Black Hat USA 2022 : Le burnout, un enjeu de taille

Le débat sur les problèmes de ressources au sein du secteur de la cybersécurité n’est pas un phénomène nouveau ; selon Cybersecurity Ventures, le nombre de postes vacants en cybersécurité dans le monde a augmenté de 350 % entre 2013 et 2021, passant de 1 million à 3.5 millions. L'article détaille davantage ce chiffre, estimant qu'il y a 1 million de travailleurs en cybersécurité aux États-Unis et, en novembre 2021, environ 715,000 XNUMX postes supplémentaires non pourvus. Ces chiffres témoignent d’un problème de ressources ; ils racontent également l’histoire d’une industrie qui fonctionne actuellement avec environ les deux tiers des ressources dont elle a besoin.

Une présentation dans le calendrier Black Hat US 2022 par Stacy Rioux, Ph. D. Psychologie clinique et organisationnelle/d'entreprise a attiré mon attention –Essayer d'être tout pour tout le monde : parlons du burn-out. Face à une telle pénurie de talents dans le secteur de la cybersécurité, ceux qui sont en première ligne sont potentiellement sujets à l’épuisement professionnel. Mon hypothèse était que la présentation examinerait en profondeur le stress que subissent les équipes de cybersécurité à l'aide d'études de cas et d'exemples spécifiques, puis comment reconnaître l'existence du problème et les étapes qui peuvent aider à soulager la douleur dont souffre une personne. Malheureusement, la présentation était peu riche en exemples et était davantage une présentation sur la question de l'épuisement professionnel, plutôt que de l'identifier et de l'atténuer dans des contextes de cybersécurité.

Les signes d'épuisement professionnel sont extrêmement importants à repérer, et certains des signes révélateurs présentés incluent la fatigue, le cynisme, le manque de plaisir au travail et éventuellement la consommation excessive d'alcool ou de nourriture, pas nécessairement au point de créer une dépendance, mais comme mesure de confort. Deux – peut-être trois – des quatre sont probablement identifiables chez presque tous les participants à Black Hat : la fatigue due à la culture de la fête à Vegas, la consommation excessive d'alcool, c'est Vegas, et enfin, le cynisme, semble être une exigence du travail dans l'industrie de la cybersécurité – nous sont conditionnés à ne rien faire confiance et tout vérifier.

Plus sérieusement, il s’agit d’un problème extrêmement important, que toutes les entreprises, grandes et petites, doivent connaître et aborder. La définition de l'épuisement professionnel présentée par Stacy est la suivante : « L'épuisement professionnel est cliniquement défini comme un syndrome psychologique qui survient en raison de facteurs de stress émotionnels et interpersonnels chroniques au travail », le terme « interpersonnel » étant expliqué comme « lié aux relations ou à la communication entre les personnes ».

Les identifiants de burn-out abordés dans la présentation et qui concernent spécifiquement la cybersécurité étaient :

• Niveaux élevés de charge de travail mental
• Anticipation des cyberattaques
• Pénurie de personnel et augmentation de la charge de travail
• Des difficultés pour trouver sa place au sein d'une organisation
• Le travail n’est souvent pas apprécié dans l’organisation

Il existe des stratégies qui peuvent aider à faire face à l’épuisement professionnel, et je recommande de prendre le temps de les rechercher pour mieux les comprendre. Un service des ressources humaines ou un professionnel compétent doit être en mesure de mettre les employés sur la bonne voie ou de fournir des lectures solides sur le sujet.

Le problème, à mon avis, est dû à la combinaison du manque de personnes expérimentées et talentueuses, de la transformation numérique accélérée à laquelle nous avons assisté au cours des deux dernières années et du barrage incessant de cyberattaques auxquelles les équipes de cybersécurité doivent faire face. La fin de cette pénurie est en vue ; si seulement c'était vrai! De nombreuses entreprises exigent que les candidats soient titulaires d'un diplôme et détiennent un diplôme en cybersécurité reconnu par l'industrie. qualification telle que CISSP et avoir 3 à 5 ans d'expérience. Ces exigences sont potentiellement, au moins en partie, responsables des postes non pourvus en matière de cybersécurité.

Les employeurs doivent abaisser leurs exigences en matière de diplômes ou de formation pour les emplois en cybersécurité et recruter certains des moins expérimentés mais intéressés et enthousiastes sur le lieu de travail pour qu'ils acquièrent cette expérience et deviennent les experts nécessaires pour se défendre contre les attaques du futur. Il est également impératif, à mon avis, que la cybersécurité soit intégrée à toutes les matières du programme scolaire du système éducatif, au lycée ou plus jeune. Nous parlons de la nécessité de prendre en compte la cybersécurité dans toutes les parties de la conception d’un produit, dans chaque partie d’un processus commercial, etc., elle fait donc probablement partie de tous les sujets enseignés en classe. Même les leçons sur les talents créatifs tels que l'art gagneraient à fournir une compréhension de comment sécuriser un NFT: il y a très peu de sujets qui ne bénéficieraient pas d’une compréhension et d’une appréciation de la cybersécurité.

Normaliser la cybersécurité de cette manière permettrait, espérons-le, d’éviter la pénurie de talents de demain et, surtout, l’épuisement professionnel de ceux qui choisissent une carrière dans la cybersécurité.