El agotamiento entre los equipos de seguridad es un problema muy real y muy costoso. Lo he observado en mis equipos y, en ocasiones, en mí mismo. Avanzando a un millón de millas por hora, pasando de un proyecto a otro entre docenas de ellos, apagando un problema tras otro. A veces, simplemente uno se encuentra con un obstáculo.
Los profesionales de la seguridad son el equivalente al niño holandés que puso el dedo en el dique. Precisamente hoy, ese dique está plagado de miles de agujeros. Una encuesta de concluyó que una empresa media recibe más de 10,000 alertas de seguridad al día, y que casi el 30 % de ellas registran más de un millón de alertas. Se produce una fatiga ante las alertas. Aumenta el agotamiento.
A menudo se piensa que tomarse un descanso resolverá el problema. Sin embargo, cuando consiguen tomarse unas vacaciones, es posible que regresen con las pilas recargadas durante un día, pero el agotamiento suele reaparecer.
En lugar de este ciclo repetitivo, nuestro equipo de seguridad ha encontrado una solución mejor al problema, basada en un sistema de flujo de trabajo japonés atemporal conocido como «kanban».
Elaboración de una solución
Por definición, los profesionales de la seguridad tienen trabajos estresantes, con amenazas sofisticadas que surgen de todas partes y fallos graves de seguridad capaces de paralizar una organización. En comparación con el trabajador medio estadounidense, los profesionales de la seguridad:
- Tienen más del doble de probabilidades de declarar un desequilibrio entre la vida laboral y la personal.
- Tienen más del triple de probabilidades de no disfrutar de unas vacaciones completas.
- Tienen más de cinco veces más probabilidades de preocuparse por la seguridad laboral.
Esta tensión se extiende también a la gestión de la seguridad y al liderazgo, ámbitos en los que la seguridad laboral es precaria. La permanencia media en el cargo de un director de seguridad de la información es de entre 18 y 24 meses, un periodo mucho más corto que la permanencia media de casi nueve años de un director general.
«. La forma natural en que trabajan las personas desempeña un papel fundamental y subyacente en el estrés y el agotamiento del personal de seguridad.»
La respuesta habitual a estos retos consiste en contratar personal e incorporar tecnologías, entre ellas sistemas de automatización inteligente , con el fin de reducir la carga de trabajo y las tareas repetitivas que requieren mucho tiempo. Ambas cosas son importantes. Sin embargo, las empresas suelen pensar, con demasiada frecuencia, que se trata de una solución milagrosa.
Considero que estos enfoques pasan por alto, por su cuenta y riesgo, la importancia de los procesos en el lugar de trabajo, el tercer pilar de la «tríada de personas, tecnología y procesos». La forma en que las personas trabajan, de manera natural, desempeña un papel fundamental y subyacente en el estrés y el agotamiento del personal de seguridad.
En Tanium, hemos recibido el premio « CSO50 Innovation Award» por nuestros esfuerzos en la implementación de un kanb , un proceso de flujo de trabajo ágil creado por Toyota para respaldar la fabricación «justo a tiempo» y que actualmente se utiliza en el desarrollo de software. Una idea fundamental del método Kanban es que la multitarea parece una buena idea sobre el papel, pero rara vez da buenos resultados en la práctica. Si todo lo que forma parte de un proceso de flujo de trabajo tiene la misma importancia, nada es importante.
El enfoque «justo a tiempo» está estrechamente vinculado a la carga de trabajo que se da en el ámbito de la ciberseguridad, a diferencia de otros métodos ágiles como Scrum, y nos permite seguir priorizando y reajustando las prioridades de nuestras tareas a medida que la situación cambia a diario, o incluso cada hora.
«. Hacer visible el trabajo también permite a la dirección conocer mejor la carga de trabajo del equipo y las exigencias a las que está sometido.»
Un aspecto fundamental del método Kanban es la visualización del flujo de trabajo de un equipo. De ese modo, todos pueden ver cuáles son las prioridades del equipo y en qué están trabajando el resto de miembros del equipo. Hemos constatado que una mayor transparencia fomenta un mayor espíritu de equipo, ya que las personas perciben y comparten un reto. Cuando el equipo logra un objetivo común, es una victoria no solo para uno, sino para todos. Nos permite confiar los unos en los otros y poner en práctica una mentalidad de «un equipo, una lucha».
