Nederland moet aan de bak om tekort aan cybersecuritytalent aan te pakken
Nederland kampt met een tekort aan cybersecuritytalent, zo blijkt uit een nieuwe studie van Capgemini. Met het oog op de toenemende dreiging van cybercriminelen en de impact daarvan vormt dit een grote belemmering voor de verdere digitalisering van de economie. Bedrijfsleven, overheid en academische instellingen moeten vol aan de bak om het tekort aan te pakken.
Een bekend gezegde luidt: “Er zwemmen nog genoeg andere vissen in de zee.” Die uitdrukking wordt vaak ter relativering ingeroepen, om zo te benadrukken dat er nog voldoende keuze overblijft. Helaas gaat dat gezegde niet altijd op. In het bijzonder is dat niet het geval als het om cybersecuritytalent gaat: “We vissen allemaal in dezelfde vijver om talent te vinden. Deze vijver is voor Nederland simpelweg te klein”, zo stelt Matthijs Ros, Leader Cybersecurity Nederland bij Capgemini, op basis van het recent gepubliceerd onderzoek van het adviesbureau.
Nederlandse schaarste
In het onderzoek stond de kloof tussen vraag en aanbod van cybersecuritytalent centraal. Capgemini’s Digital Transformation Institute onderzocht de bevindingen van 750+ werknemers en 500+ managers op directieniveau (of hoger) bij grote bedrijven met een gerapporteerde omzet van meer dan $500 miljoen en met meer dan 1.000 werknemers in dienst. Uit de eindrapportage – ‘Cybersecurity Talent: The Big Gap in Cyber Protection’ – blijkt dat Nederland en Zweden van de negen onderzochte landen het minste cybersecuritytalent aanwezig is: van alle ICT’ers in de negen onderzochte landen bevindt slechts 6% zich in Zweden en 8% in Nederland.
Van de negen landen zijn de meeste cybersecuritytalenten actief in India (16%) en de Verenigde Staten (16%); in de landen bevindt zich daarmee opgeteld bijna een derde van de cybersecurityspecialisten. De UK en Frankrijk bezetten respectievelijk de derde (13%) en de vierde plek (12%). Op beperkte afstand zijn Duitsland (11%), Italië (10%) en Spanje (9%) te vinden, die achtereenvolgens plek vijf, zes en zeven bezetten.
Nederland en Zweden staan dan wel in absolute termen onderaan, maar in ons land wonen 17 miljoen mensen en in Zweden slechts een krappe 10 miljoen. In India en de Verenigde Staten zijn absoluut gezien wel twee keer zoveel cybersecuritytalenten als in Nederland, maar ze hebben respectievelijk ruim 77 en 19 maal zoveel inwoners als Nederland. Relatief gezien doet Nederland het op het gebied van cybersecuritytalent dus niet slecht. Dat blijkt ook uit de beschouwing van Ros, die niettemin stelt dat er in absolute termen een tekort heerst: “Nederland loopt voorop in Europa als het gaat om cybersecurity: het is al jaren een punt van aandacht, wat betekent dat we ook al eerder tegen het tekort aan specialisten aan zijn gelopen.”
Wereldwijde vraag
Uit het onderzoek blijkt dat de schaarste aan cybersecuritytalent wijdverbreid is: 68% van de onderzochte organisaties is op zoek naar cybersecurity-professionals. Deze vraag is daarmee groter dan de gemiddelde vraag naar digitale professionals. Bovendien geeft slechts 43% van de werknemers aan dat ze de gevraagde cybersecurity-vaardigheden bezitten. Dat betekent dat er een tekort van 25 procentpunten is aan cybersecuritytalent en daarmee is het verschil tussen de vraag en het aanbod van deze vaardigheid, samen met de digitale vaardigheid ‘web development’, het grootst.
In vergelijking met de vaardigheid ‘analytics’, waar het verschil tussen vraag en aanbod maar 13 procentpunten is, schiet het aanbod van de digitale vaardigheid cybersecurity dus aardig tekort. Daarbovenop zal volgens de onderzoekers de vraag naar getalenteerde cybersecuritymedewerkers de komende twee tot drie jaar met 5 procentpunten stijgen naar zo’n 72% in 2020. Rot voegt daaraan toe: “Gezien de toenemende cyberaanvallen en de noodzaak voor organisaties om zichzelf te beschermen en het concurrentievoordeel van digitalisering te maximaliseren, beveelt het rapport een reeks van prioriteiten aan voor bedrijfsleiders.” Om te begrijpen wat de beste manier is om de kloof tussen vraag en aanbod van cybersecuritytalent te dichten, hield Capgemini interviews met recruiters van internationale bedrijven, cybersecurity-vakverenigingen en academici.
