De CISO is de kanarie in de kolenmijn

De werkdruk in IT blijft onveranderd hoog. De resultaten van de nieuwste editie van ons Salary Survey zijn nog niet beschikbaar, maar uit het onderzoek van vorig jaar bleek dat 48% van de deelnemers de werkdruk te hoog vond. Specifiek onderzoek naar het werkplezier onder security­professionals werd dit voorjaar uitgevoerd door de internationale branchevereniging ISSA (Information Systems Security Association), met als opvallendste resultaat dat 68% het werk zwaarder vond dan twee jaar geleden.

Dat veroorzaakt stress, ook onder CISO’s. Slechts 2% heeft geen flauw idee waar dit artikel over gaat, de andere 98% van de securityprofessionals heeft volgens ISSA in meer of mindere mate te maken met werkstress. Dat komt door de toenemende complexiteit van cybersecurity en de groeiende werklast, de groeiende stroom aanvallen en de druk op het budget. AI neemt die werkdruk niet weg. Die lijkt alleen maar te groeien door de inzet van AI. Volgens ISSA wordt bij 83% van de organisaties AI ingezet om cybersecurity te versterken, of wordt daar naartoe gewerkt. Maar volgens de security­professionals wordt het werk daardoor alleen maar ingewikkelder: de dark side gebruikt ook AI voor cyberaanvallen, en extra budget wordt ingezet zonder strategie.

Als je dat leest, is het niet gek dat 69% van de CISO’s inmiddels serieus nadenkt over een andere baan, mogelijk zelfs een loopbaan buiten de IT, blijkt uit onderzoek van IANS Research en Artico Search. Sommigen worden consultant of adviseur, schrijft Evan Schuman in vakblad CSO. Anderen stappen over naar risicomanagement, audit of compliance, functies waar zeggenschap en verantwoordelijkheid beter in balans zijn.

Als een CISO vertrekt, is dat snel te merken in een organisatie. Projecten worden bevroren, strategische securityprogramma’s lopen vertraging op. En vertrek is besmettelijk: als de CISO vertrekt, frissen zijn naaste medewerkers ook hun cv op om de komende maanden ergens anders aan de slag te gaan.

In vakblad Dark Reading vergelijkt Dirk Schrader (CISO bij softwarebedrijf Netwrix) zichzelf en zijn vakgenoten met kanaries in de kolenmijn. “Gestresste CISO’s maken duidelijk dat de veerkracht van de organisatie onder druk staat, en bij de CISO’s is dat eerder voelbaar dan elders in de organisatie.” Niet gek, zegt hij, want de meeste bedrijven zijn volledig afhankelijk van informatie en informatietechnologie, en wie is verantwoordelijk voor de beveiliging daarvan? “Als die mensen het moeilijk krijgen, is dat een waarschuwingssignaal.”

Het probleem zit in de structuur van de organisaties, zeggen de experts. Zo zegt 71% van de securityprofessionals dat beslissingen over technologie worden genomen zonder dat iemand van security daar iets over te zeggen heeft. Het gevolg is volgens Schrader dat de CISO verantwoordelijkheid draagt voor iets waar anderen over beslissen. De werkstress en ontevredenheid van CISO’s komt dus niet voort uit het aantal securitydreigingen, maar uit de positie van security in organisaties. “Die kloof tussen verantwoordelijkheid en invloed slijt mensen af”, zegt Erik Avakian van Info-Tech Research Group tegen vakblad CSO Online.

Veel CISO's worden intern nog steeds gezien als ‘die van security’ en niet als volwaardige bestuurder. Sanchit Vir Gogia van Greyhound Research spreekt van een falend rolontwerp en maakt het concreet: wie verantwoordelijk is voor de risico's van leveranciers, zou vetorecht moeten hebben bij inkoop. “Als alles het probleem van de CISO is en niets binnen zijn controle ligt, is vertrekken de enige rationele keuze.”

Meer salaris lost het probleem niet op, blijkt uit de onderzoeken. Volgens ISSA noemt 39% van de securityprofessionals de betrokkenheid van de leiding als belangrijkste bron van werkplezier, nog vóór salaris en investeringen in technologie. Onderzoeksbureau IANS Research komt tot een vergelijkbare conclusie: van de securitymedewerkers die merken dat hun organisatie security als kernprioriteit ziet, is 73% tevreden met de loopbaan. Bij wie weinig steun ervaart, is dat slechts 19%. Schrader gaat nog een stap verder: een hoger salaris kan de druk zelfs vergroten, omdat de verwachtingen aan beide kanten meestijgen.

Wat moet er dan wel gebeuren? Volgens Avakian begint het bij zeggenschap die past bij de verantwoordelijkheid, en bij directe toegang tot de CEO en de raad van bestuur. Wie security pas inschakelt als de beslissing al is genomen, hoeft niet verbaasd te zijn als de CISO afhaakt. Ook Melinda Marks, hoofdonderzoeker bij Omdia, wijst naar de organisatie. “Training, inclusie en duidelijke loopbaanpaden zijn geen zachte extraatjes”, zegt ze. “Ze zorgen ervoor dat al het andere werkt.”

De boodschap aan bestuurders is daarmee helder: wie wacht tot de kanarie in de kolenmijn niet meer fluit, is te laat. Haal de CISO aan tafel, voordat die vertrekt en het team meeneemt.