Si les principales causes du « burn-out » des RSSI font l’objet d’une couverture médiatique importante lors des conférences et dans les médias — qu’il s’agisse des dernières menaces en matière de cybersécurité, des réductions budgétaires ou de la pression croissante exercée par le conseil d’administration pour assurer la sécurité de votre organisation —, un facteur de stress de longue date et de plus en plus important passe inaperçu : la perte d’une bonne partie de votre personnel due à l’attrition.
Le remplacement de ces talents peut s'avérer particulièrement difficile pour les responsables de la sécurité des systèmes d'information de , d'autant plus que la pénurie s'aggrave dans ce secteur soumis à une forte pression. Cependant, la rotation du personnel peut poser d'autres problèmes, peut-être moins évidents, aux responsables de la sécurité, aux dirigeants d'entreprise, aux membres du conseil d'administration et à toutes les autres personnes chargées de superviser la cybersécurité.
« Il ne s’agit pas simplement de remplacer un collaborateur, mais de rétablir la confiance, l’expertise et la compréhension du contexte qui s’en vont avec lui », explique Pablo Riboldi, responsable de la sécurité des systèmes d’information (RSSI) chez BairesDev, une société de développement logiciel « nearshore ».
« Étant donné que le paysage des menaces évolue rapidement, la perte de collaborateurs qualifiés peut compromettre la stabilité en matière de sécurité et les perspectives de croissance d’une entreprise », explique-t-il. « Dans certains cas, le roulement du personnel peut même accroître le risque de systèmes mal configurés, de vulnérabilités négligées ou de détection tardive des menaces. »
Et ce n’est pas seulement la perte de collaborateurs de première ligne, comme ceux de votre équipe de veille sur les menaces « », , qui menace la cybersécurité. L'instabilité provient également de la rotation au sein des échelons supérieurs : les cadres dirigeants tels que le directeur financier, le directeur des systèmes d'information, le directeur technique, voire les responsables de secteurs d'activité, qui peuvent jouer un rôle clé dans la sécurité des organisations.
Les RSSI peuvent avoir une marge de manœuvre limitée pour s'assurer la fidélité des autres membres de la direction, mais ils peuvent prendre des initiatives afin de se préparer à un éventuel renouvellement de leurs équipes de sécurité. Et comme l'indiquent les statistiques du secteur, les taux de rotation du personnel ne devraient pas s'améliorer de sitôt.
Pourquoi il est temps de se pencher sur le taux de rotation du personnel au sein des équipes de sécurité
Les chiffres relatifs aux effectifs sont alarmants : environ 60 % des plus de 500 professionnels de la cybersécurité interrogés aux États-Unis et au Canada ont déclaré envisager de changer d'emploi, selon le rapport « 2025 Cybersecurity Staff Compensation Benchmark Report », publié en février par le cabinet d'études IANS Research et le cabinet de recrutement de cadres Artico.
«Il ne s’agit pas simplement de remplacer un collaborateur, mais de rétablir la confiance, l’expertise et la compréhension du contexte qui s’en vont avec lui. »Pablo Riboldi, responsable de la sécurité des systèmes d'information (RSSI), BairesDev
Seul un tiers des personnes interrogées ont déclaré qu'elles recommanderaient leur employeur, et moins de 40 % se sont dites satisfaites de leurs perspectives d'évolution professionnelle. Si la rémunération reste un facteur déterminant dans la décision de conserver son emploi actuel, la possibilité d'acquérir de nouvelles compétences et d'évoluer au sein de l'entreprise a une incidence plus importante sur la fidélisation, souligne le rapport.
Et les responsables de la sécurité des systèmes d'information (RSSI) ne peuvent guère se permettre de perdre ne serait-ce qu'un seul des talents dont ils disposent. Dans son étude intitulée « 2024 Cybersecurity Workforce Study », l'association professionnelle de cybersécurité ISC2 a constaté que les effectifs actifs mondiaux n'avaient augmenté que de 0,1 % par rapport à l'année précédente. Le déficit de main-d'œuvre s'élevait à 4,8 millions de personnes dans le monde, soit une hausse de 19 % par rapport à l'année précédente. Et l'effectif total nécessaire pour répondre à la demande s'élevait à 10,2 millions, soit une hausse de 8,1 %.
