Estados Unidos se enfrenta a una escasez crítica de personas con formación en ciberseguridad. Cybersecurity Workforce Alliance —una alianza entre empresas, el Gobierno y universidades— busca cerrar esa brecha de competencias porque el futuro del país podría depender literalmente de ello.
Este artículo de opinión, escrito por Frank C. Cicio, Jr., cofundador y director ejecutivo de iQ4, una empresa emergente de transformación de la fuerza laboral y plataforma de colaboración que se asoció con City University of New York, John Jay College of Criminal Justice, State University of New York at Albany y varios profesionales de la ciberseguridad para lanzar la alianza en 2015; Gopal Padinjaruveetil, director de seguridad de la información de Auto Club Group en Michigan y presidente del Consejo Asesor de CWA; y William Squires, antiguo becario de investigación de iQ4 y estudiante de segundo año en University of Southern California, quien colaboró en la respuesta de iQ4 a la reciente solicitud de información sobre ciberseguridad del NIST de la Casa Blanca, hace un llamamiento a reforzar las defensas cibernéticas mediante la planificación y la colaboración «con la industria como prioridad».
Dos años antes de ser nombrado presidente de la Comisión de Bolsa y Valores, Jay Clayton y otros expertos en ciberseguridad escribieron en 2015 un artículo de opinión de Knowledge@Wharton de opinión que pedía crear una comisión intersectorial sobre amenazas cibernéticas, similar a la Comisión del 11 de septiembre, para coordinar la creciente necesidad de compartir información y colaborar con el fin de reforzar las defensas de ciberseguridad de la industria.
El mes pasado, en su primer discurso público como jefe de la SEC, Clayton volvió a subrayar la necesidad de coordinación entre empresas y organismos reguladores para frustrar los ciberataques. Señaló que él y sus colegas reguladores financieros colaboran estrechamente «para mejorar nuestra capacidad de recibir información y alertas críticas y reaccionar ante las ciberamenazas».
De forma discreta, pero con gran eficacia, la comunidad reguladora ha impulsado iniciativas de colaboración público-privada para actuar de forma proactiva ante las ciberamenazas y ahora ha logrado involucrar al mundo académico. En efecto, otros reguladores financieros de la Reserva Federal de Nueva York y sus bancos miembros, la Securities Industry and Financial Markets Association, empresas y universidades locales de Nueva York han creado un modelo de colaboración con la fuerza laboral: Cybersecurity Workforce Alliance (CWA). Su objetivo es abordar el eslabón más débil de nuestras defensas de ciberseguridad: la brecha de competencias.
Un informe de junio de 2017 de Cybersecurity Ventures prevé que habrá 3,5 millones de puestos de trabajo en ciberseguridad sin cubrir en los próximos cuatro años. El veterano inversor Jim Rogers y el académico Robert Craig Baum opinaron el mes pasado en Fortune que el persistente fracaso de la educación superior a la hora de formar una fuerza laboral con las competencias necesarias «probablemente estallará con la fuerza combinada de todas las catástrofes anteriores: una onda expansiva tan repentina y tan grande que acumulará toda la fuerza de las crisis de ahorro y préstamo, seguros, energía, tecnología e hipotecas, creando una tormenta perfecta de proporciones épicas».
Pero el nuevo modelo de colaboración de CWA, que está surgiendo con el mismo enfoque proactivo que Clayton y la comunidad reguladora vienen reclamando, puede ayudar a resolver este problema. La alianza ha permitido establecer una colaboración tripartita entre el sector público, el sector privado y el mundo académico para resolver la enorme y creciente escasez de competencias en ciberseguridad. Además, se ha consolidado un modelo escalable y colaborativo que ayuda a armonizar la educación superior y la industria, y ofrece un medio sostenible para acelerar la preparación en ciberseguridad de los candidatos a puestos de nivel inicial.
Desde su creación en enero de 2015, Cybersecurity Workforce Alliance ha involucrado a más de 600 ejecutivos de empresas de un amplio abanico de sectores. En el ámbito educativo, el programa informa a los estudiantes sobre las salidas profesionales disponibles en ciberseguridad y les ofrece una vía acelerada para acceder a ellas. A los empleadores, el programa les permite identificar las competencias específicas que necesitan los estudiantes para cambiar de puesto o mejorar sus habilidades y progresar en sus carreras. En esencia, el modelo crea trayectorias profesionales previsibles y garantiza al mismo tiempo un «equilibrio de cargas» de los recursos que necesitan las empresas para maximizar la productividad y la retención de empleados.
