L'épuisement des CISO est un problème opérationnel, pas salarial

Les CISO s’épuisent parce que la charge opérationnelle n’a aucune limite alors que les moyens stagnent, et non parce que les salaires seraient trop bas. Quatre facteurs vérifiés : les budgets de sécurité n’ont progressé que de 4 % en 2025, la plus faible hausse depuis cinq ans, et seuls 11 % des CISO jugent leurs équipes correctement dotées en personnel ; 46 % des responsables sécurité passent plus de temps à entretenir leurs outils qu’à défendre leur organisation ; 52 % des CISO estiment que leur périmètre n’est plus entièrement gérable ; et l’épuisement touche 63 % des effectifs dans les organisations dépourvues d’une visibilité complète, contre 44 % là où elle existe. La rémunération est un préalable. La discipline opérationnelle, elle, fait la différence.

Ces deux derniers chiffres résument tout l’argument. Deux organisations, mêmes menaces, mêmes grilles de salaires, 19 points d’écart sur l’épuisement selon que le travail est visible ou non. Aucun budget salarial ne comble cet écart. De l’outillage, oui.

Les chiffres de la fidélisation ne collent pas avec ceux des salaires

Les rémunérations en sécurité sont bonnes et continuent de progresser, et les gens partent quand même. Cette contradiction est le point de départ de toute réflexion utile sur la fidélisation.

IANS Research et Artico Search ont interrogé plus de 500 professionnels de la sécurité pour leur 2026 Cybersecurity Talent Report, publié en avril 2026. Résultat principal : seuls 34 % comptent rester chez leur employeur actuel.

La même étude situe la rémunération médiane d’un analyste sécurité à 113 000 $, celle d’un architecte sécurité autour de 188 000 $ et celle d’un responsable sécurité fonctionnel à 256 000 $, les grands groupes payant de 18 à 20 % au-dessus de la moyenne (données IANS/Artico reprises par Security Boulevard, le rapport d’origine étant payant). Deux tiers d’une profession bien payée regardent vers la sortie.

Quand de hauts salaires et une faible fidélisation coexistent dans la même population, le problème n’est pas salarial.

Ce que les enquêtes sur l’épuisement ont réellement mesuré

Les chiffres de l’épuisement sont presque toujours cités comme une fourchette unique. À tort. Quatre enquêtes menées entre 2025 et 2026 ont interrogé quatre populations différentes avec quatre formulations différentes ; les agréger en « 63 à 76 % des CISO sont en épuisement professionnel » est le moyen le plus sûr de voir une note sur la fidélisation retoquée dès la première vérification.

Lisez les nuances. Les 63 % de Proofpoint incluent ceux qui ont seulement observé l’épuisement chez d’autres. Sophos a interrogé une population informatique bien plus vaste et a compté les « occasionnellement ». Le chiffre de Splunk porte sur les équipes, rapporté de seconde main par leurs responsables. Bitsight a interrogé le même niveau hiérarchique que Proofpoint et obtient 47 %.

Résumé honnête : l’épuisement des responsables sécurité se situe quelque part entre « la moitié » et « la plupart », et le chiffre exact dépend entièrement de qui l’on compte. De quoi agir, oui. De quoi bâtir une diapositive affichant 76 %, non.

Le levier salarial existe, mais il est faible

Les augmentations fonctionnent. Simplement pas de la façon dont la plupart des plans de fidélisation le supposent, et la meilleure preuve vient de ceux-là mêmes qui étudient les rémunérations. IANS et Artico l’écrivent noir sur blanc dans leur propre rapport : « La rémunération reste importante, mais elle n’est pas le principal moteur de la fidélisation. » Deux constats expliquent pourquoi.

La progression du salaire compte plus que son niveau. Les salariés qui obtiennent ne serait-ce qu’une augmentation modeste se déclarent nettement plus satisfaits et restent plus volontiers que ceux dont la rémunération stagne. Une augmentation fonctionne comme un signal : quelqu’un a remarqué. Le montant absolu pèse moins que le fait qu’il y ait eu mouvement.

