Le burnout au sein des équipes de sécurité est un problème très réel et très coûteux. Je l’ai vu au sein de mes équipes et parfois au sein de moi-même. Déplacer un million de miles par heure, changer de vitesse parmi des dizaines de projets, éteindre feu après feu. Parfois, vous venez de frapper un mur.
Les professionnels de la sécurité sont l’équivalent du garçon néerlandais qui a mis son doigt dans la digue. Aujourd’hui seulement, cette digue est bordée de milliers de trous. Une enquête a conclu qu’une entreprise moyenne voit plus de 10 000 alertes de sécurité chaque jour, dont près de 30 % signalent plus d’un million d’alertes. La fatigue d’alerte s’installe. Le burnout augmente.
Les gens pensent souvent que prendre des congés résoudra le problème. Mais lorsqu’ils parviennent à prendre des vacances, ils peuvent revenir rafraîchis pendant une journée, mais le burnout réapparaît souvent.
Au lieu de ce cycle de rinçage et de répétition, notre équipe de sécurité a trouvé une meilleure solution au problème, une solution ancrée dans un système de workflow japonais intemporel appelé « Kanban ».
Élaborer une solution
Par définition, les professionnels de la sécurité ont des emplois stressants, avec des menaces sophistiquées provenant de toutes les directions et des défaillances de sécurité majeures capables de paralyser une organisation. Par rapport au travailleur américain moyen, les professionnels de la sécurité sont :
- Plus de deux fois plus susceptible de signaler un mauvais équilibre entre vie professionnelle et vie privée.
- Plus de trois fois plus susceptible de ne pas prendre de vacances complètes.
- Plus de cinq fois plus susceptible de s’inquiéter de la sécurité de l’emploi.
Un stress similaire s’étend également à la gestion et au leadership de la sécurité, où la sécurité de l’emploi est ténue. L’ancienneté moyenne d’un directeur de la sécurité de l’information est de 18 à 24 mois, beaucoup plus courte que l’ancienneté moyenne de près de neuf ans d’un PDG.
« La façon dont les gens travaillent joue naturellement un rôle essentiel et sous-jacent dans le stress et l’épuisement professionnel du personnel de sécurité. »
La réponse habituelle à ces défis consiste à embaucher des personnes et à ajouter des technologies, y compris des systèmes d’automatisation intelligents pour réduire la charge de travail et les tâches répétitives chronophages. Les deux sont importants. Mais les entreprises pensent trop souvent qu’il s’agit d’une solution magique.
Je pense que ces approches ignorent, à leurs risques et périls, l’importance des processus sur le lieu de travail, la troisième étape de la « triade des personnes, des technologies et des processus ». La façon dont les gens travaillent joue naturellement un rôle essentiel et sous-jacent dans le stress et l’épuisement du personnel de sécurité.
Chez Tanium, nous avons reçu un prix d’innovation CSO50 pour nos efforts de mise en œuvre de kanban, un processus de workflow agile que Toyota a créé pour soutenir la fabrication « juste à temps » et qui est désormais utilisé dans le développement de logiciels. Un point de vue central du Kanban est que le multitâche semble bon sur papier, mais réussit rarement dans la pratique. Si tout dans un processus de workflow est tout aussi important, rien n’est important.
L’approche « juste à temps » est très étroitement liée à la charge de travail que nous voyons dans la cybersécurité, par opposition à d’autres méthodes agiles comme Scrum, et nous permet de continuer à hiérarchiser et à redéfinir les priorités de nos tâches lorsque les choses changent sur une base quotidienne, voire horaire.
« Rendre le travail visible permet également à la direction d’obtenir un aperçu de la charge de travail de l’équipe et des exigences qui lui sont imposées. »
La clé de la méthode Kanban est la visualisation du workflow d’une équipe. De cette manière, tout le monde peut voir les priorités de l’équipe et ce sur quoi tous les autres membres de l’équipe travaillent. Nous avons constaté qu’une plus grande transparence inspire un plus grand travail d’équipe, car les gens voient et partagent un défi. Lorsque l’équipe réussit dans un objectif commun, c’est une victoire non seulement pour une, mais pour toutes. Cela nous permet de nous appuyer les uns sur les autres et d’incarner une mentalité de combat d’une seule équipe.
