En occupant pendant 12 ans le poste de responsable de la sécurité de l'information au sein de l'État de Pennsylvanie, Erik Avakian a non seulement réussi à rester en fonction plus longtemps que trois gouverneurs successifs, mais il a également largement dépassé la durée moyenne de mandat , fixée par l' , qui se situe entre CISOs—18 et 26 mois.
Ce n’est pas comme si Avakian n’avait pas connu de stress ou ne s’était pas senti épuisé, à l’instar de ses confrères du secteur. Il le faisait de temps en temps. Mais il se considérait comme un battant et adorait le défi que représentait la lutte contre les pirates informatiques — du moins jusqu'à l'automne dernier, lorsqu'il a décidé qu'il était enfin temps de se tourner vers autre chose.
« En réalité, je me sens mieux aujourd’hui, tant sur le plan mental que physique », admet M. Avakian, qui travaille désormais dans le secteur privé en tant que conseiller technique chez Info-Tech Research. « Mon teint est plus éclatant et je me sens globalement en meilleure santé. »
Avakian n'est pas le seul à souhaiter un changement. En effet, une enquête BlackFog menée par 2022 a révélé que près d'un tiers (32 %) des responsables de la sécurité des systèmes d'information (CISO) aux États-Unis et au Royaume-Uni envisagent de quitter leur entreprise actuelle.
Par ailleurs, une autre étude récente d' , intitulée « » et réalisée par le cabinet de recrutement de cadres Heidrick & Struggles, a révélé que 60 % des RSSI sont touchés par le stress et que 53 % souffrent d'épuisement professionnel.
C'est une situation qui échappe à tout contrôle depuis un certain temps déjà. Mais les professionnels de la sécurité estiment qu'il est possible de renverser la tendance s'ils s'attaquent activement aux causes profondes des problèmes.
Le cœur du sujet
L'un des problèmes est de se sentir coincé dans un travail ingrat. La plupart des responsables de la sécurité des systèmes d'information (RSSI) relèvent des directeurs des systèmes d'information (DSI). Tout comme leurs supérieurs, ils sont censés favoriser l'efficacité opérationnelle. On leur fait rarement des compliments. La direction ne leur donne de ses nouvelles que lorsque les choses tournent mal, et elle passe plus de temps à dire « non » aux gens qu’à se demander comment elle pourrait aider ses collègues à favoriser l’innovation. Les RSSI sont également considérés comme des centres de coûts plutôt que comme des sources de revenus.
Tout cela ne les rend pas populaires.
«Beaucoup de gens pensent que la sécurité revient à ralentir les processus lorsqu’ils essaient de mener à bien leurs activités. »Chris Prewitt, directeur technique et responsable de la sécurité des systèmes d'information, Inversion6
« Beaucoup de gens pensent que la sécurité revient à ralentir les processus lorsqu’ils tentent de mener à bien leurs activités », explique Chris Prewitt, directeur technique et responsable de la sécurité des systèmes d’information (CISO) chez Inversion6, un prestataire spécialisé dans la gestion des risques liés à la cybersécurité. « Vous vous heurtez à l'inertie de l'entreprise — ou du moins, c'est ce que l'on pense généralement. »
De plus, comme les RSSI se situent à plusieurs échelons hiérarchiques en dessous de la direction générale et ne rendent compte au conseil d'administration que quelques fois par an, ils souffrent d'un manque de visibilité et sont souvent oubliés. L'élaboration de leurs indicateurs de réussite passe souvent par plusieurs niveaux d'examen, au terme desquels les attentes peuvent avoir été tellement revues à la baisse qu'elles ne reflètent plus la réalité.
Un responsable de la sécurité des systèmes d'information (RSSI) travaillant pour un grand fabricant de produits alimentaires et de snacks affirme qu'un directeur des systèmes d'information (DSI) de son ancienne entreprise est même allé jusqu'à modifier le rapport de conformité de son usine afin d'afficher de meilleurs résultats lors d'une présentation devant le conseil d'administration.
« C’est le genre de situation qui génère du stress », déclare le RSSI, qui a souhaité rester anonyme. « Je ne sais pas si c’était forcément malveillant, mais j’ai considéré cela comme une atteinte à mon intégrité, et j’ai donc fait part de mon sentiment à ce sujet. » « En fin de compte, en tant que RSSI relevant directement du conseil d’administration, cela m’a vraiment fait comprendre qu’il était peut-être temps de partir. »
[6 questions sur la cybersécurité que je recommande toujours aux conseils d'administration de poser]
Une difficulté connexe : la responsabilité sans autorité. La plupart des RSSI sont de garde 24 heures par jour, car des violations de sécurité peuvent survenir à tout moment. En effet, selon , 60 % des personnes interrogées « se déconnectent rarement ». La plupart d'entre eux travaillent 16,5 heures épuisantes par semaine, soit plus que ce qui est prévu dans leur contrat. Mais si une cyberattaque se produit et qu'ils ne parviennent pas à joindre quelqu'un pour autoriser une intervention rapide, la responsabilité risque fort de retomber entièrement sur les épaules du RSSI.
