. “Catorce minutos con nuestros atletas y la forma en que intentan iniciar sesión, eso es un gran problema. ¿Cómo resolveremos esto?”

Privette continuó explicando que había una copia de seguridad para que los datos estén seguros. Pero reconoció que los atacantes todavía estaban dentro del sistema y que su equipo ahora estaba tratando de averiguar si los datos habían sido robados. Su equipo cree que se robaron las credenciales, pero no cree que el robo involucre datos de identificación personal de los clientes, dijo. Mac Namee le dio una hora para averiguarlo.

– Cómo va

Los programas de capacitación específicos han estado apareciendo en todo el país durante la última década, ya que casi todas las empresas con un sitio web, una oferta de comercio electrónico u otra operación basada en Internet deben lidiar con violaciones de datos, ransomware y otras amenazas cibernéticas.

Según el Identity Theft Resource Center, que realiza un seguimiento de las infracciones y apoya a las víctimas, la cantidad de infracciones de datos denunciadas públicamente en los EE. UU. aumentó más del doble desde 2015 a 1862 el año pasado. Las regulaciones en Colorado y en todo el mundo también imponen a las empresas la responsabilidad de proteger los datos personales de los clientes.

En 1999, en parte para abordar la falta de profesionales calificados, la Agencia de Seguridad Nacional de EE. UU. lanzó su programa de Centros Nacionales de Excelencia Académica. Certifica escuelas con un plan de estudios de seguridad cibernética para investigación cibernética, educación de defensa y operaciones cibernéticas. Ahora hay alrededor de 380 colegios y universidades en los EE. UU. Dichas designaciones requieren un plan de estudios de seguridad cibernética estandarizado, desafíos activos y desarrollo profesional. Hay 13 escuelas en Colorado e incluyen universidades estatales, comunitarias y privadas.

La asociación con la industria y MSU Denver se atribuye a Mac Namee, dijo Steve Beaty, profesor del departamento de informática de la escuela. Si bien Beaty comenzó a impartir cursos de ciberseguridad en 2004, un título en ciberseguridad debutó hace solo cuatro años. El nuevo centro y las asociaciones con empresas privadas de ciberseguridad como Atos, una empresa europea de tecnología de la información que ahora está ocupando espacio en las instalaciones, realmente despegaron después de la llegada de Mac Namee.

“Tenía el ancho de banda. Algunos de nosotros no hemos tenido el ancho de banda para hacer muchas de estas cosas. Atos se debe a él”, dijo Beaty. “Richard es quien puso el fuego debajo de lo que está pasando aquí”.

Y mirando el mapa de calor de las vacantes de trabajo en seguridad cibernética en CyberSeek.org, EE. UU. lo necesita.

En los últimos 12 meses, se publicaron 714.548 trabajos de seguridad cibernética en los EE. UU. según EMSI Burning Glass, una empresa que analiza las ofertas de trabajo y los datos laborales. EMSI se asoció con la Asociación de la Industria de Tecnología Informática (CompTIA) y la Iniciativa Nacional para la Educación en Seguridad Cibernética en el esfuerzo CyberSeek para documentar la necesidad de trabajadores más capacitados. Colorado, entre los 10 estados con más vacantes, tenía 25,761 hasta abril.

“El campo está creciendo tan rápido que incluso si producimos muchos graduados, lo que hemos visto un aumento significativo, a menudo no sigue el ritmo del crecimiento de la demanda”, dijo Will Markow, un ciberseguridad de EMSI Burning Glass. experto. “Hemos visto un aumento del 40 % al 50 % en la cantidad de graduados de programas de seguridad cibernética en todo el país. El problema es que durante el mismo período de tiempo, la demanda de trabajadores de ciberseguridad creció aproximadamente el doble de esa tasa”.

— Capacitar a los empleadores para que reconsideren la contratación

La industria tiene una serie de problemas únicos que agravan la escasez, dijo Markow. Las nuevas amenazas surgen todo el tiempo, por lo que la industria está en constante lucha. Los trabajadores necesitan una combinación de diferentes conjuntos de habilidades de TI además de credenciales, algunas de las cuales requieren años de experiencia. Eso hace que sea difícil para aquellos que empiezan y no tienen experiencia.

“Los empleadores tampoco están ofreciendo muchas oportunidades para las personas que no tienen una licenciatura o que no tienen al menos tres a cinco años de experiencia laboral previa”, dijo Markow. “Lo que eso significa es que no hay muchas oportunidades de nivel de entrada (y eso) presenta un desafío único para construir la cartera de trabajadores de ciberseguridad”.

Los trabajos de seguridad cibernética permanecen abiertos un 20% más que otros trabajos tecnológicos, que ya son notoriamente difíciles de cubrir, agregó. Y debido a los títulos y certificaciones requeridos, los trabajos pagan alrededor de $15,000 más en comparación con otros trabajos de TI.

Las agencias gubernamentales están más abiertas a contratar trabajadores calificados sin antecedentes universitarios. Eso es cierto con la Oficina de Tecnología de la Información del Gobernador del estado. Un aprendizaje remunerado para veteranos requiere “algo de experiencia en TI, pero no un título”, dijo Ray Yepes, director de seguridad de la información de Colorado.

“También vale la pena señalar que para la mayoría de los puestos de la OIT aceptaremos años de experiencia como sustituto de la educación”, dijo Yates en un correo electrónico.

Con el crecimiento de los programas universitarios, campamentos de entrenamiento y otros programas de capacitación, Markow dijo que depende de las empresas ajustar los requisitos de contratación si realmente quieren llenar las vacantes y alimentar su propia fuente de talento.