« Les changements fréquents au sein du personnel clé peuvent entraîner des lacunes dans le savoir-faire institutionnel, ralentir les délais d’intervention en cas d’incident et retarder la mise en œuvre d’initiatives stratégiques », explique M. Riboldi.
Ici, chez Focal Point, nous avons exploré les différentes façons d’assurer le bon fonctionnement des services de sécurité, qu’il s’agisse de la gestion du renouvellement des RSSI ou des stratégies spécifiques mises en œuvre par les responsables de la sécurité présentés dans notre série «CISO Success Story ». Nous avons interrogé des responsables de la sécurité des systèmes d'information (RSSI) et d'autres experts afin de recueillir des conseils sur la manière de faire face à la pression croissante liée au roulement du personnel au sein des équipes de sécurité. Voici six bonnes pratiques à prendre en compte.
1. Mettre en place un processus structuré de gestion des connaissances
Parfois, le plus gros problème ne réside pas tant dans le départ des collaborateurs que dans le savoir-faire qu’ils emportent avec eux.
«Les RSSI devraient cartographier de manière proactive les fonctions de sécurité essentielles… et garantir leur couverture grâce à des formations croisées en interne ou à des viviers de talents externes prêts à intervenir. »Casey Marquette, PDG de Covenant Technologies
La documentation des procédures de sécurité, des configurations système et des guides d'intervention en cas d'incident d' permet de s'assurer que les connaissances essentielles ne disparaissent pas avec le départ d'une personne, explique M. Riboldi.
« Une base de connaissances centralisée et régulièrement mise à jour permet d’assurer des transitions en douceur et donne aux autres membres de l’équipe les moyens d’intervenir en toute confiance lorsque cela s’avère nécessaire », explique-t-il. « Il est important de tout consigner ; si quelque chose s'est produit une fois, cela pourrait très bien se reproduire. »
[À lire également : Comment le RSSI de Barclays gère les autorités de régulation]
« La création d’une cartographie des compétences peut aider les entreprises à faire face au roulement de personnel », conseille Casey Marquette, PDG de Covenant Technologies, un prestataire de services de recrutement et de mise à disposition de personnel dans les domaines de l’informatique et de la cybersécurité. « Les RSSI devraient recenser de manière proactive les fonctions de sécurité essentielles — [par exemple] la gestion des incidents, la gestion des identités et la sécurité du cloud — et garantir leur prise en charge grâce à des formations croisées en interne ou à des viviers de talents externes prêts à intervenir. » Les organisations qui n'ont pas mis en place de plan perdent un temps précieux — « et souvent, une partie de leur visibilité », ajoute-t-il — lorsque des acteurs clés quittent l'entreprise de manière inattendue.
2. Misez sur la formation polyvalente et la redondance des postes
M. Riboldi estime que les organisations doivent veiller à ce que les membres de l'équipe de sécurité bénéficient d'une formation polyvalente leur permettant d'assurer les missions de leurs collègues. « Cela permet non seulement d’accroître la flexibilité de l’équipe, mais aussi de limiter les perturbations opérationnelles lorsqu’un collaborateur quitte l’entreprise », explique-t-il.
«Encourager les membres de l’équipe à comprendre les différents rôles au sein de la fonction de sécurité permet d’assurer la continuité opérationnelle. »Anthony Nyberg, directeur du Center for Executive Succession à la Darla Moore School of Business de l'Université de Caroline du Sud
La redondance des rôles contribue également à préserver les compétences clés, même en cas de changements soudains.
« Encourager les membres de l’équipe à appréhender les différents rôles au sein de la fonction sécurité permet d’assurer la continuité opérationnelle », explique Anthony Nyberg, directeur du Center for Executive Succession de la Darla Moore School of Business de l’Université de Caroline du Sud.
3. Mettre en place des canaux de communication clairs
« Une communication transparente renforce la confiance et facilite les transitions », ajoute Nyberg.
