Cybersécurité : quand la menace du burn-out se fait de plus en plus concrète

C’était il y a un an, le podcast No Limit Secu se penchait sur le stress au travail dans le petit monde de la cybersécurité, dans un épisode à l’intitulé explicite : « la cyber sécurité rend-elle maboule ? ». Plus récemment le chapitre français de l’Issa consacrait au sujet une édition de son rendez-vous #securityTuesday.

En février dernier, l’ancien RSSI de Publicis, Tom Langford, s’est fait remarquer par un témoignage largement partagé sur les réseaux sociaux et salué par ses pairs, tant pour sa transparence que pour les conseils associés. Il faut dire que Langford n’a pas fait dans la demi-mesure pour les faire profiter de son expérience : « 2017 a été une année très difficile pour moi. Durant cette année-là, j’ai bu quasiment chaque jour, jusqu’à l’excès. Je me levais le matin et continuais de travailler jusqu’à la fin de la journée, et je recommençais. Je n’étais pas alcoolique ; je n’avais pas besoin de boire 24h/24 et 7j/7, donc ça allait. J’ai aussi réussi à dépenser des milliers de mon argent personnel en soirées avec des amis et des collègues, m’endettant sérieusement. Mon anxiété, mon stress et ma dépression empiraient, mais j’étais en mesure d’y trouver moi-même un remède, donc, pas de problème ».

Jusqu’à un épisode qui l’a conduit à l’hôpital, à Rome, avant de passer quatre semaines en arrêt maladie. De quoi lui ouvrir les yeux et lui donner l’impulsion nécessaire à une réelle prise en compte de son bien-être psychologique.

« La seule définition du #stress est la suivante : l’état d’une personne qui a le sentiment (vrai ou pas) de ne plus avoir les ressources / moyens d’atteindre ce qu’on lui demande » #SecurityTuesday

— ISSA France Security Tuesday (@ISSA_France) March 26, 2019

Le phénomène n’est pas inconnu et apparaît pouvoir toucher à tous les niveaux de hiérarchie. Laurent Besset, chez I-Tracing, l’évoquait déjà dans nos colonnes à l’été 2016, au sujet des analystes de niveau 1 en centre opérationnel de sécurité (SOC).

Aujourd’hui, une étude réalisée par Symantec avec Chris Brauer, directeur de l’innovation au Goldsmiths College de l’université de Londres, apporte quelques chiffres éclairants sur la situation des spécialistes du domaine.

Dans le cadre de cette étude, 3045 RSSI et professionnels de la sécurité des systèmes d’information ont été interrogés, entre l’Allemagne, la France et le Royaume-Uni. Et le premier constat est pour le moins éloquent : 84 % des sondés dans l’Hexagone indiquent ressentir les effets du burn-out, et 66 % envisagent de quitter leur secteur d’activité.

L’étude donne en fait l’image de professionnels pris en tenailles entre, d’un côté, un environnement de plus en plus menaçant et de l’autre, des responsabilités accrues.

Ainsi, 88 % des sondés français évoquent quatre principales sources de stress : l’augmentation du nombre des menaces et des alertes à gérer au quotidien (88 %), le renforcement du contexte réglementaire (86 %), l’extension des surfaces d’exposition (86 %), et le manque de compétences (85 %). En outre, 47 % des professionnels sondés dans l’Hexagone s’inquiètent du risque d’être tenus personnellement responsables en cas de brèche, voire d’être licenciés (64 %) dans le cas d’un tel événement.

Pour autant, ils sont 90 % à appréhender la pression qu’ils ressentent comme une source de motivation, et même 93 % à apprécier leur environnement de travail, ou encore 57 % à trouver dans leur métier de quoi se sentir utiles. Mais pour combien de temps ?

Darren Thomson, CTO EMEA de Symantec, estime ainsi que « ce goût de la pression est nécessaire, car les enjeux des professionnels de la cybersécurité vont se renforcer à l’avenir ». Mais Chris Bauer prévient : « les professionnels soumis à un stress important sont bien plus susceptibles de perdre leur motivation et au final, de quitter leur poste. Compte tenu de la pénurie de ressources dans ce secteur, il s’agit d’un problème majeur », dont les entreprises seraient probablement bien avisées de se saisir au plus vite.