“Embernya bocor, dan industri terus menyalahkan keran,” tulis Nahla Davies membahas kekurangan personel keamanan siber.
Selama satu dekade, industri keamanan siber mempunyai satu cerita mengenai krisis kepegawaiannya: jumlah orang yang tidak mencukupi. Latih lebih banyak, sertifikasi lebih banyak, jalankan lebih banyak kamp pelatihan, dan kesenjangan tenaga kerja global sebesar 4,8 juta akan teratasi. Kisah ini melegakan karena menjadikan masalah ini sebagai pekerjaan orang lain: sekolah, pemerintah, dan saluran pipa.
Hanya ada satu kesulitan. Orang-orang yang memiliki versi statistik kesenjangan yang paling banyak dikutip, ISC2, juga menjelaskan mengapa statistik kesenjangan tersebut tumbuh, dan alasannya tidak ada hubungannya dengan kurangnya talenta.
Tahun dimana pipa tersebut berhasil disalurkan dan kesenjangannya semakin besar
Dalam studi ISC2 pada tahun 2024, angkatan kerja keamanan siber global hanya tumbuh sebesar 0,1 persen, yang berarti datar setelah ekspansi selama bertahun-tahun, sementara kesenjangan tenaga kerja melebar sebesar 19 persen. Jika ini adalah masalah pasokan, kedua angka tersebut akan bergerak bersamaan.
Sebaliknya, studi tersebut menyebutkan penyebab sebenarnya: anggaran merupakan faktor utama, yang disebutkan oleh 39 persen, sebelum terjadinya kekurangan sumber daya manusia, dengan 37 persen organisasi melaporkan pemotongan anggaran, 38 persen perusahaan membekukan perekrutan karyawan, dan seperempat perusahaan melakukan PHK.
Jelasnya, hal ini berarti kesenjangan semakin besar pada tahun ketika pasokan tetap stabil dan permintaan terhadap perekrutan berkurang. Embernya bocor, dan industri terus menyalahkan kerannya.
Paradoksnya semakin tajam di level awal. Sepertiga organisasi melaporkan tidak ada staf tingkat pemula sama sekali, sementara penelitian perekrutan ISC2 menemukan 38 persen manajer menuntut sertifikasi CISA dan 34 persen CISSP untuk peran junior, yang memerlukan pengalaman sekitar lima tahun.
Sektor ini dengan keras meminta lebih banyak saluran pipa, namun kemudian menolak untuk mempekerjakan hasil dari saluran pipa tersebut. Kelaparan ini sebagian disebabkan oleh diri sendiri.
Ke mana sebenarnya orang-orang itu pergi
Jika pasokan bukan penghambatnya, maka jalan keluarnyalah yang menjadi penghambatnya. Dan data tentang alasan orang-orang berpengalaman keluar dari perusahaan sangat memberatkan, justru karena data tersebut tidak memberikan penjelasan yang mudah.
Itu bukan bayaran. Kompensasi CISO naik 6,7 persen pada tahun 2025 dan gaji di seluruh bidang tetap kuat. Orang-orang menjauh dari uang yang baik.
Itu syaratnya. Penelitian ISACA pada tahun 2025 menemukan bahwa 55 persen tim kekurangan staf, 50 persen kesulitan mempertahankan talenta, dan 47 persen menyebut stres tinggi sebagai alasan utama orang keluar karena tidak mendapat gaji.
Di antara para analis SOC khususnya, Tines menemukan bahwa lebih dari separuh kemungkinan akan berganti perusahaan dalam waktu satu tahun, dengan pekerjaan manual, berulang-ulang, dan kelelahan karena kewaspadaan berada di puncak daftar frustrasi.
Gartner melihat hal ini akan terjadi. Pada tahun 2023, mereka memperkirakan bahwa hampir separuh pemimpin keamanan siber akan berganti pekerjaan pada tahun 2025, dan seperempatnya meninggalkan dunia kerja karena stres terkait pekerjaan. Dari sudut pandang pertengahan tahun 2026, prediksi tersebut tidak terlihat seperti ramalan melainkan lebih seperti deskripsi.
Lalu ada akselerasi terbaru, yang ditujukan tepat pada puncak kurva pengalaman: tanggung jawab pribadi. Sejak penuntutan terhadap mantan kepala keamanan Uber dan tindakan SEC terhadap SolarWinds, 66 persen CISO melaporkan kekhawatiran tentang tanggung jawab pribadi, dan survei terpisah menemukan 70 persen mengatakan bahwa laporan pertanggungjawaban telah memperburuk pandangan mereka terhadap peran tersebut. Anda tidak dapat melatih orang-orang senior dengan menyimpulkan bahwa pekerjaan puncak adalah risiko hukum yang tidak layak diambil.
