Une responsabilité de direction
Je considère l’épuisement de l’équipe d’astreinte comme un risque cyber opérationnel. Les outils de détection ne suffisent pas si la réponse dépend de personnes réveillées la nuit puis attendues au travail normalement. L’urgence permanente leur confie des arbitrages que la direction a laissés ouverts. Je ramènerais ces choix au niveau où l’on peut financer la couverture, attribuer l’autorité et protéger la récupération.
Définir ce qui mérite un réveil
Je préciserais la promesse avant le planning : contenir un incident grave ou examiner chaque signal en continu ne demande pas les mêmes moyens. Pour décider d’une escalade, je retiendrais trois critères : le dommage métier plausible avant la prochaine revue en présence, la valeur des indices, puis l’utilité d’une action immédiate.
Un événement actif dont on peut limiter les effets appelle une réponse. Un indice ambigu mais potentiellement grave peut justifier une vérification courte, puis une escalade si le doute déterminant subsiste. Un sujet différé garde un responsable. Relever les seuils peut retarder la détection ; les abaisser peut affaiblir le jugement par des interruptions répétées. La direction doit assumer les deux risques.
Laisser les indices changer le parcours
Imaginons une connexion administrateur depuis un lieu inhabituel pendant une maintenance prévue. Si le compte est autorisé et l’activité conforme au changement approuvé, une revue ultérieure peut être raisonnable. Si un compte extérieur au périmètre crée de nouveaux accès, le même signal initial justifie une intervention immédiate. Je veux pouvoir réviser la qualification selon le contexte. Encore faut-il pouvoir agir : une autorisation détenue par un responsable injoignable rend la promesse inexécutable.
Organiser la charge et la relève
J’examinerais les horaires, le travail actif, les interruptions d’une même pause et les tâches maintenues ensuite. Le nombre d’alertes ne décrit pas cette charge. Élargir la rotation exige formation, accès et autorité ; une réponse prolongée exige d’autres intervenants et une transmission exploitable. La récupération doit modifier le travail prévu. J’attribuerais au responsable hiérarchique la réaffectation des tâches et au responsable d’incident la relève. Dispenser quelqu’un d’une réunion tout en maintenant sa préparation et son échéance ne protège rien. Une surveillance externe peut aider, mais nécessite un mandat précis et un relais interne disponible.
Financer une promesse tenable
Je donnerais aux alertes répétées un responsable capable de corriger la cause, enrichir le contexte ou revoir la couverture. Une automatisation limitée peut réduire le travail, mais aussi interrompre une activité légitime ; ses limites doivent rester explicites. Si les moyens sont différés, l’engagement doit être ajusté. Je recherche une réponse fiable dont la direction assume les coûts, sans faire de l’épuisement une ressource implicite.