Le soutien perçu de l’organisation écrase tout le reste. Parmi les professionnels de la sécurité qui voient leur organisation traiter la sécurité comme une priorité de premier plan, 73 % se disent satisfaits de leur carrière. Parmi ceux qui ne perçoivent que peu ou pas de soutien, ils sont 19 %. Soit 54 points d’écart de satisfaction sur une variable dont la ligne budgétaire est à zéro.

Alors non, n’arrêtez pas d’augmenter vos équipes. Sous-payer, c’est perdre des gens pour une raison entièrement sous votre contrôle. Mais mesurez le plafond : une augmentation transforme un ingénieur amer en ingénieur amer un peu mieux payé tant que la file d’attente reste sans fond. Ce qui sépare les 73 % des 19 %, c’est que l’organisation montre visiblement qu’elle traite la sécurité comme un sujet sérieux — et « visiblement » relève des systèmes, pas du ressenti.

Où passent réellement les heures

La charge augmente pendant que les moyens se contractent. Les deux mouvements sont mesurés.

Les moyens reculent en termes réels. Le Security Budget Benchmark d’IANS et Artico, réalisé à partir d’avril 2025 auprès de 587 CISO, montre une croissance des budgets sécurité ralentie à 4 % sur un an, le plus bas niveau depuis cinq ans, contre 8 % en 2024. La part de la sécurité dans les dépenses informatiques est passée de 11,9 % à 10,9 %, ce qui met fin à cinq années de hausse continue. La croissance des effectifs tombe à 7 %, son plus bas niveau en quatre ans, et seuls 11 % des CISO jugent leurs équipes correctement dotées.

Le périmètre, lui, ne cesse de s’élargir. Le 2026 State of the CISO Benchmark d’IANS et Artico (662 CISO, enquête menée d’avril à novembre 2025) relève que 52 % estiment que leur périmètre n’est plus entièrement gérable, et que près de sept sur dix se disent ouverts à un changement de poste dans l’année qui vient. Le CISO Report 2026 de Splunk en montre le mécanisme : la quasi-totalité des CISO pilotent désormais la gouvernance et le risque liés à l’IA, quatre sur cinq supervisent le DevSecOps et près de trois sur quatre jugent leur fonction nettement plus complexe qu’avant.

Le déficit se comble avec des tâches ingrates, pas avec de la défense. Le State of Security 2025 de Splunk, réalisé avec Oxford Economics, a interrogé 2 058 responsables sécurité dans neuf pays. Les résultats dressent le portrait d’une profession occupée à faire de la maintenance :

• 46 % passent plus de temps à entretenir leurs outils qu’à défendre l’organisation
• 59 % citent la maintenance des outils comme première source d’inefficacité
• 57 % perdent du temps d’investigation à cause de lacunes dans la gestion des données
• 59 % croulent sous les alertes, 55 % sous les faux positifs
• 52 % estiment leur équipe en surcharge de travail
• 52 % disent que le stress professionnel les a amenés à envisager de quitter complètement la cybersécurité

Une enquête Sapio Research auprès de 300 responsables sécurité et informatique, rapportée par Help Net Security en mars 2026, y ajoute les heures : 10,8 heures supplémentaires par semaine en moyenne au-delà du temps contractuel, et près de la moitié en cumulent 11 ou plus. Près de la moitié jugent le métier plus souvent épuisant émotionnellement que gratifiant, un sentiment particulièrement marqué au sommet de la hiérarchie. Et pourtant, 94 % choisiraient de nouveau la cybersécurité.

Rapprochez ces deux faits, car ils forment le diagnostic. Ils aiment le métier. Ils détestent les conditions dans lesquelles il s’exerce. Personne ne quitte pour une question de salaire un métier qu’il choisirait à nouveau.

