L'épuisement professionnel au sein des équipes de sécurité est un problème bien réel et très coûteux. J'ai pu le constater au sein de mes équipes et, parfois, chez moi-même. Avancer à mille à l'heure, passer d'un projet à l'autre parmi des dizaines d'entre eux, éteindre les uns après les autres les incendies qui se déclarent. Il arrive parfois que l'on se heurte à un mur.
Les professionnels de la sécurité sont l'équivalent du petit garçon néerlandais qui a mis son doigt dans la digue. Aujourd’hui encore, cette digue est criblée de milliers de trous. Une enquête menée par l' , disponible à l'adresse , a conclu que les entreprises reçoivent en moyenne plus de 10 000 alertes de sécurité par jour, près de 30 % d'entre elles déclarant en avoir reçu plus d'un million. Une certaine lassitude face aux alertes s'installe. Le burn-out est en hausse.
On pense souvent que prendre un peu de recul permettra de résoudre le problème. Mais lorsqu'ils parviennent enfin à prendre des vacances, ils reviennent peut-être revigorés pendant une journée, mais le surmenage refait souvent surface.
Au lieu de ce cycle répétitif, notre équipe de sécurité a trouvé une meilleure solution au problème, une solution qui s'inspire d'un système de gestion des flux de travail japonais intemporel appelé « kanban ».
Élaborer une solution
Par définition, les professionnels de la sécurité exercent des métiers stressants, confrontés à des menaces sophistiquées venant de toutes parts et à des défaillances majeures en matière de sécurité susceptibles de paralyser une organisation. Par rapport à un salarié américain moyen, les professionnels de la sécurité sont :
- Ils sont plus de deux fois plus susceptibles de déclarer un mauvais équilibre entre vie professionnelle et vie privée.
- Ils ont plus de trois fois plus de chances de ne pas prendre l'intégralité de leurs congés.
- Ils sont plus de cinq fois plus susceptibles de s'inquiéter pour la sécurité de leur emploi.
Ce stress se répercute également sur la gestion de la sécurité et les postes de direction, où la sécurité de l'emploi est précaire. La durée moyenne d'exercice des fonctions d'un responsable de la sécurité des systèmes d'information est comprise entre 18 et 24 mois, ce qui est bien plus court que la durée moyenne d'exercice d'un PDG, qui est de près de neuf ans.
«La manière dont les personnes travaillent joue naturellement un rôle fondamental et déterminant dans le stress et l’épuisement professionnel du personnel de sécurité. »
La réponse habituelle à ces défis consiste à recruter du personnel et à mettre en place des technologies, notamment des systèmes d'automatisation intelligente , afin de réduire la charge de travail et les tâches répétitives chronophages. Les deux sont importants. Mais les entreprises considèrent trop souvent ces solutions comme une solution miracle.
Je pense que ces approches négligent, à leurs risques et périls, l'importance des processus organisationnels, troisième pilier de la « triade personnes, technologie et processus ». La manière dont les personnes travaillent joue naturellement un rôle essentiel et sous-jacent dans le stress et l'épuisement professionnel du personnel de sécurité.
Chez Tanium, nous avons reçu le prix « CSO50 innovation » pour nos efforts dans la mise en œuvre du kanban « », un processus de travail agile créé par Toyota pour soutenir la production « juste à temps » et qui est désormais utilisé dans le développement de logiciels. L'un des principes fondamentaux du kanban est que le multitâche semble intéressant en théorie, mais qu'il est rarement couronné de succès dans la pratique. Si tous les éléments d'un processus de travail ont la même importance, aucun n'a d'importance.
L'approche « juste à temps » est étroitement liée à la charge de travail que nous observons dans le domaine de la cybersécurité, contrairement à d'autres méthodes agiles telles que Scrum, et nous permet de continuer à hiérarchiser et à réajuster la priorité de nos tâches à mesure que la situation évolue au quotidien, voire d'heure en heure.
«Rendre le travail visible permet également à la direction de mieux cerner la charge de travail de l’équipe et les exigences qui lui sont imposées. »
La visualisation du flux de travail d'une équipe est au cœur de la méthode Kanban. De cette manière, tout le monde peut voir les priorités de l'équipe et les tâches sur lesquelles travaillent les autres membres de l'équipe. Nous avons constaté qu'une plus grande transparence favorise un meilleur travail d'équipe, car chacun perçoit et partage le même défi. Lorsqu’une équipe parvient à atteindre un objectif commun, c’est une victoire non seulement pour l’un, mais pour tous. Cela nous permet de compter les uns sur les autres et d'incarner l'esprit « une équipe, un combat ».
