Presión psicológica para los CISOs

No es la primera vez que mostramos un informe acerca de los problemas de estrés de los equipos de ciberseguridad.

Las ciberamenazas se han convertido en una de las principales preocupaciones de las empresas debido al vertiginoso aumento tanto en la frecuencia como en la complejidad de los ciberataques que acechan el mundo digital. La evolución de la tecnología ha traído numerosos beneficios, pero también ha abierto la entrada a nuevos peligros cibernéticos cada vez más sofisticados. Desde el robo de datos hasta los ataques dirigidos a infraestructuras críticas, la ciberdelincuencia se ha convertido en una amenaza constante que afecta a individuos, compañías y gobiernos por igual.

En este contexto, los Chief Information Security Officers (CISOs) se encuentran en la primera línea de defensa de las organizaciones contra la marea creciente de ciberataques. Su labor se ha convertido en una necesidad para la supervivencia de las compañías en el mundo digital. Los CISOs se enfrentan a desafíos cada vez más complejos, que van desde el combate contra ataques avanzados hasta la protección de activos digitales, pasando por la garantía de la continuidad operativa en un entorno en constante cambio.

A ello se suma que la ciberdelincuencia no tiene horarios, provocando en estos profesionales una sensación continua de alerta e incapacidad para desconectar. Así lo afirma el 61% de os CISOs encuestados en un estudio realizado por Advens, de la mano de ISMS Forum, donde también afirman que temen perder sus puestos de trabajo tras una crisis de ciberseguridad.

La salud mental de los CISOs

Sus opiniones en términos de 'hard skills' destacan de manera muy positiva, ya que el 76% de los encuestados considera tener los conocimientos metodológicos y técnicos adecuados para adaptarse a sus responsabilidades, lo cual refleja que se sienten preparados para enfrentarse a los nuevos problemas que surjan. En cambio, pese a que 8 de cada 10 encuestados no se sienten personalmente inseguros, el 42% de ellos está más o menos desanimado por el aumento en la frecuencia y el poder de los ciberataques. Un porcentaje que aumenta hasta el 48% si hablamos del sentimiento de frustración al no poder defenderse.

Advens e ISMS han querido analizar el nivel de estrés de los CISOs, para ver si estos están logrando serenidad dentro de una profesión en constante cambio y bajo la presión del creciente fuego de los ciberataques. La conclusión es preocupante: el 39% de los CISOs encuestados está en una situación crítica en relación con su salud físico-mental y tiene un malestar general que deriva en riesgos de amenaza y situaciones constantes de impotencia.

El análisis de la situación de los CISOs se ha realizado a través de dos conjuntos de preguntas: uno para analizar el nivel de estrés al que están sometidos y otro para comprender los detalles que podrían desencadenarlo. Se ha llevado a cabo gracias al modelo de la Escala de Estrés Percibido (PSS), que tiene como meta evaluar el grado en que los encuestados sienten que sus vidas son impredecibles, incontrolables y sobrecargadas, y que permite evaluar de forma global si una persona se siente o no capacitada para afrontar acontecimientos o momentos difíciles.

Análisis de resultados

La puntuación media de las preguntas realizadas mediante el método PSS se clasifica en 3 franjas de colores en función del grado de riesgo que implica hallarse en cada una de ellas. La verde, entre 0 y 16 de puntuación, conlleva situaciones de calma o estrés estimulante. La naranja, en la que se sitúa la media de las respuestas (19,34 puntos), abarca desde los 16 hasta los 22; lo que desemboca en sentimientos ocasionales de impotencia que conducen a alteraciones emocionales. En definitiva, estamos ante una cifra cercana a la zona de riesgo para la salud física y mental, situada en números superiores a 22 y señalizada en rojo.

El resultado no es positivo. Los CISOs se encuentran bajo unos niveles de estrés que deben vigilarse. No obstante, el porcentaje de encuestados que se encuentra en la zona naranja no es el más elevado, pues dicha área tan sólo representa a un 30% de los encuestados (25 CISOs): idéntico porcentaje al que obtiene una zona verde en la que existe un estrés estimulante, no nocivo y "saludable".

La franja más preocupante se encuentra en la zona de riesgo. Los encuestados representados en el área roja simbolizan el porcentaje más alto (39%), lo que es equivalente a 32 CISOs. Esto quiere decir que un alto número de participantes se encuentra en una situación crítica en relación con su salud físico-mental y un malestar general que deriva en riesgos de amenaza y situaciones constantes de impotencia.

Tipología de estresores

Una vez realizado el diagnóstico sobre el nivel de estrés experimentado, el propósito del estudio es encontrar los factores específicos del entorno de la ciberseguridad que contribuyen a este estrés. El alto nivel de incertidumbre y la exposición a lo desconocido, el contexto de combate y adversidad o la gestión de crisis se postulan como los criterios que más contribuyen a la aparición de estrés entre los CISOs.

Estos profesionales se enfrentan a adversarios externos que se aprovechan del factor humano -los empleados-, como uno de los eslabones más débiles en la cadena de la defensa cibernética. Una situación que lo pone en el papel de un luchador, con el nivel de amenaza actual y la intensidad de la ciberdelincuencia, de una lucha asimétrica con un poder de ataque muy superior a la capacidad de defensa de una organización. Por otro lado, la incertidumbre es constante sobre el momento y la forma del próximo incidente. Esto obliga al CISO a estar preparado para cualquier eventualidad, pues nunca puede considerar una protección total. Todo ello, en ocasiones, conlleva una gestión de crisis que requiere un alto nivel de disponibilidad y exige una toma de decisiones bajo presión, que en ocasiones afecta a la salud físico mental de estos profesionales.

Recomendaciones

Tras el análisis de los datos podemos ver que existe un nivel preocupante de estrés experimentado por los CISOs y que el tratamiento de éste debe ser abordado con más profundidad por profesionales de la salud, reconociendo la relevancia significativa que posee en la actualidad para este colectivo.

Del mismo modo, Advens e ISMS Forum han incorporado dentro del estudio una serie de recomendaciones con doble función: continuar con la concientización y el reconocimiento del problema y elaborar y poner en marcha una serie de prácticas para reducir el estrés. Dentro de estas prácticas, podemos destacar la preparación de seminarios web sobre resiliencia al estrés, talleres en profundidad para trabajar con grupos más pequeños, seminarios presenciales con el fin de sensibilizar e integrar a las profesiones de ciberseguridad en el pensamiento y el continuo trabajo sobre la gestión del estrés, retratos y experiencias de CISOs, integración de cursos de formación, divulgación orientada a la acción, y muchas más.