🎓Как построить культуру безопасности в компании

🔐Для чего нужна культура безопасности?

› Помогает ИБ расширить «область видимости»
› Помогает раньше обнаружить инциденты безопасности
› Помогает проникновению контролей ИБ
› Зарабатывает для ИБ хорошую карму

📍Культура начинается с позиционирования ИБ

● Безопасность должна быть с бизнесом
→ Бизнес-бизнесом, но про ИТ нельзя забывать, постройте с ИТ дружеские отношения и завоюйте их доверие
● Безопасность должна репортить CEO
→ Безопасность должна быть там, где ей сейчас комфортнее развиваться
● Безопасность должна быть независимой от продукта/сервиса
→ Консультантов нигде не любят. Привыкайте к DevSecOps

🤝Культура начинается с отношения

› Если в тебе не видят пользы – к тебе не придут за советом
› Если тебя боятся, тебе постараются не сообщить о проблеме
› Поменяйте подход с «запретить» на «предложить альтернативу»
› Превратите ИБ из контролирующей организации в помощника

📚Культура начинается с обучения

› Сделайте единое окно обращения для сотрудников
› Напоминайте про него при любом удобном случае
› Не наказывайте за «явку с повинной»

🗣Не бойтесь быть на виду

› Регулярно выступайте, рассказывайте про нововведения, изменения. Поясняйте мотивацию того или иного усиления безопасности. Даже если изменения затруднят жизнь коллегам
› Заведите канал коммуникации и рассказывайте про события безопасности в компании и в мире («научпоп»). Безопасностью интересуется больше коллег, чем вы думаете!
› Сотрудники должны сами себя вовлечь в сохранение секретов компании

🌟Помните: открытость повышает доверие

› Рассказывайте про инциденты внутри компании, разбирайте детали
› Для инженеров – технические подробности, для всех сотрудников – вынесенные уроки и последствия
› Инциденты с внутренними нарушителями тоже не стоит скрывать

Полную статью можно прочитать в нашем клубе Код ИБ | Траектория роста