« Si les plans de sécurité font l’objet d’une évaluation et d’une adaptation continues, comprises par les différents acteurs tant au niveau de la direction générale qu’au sein de la fonction du RSSI, alors l’organisation dans son ensemble peut être mieux préparée à faire face à l’évolution des menaces et aux changements de personnel. »
Tout comme les responsables de la sécurité des systèmes d'information (RSSI) doivent communiquer clairement leurs besoins aux PDG et au conseil d'administration, ils doivent également expliquer à leur personnel pourquoi on leur demande d'agir ainsi et quels sont les résultats escomptés. Les collaborateurs doivent avoir le sentiment de mener une action utile pour contribuer à renforcer la sécurité au sein de leur organisation, et d’ qu’ils font partie d’une équipe. Les collaborateurs qui se remplacent mutuellement acquièrent, à terme, de nouvelles compétences qui peuvent leur être utiles tant pour leur évolution professionnelle linéaire que non linéaire.
La communication, c'est aussi savoir écouter. Les responsables de la sécurité des systèmes d'information (RSSI) doivent échanger avec leurs collaborateurs afin de recueillir leurs impressions sur le déroulement des processus de travail et sur les moyens d'améliorer les procédures.
4. Mettez en place des procédures rigoureuses de départ des collaborateurs
Les organisations doivent établir des listes de contrôle exhaustives pour la fin de contrat, qui comprennent la récupération des informations et des procédures de l'entreprise, la révocation des identifiants d'accès, l'audit des comptes privilégiés et l'examen des journaux d'accès, explique M. Riboldi. « Cela est essentiel pour prévenir toute fuite de données ou tout accès non autorisé après un départ. »
« Le personnel de sécurité dispose souvent de droits d'accès étendus », explique Marquette. « La procédure de départ doit inclure la suppression des identifiants sur l'ensemble des systèmes. »
5. Tirer parti des partenariats externes
« Les entreprises peuvent envisager de recourir à l'externalisation pour renforcer leurs fonctions hautement qualifiées, tout en confiant les tâches courantes à une organisation spécialisée dans ce type de travail », explique Doug Saylors, responsable du pôle cybersécurité au sein du cabinet international de recherche et de conseil en technologie ISG.
«Les prestataires de services savent bien faire tourner leurs effectifs et offrent… un vaste vivier de ressources — et d’idées — en cas de besoin. »Doug Saylors, responsable de la pratique cybersécurité, ISG
« Les prestataires de services savent bien faire tourner leurs effectifs et proposent [un] dispositif contractuel garantissant la qualité du service », explique M. Saylors. « Cela permet à votre équipe interne de se concentrer sur les tâches à forte valeur ajoutée et d’avoir accès à un vaste vivier de ressources — et d’idées — en cas de besoin. »
6. Évaluer l'accès des cadres dirigeants aux données sensibles
Et si le PDG quittait l'entreprise, ou le directeur financier, le directeur des systèmes d'information, le directeur marketing, le directeur des ressources humaines ou tout autre membre de la direction ? Ce sont ces personnes qui disposent souvent d'un accès privilégié aux données les plus sensibles de l'entreprise, y compris celles relatives à la cybersécurité.
Les responsables de la sécurité des systèmes d'information (RSSI) doivent s'assurer qu'aucune de ces données ne quitte l'entreprise avec ces cadres lorsqu'ils quittent leurs fonctions. Il s'agit d'un élément clé de l' de gestion des identités et des accès (IAM) d', qui permet de s'assurer que les responsables de la sécurité des systèmes d'information (RSSI) savent quels dirigeants disposent de quels niveaux d'accès et sur quels projets ils travaillent. Le fait d'acquérir ces connaissances pendant que ce cadre est encore en poste permet aux responsables de la sécurité de ne pas avoir à courir après le temps plus tard, lorsque cette personne quittera l'entreprise.
Cela fait peser une charge supplémentaire sur les épaules du RSSI : il doit faire valoir auprès du PDG ou du conseil d’administration la nécessité pour les responsables de la sécurité d’être informés des changements imminents au sein de la direction, afin qu’ils puissent mieux se préparer au moment du départ et prendre les mesures appropriées, telles que la mise en place de protocoles rigoureux de fin de mission.
