ИБ - это паранойя или доверие? Спойлер: нужны оба

В ИБ, знаете, так принято бояться. Всего и всегда.

Думать, что пользователь вот-вот кликнет по левой ссылке. Что хакеры уже сидят внутри сети. Что вчерашний патч, который выкатили под конец пятницы, не дай бог, порвал полсистемы. Без этого, по-хорошему, никак. Это и есть профессиональная деформация.

Но вот что интересно: если в компании правит бал одна только паранойя, то вы просто задохнетесь. Люди перестанут к вам подходить. Проекты встанут. А бизнес, как ни крути, найдет способ обойти безопасность. И их любимая фраза: «с вами невозможно работать».

Что ж, разберем по полочкам.

Паранойя - это ваша база. Без нее никак. Она заставляет проверять, перепроверять, не расслабляться ни на минуту. Прозеваете и реальная угроза окажется прямо под носом.

Доверие - это, если хотите, топливо. Оно дает делегировать, не дышать в спину каждому сотруднику, позволять людям ошибаться. Без доверия команда превратится в то самое болото, где никто ничего не решает, если рядом нет начальника.

Так где же та самая граница?

А проходит она, на мой взгляд, ровно там, где вы перестаете управлять рисками и на полную катушку включаете управление людьми. Путать эти вещи нельзя.

Паранойя идеальна для настроек систем.
А доверие - для выстраивания отношений с командой и с бизнесом.

Вот что я делаю в итоге.

Я доверяю людям. Пока они сами своим поведением не дадут мне усомниться. Системы я проверяю всегда. Даже если их настраивал мой лучший инженер. При этом я не бегаю с секундомером и не смотрю, во сколько кто пришёл и ушёл. Зато раз в квартал спокойно поднимаю логи доступа к критичным системам. Мало ли.

Подводя итог

ИБ без паранойи - это наивность.
ИБ без доверия - токсичность, от которой сбегают люди.

Так что нужны и то, и другое. Весь вопрос, как вы понимаете, в дозировке.