[À lire également : Les collaborateurs de Tanium font la différence grâce à Impact]
Le fait de rendre le travail visible permet également à la direction de mieux cerner la charge de travail de l'équipe et les exigences qui lui sont imposées. Des schémas de flux de travail défaillants apparaissent rapidement. Nous pouvons alors y remédier en définissant plus clairement les attentes des parties prenantes ou en formant les membres de l'équipe à de nouvelles compétences. En donnant à notre équipe les moyens de relever de nouveaux défis, nous pouvons combler les lacunes en matière de compétences, offrir des opportunités d'évolution et améliorer notre capacité à répondre à la demande.
Suivi de nos indicateurs
Nous avons commencé à suivre certains indicateurs : le temps nécessaire pour mener à bien une tâche (fréquence de cycle), la cadence à laquelle de nouvelles tâches sont confiées à l'équipe (fréquence d'arrivée) et la cadence à laquelle notre équipe achève son travail (débit). Par exemple, lorsque le taux d'arrivée dépassait le taux de traitement, nous disposions d'un indicateur fondé sur les données qui nous signalait soit que nos processus et nos outils devaient être optimisés davantage, soit que nous avions besoin de renforcer les effectifs affectés à un projet.
Au final, nous avons constaté que ce système de flux de travail avait permis d'améliorer les performances de nos analystes en sécurité. En centralisant la visualisation de notre travail, nous avons rapidement constaté que notre équipe menait de front un trop grand nombre de tâches afin de répondre à l'augmentation de la demande. Plutôt que d'embaucher davantage de personnel ou d'acquérir de nouvelles technologies, nous avons utilisé la méthode Kanban pour fixer des limites au nombre de tâches en cours (WIP) que chacun pouvait mener de front.
«Nous avons réduit les pertes d’efficacité liées aux changements constants de tâches, et nous avons vu notre temps de cycle passer de 15 jours à six jours. »
Cela semble aller à l'encontre de l'intuition. Mais en réduisant le nombre de tâches en cours, nous avons limité les pertes d'efficacité liées aux changements constants de tâche, et nous avons vu notre temps de cycle passer de 15 jours à six jours. En d'autres termes, nous pourrions désormais accomplir deux tâches et demie dans le temps qu'il nous fallait auparavant pour n'en accomplir qu'une seule. Par ailleurs, notre taux de défauts — c'est-à-dire la fréquence à laquelle nous avons généré un bug ou un résultat non optimal — a diminué, en moyenne, de plus de la moitié.
Mettre fin au cycle du burn-out
Le burn-out est un problème systémique profondément ancré chez les professionnels de la cybersécurité. Cela engendre un cycle répétitif d'intégration, d'épuisement des ressources et de départ.
Il n'y a rien de plus douloureux que de perdre un membre de l'équipe à cause du burn-out. Si un membre de l'équipe se sent épuisé, il y a de fortes chances que d'autres ressentent la même chose. Et lorsqu'une personne s'en va, le problème ne fait que s'aggraver. Ce sont les autres qui doivent prendre le relais, ce qui aggrave le surmenage.
Mais les choses ne doivent pas forcément se passer ainsi.
En adoptant la méthode Kanban, nous avons amélioré notre équilibre entre vie professionnelle et vie privée. Fini les changements de tâches fastidieux et stressants ainsi que les retards individuels : place à un effort collectif et à des délais d'exécution plus courts. Comme nous accomplissions nos tâches plus rapidement, chaque membre de l'équipe avait le sentiment de pouvoir prendre les pauses prolongées dont il avait besoin sans décevoir ses collègues.
Pour lutter de front contre l'épidémie d'épuisement professionnel, il faut changer notre culture d'entreprise. En tant que responsables de la cybersécurité, nous devons faire comprendre à nos équipes qu’il est tout à fait normal d’avoir des limites en termes de capacités. Certes, notre métier nous obligera toujours à repousser cette limite, voire à la dépasser parfois. Mais si nous optimisons notre efficacité, nous pouvons veiller à ce que nos équipes ne soient pas soumises à une pression trop intense pendant trop longtemps.
Nous ne parviendrons jamais à résoudre totalement le problème du burn-out. Mais nous pouvons nous sentir collectivement responsables de trouver de nouvelles façons d'y faire face. Les responsables du secteur de la sécurité doivent s'essayer à des méthodologies de flux de travail agiles telles que le Kanban.
