Perché chi lavora nella cybersecurity non riesce mai davvero a staccare?

Una semplice notifica durante le ferie può interrompere il recupero mentale e aumentare stress e burnout. Nella cybersecurity la cultura dell'"always-on" espone i professionisti a un carico cognitivo continuo. La ricerca dimostra che pause protette e organizzazione sono fondamentali per lavorare in sicurezza.

Sempre connessi, mai davvero in pausa: il costo invisibile dell’always-on nella cybersecurity
Siamo in periodo di vacanze estive e ora voglio raccontarti una storia che immagino tu conoscerai bene.

Le tanto agognate vacanze sono iniziate. Le sogni da mesi, ne hai un bisogno maledetto per recuperare le energie, perché sei esausto. Il computer è spento, in teoria… ma il telefono aziendale è ancora acceso. Arriva una notifica “la leggo o no?”. Potrebbe essere una comunicazione di poco conto oppure un alert importante. “Darò un’occhiata veloce” dici fra te e te “solo per stare tranquillo”.

Ti riconosci in questo racconto?

Anche se la notifica fosse effettivamente un’inezia, spesso la cosa non finisce lì. Magari non devi intervenire, magari non c’è nessuna urgenza, ma ormai è successo: in un lampo il pensiero è già tornato al lavoro. Ti ritrovi a ripercorrere mentalmente le attività lasciate in sospeso, valutare le possibili conseguenze, aspettare un secondo messaggio. La tua pausa sacrosanta è stata interrotta e, con essa, anche il prezioso processo di recupero di cui hai disperatamente bisogno.

Per chi lavora nell’IT e nella cybersecurity questo scenario è tutt’altro che raro. Sappiamo che incidenti e minacce non rispettano l’orario d’ufficio, anzi, le vacanze sono un ottimo momento per lanciare attacchi. La reperibilità, quando è organizzata attraverso turni e responsabilità concordate, fa parte del lavoro. La parte più insidiosa è invece quella disponibilità implicita che ci spinge a controllare e-mail, chat e alert anche quando non siamo al lavoro.

Quando il lavoro invade il tempo del riposo

La letteratura scientifica parla di Technology-Assisted Supplemental Work, o TASW, per indicare le attività lavorative svolte fuori dal normale orario attraverso smartphone, computer, e-mail e piattaforme digitali. Non si tratta delle tradizionali ore straordinarie: il TASW è quel messaggio letto a cena, quel ticket controllato nel weekend o l’accesso alla posta durante le ferie.

I ricercatori Fenner e Renn hanno osservato che questo tipo di lavoro supplementare è favorito dalle aspettative dell’azienda. Non serve che qualcuno ci ordini di essere sempre disponibili: spesso soni tratta di abitudini tacite, comportamenti che vediamo tenere a colleghi e superiori, è ciò che immaginiamo ci si aspetti davvero da noi per essere all’altezza del compito, in un settore dove sbagliare non è tollerato. Lo stesso studio ha dimostrato che il TASW aumenta il conflitto tra lavoro e vita familiare. Un problema che ne chiama un altro…

In una ricerca che ho condotto con l’Università di Padova sui rischi psicosociali nei professionisti IT e della cybersecurity, il lavoro supplementare mediato dalle tecnologie, il techno-overload e la techno-invasion sono risultati più elevati rispetto al campione di lavoratori appartenenti ad altri settori. La particolarità di queste professioni non sta soltanto nella quantità di stress sperimentato, ma nella facilità con cui il lavoro oltrepassa le mura aziendali e continua a occupare il nostro spazio mentale anche nel tempo privato.

Tarafdar e colleghi definiscono come techno-invasion proprio questa capacità delle tecnologie di invadere la vita personale, rendendo i lavoratori raggiungibili ovunque e in qualsiasi momento. La giornata professionale così estende così alle serate, ai weekend e perfino alle vacanze. A volte non controllare il telefono produce ulteriore inquietudine: “e se fosse successo qualcosa?” o “chi ci pensa se non io?”.

Essere in pausa non significa soltanto non lavorare

Per recuperare le energie non basta essere fisicamente lontani dall’ufficio, serve anche un certo distacco psicologico: la possibilità di interrompere temporaneamente i pensieri e le preoccupazioni legate al lavoro.

È qui che una notifica apparentemente innocua può avere un peso maggiore, anche se per leggerla impieghi solo pochi secondi. Quella semplice notifica riattiva il ruolo professionale, riporta l’attenzione sui problemi e interrompe quella graduale riduzione dell’attivazione che stava permettendo alla mente di recuperare.