« De nombreux RSSI ont du mal à être acceptés au sein du cercle des cadres dirigeants, mais on attend d’eux qu’ils se comportent comme des cadres dirigeants lorsque cela arrange nos seigneurs et maîtres », déclare Paul Watts, ancien RSSI chez Kantar, un cabinet de conseil en analyse de données, ainsi que chez Domino’s Pizza. Il occupe désormais le poste d'analyste émérite au sein de l'Information Security Forum (ISF).
Collaborer avec la direction générale
Bien sûr, si les RSSI parvenaient à nouer des relations solides avec les hauts dirigeants et les membres du conseil d'administration, ils pourraient éviter d'être injustement tenus pour responsables. Mais bon nombre d'entre eux sont des technologues axés sur la tactique qui ne possèdent pas les compétences relationnelles nécessaires pour gérer leurs supérieurs. De ce fait, ils ne bénéficient pas du soutien de leurs supérieurs hiérarchiques alors qu’ils peinent à obtenir l’appui de la direction pour répondre à des besoins essentiels en matière de budget et de personnel.
« Être responsable de la sécurité des systèmes d’information (RSSI) ne consiste plus seulement à savoir analyser une capture de paquets ; il s’agit d’ , de communiquer aux dirigeants de l’entreprise en quoi le contenu de cette capture de paquets a une incidence sur l’organisation », explique M. Avakian. « Malheureusement, on constate que de nombreux jeunes responsables de la sécurité des systèmes d'information (RSSI) doivent encore développer leurs compétences en communication d'entreprise. » « Ils ont parfois du mal à communiquer avec la direction, ne parviennent pas à obtenir l'adhésion à leurs programmes et finissent par partir. »
De nombreux responsables de la sécurité des systèmes d'information (RSSI) ont également du mal à faire face à la complexité, à la sophistication et à l'ampleur croissantes des cyberattaques auxquelles ils sont confrontés, selon les professionnels de la sécurité. Les outils de piratage automatisés, qui utilisent l'intelligence artificielle (IA) et des s d'apprentissage automatique (ML) pour rechercher des failles dans les réseaux et y pénétrer à grande échelle, pourraient bientôt donner un avantage aux pirates informatiques. Même dotées de leurs propres contre-mesures en matière d’IA et d’apprentissage automatique, les équipes de sécurité informatique sont souvent trop en sous-effectif ou manquent d’expérience pour tenir à distance la multitude de pirates informatiques armés de l’IA.
Steve Zalewski, ancien responsable de la sécurité des systèmes d'information (RSSI) chez Levi Strauss, explique que son équipe a souvent dû se montrer à la hauteur de la situation malgré un budget et des moyens limités pour lutter contre des pirates informatiques de plus en plus compétents.
« J’ai pris conscience que nous avions épuisé toutes les astuces possibles et que nous comptions de plus en plus souvent sur la chance », explique M. Zalewski, qui a quitté la profession pour créer S3 Consulting, un cabinet de conseil en cybersécurité. « C’est là que la frustration s’accumule, car on aimerait en faire tellement plus. »
Alors, comment sortir du lot ?
Il n'est pas facile de surmonter l'exaspération et le découragement. Cependant, les responsables de la sécurité des systèmes d'information (RSSI) peuvent améliorer leur bien-être et prolonger leur carrière en suivant ces quatre recommandations :
1. Négocier de meilleures conditions
Lorsque l'on occupe le poste de RSSI, il est important — pour préserver sa santé mentale — de négocier les conditions d'emploi. Idéalement, il faudrait avoir une discussion avant d'accepter un poste. Mais si vous avez déjà été embauché, il convient d'avoir une discussion franche sur les problèmes avec le directeur informatique ou le responsable du service avant de baisser les bras et de quitter l'entreprise.
«Les jeunes RSSI… ont parfois du mal à communiquer avec la direction, ne parviennent pas à obtenir l’adhésion à leurs programmes et finissent par quitter leur poste. »Erik Avakian, ancien responsable de la sécurité des systèmes d'information (RSSI) de l'État de Pennsylvanie
Une partie de cette discussion devrait consister à s'entendre dès le départ sur ce à quoi il faut s'attendre en matière de budget et de personnel. Si une organisation limite ou réduit ses investissements en matière de cybersécurité, elle ne peut pas s'attendre à ce que les RSSI, qui manquent de ressources, obtiennent les mêmes résultats qu'avant ces coupes budgétaires.