Atención a la brecha
La brecha de competencias laborales es más pronunciada en la ciberseguridad que en cualquier otro ámbito (Forbescalcula que actualmente hay 1,4 millones de puestos de trabajo en ciberseguridad sin cubrir). Además, los avances tecnológicos, como la inteligencia artificial, el IoT, los vehículos autónomos, la minería de datos y otros, no harán más que ampliar la brecha entre los estudiantes preparados para incorporarse al mundo laboral y la industria. ¿Cómo hemos llegado a esta situación? Según Baum y Roger, la culpa es del mundo académico:
«En la última década han surgido patrones preocupantes de actividad económica insostenible. Los presupuestos de las universidades dependen de inversiones inmobiliarias infladas, niegan los efectos a corto y largo plazo de los impagos de préstamos estudiantiles, aceptan como normal que las matrículas aumenten por encima de la inflación y esperan que un profesorado a tiempo parcial reducido ayude a subvencionar partidas presupuestarias infladas para puestos permanentes y plazas financiadas. El insaciable apetito de los altos cargos administrativos por los salarios elevados, lo absurdo de las descripciones de puestos y la escasa rendición de cuentas añaden capas interminables de incompetencia compulsiva y arrogante a un modelo empresarial educativo ya inestable, que cree que sencillamente no puede colapsar».
Tanto si se produce un colapso como si no, el éxito de CWA pone de manifiesto que la educación superior debe adoptar una mentalidad centrada en los resultados para formar un número suficiente de graduados preparados para trabajar en ciberseguridad. En lugar de buscar culpables, CWA tomó el pulso a la industria y entendió que el problema de la brecha de competencias se debía más a un desajuste del mercado que a una mala conducta académica.
Fomentar la armonización
Para CWA, adoptar una filosofía que prioriza a la industria ofreció el reajuste necesario para empezar a cerrar la brecha de competencias. Priorizar a la industria no significa anteponer las necesidades del sector privado a las del mundo académico para mejorar la economía real y las perspectivas laborales de los graduados. Por el contrario, este enfoque se define planteando estas preguntas: «¿Cuáles son las necesidades específicas del sector privado y qué información puede proporcionar la industria al mundo académico sobre las expectativas respecto de los nuevos graduados?». Así, priorizar a la industria puede definirse como proporcionar una taxonomía que describa, identifique, denomine y clasifique específicamente los puestos y las responsabilidades laborales del sector privado, necesaria para diseñar un plan de estudios desde el comienzo de la trayectoria de un estudiante.
En consecuencia, priorizar a la industria se convierte en una fuerza de armonización entre el sector privado y la educación superior, y allana el camino para trasladar el lugar de trabajo al aula. Así, la industria puede ofrecer a la educación superior un conjunto actualizado de normas de ciberseguridad, como las creadas por el National Institute of Science and Technology (NIST) y la National Initiative for Cybersecurity Education (NICE). Estas normas podrían utilizarse para detectar, aislar y remediar intrusiones cibernéticas. Sin embargo, todavía no se han aprovechado para formar y retener a trabajadores cualificados mediante la difusión de información sobre las profesiones disponibles, la educación y la formación.
Por tanto, lo que se enseña son competencias laborales esenciales basadas en normas reglamentarias del mundo real que se aplican a diario en el sector privado. Entre ellas figuran la resolución de problemas en equipo y la colaboración; la comunicación oral y escrita; la defensa de intereses y el liderazgo. CWA incorpora mentores del sector privado junto con docentes de las instituciones. Dado que el sector privado conoce bien las categorías laborales, las áreas de especialidad, las funciones y los conocimientos necesarios, esta información puede transferirse a la educación superior.