[Lea también: Los empleados de Tanium dejan huella con Impact]
Hacer visible el trabajo también permite a la dirección hacerse una idea de la carga de trabajo del equipo y de las exigencias a las que se ve sometido. Enseguida se detectan patrones de flujo de trabajo defectuosos. A continuación, podemos subsanarlas estableciendo unas expectativas más adecuadas para las partes interesadas o impartiendo formación transversal a los miembros del equipo en nuevas competencias. Al capacitar a nuestro equipo para que afronte nuevos retos, podemos subsanar las carencias de competencias, ofrecer oportunidades de crecimiento y mejorar nuestra capacidad para satisfacer la demanda.
Seguimiento de nuestras métricas
Comenzamos a realizar un seguimiento de las métricas: el tiempo que se tarda en completar una tarea (frecuencia de ciclo), la frecuencia con la que llegan nuevas tareas al equipo (frecuencia de llegada) y la frecuencia con la que nuestro equipo finaliza el trabajo (frecuencia de producción). Por ejemplo, cuando la tasa de llegada superaba la tasa de producción, disponíamos de una señal basada en datos que indicaba que, o bien nuestros procesos y herramientas requerían una mayor optimización, o bien necesitábamos más personal en un proyecto.
Al final, constatamos que este sistema de flujo de trabajo mejoró el rendimiento de nuestros analistas de seguridad. Al visualizar nuestro trabajo en un único lugar, nos dimos cuenta rápidamente de que nuestro equipo estaba trabajando en demasiadas tareas a la vez, en un intento por satisfacer el aumento de la demanda. En lugar de contratar a más personal o adquirir nueva tecnología, utilizamos el método Kanban para establecer límites al número de tareas en curso (WIP) que cada persona podía asumir simultáneamente.
«. Hemos reducido las ineficiencias provocadas por el cambio constante de tareas y hemos visto cómo nuestro tiempo de ciclo se ha reducido de 15 días a seis días.»
Eso parece contrario a lo que dicta el sentido común. Sin embargo, al reducir las tareas en curso, logramos disminuir las ineficiencias provocadas por el cambio constante de tareas y observamos cómo nuestro tiempo de ciclo se reducía de 15 días a seis días. En otras palabras, ahora podríamos realizar dos tareas y media en el tiempo que antes nos llevaba realizar solo una. Además, nuestra tasa de defectos —es decir, la frecuencia con la que se producía un error o un resultado no óptimo— se redujo, de media, en más de la mitad.
Romper el ciclo del agotamiento
El agotamiento es un problema sistémico y profundamente arraigado entre los profesionales de la ciberseguridad. Esto genera un ciclo repetitivo de incorporación, agotamiento de recursos y salida.
No hay nada más doloroso que perder a un miembro del equipo debido al agotamiento. Si un miembro del equipo se siente agotado, lo más probable es que los demás también lo estén. Y cuando una persona se marcha, el problema no hace más que agravarse. El resto tiene que asumir la carga de trabajo adicional, lo que provoca un mayor agotamiento.
Pero las cosas no tienen por qué ser así.
Al adoptar el método Kanban, hemos mejorado nuestro equilibrio entre la vida laboral y la personal. Atrás quedaron los cambios de tarea, que resultaban pesados y estresantes, y los retrasos individuales, sustituidos por un esfuerzo conjunto y unos ritmos de finalización más rápidos. Dado que terminábamos las tareas más rápidamente, cada miembro del equipo sentía que podía tomarse los descansos prolongados que necesitara sin defraudar a sus compañeros.
Para hacer frente de lleno a la epidemia del agotamiento profesional es necesario cambiar nuestra cultura. Como responsables de ciberseguridad, debemos hacer saber a nuestros equipos que es normal tener un límite de capacidad. Por supuesto, nuestros trabajos siempre nos exigirán que nos esforcemos al máximo e incluso que, en ocasiones, superemos ese límite. Sin embargo, si optimizamos nuestra eficiencia, podremos asegurarnos de que nuestros equipos no trabajen a un ritmo demasiado intenso durante demasiado tiempo.
Nunca vamos a resolver por completo el problema del agotamiento. Pero podemos asumir nuestra responsabilidad colectiva a la hora de encontrar nuevas formas de abordarlo. Los responsables del ámbito de la seguridad deben probar metodologías de flujo de trabajo ágiles, como el kanban.
