Investissez dans les pompiers,
pas dans la cybersécurité.

La défense a capturé le discours. Les opérations ont hérité de la file de billets.

Le CISO a un siège au CA. Le responsable des opérations a un arriéré Jira. La conformité est un département; la fiabilité, un effet secondaire. La défense en profondeur est une stratégie; la disponibilité, un vœu griffonné sur une serviette et épinglé à l'écran de quelqu'un.

Quelque part dans la dernière décennie, chaque risque opérationnel a été reformulé en risque de sécurité, parce que c'est là que le budget se déplace. Une panne de 4 heures, c'est un billet; une exposition de 4 heures, c'est un communiqué de presse. Alors on embauche pour le communiqué de presse. Le billet, c'est la soirée de quelqu'un.

Chaque boîte en a un. La plupart font semblant que non.

Un service se dégrade en ce moment dans votre pile et personne n'a été averti, parce que l'alerte est tombée dans un canal Slack mis en sourdine depuis la dernière réorganisation. La rotation de garde compte deux ingénieurs et l'un d'eux est en congé. Le runbook a été écrit par quelqu'un qui ne travaille plus ici. Le gabarit de post-mortem a un champ pour « sans blâme » et aucun champ pour « sous-financé ».

Ce n'est pas un problème de sécurité. Aucun acteur malveillant ne l'a causé. C'est l'entropie. Et l'entropie n'apparaît pas dans le modèle de menaces — c'est pourquoi le modèle de menaces est le mauvais document à fixer quand les lumières s'éteignent.

Il existe une description de poste qu'on n'arrête pas de manquer à écrire.

Ce n'est pas le CISO. Ce n'est pas l'analyste en sécurité. Ce n'est pas le consultant que votre auditeur a recommandé. C'est la personne qui rétablit le service d'abord et qui demande pourquoi ensuite — celle à qui le reste de l'organisation laisse la voie libre quand l'alarme sonne.

C'est une forme ancienne. L'industrie n'arrête pas de la renommer. SysAdmin. SRE. Ops. Plateforme. Les titres dérivent; le travail, lui, ne bouge pas. Il faut quelqu'un de prêt à courir vers la fumée. Il faut quelqu'un qui sait où sont les valves de coupure. Il faut quelqu'un qui a des heures — pas des actes héroïques — à l'horaire.

Cette personne, c'est un pompier. Pas une métaphore. Un emploi. Avec des quarts, de l'équipement, de la formation, une caserne où retourner, et un chef qui ira à la réunion budgétaire en son nom.

Vous avez déjà un service incendie. Il est juste volontaire.

À y regarder de près, c'est presque comique.

Vous avez des rotations de garde. Vous avez des téléavertisseurs — ils vibrent dans Slack maintenant, mais ce sont des téléavertisseurs. Vous avez un chef, en quelque sorte, qui est aussi l'ingénieur principal qui fait les revues de feuille de route le mercredi. Vous avez des engins : les runbooks que quelqu'un a écrits une fin de semaine. Vous avez une caserne : le canal de salle de crise qui surgit autour d'un incident et disparaît avant vendredi. Vous avez même des déjeuners aux crêpes. Vous les appelez « rétros sans blâme » et vous les tenez après que la fumée se soit dissipée.

Vous avez un service incendie volontaire. Vous n'avez pas budgété pour ça. Vous ne lui avez pas donné de nom. Vous n'avez assermenté personne. Mais il est là, parce que quelqu'un doit courir vers la fumée, et quelques personnes — généralement les mêmes — continuent de le faire gratuitement, par-dessus leur vrai emploi, parce que l'alternative, c'est de regarder la ville brûler.

Les services volontaires sont honorables. Des communautés entières en dépendent. Ce sont aussi le signe que la ville n'a pas encore grandi — que personne n'a fait le calcul de ce que coûte une intervention professionnelle, ni de ce que son absence coûte davantage.

• Le téléavertisseur · PagerDuty / Opsgenie / un canal Slack que tout le monde a mis en sourdine sauf trois personnes.
• L'engin · Le runbook que quelqu'un a écrit une fin de semaine. Dernière modification : il y a deux réorganisations.
• La caserne · Un canal de salle de crise qui existe de 03:47 jusqu'à vendredi environ.
• Le chef · L'ingénieur principal qui n'a pas demandé ça et n'a pas eu de promotion pour autant.
• Le déjeuner aux crêpes · Une rétro sans blâme avec des actions que personne n'a les ressources pour faire.

Votre plan de réponse aux incidents, c'est encore les cinq mêmes personnes. Ce n'est pas un plan. C'est un service volontaire.

Au DPI.

Vos dépenses en sécurité ont un champion. Vos dépenses en opérations ont une survivante. Cessez d'utiliser la première comme substitut à la seconde. Le rayon d'impact de votre prochaine panne est plus grand que celui de votre prochaine brèche, et vous le savez déjà, parce que vous avez vécu les deux et seule une des deux a eu droit à un communiqué de presse.

Embauchez des pompiers. Payez-les comme s'ils coûtaient quelque chose à garder, parce que c'est le cas. Donnez-leur une caserne — une véritable équipe plateforme, pas une taxe tournante sur la personne qui a tiré la courte paille ce trimestre. Donnez-leur un chef — quelqu'un d'assez senior pour dire non à la prochaine initiative qui sort sans propriétaire de garde. Ensuite, écartez-vous de leur chemin.

• Financez la caserne, pas juste l'alarme. De l'outillage sans personnel, c'est un détecteur de fumée dans une maison vide.
• Faites de la garde un rôle, pas une punition. Rémunérez-la. Planifiez-la. Plafonnez-la. Honorez-la.
• Mettez un chef pompier dans la salle. Les opérations ont besoin du siège que la sécurité a déjà obtenu.
• Ne confondez pas un exercice théorique avec un exercice pratique. L'un est un diaporama. L'autre fait sortir le monde de l'édifice.
• N'infogérez pas la mémoire musculaire. Le fournisseur géré ne connaît pas votre rayon d'impact et ne sera pas là à 03:47.

Un tableau de dépêches permanent pour la classe opérationnelle.

Ce site n'est pas un fournisseur. Ce n'est pas un cours. Il ne vend pas de certification. C'est un endroit pour des essais, des notes de terrain et de courtes dépêches des gens qui font fonctionner les choses — et le mémo occasionnel envoyé vers le haut de l'organigramme aux gens qui décident de ce qui se finance.

Les nouvelles dépêches arrivent de façon irrégulière, au rythme du travail. La première est ci-dessous.

Votre tâche, c'est de transmettre.

Votre DPI n'a pas lu ceci. Votre COO n'a pas lu ceci. La personne qui décide de ce qui se finance le prochain trimestre n'a pas lu ceci. C'est ça, le travail.

Vous êtes le gestionnaire d'incident. Le feu — pour l'instant — est contenu. Le passage de relais est en retard. Transférez la dépêche vers le haut de la chaîne et regardez ce qui se libère.