Kesenjangan ini berbentuk senioritas
Inilah sebabnya mengapa pembingkaian saluran pipa gagal dengan sendirinya. Kekurangannya bukan pada tubuh; ini adalah pengalaman, dan pengalaman adalah satu-satunya hal yang tidak dapat diproduksi oleh bootcamp sesuai permintaan.
Kaspersky menemukan 48 persen organisasi membutuhkan waktu enam bulan atau lebih untuk mengisi peran keamanan siber, dan 36 persen membutuhkan waktu hampir satu tahun untuk posisi senior. Sebagian besar peran terbuka berada pada tingkat menengah hingga mahir. Setiap analis senior yang kelelahan akan menciptakan lowongan yang tidak dapat diisi oleh lulusan mana pun, dan membawa serta pengetahuan institusional mereka, sementara industri ini merekrut orang-orang berpengalaman yang semakin menyusut dalam lingkaran zero-sum yang menaikkan gaji tanpa menambah satu pun pembela.
Perhitungan Irlandia bergantung pada kebocorannya
Bagi Irlandia, taruhannya sangat nyata.
Laporan Sektor Keamanan Siber Seluruh Pulau pada tahun 2025 menghitung terdapat 632 perusahaan, 10.600 profesional, dan pendapatan sebesar €3,2 miliar, dan pasar tenaga kerja Cyber Ireland sebelumnya menetapkan target 17.000 pekerjaan siber pada tahun 2030, yang membutuhkan lebih dari seribu karyawan setiap tahunnya.
Target tersebut biasanya dibahas sebagai tantangan rekrutmen. Ini benar-benar merupakan tantangan retensi dengan mengenakan kostum rekrutmen, karena jika separuh organisasi tidak dapat mempertahankan orang-orang yang sudah mereka miliki, saluran pipa tersebut harus mengisi ulang kebocoran tersebut terlebih dahulu sebelum menambahkan orang baru.
Ambisi Irlandia pada tahun 2030 secara diam-diam mengasumsikan tingkat retensi yang belum dapat dicapai oleh sektor ini, dan gambaran Eropa yang lebih luas juga tidak baik, dengan Eurobarometer UE yang menemukan lebih dari separuh perusahaan kesulitan merekrut staf siber.
Apa yang akan dilakukan oleh industri yang mengutamakan retensi
Perbaikannya sudah diketahui, lebih murah daripada mempekerjakan kembali karyawan secara terus-menerus, dan hampir seluruhnya berada dalam kendali pemberi kerja. Otomatiskan kerja keras tersebut, karena ketika analis SOC menyebut pekerjaan manual sebagai hal yang paling membuat mereka frustrasi, 64 persen waktu mereka yang terbuang adalah surat pengunduran diri yang dirancang secara real time.
Bangun budaya yang tidak bercela, karena diagnosis Gartner sendiri menempatkan budaya, bukan jumlah karyawan, sebagai akar permasalahannya. Mempekerjakan dan melatih junior, mengingat bahwa ISC2 menemukan bahwa karyawan tingkat pemula produktif dalam waktu satu tahun dengan biaya yang rendah, namun program pelatihan transisi malah dikurangi daripada diperluas. Dan kurangi risiko peran senior dengan perlindungan tanggung jawab yang tepat dan tata kelola yang terdokumentasi, sehingga pengalaman yang Anda miliki tidak membuat Anda takut untuk keluar dari profesi ini.
Satu peringatan yang jujur – semua ini tidak berarti bahwa saluran pipa tersebut tidak relevan. Dalam jangka panjang, bidang ini benar-benar membutuhkan lebih banyak peserta dan investasi pendidikan di Irlandia juga penting.
Namun menuangkan air ke dalam ember yang bocor lebih cepat bukanlah sebuah rencana, dan menyebut kebocoran tersebut sebagai kekurangan pasokan adalah tindakan penyangkalan yang paling mahal dalam industri ini. Statistik kesenjangan yang dikutip oleh setiap orang untuk menuntut lebih banyak pelatihan, berdasarkan pembacaan ISC2 sendiri, secara substansial merupakan ukuran dari churn dan pemotongan anggaran, yang diterjemahkan ke dalam istilah kelaparan bakat.
Orang-orangnya ada. Pertanyaan yang terus ditolak oleh industri ini adalah mengapa begitu banyak dari mereka yang keluar.
Oleh Nahla Davies
Nahla Davies adalah pengembang perangkat lunak dan penulis teknologi. Sebelum mengabdikan pekerjaannya penuh waktu pada penulisan teknis, ia berhasil – di antara hal-hal menarik lainnya – menjadi programmer utama di organisasi experiential branding Inc 5.000, yang kliennya mencakup Samsung, Time Warner, Netflix, dan Sony.