Burnout bei Sicherheitsteams ist ein sehr reales und sehr kostspieliges Problem. Ich habe dies in meinen Teams und manchmal auch bei mir selbst beobachtet. Mit einer Geschwindigkeit von einer Million Meilen pro Stunde voranschreiten, zwischen Dutzenden von Projekten hin- und herwechseln, eine Krise nach der anderen bewältigen. Manchmal stößt man einfach an seine Grenzen.
Sicherheitsexperten sind vergleichbar mit dem niederländischen Jungen, der seinen Finger in den Deich steckte. Gerade heute ist dieser Deich mit Tausenden von Löchern übersät. Eine Umfrage von „ “ ( ) kam zu dem Ergebnis, dass ein durchschnittliches Unternehmen täglich mehr als 10 000 Sicherheitswarnungen erhält, wobei fast 30 % der Unternehmen angaben, mehr als 1 Million Warnungen zu verzeichnen. Es stellt sich eine Alarmmüdigkeit ein. Burnout nimmt zu.
Oftmals glaubt man, dass eine Auszeit das Problem lösen wird. Wenn es ihnen jedoch gelingt, Urlaub zu machen, kehren sie zwar vielleicht für einen Tag erholt zurück, doch oft tritt das Burnout wieder auf.
Anstelle dieses sich ständig wiederholenden Zyklus hat unser Sicherheitsteam eine bessere Lösung für das Problem gefunden, die auf einem zeitlosen japanischen Arbeitsablaufsystem namens „Kanban“ basiert.
Eine Lösung erarbeiten
Sicherheitsexperten haben naturgemäß einen stressigen Beruf, da sie mit ausgeklügelten Bedrohungen aus allen Richtungen konfrontiert sind und schwerwiegende Sicherheitsmängel eine Organisation lahmlegen können. Im Vergleich z , dem durchschnittlichen amerikanischen Arbeitnehmer, zeichnen sich Sicherheitsfachkräfte durch folgende Merkmale aus:
- Die Wahrscheinlichkeit, von einer schlechten Vereinbarkeit von Beruf und Privatleben zu berichten, ist mehr als doppelt so hoch.
- Die Wahrscheinlichkeit, nicht den gesamten Urlaub in Anspruch zu nehmen, ist mehr als dreimal so hoch.
- Die Wahrscheinlichkeit, sich Sorgen um die Arbeitsplatzsicherheit zu machen, ist mehr als fünfmal so hoch.
Ähnlicher Stress macht sich auch im Sicherheitsmanagement und in Führungspositionen bemerkbar, wo die Arbeitsplatzsicherheit prekär ist. Die durchschnittliche Amtszeit eines Chief Information Security Officers beträgt 18 bis 24 Monate – und ist damit deutlich kürzer als die durchschnittliche Amtszeit eines CEO von fast neun Jahren.
„. Die Art und Weise, wie Menschen arbeiten, spielt naturgemäß eine entscheidende, grundlegende Rolle für Stress und Burnout bei Sicherheitspersonal.“
Die übliche Reaktion auf diese Herausforderungen besteht darin, Personal einzustellen und Technologien einzusetzen, darunter intelligente Automatisierungssysteme , um die Arbeitsbelastung zu verringern und zeitaufwändige, sich wiederholende Aufgaben zu reduzieren. Beides ist wichtig. Doch allzu oft halten Unternehmen diese für ein Wundermittel.
Meiner Ansicht nach ignorieren diese Ansätze auf eigene Gefahr die Bedeutung von Arbeitsabläufen – dem dritten Pfeiler der „Triade aus Menschen, Technologie und Prozessen“. Die Art und Weise, wie Menschen arbeiten, spielt naturgemäß eine entscheidende, grundlegende Rolle für den Stress und das Burnout von Sicherheitspersonal.
Bei Tanium wurden wir für unsere Bemühungen bei der Umsetzung des „ “-Kanban- mit dem „ CSO50 Innovation Award“ ausgezeichnet. Dabei handelt es sich um einen agilen Arbeitsablauf, den Toyota zur Unterstützung der „Just-in-Time“-Fertigung entwickelt hat und der mittlerweile auch in der Softwareentwicklung zum Einsatz kommt. Eine zentrale Erkenntnis des Kanban-Ansatzes ist, dass Multitasking auf dem Papier gut aussieht, in der Praxis jedoch selten zum Erfolg führt. Wenn in einem Arbeitsablauf alles gleich wichtig ist, ist nichts wichtig.
Der „Just-in-Time“-Ansatz ist im Gegensatz zu anderen agilen Methoden wie Scrum sehr eng mit dem Arbeitsaufkommen im Bereich der Cybersicherheit verknüpft und ermöglicht es uns, unsere Aufgaben kontinuierlich zu priorisieren und neu zu priorisieren, da sich die Gegebenheiten täglich oder sogar stündlich ändern.
„“ Durch die Sichtbarmachung der Arbeit erhält die Geschäftsleitung zudem Einblick in die Arbeitsbelastung des Teams und die Anforderungen, denen es ausgesetzt ist.“
Entscheidend für die Kanban-Methode ist die Visualisierung des Arbeitsablaufs eines Teams. Auf diese Weise kann jeder die Prioritäten des Teams erkennen und sehen, woran die anderen Teammitglieder gerade arbeiten. Wir haben festgestellt, dass mehr Transparenz zu einer besseren Teamarbeit führt, da die Menschen eine Herausforderung erkennen und gemeinsam angehen. Wenn das Team ein gemeinsames Ziel erreicht, ist dies ein Erfolg nicht nur für einen Einzelnen, sondern für alle. Dadurch können wir uns aufeinander verlassen und die Mentalität „Ein Team – ein Kampf“ verkörpern.