Le cas le plus parlant : une équipe de sept personnes et une boîte de réception bug bounty

Les enquêtes disent ce que les gens ressentent. Pour comprendre comment la charge s’accumule réellement, les meilleures données disponibles sont de première main et publiques : le billet de Daniel Stenberg de juillet 2025, « Death by a thousand slops », documente la réception des signalements de sécurité de curl dans le détail opérationnel. Les chiffres 2025 :

• environ deux signalements de sécurité par semaine
• 5 % seulement se révèlent être de vraies vulnérabilités, contre un taux historique supérieur à 15 %
• environ 20 % de l’ensemble des signalements sont générés par IA
• trois à quatre personnes interviennent sur chaque rapport
• chaque rapport coûte « 30 minutes, parfois jusqu’à une heure ou trois. Chacun. »
• l’équipe sécurité compte sept personnes, dont plusieurs ne disposent que de trois heures par semaine pour curl

Faisons le calcul, puisque personne ne le fait jamais dans ce débat. Deux rapports par semaine, multipliés par environ 3,5 personnes mobilisées, multipliés par 1,5 heure chacune : de l’ordre de 10 heures-personne par semaine englouties par la seule réception. Les membres de l’équipe, eux, y consacrent trois heures chacun. Le rendement : environ une vraie vulnérabilité toutes les dix semaines.

Ce n’est pas un déficit d’effectifs. Dix ingénieurs de plus produiraient le même ratio pour un coût supérieur. C’est un processus de réception sans soupape : aucune limite de volume, aucun compte à rebours sur chaque élément, aucun mécanisme pour convertir « on se noie » en un chiffre sur lequel quelqu’un puisse agir. Nous avons traité le volet volume dans le contenu IA bâclé submerge le triage des programmes de primes et le volet économique dans un bug à 25 $ qui en vaut 500 000. Il s’agit ici du volet travail du même basculement.

Si vous dirigez la fonction sécurité d’une entreprise de 200 personnes, vous avez exactement la même structure. Il vous manque simplement ce que Stenberg, lui, a accepté de faire : publier les chiffres.

Sans soupape, c’est la réception elle-même qui devient la soupape

Quand une charge sans limite rencontre assez longtemps une capacité fixe, voilà ce qui se produit. En six mois, trois des équipes de sécurité les plus solides de l’open source sont parvenues indépendamment à la même conclusion.

Janvier 2026 : curl a mis fin à son programme de primes, en acceptant les signalements HackerOne jusqu’au 31 janvier puis en basculant vers un signalement direct sur GitHub à partir du 1ᵉʳ février. Le motif invoqué par Stenberg, selon The Register, portait explicitement sur la charge : « Le torrent actuel de signalements fait peser une charge élevée sur l’équipe sécurité de curl, et ceci est une tentative de réduire le bruit. »

Mars 2026 : l’Internet Bug Bounty a suspendu les nouveaux signalements au 27 mars, après avoir versé plus de 1,5 million $ depuis 2012. L’explication de HackerOne est la phrase la plus lourde de conséquences de toute cette histoire : « La recherche assistée par IA étend la découverte de vulnérabilités à l’ensemble de l’écosystème et augmente à la fois la couverture et la vitesse. L’équilibre entre les découvertes et la capacité de correction dans l’open source s’est nettement déplacé. » Sur la même période, Node.js s’est mis à accepter les rapports sans verser de primes et l’OSS VRP de Google a suspendu les signalements générés par IA.

Juillet 2026 : curl a décrété un « summer of bliss ». Les signalements HackerOne et l’adresse e-mail de sécurité sont restés fermés du 1ᵉʳ juillet au 3 août. Le projet était « sous une pression énorme depuis environ quatre mois. Nous avons maintenant besoin de repos », a écrit Stenberg, avant d’ajouter, sans détour : « Nous ne pensons pas que ce déluge soit terminé. »

Quand la plus grande plateforme de triage au monde reconnaît que la découverte a dépassé la capacité de correction, la réponse réflexe — « il suffit d’externaliser le triage » — tombe d’elle-même. L’externalisation déplace la boîte noire au lieu de la supprimer, et le prestataire vous prévient que la boîte est pleine.

