Les professionnels de la sécurité comptent sur des groupes de pairs et une communication ouverte pour obtenir de l’aide contre le stress

Pour les professionnels de la sécurité, le stress vient avec le territoire.

Mais il est difficile de nier que le dernier an et demi a peut-être été la période la plus stressante et la plus difficile de l’histoire de la cybersécurité. Le COVID-19 a menacé des vies, des moyens de subsistance et la sécurité des entreprises alors que les employés migraient en masse vers un modèle de travail à domicile. L’attaque de la chaîne d’approvisionnement SolarWinds, l’escalade des incidents de ransomware et les exploits ProxyLogon Microsoft Exchange ne font qu’aggraver les choses.

Ce barrage ininterrompu de crises sécuritaires a rendu certains dirigeants et praticiens de l’infoec plus conscients que jamais de l’impact du travail sur la santé mentale et de l’importance de se protéger contre le stress, l’épuisement et l’épuisement professionnel. Mais comment ont-ils géré? Où peuvent-ils se tourner – en interne et en externe, de manière formelle et informelle – pour partager leurs peurs et leurs frustrations, et trouver du soutien et des conseils en ces temps difficiles?

Pour répondre à ces questions, SC Media a recueilli une série d’anecdotes et de réflexions auprès d’une sélection de responsables de la sécurité sur les ressources qu’ils utilisent pour faire face et communiquer sur l’énorme pression qui accompagne souvent le travail.

Groupes de pairs externes

Benjamin Corll, vice-président de la cybersécurité et de la protection des données chez le fabricant de fils britannique Coats Group, a déclaré que la seule année qui rivalisait avec 2020-21 en termes de stress était 2001 – l’année où les vers informatiques Nimda, Blaster et Code Red provoquaient la destruction de plusieurs organisations.

Et bien que la famille et les amis proches soient prêts à prêter une oreille attentive, ils «ne comprennent tout simplement nulle part ailleurs dans le monde dans lequel je vis professionnellement», a expliqué Corll, membre de la communauté des membres CISO Cybersecurity Collaborative. Et c’est pourquoi il est si important de pouvoir communiquer avec des personnes qui comprennent vraiment le point de vue d’un initié infoec.

Travaillant en Caroline du Nord, Corll reçoit le soutien et l’empathie de ses pairs à travers deux groupes de collaboration de l’industrie – l’un étant le Cybersecurity Collaborative susmentionné, qui appartient à la société mère de SC Media CyberRisk Alliance, et l’autre ClubCISO, un forum de membres privés situé à L’Europe . «Ils comprennent les implications des choses que je dis», dit-il.

Ces groupes organiseront des réunions virtuelles à huis clos, où les collaborateurs partageront leurs histoires de guerre autour d’une bière ou deux. Bien que vous soyez peut-être toujours coincé dans le «même siège que celui où vous étiez depuis 12 heures», au moins vous savez «Je ne suis pas seul. Je ne suis pas le seul à vivre cela », a déclaré Corll.

Corll a déclaré qu’il interagissait étroitement avec une vingtaine d’autres RSSI par le biais du groupe basé aux États-Unis. «Nous nous connaissons assez bien pour dire: ‘Ouais, tu dis que tu vas bien, mais je le vois dans tes yeux. Comment vas-tu vraiment? », A-t-il dit. Et ces discussions ne se limitent pas toujours aux problèmes de travail; ils peuvent devenir profondément personnels. Parce que «je sais que cela s’infiltre également dans votre vie de famille», a-t-il déclaré.

Corll a rappelé un appel téléphonique l’été dernier au cours duquel il avait fait part à un collègue de la sécurité du fait que son budget se tarissait et qu’il avait également du mal à retenir les entrepreneurs. La réponse rassurante de son collègue: «Nous sommes tous dans le même bateau. Nous allons y arriver. Si vous devez appeler, appelez. Si vous avez besoin de ventiler, de ventiler… Si vous avez besoin de moi pour commander une bouteille de vin et la faire livrer ou une caisse de bière, je la ferai livrer… Nous allons en parler.