[Lesen Sie auch: Tanium-Mitarbeiter bewirken mit „Impact“ etwas]
Durch die Sichtbarmachung der Arbeit erhält die Geschäftsleitung zudem Einblick in die Arbeitsbelastung des Teams und die Anforderungen, die an es gestellt werden. Fehlerhafte Arbeitsabläufe treten schnell zutage. Wir können diese Probleme dann beheben, indem wir die Erwartungen der Beteiligten besser abstimmen oder die Teammitglieder in neuen Kompetenzen schulen. Indem wir unser Team in die Lage versetzen, neue Herausforderungen anzunehmen, können wir Qualifikationslücken schließen, Entwicklungsmöglichkeiten schaffen und unsere Fähigkeit verbessern, mit der Nachfrage Schritt zu halten.
Verfolgung unserer Kennzahlen
Wir begannen damit, Kennzahlen zu erfassen: die Zeit, die zur Erledigung einer Aufgabe benötigt wird (Zykluszeit), die Rate, mit der neue Aufgaben beim Team eingehen (Ankunftsrate), und die Rate, mit der unser Team die Arbeit abarbeitet (Durchsatzrate). Wenn beispielsweise die Ankunftsrate die Durchsatzrate überstieg, erhielten wir ein datengestütztes Signal dafür, dass entweder unsere Prozesse und Werkzeuge einer weiteren Optimierung bedurften oder dass wir mehr Mitarbeiter für ein Projekt benötigten.
Letztendlich stellten wir fest, dass dieses Workflow-System die Leistung unserer Sicherheitsanalysten verbesserte. Indem wir unsere Arbeit an einem Ort visualisierten, stellten wir schnell fest, dass unser Team an zu vielen Aufgaben gleichzeitig arbeitete, um der gestiegenen Nachfrage gerecht zu werden. Anstatt mehr Mitarbeiter einzustellen oder neue Technologie anzuschaffen, haben wir mithilfe von Kanban Obergrenzen für die Anzahl der gleichzeitig in Bearbeitung befindlichen Aufgaben (WIP) festgelegt, die jeder übernehmen durfte.
„Wir haben die durch ständigen Aufgabenwechsel verursachten Ineffizienzen reduziert und konnten beobachten, wie sich unsere Durchlaufzeit von 15 Tagen auf sechs Tage verkürzte.“
Das klingt widersinnig. Durch die Reduzierung der laufenden Aufgaben konnten wir jedoch die durch ständigen Aufgabenwechsel verursachten Ineffizienzen verringern, und unsere Durchlaufzeit verkürzte sich von 15 Tagen auf sechs Tage. Mit anderen Worten: Wir könnten nun zweieinhalb Aufgaben in der Zeit erledigen, die wir früher für nur eine Aufgabe benötigt haben. Zudem sank unsere Fehlerquote – also die Häufigkeit, mit der wir einen Fehler oder ein suboptimales Ergebnis erzeugten – im Durchschnitt um mehr als die Hälfte.
Den Burnout-Kreislauf durchbrechen
Burnout ist ein tief verwurzeltes, systemisches Problem unter Fachkräften im Bereich der Cybersicherheit. Dadurch entsteht ein sich wiederholender Kreislauf aus Neueinstellung, Ressourcenverbrauchs und Austritt.
Nichts schmerzt mehr, als ein Teammitglied aufgrund eines Burnouts zu verlieren. Wenn sich ein Teammitglied ausgebrannt fühlt, ist die Wahrscheinlichkeit groß, dass es anderen ebenfalls so geht. Und wenn eine Person das Unternehmen verlässt, verschlimmert sich das Problem nur noch weiter. Alle anderen müssen die Lücke füllen, was zu noch mehr Burnout führt.
Doch das muss nicht unbedingt so sein.
Durch die Einführung von Kanban haben wir unsere Work-Life-Balance verbessert. Vorbei waren die mühsamen und stressigen Aufgabenwechsel und die individuellen Arbeitsrückstände; an ihre Stelle traten gemeinsame Anstrengungen und schnellere Bearbeitungszeiten. Da wir die Aufgaben schneller erledigten, hatte jedes Teammitglied das Gefühl, dass es sich die notwendigen längeren Pausen gönnen konnte, ohne seine Kollegen im Stich zu lassen.
Um die Burnout-Epidemie direkt anzugehen, ist ein Wandel unserer Kultur erforderlich. Als Führungskräfte im Bereich Cybersicherheit müssen wir unseren Teams vermitteln, dass es in Ordnung ist, an seine Grenzen zu stoßen. Natürlich wird es in unserem Beruf immer erforderlich sein, an diese Grenze zu gehen und sie manchmal sogar zu überschreiten. Wenn wir jedoch unsere Effizienz optimieren, können wir sicherstellen, dass unsere Teams nicht zu lange unter zu hoher Belastung stehen.
Wir werden das Burnout-Problem niemals vollständig lösen können. Doch wir können gemeinsam die Verantwortung dafür übernehmen, neue Wege zu finden, damit umzugehen. Führungskräfte im Sicherheitsbereich sollten agile Arbeitsablaufmethoden wie Kanban ausprobieren.