“Creo que realmente la pregunta es si los empleadores van a ser receptivos (y) contratarán a esos trabajadores”, dijo. “Están aprendiendo las habilidades adecuadas para la ciberseguridad. Lo que necesitamos es que los empleadores también reconozcan que deben tomar una perspectiva más basada en habilidades para reclutar trabajadores de seguridad cibernética en lugar de una lente basada en credenciales o experiencia que han hecho históricamente”.

– Cómo fue

Mientras se realizaban simulaciones de seguridad en una parte de la sala de MSU Denver, en otra, Nathan Shelley estaba trabajando. Literalmente. El recién graduado de MSU con una licenciatura en ciberseguridad fue contratado por Atos como pasante justo antes de su graduación en diciembre. Se convirtió en empleado a tiempo completo el 30 de mayo. Atos es una gran empresa europea de TI con sede en París.

“Supervisamos las nubes del sector público”, dijo Shelley, quien creció en Estes Park y se sintió atraída por MSU Denver debido a su nuevo título en ciberseguridad. “Somos responsables de monitorear el tráfico de registros y determinar si hay falsos positivos o verdaderos positivos”.

Shelley estaba monitoreando los sistemas informáticos de las agencias gubernamentales reales que contratan a Atos para asegurarse de que lo que está almacenado en la nube de Internet no se vea comprometido. Los analistas de seguridad como Shelley pasan horas observando la actividad en línea y, gracias a la inteligencia artificial y las herramientas de monitoreo, reciben alertas cuando algo anda mal y deben determinar si el problema es real.

Puede que no parezca muy emocionante, pero un alegre Shelley habla con entusiasmo sobre su trabajo, que incluye tapar agujeros descubiertos solo después de que se lanzó el software. En otras palabras, los errores nacidos en el día cero que los creadores de travesuras en línea buscan constantemente.

“Probablemente, lo más activo que he estado esta semana fue ayer cuando estábamos parcheando un CVE recientemente descubierto, que es una vulnerabilidad con Follina, es un exploit de día cero que prolifera”, dijo. “Esto está muy extendido para el entorno de Microsoft. Es una vulnerabilidad de día cero de Office 365, lo que significa que (el software) se lanzó con la vulnerabilidad. Ahora está estallando en el ámbito de la ciberseguridad. Permite la ejecución remota de código y eso se puede hacer a través de un determinado dominio”.

Microsoft aún no había publicado una solución para Follina, que lleva el nombre de un pueblo italiano con un código postal que se encontró en el exploit.

El Centro de Ciberseguridad de MSU también es un recurso para otros. Ayudar a los trabajadores de TI potenciales a ser contratados es la misión de ActivateWork, una organización de capacitación y reclutamiento de TI sin fines de lucro que conecta a los empleadores con el talento pasado por alto.

“Creemos que el proceso de contratación tradicional deja fuera talentos extremadamente valiosos. Ayudamos a los empleadores a resolver las brechas de talento al encontrar candidatos subrepresentados y prepararlos para sobresalir en nuevas carreras”, dijo Susan Hobson, directora de aprendizaje y evaluación de la organización sin fines de lucro.

Su primer curso de fundamentos de seguridad de 15 semanas culminó la semana pasada con la simulación Cyber ​​Range de MSU Denver. Hobson dijo que ActivateWork se enfoca en la fuerza laboral que necesitan los empleadores.

“Sabemos que la seguridad cibernética tiene una brecha, especialmente aquí en el área de Denver”, dijo. “Si observa los datos laborales del área local, había 13,000 trabajos de seguridad cibernética abiertos hasta marzo de este año. Sabíamos que existía la necesidad e impulsamos nuestras ofertas de cursos en función de las necesidades de los empleadores locales”.

Los estudiantes de ActivateWork no son estudiantes típicos. La mayoría no tiene una credencial universitaria. Muchos están desempleados o buscan un mejor trabajo en TI. La cohorte reciente de graduados en fundamentos de seguridad se fue con la certificación CompTIA A+ y más de 100 horas de capacitación en habilidades blandas y habilidades para la vida, incluidas revisiones de currículums, preparación para entrevistas y capacitación en capacidades financieras. Después de graduarse, ActivateWork los ayuda a encontrar un trabajo en el campo y los entrena durante 12 meses mientras hacen la transición a una carrera.

La organización también tiene un programa de aprendizaje registrado en el Departamento de Trabajo de EE. UU. y trabaja con empleadores del área para contratar graduados de sus campos de entrenamiento. Tres de los 20 graduados comienzan este mes como aprendices en seguridad cibernética, y ActivateWork siempre está buscando más empresas con las que asociarse para crear una fuente de talento en seguridad cibernética.

“Están luchando para contratar porque están buscando personas con tres a cinco años de experiencia”, dijo Hobson. “Esta es una forma de equipar al talento a través de 12 meses de aprendizaje en el trabajo con las habilidades exactas que necesita un empleador”.

Privette, que formó parte de la simulación de seguridad cibernética de MSU Denver, evitó que el error causara más estragos. Trajeron de vuelta los sitios web y, bueno, espera seguir aprendiendo más. Está muy emocionado de comenzar su aprendizaje de seguridad cibernética ActivateWork el lunes como analista de seguridad de la información.

“Había querido dedicarme a esto desde la escuela secundaria y siento que ActivateWork realmente me ha dado la oportunidad de lograrlo”, dijo Privette, un electricista hasta que se cayó del techo en la ubicación de un cliente. “No tenía el dinero para pagar la universidad. Y luego realmente no me di cuenta del camino para llegar a él (seguridad cibernética). No quería ser electricista para siempre. Caer a través del techo me dio la oportunidad de seguir con esto”.