Parallèlement, le groupe de pairs européen Corll s’abonne à de grandes réunions trimestrielles réunissant tous les vice-présidents et RSSI. «C’est un environnement sûr. De nombreux échanges d’idées ont lieu tout au long de l’année », a déclaré Corll. Il y a quelques mois, par exemple, le groupe s’est penché sur les projets les plus difficiles à affronter pour l’année à venir et les plus grands obstacles à surmonter. Les participants offriraient ensuite des exemples de la façon dont ils géraient auparavant ces mêmes problèmes.

John Germain, vice-président et RSSI de la société de logiciels d’assurance IARD Duck Creek Technologies, est membre de Corll’s Cybersecurity Collaborative et est également abonné au service de réseautage de cybersécurité et d’engagement des pairs Evanta, une société de Gartner.

Mais vous n’êtes pas obligé d’être membre d’un groupe formel. Seul le processus de mise en réseau au sein de votre industrie peut aider à tisser des liens avec des pairs qui pourront plus tard apporter leur soutien dans les moments difficiles.

Germain a déclaré que la communauté de la sécurité dans les grandes régions métropolitaines comme la région de Chicago, où il opère, est un groupe assez soudé. «Tout le monde se connaît. Et donc ils ont différents véhicules où vous pouvez non seulement collaborer, mais aussi vous évader – un peu comme une approche de type babillard où vous allez en ligne et vous dites simplement: “Hé, est-ce que quelqu’un d’autre s’occupe de ça?” quelques conseils, expliqua-t-il.

La clé, a-t-il dit, est d’établir un niveau de confiance et de partage entre les membres de la communauté. «Si vous avez une communauté en qui vous avez confiance et sur laquelle vous pouvez compter pour être confidentielle et fournir de bons conseils, c’est formidable», a déclaré Germain. «Et j’espère que je suis l’une de ces personnes pour les autres, et j’espère aussi que je pourrai compter sur d’autres personnes pour être là pour moi.

Support interne au sein de votre entreprise

Il est important d’avoir des groupes de pairs que vous pouvez consulter en dehors de votre lieu de travail, car parfois la source de votre stress peut être votre patron ou les politiques de votre organisation. Et ce n’est pas nécessairement quelque chose que vous pouvez partager librement en interne avec des collègues de bureau ou des superviseurs.

Cependant, il est toujours très important que les dirigeants de votre propre organisation puissent reconnaître le stress et l’épuisement professionnel lorsqu’ils surviennent, et donner aux employés de l’Infoec des canaux internes où ils communiquent leurs difficultés sans jugement.

«En tant que professionnels de la sécurité, nous sommes habitués à gérer les crises, et c’est peut-être pour cela que nous sommes vraiment bons dans ce domaine. On s’attend à ce que nous devenions les plus forts », a déclaré Florence Mottay, vice-présidente principale, sécurité de l’information et RSSI mondiale chez le géant néerlandais de la vente au détail Ahold Delhaize, lors d’une récente session liminaire lors de la conférence RSA virtuelle 2021. «Mais la crise du COVID-19 était très différente en ce qu’elle nous a également tous touchés personnellement. Très vite, j’ai réalisé que tout le monde dans l’équipe essayait de se montrer courageux et d’agir comme s’ils avaient tout sous contrôle… Le fait est que nous luttions tous.

Reconnaissant cela, Mottay a organisé un événement interne avec son équipe moins de deux semaines après l’entrée en vigueur du verrouillage du coronavirus 2020.

«J’ai partagé que, pour moi, il avait été difficile de combiner le travail et d’aider mes filles avec l’apprentissage à distance, que je m’inquiétais pour ma famille, pour ma grand-mère», a déclaré Mottay. Elle a également lancé un concept qu’elle a appelé la «dose quotidienne de vitamines».

