Carenze di competenze e di personale nel settore della cyber security nel Regno Unito, nel 2023

La tematica della cyber security è divenuta un argomento di grande rilevanza nel contesto odierno, sempre più permeato da una processo di digitalizzazione onnipervasivo. Con l’aumento esponenziale delle minacce informatiche e dei crimini cibernetici, si impone sempre più la necessità di competenze tecniche di base e specialistiche nonché di personale adeguatamente formato in materia di sicurezza cibernetica. Tale esigenza è divenuta una vera e propria priorità per molte organizzazioni e governi in tutto il mondo. 

Non avendo a disposizione dei dati qualitativi e quantitativi, relativi alla situazione italiana, può essere di qualche interesse far riferimento ad altri contesti simili al nostro al fine di poter sviluppare alcune brevi riflessioni iniziali in merito al fabbisogno di competenze e di professioni nonché di comprendere la situazione attuale e le tendenze future, in termini di competenze richieste nell’attuale mercato del lavoro. 

A questo riguardo, si può far riferimento a un rapporto appena pubblicato dal governo del Regno Unito “Cyber security skills in the UK labour market 2023”. Il rapporto, disponibile online, frutto di una rilevazione ricorrente che è oramai giunta al quinto anno, fornisce una panoramica piuttosto completa delle sfide e delle opportunità nel campo della sicurezza cibernetica del Regno Unito, ma molte considerazioni di carattere generale possono essere trasposte anche nel contesto italiano.

Il documento si basa su una vasta gamma di fonti di dati, tra cui interviste con esperti del settore, analisi di dati occupazionali, rilevazioni di posti vacanti on-line e informazioni provenienti da organizzazioni del settore pubblico e privato. Il rapporto si concentra su diverse aree chiave, tra cui la domanda di competenze in materia di cyber security, l’offerta di formazione e istruzione nel settore e le sfide che le organizzazioni devono affrontare nel reclutamento e nella gestione dei professionisti della sicurezza informatica.

I dati statistici sintetici del contesto d’oltremanica sono quelli riportati qui di seguito:

• Il 50% delle aziende hanno una carenza di competenze di base (skills gap) in materia di sicurezza informatica. Detto in altri termini, i responsabili della sicurezza di queste imprese non hanno le competenze necessarie per svolgere i compiti di base previsti dalla certificazione, approvata dal governo, chiamata “Cyber Essentials” e non ricevono neanche un supporto dai fornitori esterni. Le lacune di competenze più comuni riguardano la configurazione dei firewall, l’archiviazione o il trasferimento sicuro di dati personali e il rilevamento e la rimozione di malware.
• Il 33% di tutte le società inglesi hanno una carenza di competenze avanzate (skills gap) in materia di sicurezza, in prevalenza nell’analisi forense delle data breaches, nell’architettura della sicurezza, nell’interpretazione del codice maligno e nei test di penetrazione. 
• Il 41% di tutte le aziende hanno un deficit di competenze interne per quanto riguarda la risposta agli incidenti e il ripristino dei sistemi cibernetici compromessi e non dispongono di risorse esterne per questo aspetto significativo della sicurezza.
• Le percentuali relative alle carenze di competenze di base e avanzate non sono cambiate in modo significativo nel corso delle rilevazioni statistiche svolte nel corso degli ultimi 5 anni. Tuttavia, la percentuale di società che non hanno fiducia nelle competenze del proprio personale in tema di gestione degli incidenti informatici tende ad aumentare nel tempo (27% nel 2020, 32% nel 2021, 37% nel 2022 e 41% attualmente).
• Le imprese hanno attivamente ricercato e pubblicizzato in rete 160.035 annunci di lavoro on-line (job postings), nell’ultimo anno, di cui 71.054 relativi a ruoli cyber fondamentali (una media di 5.921 al mese) e altri 88.981 che richiedevano competenze generaliste di sicurezza informatica. Se si confrontano questi dati con quelli del 2021, l’incremento è del 33% (dai 53.586 annunci del 2021). Il 37% dei posti vacanti è stato segnalato come di difficile copertura (in calo rispetto al 44% nel 2022, ma con percentuali simili a quelle del 2021).
• Solo il 17% della forza lavoro del settore informatico è di sesso femminile (in calo rispetto al 22% dello scorso anno, ma con percentuali simili al 2021 e al 2020) e il 14% dei ruoli senior è ricoperto da donne.
• Vi è un deficit stimato di 11.200 persone (skills shortage) per soddisfare la domanda della forza lavoro informatica.

Quali riflessioni, di carattere generale, possono essere tratte da questo rapporto d’oltremanica le quali possono essere applicabili anche al caso italiano? Innanzitutto, la necessità di dotarsi di un quadro informativo e statistico di un settore la cui rilevanza strategica, anche in termini di sicurezza nazionale, non è di secondaria rilevanza. Un settore, evidentemente su cui investire, con determinazione maggiore di quanto fatto finora. Vale qui evidenziare che il monitoraggio, qualitativo e quantitativo, promosso nel Regno Unito si inserisce all’interno della “National Cyber Strategy” che complessivamente vale 2,6 miliardi di sterline, utilizzata per proteggere e promuovere la sicurezza delle comunicazioni in rete. In particolare, l’obiettivo esplicito è quello di rafforzare l’ecosistema informatico del Regno Unito, migliorando ed espandendo le competenze di sicurezza della nazione, a tutti i livelli. Una strategia che si può configurare come la promozione di una sicurezza cibernetica a carattere prettamente sociale e non solo a fini commerciali e militari.

Nello specifico, poi, il rapporto evidenzia l’ancora scarsa disponibilità di competenze e professionisti specializzati i quali sono difficili da trovare poiché lo sviluppo del capitale umano, riconducibile al sistema educativo e formativo, ha tempi non comprimibili. Del resto, questo è l’identico problema che sussiste, seppur ancor più aggravato anche in Italia, come si può facilmente verificare dalla disamina dei dati italiani del Digital Economy and Society Index (DESI). La consapevolezza di tale situazione non esime, nondimeno, l’attuale Governo, in primis il Sottosegretario all’innovazione tecnologica e transizione digitale nonché l’Agenzia per la cybersicurezza nazionale (ACN), tra altri, dall’intraprendere tutti gli sforzi possibili affinché tale carenze siano colmate in un tempo ragionevole. In questo senso, sembrano andare nella giusta direzione anche i recenti accordi promossi dall’ACN con molteplici attori istituzionali e stakeholders. E tra questi, per quanto sin qui detto, vale qui sottolineare il documento “Agenda di Ricerca e Innovazione per la cybersicurezza 2023-2026” siglata con il Ministero dell’Università e della Ricerca. 

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Achille Pierre Paliotta

Ricercatore senior dell'INAPP (ex ISFOL). Laurea in Sociologia all’Università di Roma “La Sapienza”, Master in Data Science (DS) all’Università di Roma “Tor Vergata” nel 2015 e Master in Cybersecurity (SIIS) all'Università di Roma "La Sapienza" nel 2021. Svolge studi e ricerche sull’innovazione tecnologica, sulla cyber intelligence, sulla cybersicurezza e, in generale, su tematiche di sociologia.