Notez ce qu’aucun des trois n’a fait. Personne ne s’en est sorti en recrutant. Personne n’a trouvé un meilleur outil. La seule commande à leur portée était la réception elle-même. Un modèle opérationnel sans soupape ressemble à cela une fois poussé à bout : le dernier levier disponible est l’interrupteur, et l’actionner est pire pour tout le monde, les chercheurs compris.

Pourquoi « couper le robinet » ne sera plus une option au 11 septembre

Les équipes sécurité en entreprise n’ont pas l’option de curl, et l’échéance se compte désormais en semaines.

À compter du 11 septembre 2026, le Cyber Resilience Act de l’UE impose aux fabricants qui mettent des produits sur le marché européen de transmettre à l’ENISA une alerte précoce dans les 24 heures après avoir eu connaissance d’une vulnérabilité activement exploitée, une notification complète sous 72 heures et un rapport final sous 14 jours. Le texte s’applique quel que soit le pays du siège social. Les sanctions peuvent atteindre 15 millions d’euros, ou un montant indexé sur le chiffre d’affaires. Nous avons détaillé l’ensemble des obligations dans ce que le Cyber Resilience Act de l’UE change pour la divulgation des vulnérabilités.

Résumons la trajectoire en une ligne. Volume entrant en hausse. Taux de rapports valides en baisse. Croissance budgétaire au plus bas depuis cinq ans. Effectifs gelés. Et un compte à rebours légal de 24 heures qui arrive dans six semaines.

On ne répond pas à un délai réglementaire de 24 heures avec une boîte de réception et de bonnes intentions. « Avoir connaissance » est un horodatage, et un régulateur vous demandera de le produire. Cela suppose un SLA d’accusé de réception qui se déclenche automatiquement, une chaîne d’escalade qui alerte une personne nommément désignée et un historique défendable de ce que vous saviez et quand vous le saviez. Les équipes qui disposent déjà de tout cela vivront le 11 septembre comme un simple changement de configuration. Les autres le vivront comme ce qui finit par briser la personne qui tient la boîte de réception — un mode de défaillance déjà documenté dans ce qui arrive quand on ignore le compte à rebours de la divulgation.

Les CISO partent-ils vraiment tous les 18 mois ?

Probablement pas. C’est l’élément du récit le plus susceptible d’être faux, et il est repris sans le moindre esprit critique dans presque tous les articles sur le sujet.

Le chiffre alarmiste vient du 2026 CISO Report de Cybersecurity Ventures, produit avec Sophos, qui situe l’ancienneté d’un CISO de grand groupe entre 18 et 26 mois, contre près de cinq ans pour les autres postes de direction générale. Deux autres jeux de données disent le contraire. Le 2026 State of the CISO Benchmark d’IANS et Artico, mené auprès de 662 CISO, rapporte une ancienneté moyenne de neuf ans dans la fonction. L’analyse de Ross Haleliuk pour Venture in Security, portant sur 526 entreprises du Fortune 500, trouve des CISO à 4,5 ans en moyenne dans le poste, avec une médiane de 3,6 ans, soit autant ou plus que les directeurs marketing (3,5) et les DRH (3,7). Sur 36 départs de CISO du Fortune 500 qu’il a suivis, 18 ont pris un autre poste de direction sécurité ailleurs et 2 seulement sont devenus consultants. Quant à la prévision de Gartner de février 2023, très citée, selon laquelle la moitié des responsables cybersécurité changeraient de poste d’ici 2025, elle porte sur une année désormais écoulée, sans la moindre validation publiée.

La synthèse honnête est plus utile que l’un ou l’autre extrême. Les CISO ne fuient pas la profession : ils tournent d’un employeur à l’autre. C’est précisément ce que décrivent le « près de sept sur dix ouverts à un changement dans l’année » et le « seuls 34 % comptent rester », et cela cadre avec les 94 % qui rechoisiraient la cybersécurité.

