Регулировка поведения
Отношение сотрудников к своей работе зависит от их собственных убеждений, рабочей культуры и приобретенного ими ранее опыта. Формирование культуры труда путем улучшения поведения и постоянной обратной связи между сотрудником и начальством поощряет сотрудников к самосовершенствованию. Отсутствие в сфере безопасности обратной связи, особенно положительной, — это самая сложная проблема, которую необходимо решить, поскольку поведение защитника может легко скатиться к апатии по отношению к безопасности. Это может быть результатом отсутствия похвалы за хорошую работу.
Часто сотрудники службы безопасности видят результаты своей работы только в виде аудитов соответствия и показателей KPI, которые не отражают полезности их действий. Результаты хорошей работы, например не дать злоумышленникам украсть у компании интеллектуальную собственность или деньги, могут проявляться через годы, таким образом, оценить их не представляется возможным. Далее приведено руководство по улучшению поведения и его поддержке в области безопасности.
1. Установите стандарты и развивайте культуру. Министерство обороны США занималось развитием культуры, в которой во главу угла ставится бдительность. Бывшие сотрудники Министерства обороны, которые переходят в другие организации, говорят, что испытывают шок, когда сталкиваются с пренебрежением к безопасности на новом рабочем месте (и в конечном итоге снижают свои стандарты, принимая новую культуру). Почитайте «Инициативу по культуре и соответствию в кибербезопасности» [20] Министерства обороны США и определите, какие из ее тезисов могут помочь вашей организации развить культуру бдительности в отношении безопасности. Это могут быть, например:
целостность - заставьте сотрудников сообщать обо всех ошибках, когда они случаются. Например, сотрудник, который случайно нарушает безопасность сети, не должен немедленно бежать и скрывать происшествие из-за страха потерять работу. Он должен знать, что можно без опаски признать ошибку и помочь организации заделать брешь в безопасности;
конкуренция — установите базовый образовательный стандарт для всех, кто работает в киберпространстве. Он должен определять принципы повседневного поведения сотрудников, давать людям возможность выявлять риски для безопасности и способствовать принятию разумных решений посредством непрерывного обучения в сфере кибербезопасности. Обратите внимание на то, что формирование основной компетенции может привести к тому, что не владеющие ею сотрудники лишатся возможности занимать определенные должности;
профессионализм — поддержание стандартов качества и культуры бдительности требует, чтобы сотрудники несли ответственность за свою работу и не вешали на других ярлыки;
вопросы, а не ответы — нанимайте людей, которые не принимают вещи такими, какие они есть, а задают вопросы, анализируют и интерпретируют результаты наблюдений. Сотрудники чувствуют себя в безопасности, когда высказывают свое мнение, не боятся увольнения и не ощущают себя глупыми.
2. Принуждайте к дисциплине. Небрежность в отношении безопасности влияет не на работу одного человека или качество одного продукта, а ставит под угрозу целые организации. В «Бансэнсюкай» в «Шести пунктах о поведении охранника» написано: «Следует придерживаться строгих правил, и в случае, если кто-то не соблюдает их, его нужно строго наказать» [5]. Установите формальные процедуры для выявления и наказания нарушителей правил в области кибербезопасности и бдительности со стороны пользователей, службы безопасности, отдела ИT и руководства. Избегайте соблазна в случае инцидента, связанного с безопасностью, делать козлом отпущения начальника службы безопасности (CISO) или других сотрудников, поскольку это не дает развивать культуру, в которой каждый чувствует себя ответственным.
3. Установите формальные процессы, процедуры и соответствие. Определите, задокументируйте и распространите задачи, правила и политики, которые ваш отдел безопасности должен выполнять и применять. Найдите способы проверять, соблюдают ли сотрудники эти стандарты. Избегайте использования формальных ключевых показателей эффективности (KPI), таких как количество поданных заявок или расследованных инцидентов безопасности, поскольку они не позволяют судить о работе. Назначьте руководство, которое понимает важность безопасности и заботится о ней, уделяет время повышению бдительности и выявляет несоблюдение требований.
4. Поощряйте вовлеченность. Сотрудники компаний часто не чувствуют себя вовлеченными в работу. Они не участвуют в принятии решений, не действуют в интересах организации и не инвестируют в успех компании (или в свой собственный). Скука — обычная проблема в сфере безопасности, которую часто можно уменьшить, устранив препятствия, которые не дают работникам внедрять упреждающие меры безопасности. Расширьте возможности сотрудников службы безопасности, позволив им:
экспериментировать с новыми мерами безопасности, процедурами и концепциями;
изучать новые технологии, методы и инструменты;
находить смысл в их работе;
получать положительные результаты, например профессионально расти или получать повышение;
участвовать в принятии решений о стратегических рисках;
проводить тесты с «красной/синей командой» или другие симуляции и упражнения, чтобы учиться друг у друга;
отмечать успехи в поиске дыр в системе безопасности.