« J’ai été témoin de nombreuses situations où les RSSI ont été maintenus à leur poste, mais où leur budget et leurs effectifs ont été considérablement réduits, ce qui les a empêchés de mener à bien leur mission », explique M. Zalewski. « Si votre budget est réduit, vous avez l’obligation de renégocier les clauses contractuelles avec votre direction. » « Si vous vous contentez de laisser entendre que vous ferez plus avec moins, vous devriez avoir honte, car c’est exactement ce que l’équipe de direction espère que vous ferez. »
Le RSSI de cette entreprise du secteur de l'alimentation et des snacks recommande également de résoudre le dilemme de la « responsabilité sans autorité » en s'assurant le droit d'agir au cas où une cyberattaque grave se serait déjà produite, ce qui constitue l'une des caractéristiques du cadre « zéro confiance » de l' . Les responsables de la sécurité des systèmes d'information (RSSI) devraient également s'assurer que leurs employeurs leur offrent la même protection contre les cyberattaques par le biais d'une assurance responsabilité civile des dirigeants et administrateurs ( ) que celle dont bénéficient les cadres supérieurs et les membres du conseil d'administration, précise-t-il. L'assurance les protège s'ils font l'objet d'une action en justice, voire de poursuites pénales, à la suite d'une attaque, comme l'a vécu Joseph Sullivan, directeur de la sécurité chez Uber, après avoir été reconnu coupable d'un délit pour avoir dissimulé une faille de sécurité.
« Si une affaire civile ou pénale venait à se présenter et que vous ne disposiez pas d’une couverture D&O, vous devriez alors souscrire votre propre police d’assurance », explique le RSSI. « C’est un point essentiel dont les RSSI devraient discuter lorsqu’ils envisagent de postuler à un poste. »
2. Apprenez et mettez en pratique vos compétences relationnelles
Les RSSI de demain ne pourront pas réussir en se contentant de leurs seules compétences techniques. Les enjeux liés à la cybersécurité ayant un impact croissant sur les résultats financiers, les dirigeants se tourneront vers les équipes chargées de la sécurité informatique pour qu’elles leur expliquent comment elles protègent les données critiques et les actifs de l’entreprise, tout en lui permettant de mener plus facilement ses activités et de favoriser l’innovation. Pour conserver leur poste, les RSSI doivent donc apprendre à s'exprimer en termes commerciaux plutôt qu'en termes techniques.
Certains responsables de la sécurité des systèmes d'information acquièrent ces compétences relationnelles au fil du temps. Mais face à un paysage des menaces qui ne cesse de s'étendre et de s'intensifier, cela n'est pas assez rapide. M. Avakian recommande de s'inscrire à une formation en communication d'entreprise afin d'accélérer l'apprentissage. Il souligne que certains programmes de formation certifiante en cybersécurité proposent également des cours de communication destinés aux cadres dans le cadre de leur programme d'études.
3. Faites un travail qui vous tient à cœur
Michael P. Leiter, psychologue organisationnel et coauteur de * * , **, *The Burnout Challenge*, et **, affirme que les RSSI peuvent également réduire les sources d’irritation en notant les aspects de leur travail qui les motivent, puis en orientant progressivement leurs programmes et leur charge de travail dans cette direction.
« Rares sont ceux qui exercent un métier qu’ils aiment à chaque instant de la journée », déclare M. Leiter, ancien professeur de psychologie organisationnelle à l’université Deakin, en Australie. « L'objectif devrait être de trouver un meilleur équilibre entre ce que vous aimez vraiment faire et ce que vous n'aimez pas faire. »
4. Donnez la priorité à votre corps et à votre esprit
Les tâches liées à la cybersécurité peuvent pousser les responsables de la sécurité informatique (CISO) au bord de la folie ou leur faire perdre leur tranquillité d'esprit. C'est pourquoi certains professionnels de la sécurité recommandent de consacrer du temps à une thérapie ou à d'autres activités liées à la santé mentale.
«Si votre budget est réduit [et] que vous vous contentez de laisser entendre que vous ferez plus avec moins, vous devriez avoir honte. »Steve Zalewski, ancien responsable de la sécurité des systèmes d'information (RSSI) chez Levi Strauss
« Je pense que chaque RSSI doit veiller à son bien-être général », déclare M. Avakian. « Il faut beaucoup de force mentale pour exercer ce métier. » « Vous devrez vous engager à rester en bonne santé, tant sur le plan physique que mental, afin de pouvoir être un dirigeant efficace et un bon accompagnateur pour votre équipe. »
Il est également important que le RSSI prenne régulièrement des nouvelles des membres de l'équipe de sécurité pour savoir comment ils vont, ajoute-t-il.
Les RSSI doivent également faire preuve de force physique et d'endurance ; c'est pourquoi 80 % des 250 dirigeants du secteur technologique interrogés à l'échelle mondiale ont déclaré à OneLogin qu'ils pratiquaient une activité physique pour compenser le stress lié à leur travail.
« Ce que nous savons, c’est que l’état physique du moment influence les comportements, les sentiments et la pensée », a déclaré Robin Massey, psychologue du travail et des organisations, dans un communiqué. « Il est donc important de comprendre comment les facteurs physiologiques sont liés aux facteurs relationnels et psychologiques. »
Ce sont des conseils sur le lien entre le corps et l'esprit qui ont été acquis à la sueur de votre front. Mais cela s'avère utile pour toute personne occupant un poste à haute responsabilité dans le domaine de la cybersécurité.
