Cybersikkerhet: universitetsgrad eller sertifisering – hva sier de publiserte dataene?

Tolk ISC2s bemanningsgap med varsomhet

Ifølge ISC2s studie for 2024, publisert 11. september 2024, økte bemanningsgapet innen cybersikkerhet med 19 % på ett år og nådde 4,8 millioner stillinger. Organisasjonen beskriver dette gapet som forskjellen mellom eksisterende bemanning og bemanningen som anses som nødvendig.

ISC2 er en faglig medlemsorganisasjon som utsteder sertifiseringer. Den har derfor en interesse av å dokumentere mangelen på arbeidskraft. Det gjør ikke studien feil, men tilsier at tallet bør leses som et anslag basert på en spørreundersøkelse, og ikke som et antall ledige stillinger. Metoden for å beregne gapet finnes i den fullstendige rapporten.

Studien viser også at 90 % av organisasjonene oppgir kompetansemangler i sikkerhetsteamene sine, og at 64 % mener mangelen på kompetanse er mer alvorlig enn mangelen på personell.

Se hva studien sier om ansettelser

Studien fra 2024 gir data om sammensetningen av teamene. Ifølge studien sier 31 % av respondentene at sikkerhetsteamet deres ikke har noen ansatte på inngangsnivå, og 15 % at det ikke har noen ansatte på juniornivå (1 til 3 års erfaring). Studien viser at 62 % av de spurte lederne hadde ledige stillinger. Den understreker at rekrutteringen prioriterer kandidater på mellomnivå og avansert nivå.

Disse tallene er viktige for nyutdannede. De tyder på at mangelen på arbeidskraft først og fremst er en mangel på erfarne personer. Markedet for stillinger på inngangsnivå kan fortsatt være vanskelig, selv når det samlede gapet er stort.

Studien viser også at nær en fjerdedel av respondentene i Nord-Amerika og Europa hadde opplevd nedbemanning innen cybersikkerhet i løpet av de siste 12 månedene, og 29 % i Midtøsten og Afrika. Studien tilskriver dette økonomiske begrensninger.

Les de amerikanske framskrivingene

BLS anslår en vekst på 21 % i sysselsettingen av informasjonssikkerhetsanalytikere mellom 2025 og 2035, noe som klassifiseres som langt raskere enn gjennomsnittet for alle yrker. Medianlønnen deres var 129 180 amerikanske dollar i mai 2025.

For å komme inn i yrket oppgir BLS vanligvis en bachelorgrad i informatikk eller et beslektet fagområde, som ingeniørfag eller matematikk. BLS presiserer at enkelte kommer inn i yrket med fullført videregående opplæring, opplæring og sertifiseringer. Byrået bemerker at mange arbeidsgivere foretrekker kandidater med en sertifisering i informasjonssikkerhet, uten å nevne noen bestemt sertifisering.

Disse tallene beskriver det amerikanske markedet for en bestemt yrkeskategori. De erstatter ikke statistikken for landet du sikter mot.

Sammenlign universitetsgrad og sertifisering i en tabell

Tabellen nedenfor gjengir rollene som vanligvis tillegges universitetsgraden og sertifiseringen. Den er et rammeverk for vurdering basert på de oppgitte kildene, ikke en rangering.

Denne tabellen er en forenkling. En grad i informatikk gir ikke automatisk sikkerhetskompetanse, og en sertifisering gir ikke den teoretiske dybden som en universitetsgrad gir. De to utfyller hverandre snarere enn å stå i motsetning til hverandre. BLS nevner selv begge: bachelorgraden som typisk utdanning for å komme inn i yrket, og sertifiseringer som noe mange arbeidsgivere foretrekker, også for begynnerstillinger.

Undersøk vilkårene for sertifiseringene

Sertifiseringene er ikke likeverdige. Noen retter seg mot nybegynnere, mens andre forutsetter flere års erfaring. ISC2 tilbyr for eksempel sertifiseringen Certified in Cybersecurity (CC), som på nettsiden presenteres som en sertifisering på inngangsnivå uten krav om arbeidserfaring. I den andre enden oppgir nettsiden for CISSP-sertifiseringen et krav om 5 års erfaring, med kvalifiserende fagområder og unntak for praksisperioder. Detaljene i disse reglene må leses direkte på organisasjonens nettsted, siden de endres over tid.