Rotation, pas exode. Et la rotation est une nouvelle pire encore pour vous en particulier, car ceux qui partent ne rejettent pas le métier. Ils rejettent la façon dont il est organisé chez vous, et vont exercer exactement le même métier dans une entreprise qui l’organise mieux. N’attendez pas non plus que le marché vous sauve : Cybersecurity Ventures estime à 35 000 le nombre de CISO en poste dans le monde en 2026, contre 32 000 en 2023, pour quelque 359 millions d’entreprises. Cette estimation est issue d’un partenariat commercial, sans méthodologie publiée : prenez-la comme un simple ordre de grandeur. Comme ordre de grandeur, elle est sans appel. 3 000 responsables supplémentaires en trois ans ne sauveront personne. La seule variable qui évolue au rythme du problème, c’est la charge que chaque responsable en poste absorbe.

Ce qu’il faut outiller plutôt que ce qu’il faut payer

La marche à suivre découle des deux écarts mesurés : les 19 points d’épuisement liés à la visibilité chez Bitsight, et les 54 points de satisfaction liés au soutien perçu chez IANS. Les deux relèvent des systèmes, pas des salaires. Cinq actions, classées par soulagement obtenu pour chaque heure investie :

1. Publiez un SLA d’accusé de réception et lancez le compte à rebours. Un chiffre, public, appliqué automatiquement. L’intérêt ne tient pas à la promesse faite aux chercheurs : il tient à ce que « est-ce que quelqu’un a répondu à ça ? » cesse d’être une question à laquelle votre responsable sécurité répond de mémoire à 23 heures.
2. Définissez des objectifs de résolution par niveau de sévérité et affichez-les publiquement. Un rapport critique et un rapport informatif n’ont pas à partager la même échéance. Publier la grille transforme une obligation sans limite en un engagement borné et défendable — exactement ce qu’un régulateur européen demandera à voir.
3. Faites remonter les alertes selon un calendrier, vers une personne d’astreinte nommément désignée, avec des délais de carence. Une escalade sans rotation ne fait qu’alerter encore et toujours la même personne épuisée. Une escalade sans délai de carence produit la lassitude face aux alertes que 98 % des CISO interrogés par Splunk citent déjà. Les deux moitiés sont indispensables.
4. Consignez au grand livre chaque décision de prime et chaque versement. L’état d’un paiement doit être une requête, pas un souvenir. « Est-ce qu’on a vraiment payé ce chercheur ? » est une source récurrente d’angoisse côté responsable et de fureur côté chercheur ; nous avons développé la question de l’équité dans les litiges sur les versements de primes.
5. Présentez chaque mois au conseil d’administration le MTTA, le MTTR et le taux de respect des SLA. Voilà le levier direct sur l’écart entre 73 % et 19 %. Une équipe dont le responsable peut montrer que la fonction tourne selon une norme est une équipe qui perçoit le soutien de l’organisation, sans un euro de budget supplémentaire.

Rien de tout cela n’exige un éditeur en particulier. Tout cela exige en revanche que le modèle opérationnel vive ailleurs que dans la tête d’une seule personne. Si vous partez de zéro, comment mettre en place un programme de divulgation des vulnérabilités couvre les fondations.

Comment le module CSIRT de Kit met cela en œuvre

Kit n’est pas un produit anti-épuisement, mais un produit d’exploitation de la divulgation ; l’effet sur la fidélisation est de second ordre : il rend la charge bornée, chronométrée et visible — les trois propriétés qui séparent une organisation à 44 % d’épuisement d’une organisation à 63 %.