«Chaque chef d’équipe, chaque matin, a tenu une réunion de 30 minutes pour parler de ce que les gens ressentaient… Juste nos luttes, nos peurs, ou là où nous avions besoin d’aide», a poursuivi Mottay. Et j’ai vraiment encouragé toute l’équipe à partager tout ce avec quoi ils se sentaient à l’aise », ainsi que« ce que les autres pourraient faire pour eux », tout en instaurant un sentiment de confiance. «Et cela a vraiment aidé. Cela a très bien fonctionné.

Germain, quant à lui, qui dirige une équipe de 14 professionnels de la sécurité dans une entreprise d’environ 1500 employés, a déclaré que Duck Creek a formé un comité COVID dans le but d’aider l’entreprise à traverser la pandémie et à développer un modèle de main-d’œuvre à distance sécurisé.

«L’entreprise… a reconnu l’importance de gérer des situations qui peuvent être hors de notre contrôle», a déclaré Germain. «Nous devons toujours nous assurer que nos employés sont pris en charge et qu’ils ont la possibilité de prendre soin d’eux-mêmes.»

L’Inde est actuellement un sujet de préoccupation particulier, qui abrite environ 500 employés de Duck Creek, où le nombre de décès par coronavirus a récemment grimpé en flèche. «Ce qui se passe là-bas en ce moment, c’est terrifiant», a déclaré Germain. «Notre PDG a donc mis en place un programme sur la manière d’aider nos collègues en Inde, que ce soit par le biais de dons, que ce soit par le biais de groupes de soutien ou simplement en s’assurant qu’ils ont toutes les chances de se faire vacciner.»

La société propose également des programmes tels que des cours de yoga en ligne pour soulager le stress et encourage les employés à prendre du temps s’ils en ont besoin. Et Germain s’assure que ce message s’étend à son équipe. «Même si vous ne pouvez aller nulle part, débranchez-le pendant un moment et évadez-vous… pour faire face au stress», a-t-il déclaré. «Et puis, si vous avez des problèmes, s’il y a des problèmes urgents avec vous-même ou votre famille, nous comprenons que vous ne pourrez peut-être pas faire votre travail et donc ce n’est pas grave. Ne vous sentez pas coupable. Nous allons gérer, nous allons le découvrir. Prends juste soin de toi.”

Duck Creek gère également divers groupes de ressources, y compris des groupes spécialisés pour les femmes et les Afro-Américains, pour se concentrer sur les défis spécifiques à certaines communautés de travailleurs. «J’ai rejoint tous ceux-ci non seulement en tant que leader, mais en tant que participant afin de pouvoir donner mon point de vue sur ce qui se passe et soutenir d’autres personnes en difficulté.»

Parfois, les responsables de la sécurité doivent prendre la défense de leurs employés. Selon Corll, les gestionnaires et les organisations des ressources humaines d’une grande variété d’entreprises sont susceptibles de récompenser les réponses à un incident majeur qui nécessite des heures supplémentaires, mais sont moins susceptibles de reconnaître systématiquement les facteurs de stress uniques auxquels les travailleurs de l’informatique et de l’infosec doivent faire face au quotidien. base.

Pour cette raison, Corll fait tout son possible pour que son équipe ait besoin de temps supplémentaire après des projets laborieux qui ne font pas nécessairement la une des journaux internes.

Suite à COVID, les équipes RH se mobilisent davantage, estime Corll. Mais en général, «nous devons nous assurer que les gens restent engagés… et que les gens ont un mécanisme d’adaptation.»

Par exemple, chez Coats, les membres de l’équipe de direction organisent maintenant des ateliers dans lesquels l’un des messages clés est «Il n’y a rien de mal à lever la main et à dire:« J’ai besoin d’un jour de congé ». C’est normal de dire que je suis trop stressé, j’ai besoin d’une pause. Et c’est normal de prendre vos jours de vacances. “