Det viktige poenget er at en avansert sertifisering ikke erstatter erfaring. En nybegynner kan ikke oppnå den fullt ut, og bør først sikte mot sertifiseringer på inngangsnivå og deretter stillinger som gjør det mulig å opparbeide den nødvendige erfaringen.

ISC2s studie bemerker at ledere ofte forventer kombinasjoner av erfaring og sertifiseringer som er vanskelige å oppnå. Kandidater har nytte av å lese faktiske stillingsannonser for å se hvilke sertifiseringer som etterspørres i deres region.

Vurder effekten av kunstig intelligens

Studien fra 2024 rapporterer at mer enn en tredjedel av respondentene oppgir kunstig intelligens som teamets største kompetansemangel. Et annet spørsmål gjelder hvilke ferdigheter som anses som viktige: KI nevnes av 12 % av lederne med rekrutteringsansvar, mot 23 % av fagpersonene. Disse prosentandelene måler dermed ikke det samme som kompetansemangelen.

Denne forskjellen tyder på at teamene og lederne deres ikke oppfatter behovet på samme måte. Den tilsier varsomhet: En kompetanse som er i vinden, er ikke nødvendigvis etterspurt i stillingsannonsene.

For en student er nettverk, operativsystemer, programmering, kryptografi og risikostyring fortsatt det solide grunnlaget. Denne kunnskapen kan overføres fra én teknologi til en annen.

Et annet signal som bør tolkes med varsomhet: ISC2s studie er en spørreundersøkelse blant fagpersoner og ledere, og uttrykker dermed oppfatninger, ikke en objektiv måling av behovene. Oppfatningene gjenspeiler den enkelte respondentens posisjon i organisasjonen, og de kan endre seg raskt når et nytt verktøy dukker opp. Når du skal velge emner, er aktuelle stillingsbeskrivelser fortsatt en bedre veileder enn noen trendstudie.

Bygg konkret erfaring

Ettersom etterspørselen gjelder erfaring, spiller praksisplasser, prosjekter og konkurranser en viktig rolle. Konkurranser av typen «capture the flag», egne laboratoriemiljøer, bidrag til prosjekter med åpen kildekode og praksis i sikkerhetsteam gir deg noe å vise en arbeidsgiver.

Universitetsprogrammer som integrerer praksis eller teamprosjekter med faktiske organisasjoner, reduserer avstanden mellom graden og den første jobben. Det er nyttig å spørre et studieprogram hvor kandidatene deres har arbeidet de siste 2 årene.

For personer som skifter karriere, kan en kort utdanning supplere en eksisterende grad i informatikk, nettverk eller systemadministrasjon. Da fungerer den som en spesialisering, ikke som et utgangspunkt.

Her er konkrete måter å dokumentere en ferdighet på:

• et eget laboratoriemiljø beskrevet skriftlig, med verktøyene som ble brukt og resultatene;
• deltakelse i sikkerhetskonkurranser, med oppnådd plassering;
• en praksisplass eller sommerjobb i et IT-team, selv uten en sikkerhetstittel;
• et dokumentert bidrag til et prosjekt med åpen kildekode.

Hva med Canada?

Yrker innen cybersikkerhet er ikke regulert i Canada på samme måte som ingeniør- eller helseyrker. Ingeniørtittelen er derimot beskyttet: En kandidat som ønsker å bruke den, må gå gjennom den provinsielle yrkesorganisasjonen. Arbeidsgiverne etterspør først og fremst grader i informatikk, sertifiseringer og erfaring. Sysselsettingsstatistikk fordelt på yrke publiseres separat av føderale organer og må ikke forveksles med de amerikanske tallene i denne artikkelen. ISC2s sertifiseringer er internasjonale: De kan tas i Canada som andre steder, uavhengig av universitetssystemet, noe som gjør det mulig å kombinere dem med en kanadisk universitetsgrad.

StudyCanada presenterer blant annet informatikkprogrammet ved University of Waterloo og programmet ved University of Ottawa / Université d’Ottawa, samt cybersikkerhetsprogrammene ved McGill University og Université de Montréal (ledelse og sikkerhet for informasjonssystemer). University of Waterloo er med for generell informatikk, ikke for et eget program i cybersikkerhet.