Prioriteiten
Allereerst komt uit deze gesprekken naar voren dat het voor bedrijven van belang is om te beoordelen op welke niveaus de cyberbeveiliging in de gehele organisatie is geïntegreerd. Volgens Mike Turner, Vice President & CSO bij Capgemini, is cyberbeveiliging relevant voor de hele organisatie: “Het is belangrijk om de organisatie als geheel te optimaliseren op het gebied van cybersecurity. Hierbij dient de onderneming afgestemd te worden op principes en processen die vanaf de basis veilig zijn.” Hij vervolgt: “Krijg de basisprincipes op orde qua applicatieontwikkeling. Ontwikkel veilige codes. Maak je netwerkengineers en cloudarchitecten beter in het beveiligen van de cloud. Dát is een goede manier om de kloof te dichten, want het maakt de organisatie ‘secure by design’.”
Bij de tweede prioriteit draait het volgens Turner om het maximaliseren van bestaande vaardigheden, oftewel: “Het onderzoeken van de nog verborgen cybersecurity-vaardigheden die in de organisatie schuilen. De helft van alle medewerkers benut al eigen hulpmiddelen om digitale vaardigheden te ontwikkelen, wat de behoefte aan professionele ontwikkeling op dit gebied illustreert.” Dat niet ieder bedrijf kennis en vaardigheden kan of wil inkopen, daar houdt Turner rekening mee in zijn beschouwing: “Organisaties die moeite hebben met het werven van externe talenten, ontdekken wellicht binnenshuis goede kandidaten die getraind kunnen worden. Functies met aanvullende en overdraagbare vaardigheden omvatten netwerkactiviteiten, database-administratie en applicatieontwikkeling.”
De derde prioriteit sluit aan op de tweede, en gaat over denken buiten de gebaande paden, met andere woorden, voorbij traditionele recruitmentstrategieën. Met deze aanpak leren organisaties begrijpen wat de oorsprong is van cybersecurity-vaardigheden, aldus Turner: “Het outside the box-denken draait om het begrijpen van overdraagbare vaardigheden. Mensen met autisme zijn bijvoorbeeld fantastisch in patronen ontdekken. Ze zijn vaak gezegend met een groot probleemoplossend vermogen, cijfermatige vaardigheden, aandacht voor detail en een methodische aanpak van werken: allemaal nuttige eigenschappen voor cybersecurity in de praktijk.”
Volgens Capgemini is het behoud van talent de vierde prioriteit. Uit het onderzoek blijkt dat cybersecuritywerknemers waarde hechten aan organisaties die flexibele werkafspraken bieden, scholing stimuleren en voorkeur geven aan carrièregroei. Volgens cybersecurity-professionals is de slechte balans tussen werk en privé één van de vijf minst aantrekkelijke aspecten van hun werk, wat vaak geldt als een mogelijke reden tot ontevredenheid of vertrek bij hun huidige baan.
Verder geeft 82% van de cybersecuritymedewerkers aan een duidelijke loopbaanontwikkeling binnen een organisatie te wensen. Voor cybersecuritymedewerkers tussen de 18 en de 36 jaar oud is dat percentage zelfs hoger: 84% merkt op dat een onduidelijke loopbaanontwikkeling zorgwekkend is. Het adviesbureau stelt dat het adresseren van deze problemen een essentiële voorwaarde is voor het opbouwen van een duurzaam aanbod van cybersecuritymedewerkers.
Naast dat Capgemini nu aan de bel trekt, pleitten kenners al langer voor een minimalisatie van de kloof tussen vraag en aanbod van cybersecuritytalent. Zo zou er binnen Nederland (en Europa) meer moeten worden samengewerkt met de The Hague Security Delta. In dit Nederlandse (doch Europees georiënteerde) cluster, gevestigd in Den Haag, werken bedrijven, overheden en kennisinstellingen samen aan innovaties en kennis op het gebied van cyberveiligheid, nationale en stedelijke veiligheid, bescherming van kritieke infrastructuur en forensisch onderzoek. In lijn daarmee, om de aanwas van getalenteerde cybersecurityprofessionals te bevorderen, zouden samenwerkingsverbanden tussen Nederlandse universiteiten en het bedrijfsleven kunnen helpen. Denk bijvoorbeeld aan uitwisselingsprogramma’s tussen informaticafaculteiten en commerciële organisaties.
Gerelateerd: Cybercriminaliteit kost bedrijfsleven €10 miljard per jaar.