Nel settore cyber il problema è amplificato dall’elevata richiesta cognitiva. Chi opera nella sicurezza informatica deve analizzare grandi quantità di informazioni, distinguere segnali rilevanti da falsi allarmi, prendere decisioni rapide in condizioni di incertezza e mantenere a lungo un alto livello di vigilanza. Gli alert frammentano il lavoro e possono trasformarsi velocemente in priorità.
In uno studio nel quale sono stati intervistati 37 CISO, diversi partecipanti hanno descritto il proprio lavoro come “guidato dalle interruzioni” e caratterizzato da monitoraggio continuo, numerose e-mail, responsabilità elevate e aspettative di costante disponibilità. Se a queste richieste aggiungiamo la cronica carenza di personale e le sempre insufficienti risorse, l’“always-on” rischia di diventare la normalità.

Le pause, quindi, non sono un lusso e neppure un premio da concedersi quando tutto è sotto controllo (in ambito cyber quel momento potrebbe non arrivare mai). Le pause reali sono una condizione indispensabile per continuare a mantenere attenzione, lucidità e capacità decisionale.
Dalla pausa di pochi minuti alle vacanze.

Il recupero avviene su più livelli. Ci sono le pause brevi durante la giornata (break, pausa caffè, pausa pranzo), il tempo libero serale, il weekend e infine le ferie. Ognuno di questi spazi assolve una funzione diversa, ma tutti possono essere compromessi dalla connessione continua.
Una pausa, per essere tale, non va trascorsa leggendo la posta o controllando una dashboard. Se così fosse, cambierebbe lo schermo, ma non lo stato mentale. E se durante una vacanza rimani costantemente in attesa di una chiamata, sappi che non avrai riposo fisico senza un reale distacco mentale.

In un piccolo studio condotto su 50 professionisti della cybersecurity, il 70% dichiarava di aver ricevuto telefonate di lavoro durante le vacanze programmate. Il dato non è rappresentativo dell’intero settore, ma fa riflettere. Nello stesso studio, ferie e giorni liberi erano indicati tra le strategie adottate dai lavoratori per affrontare stress e burnout… un paradosso, se il lavoro continua a penetrare proprio il tempo destinato al recupero.

Qualche indicazione concreta

La responsabilità però, continuerò a ripeterlo, non può ricadere sul singolo lavoratore. Spegnere il telefono serve a poco se l’azienda considera normale contattare chi è in ferie o se un’urgenza può essere gestita da una sola persona. Tuttavia, alcune scelte pratiche possono rendere i confini meno permeabili:

• Programma pause reali durante le quali allontanarti dai canali di lavoro, invece di fare switch da un’attività professionale a un’altra.
• Alterna le attività più impegnative, evitando che monitoraggio, analisi degli alert e incident response occupino ininterrottamente periodi troppo lunghi. La letteratura sulla prevenzione del burnout nel settore cyber, consiglia di inserire pause strutturate, di applicare la rotazione dei compiti e una pianificazione più flessibile.
• Chiudi il lavoro prima di uscire dall’ufficio, annotando le attività sospese, le priorità e i passaggi di consegne. Stabilire obiettivi e priorità chiare riduce l’impatto del lavoro supplementare sul conflitto lavoro-famiglia.
• Distingui con chiarezza la reperibilità dalla disponibilità continua: chi è di turno deve sapere per quali eventi intervenire, mentre chi non lo è dovrebbe poter disattivare notifiche e canali professionali senza sentirsi un irresponsabile.

Non esiste una strategia individuale capace di compensare turni insostenibili, carenza di personale o aspettative irrealistiche da parte dell’azienda. Le pause funzionano davvero quando sono protette anche dall’organizzazione, attraverso procedure che non lascino tutto il peso sulle spalle delle stesse persone.

La sicurezza informatica richiede attenzione costante, ma l’attenzione umana non è infinita. Ha bisogno di essere periodicamente ricaricata, di disconnettersi, di respirare.
Un team cyber resiliente non è quello che non si ferma mai. È quello che sa organizzarsi perché le persone possano fermarsi davvero, recuperare e tornare al lavoro con le risorse mentali e fisiche necessarie per proteggere l’organizzazione.

Paloma Donadi

Consulente e formatrice in comunicazione e sicurezza digitale, promuove una cultura del web consapevole e sostenibile per persone e organizzazioni. Mindfulness trainer certificata e futura Psicologa del lavoro, supporta i professionisti tech e cyber con pratiche di benessere e gestione dello stress.

Aree di competenza: Benessere digitale, Mindfulness, Psicologia del lavoro, Wellbeing aziendale, Cyberpsychology, Educazione Digitale, Comunicazione, Formazione