[Lire également : les employés Tanium ont un impact avec Impact]
Rendre le travail visible permet également à la direction d’obtenir un aperçu de la charge de travail de l’équipe et des exigences qui lui sont imposées. Des modèles de workflow défectueux apparaissent rapidement. Nous pouvons ensuite y remédier en définissant de meilleures attentes des parties prenantes ou en formant les membres de l’équipe sur de nouvelles compétences. En donnant à notre équipe les moyens de relever de nouveaux défis, nous pouvons combler les lacunes en matière de compétences, offrir des opportunités de croissance et améliorer notre capacité à répondre à la demande.
Suivi de nos indicateurs
Nous avons commencé à suivre les mesures : le temps nécessaire pour terminer une tâche (taux de cycle), le taux auquel les nouvelles tâches arrivent à l’équipe (taux d’arrivée) et le taux auquel notre équipe termine le travail (taux de rendement). Par exemple, lorsque le taux d’arrivée dépassait le débit, nous avions un signal basé sur les données indiquant que nos processus et outils nécessitaient une optimisation supplémentaire ou que nous avions besoin de plus de personnes sur un projet.
En fin de compte, nous avons constaté que ce système de workflow améliorait les performances de nos analystes de sécurité. En visualisant notre travail en un seul endroit, nous avons rapidement appris que notre équipe travaillait sur trop de tâches simultanément afin de répondre à notre demande accrue. Plutôt que d’embaucher plus de personnes ou d’acheter de nouvelles technologies, nous avons utilisé kanban pour définir des limites sur le nombre de tâches en cours simultanées (WIP) que tout le monde pourrait effectuer.
« Nous avons réduit les inefficacités causées par le changement constant de tâche, et nous avons vu notre temps de cycle passer de 15 jours à six jours. »
Cela semble contre-intuitif. Mais en réduisant les tâches WIP, nous avons réduit les inefficacités causées par le changement constant de tâche, et nous avons vu notre temps de cycle passer de 15 jours à six jours. En d’autres termes, nous pouvions maintenant effectuer deux tâches et demie dans le temps qu’il nous fallait pour n’en effectuer qu’une. De plus, notre taux de défauts, le taux auquel nous avons produit un bug ou une sortie sous-optimale, a diminué, en moyenne, de plus de la moitié.
Fin du cycle de burnout
Le burnout est un problème systémique profondément enraciné chez les professionnels de la cybersécurité. Il crée un cycle répété d’intégration, d’épuisement des ressources et de départ.
Rien ne fait plus mal que de perdre un membre de l’équipe à faire du burnout. Si un membre de l’équipe se sent épuisé, il y a de fortes chances que d’autres le ressentent également. Et lorsqu’une personne part, le problème ne fait qu’empirer. Tout le monde doit prendre le mou, ce qui entraîne plus d’épuisement.
Mais les choses n’ont pas besoin d’être ainsi.
En adoptant kanban, nous avons amélioré notre équilibre entre vie professionnelle et vie privée. Finis les tâches fastidieuses et stressantes et les retards individuels, remplacés par un effort partagé et des taux d’achèvement plus rapides. Étant donné que nous avons terminé les tâches plus rapidement, chaque membre de l’équipe a estimé qu’il pouvait prendre des pauses prolongées sans laisser tomber ses collègues.
Lutter contre l’épidémie de burnout exige de changer notre culture. En tant que leaders de la cybersécurité, nous devons informer nos équipes qu’il est acceptable d’avoir une limite de capacité. Bien sûr, notre travail nous obligera toujours à repousser et même dépasser cette limite de temps à autre. Mais si nous optimisons notre efficacité, nous pouvons nous assurer que nos équipes ne sont pas trop chaudes pendant trop longtemps.
Nous ne allons jamais résoudre totalement le problème de burnout. Mais nous pouvons nous tenir collectivement responsables de trouver de nouvelles façons de gérer cela. Les leaders du domaine de la sécurité doivent essayer des méthodologies de workflow agiles comme Kanban.