Des SLA qui tournent sur une horloge, pas sur une mémoire. Vous fixez un seul délai d’accusé de réception pour tout le programme, 72 heures par défaut, plus un objectif de résolution par niveau de sévérité : super critique 24 h, critique 72 h, élevée 7 jours, moyenne 14 jours, faible et informatif 30 jours. Chaque rapport porte ensuite son propre statut, en direct : dans les délais, à risque ou dépassé. Il bascule à « à risque » dès que les trois quarts de son délai sont écoulés, et la file se trie par ce qui approche le plus de la limite. Personne n’a à faire office d’horloge.

Une escalade qui alerte une personne nommément désignée, pensée contre la lassitude face aux alertes. Quand un rapport arrive au bout de son délai, Kit alerte la personne d’astreinte, publie une carte de dépassement dans Slack et ouvre un incident PagerDuty. Un délai de carence de six heures par rapport évite qu’un cas bloqué relance l’alerte toute la soirée, et les rapports classés informatifs par l’équipe restent suivis comme des dépassements sans alerter personne.

Une rotation d’astreinte pour que « qui s’occupe de la boîte ce soir ? » ne reste jamais sans réponse. Vous attribuez à la main, vous lancez une rotation quotidienne ou hebdomadaire avec le jour et l’heure de passation de votre choix, ou vous vous synchronisez sur le planning PagerDuty que vous tenez déjà. Les nouveaux rapports arrivent chez la personne de garde, et les passations comme les changements de tour sont annoncés. Quand un créneau se retrouve sans personne, Kit vous le dit, au lieu de vous laisser le découvrir par un message furieux.

Un grand livre des versements plutôt qu’un tableur. Chaque décision de prime et chaque paiement s’inscrivent dans un grand livre en ajout seul : approbations, ajustements, versements initiés, aboutis ou en échec, documents fiscaux transmis, vérifiés ou rejetés, primes révoquées. Une écriture ne se modifie plus après coup, les informations sensibles sont chiffrées, et Kit vérifie régulièrement la cohérence des comptes. « Avons-nous vraiment payé ce chercheur ? » se consulte au lieu de se reconstituer de mémoire.

Des indicateurs qui répondent à la question du conseil sans extraction manuelle. MTTA, MTTR, taux de respect des SLA, total des primes versées, évolution des rapports dans le temps et répartition par sévérité, chaque personne ne voyant que les rapports couverts par ses droits. Et comme les objectifs de résolution sont configurés une seule fois puis publiés de la sévérité la plus forte à la plus faible sur votre page publique de politique, la promesse que lit un chercheur et l’engagement que fait respecter l’escalade sont un seul et même objet.

Les limites, honnêtement. Kit ne réduit pas le nombre de rapports qui arrivent, n’élimine pas le jugement nécessaire au triage et ne transforme pas une équipe de deux personnes en équipe de cinq. Il convertit un travail sans limite, invisible et retenu de mémoire en un travail borné, chronométré, délégué et présentable en réunion. Selon Bitsight, cette différence vaut 19 points d’épuisement. Selon IANS, la perception d’une fonction sécurité bien soutenue vaut 54 points de satisfaction de carrière.

L’essentiel pour un plan de fidélisation rédigé ce trimestre

Payez au prix du marché et accordez l’augmentation modeste : sous-payer fait perdre des gens pour une raison entièrement sous votre contrôle, et une augmentation agit comme un signal que quelqu’un prête attention.

Puis arrêtez-vous là. L’euro suivant n’a pas sa place dans une contre-offre. Il a sa place dans les outils qui rendent la file d’attente visible.

Ceux qui partent ne rejettent pas le métier. Quatre-vingt-quatorze pour cent d’entre eux rechoisiraient cette profession. Ils rejettent un poste où la file d’attente n’a pas de fond, où rien n’affiche de compte à rebours et où l’on ne peut prouver à personne que le travail a des limites. Cela se corrige, et contrairement à une grille de salaires, cela se corrige dès ce trimestre. Si vous reconstruisez aussi l’équipe, ce que la performance en CTF révèle vraiment des ingénieurs sécurité traite le volet recrutement du même problème.