Otra ventaja de la armonización que prioriza a la industria es que crea un ciclo de retroalimentación entre la industria, el mundo académico y los organismos reguladores que puede ampliar el conocimiento de la sociedad. A partir de un marco de CWA, los miembros de la alianza, las universidades y el sector privado recomiendan conjuntamente mejoras a las normas gubernamentales del NIST y de NICE, que luego se adoptan. El Gobierno aprende de la industria, que a su vez aprende del mundo académico, en un círculo virtuoso que se amplía.
Datos abundantes y valiosos
El enfoque de CWA contribuyó a desarrollar una plataforma de software y planes de estudios para que el programa pueda ampliarse con rapidez y alcance nacional. Gracias a la plataforma tecnológica, cada universidad que adopta los módulos específicos obtiene información, transparencia y una definición de los conjuntos de competencias y las funciones que valora la industria.
Ahora es posible recopilar datos sólidos y elaborar métricas significativas sobre las evaluaciones —incluidas las de competencia inicial y progresión profesional— a partir de autoevaluaciones individuales y en equipo que los estudiantes realizan al comienzo, a mitad y al final de cada curso, con el fin de fomentar las carreras en ámbitos relacionados con la ciberseguridad. Además, los mentores de CWA evalúan semanalmente la progresión de los estudiantes. En última instancia, las métricas pueden medir los resultados: desde cuántos estudiantes consiguen prácticas —y empleos, y en qué sectores— hasta los salarios de nivel inicial. Estas métricas hacen un seguimiento de lo siguiente:
El número de estudiantes que comienzan los cursos, los estados y centros educativos participantes y el grado inicial de conocimiento de la ciberseguridad como salida profesional (sorprendentemente, actualmente solo el 1 %);
El grado de experiencia laboral o de prácticas antes del curso (actualmente, solo el 5 %);
El número de estudiantes universitarios que realizan prácticas relacionadas con la ciberseguridad (actualmente, el 61 %);
El número de graduados con empleos o prácticas en puestos relacionados con la ciberseguridad (actualmente, el 33 %); y,
Datos en tiempo real sobre la participación de los estudiantes en la plataforma y en el curso (actualmente, con un promedio de nueve publicaciones por estudiante y 93 palabras por publicación), incluido el número de debates de pensamiento crítico iniciados por los estudiantes.
Con esos conocimientos y un trabajo académico directamente alineado con las necesidades de la industria, el país puede estar mejor protegido si forma a más personas para ocupar puestos relacionados con la ciberseguridad y así cerrar la grave brecha de contratación. Como resultado, la alianza ha podido ampliarse hasta superar los 600 miembros empresariales, entre ellos importantes entidades financieras, empresas de consultoría y compañías de Fortune 100.
Los datos específicos presentados por los casi 400 estudiantes que han participado hasta la fecha en el plan de estudios de CWA son realmente sorprendentes. De los 167 graduados, 103, es decir, el 62 %, tienen empleo. De ellos, un asombroso 30 % ocupa puestos de ciberseguridad. Según The Wall Street Journal, en mayo de 2017 se graduaron 1,9 millones de estudiantes y solo el 15 % consiguió empleo o prácticas. El 99 % de quienes comienzan el curso de CWA desconoce las oportunidades profesionales en ciberseguridad, y un sorprendente 95 % nunca había tenido experiencia laboral en el mundo real.
A partir de los datos disponibles, CWA ha producido por primera vez expedientes académicos reconocidos por National Student Clearinghouse (NSC), como los de cualquier otro curso acreditado de una institución de educación superior. NSC y su socio en la alianza, iQ4, recibieron el primer premio a las mejores prácticas de 2016 por su labor para «ampliar la capacidad de la educación superior para aumentar la producción de graduados verificados y preparados para incorporarse al mundo laboral». Muchos antiguos alumnos de CWA son mujeres, personas pertenecientes a minorías, veteranos y los primeros de sus familias en asistir a la universidad.
Como mínimo, CWA espera formar al menos a 100.000 profesionales de ciberseguridad de nivel inicial preparados para incorporarse al mundo laboral en un plazo de cuatro años, si el programa se amplía a escala nacional. Con un modelo probado, el programa ya está colaborando con responsables de la toma de decisiones de la educación superior en todo el país para explicar cómo beneficia a todas las partes y ayuda a aliviar la grave escasez de expertos del país.
