Про вопросы и ожидания

В книге Джона Миллера "Проактивное мышление" приведён метод QBQ — Question by Question. Он описан как способ в том числе наладить коммуникацию, снять стресс от общения. В основе концепции лежит идея, что мы несем ответственность за свой выбор и принятые решения. А правильные вопросы служат отправной точкой для информации, на основе которой мы решения принимаем. И в самом введении поднимается насущная, на мой взгляд, проблема: позиция жертвы.

Она выражается во фразах "я не виноват", "это не моя обязанность", "это не наша проблема" и подобных. Вопросы, которые за этим следуют — "почему это случилось со мной?", "почему они не могут нормально работать?"... Дальше следуют логичные "а кто виноват?". И на этом моменте у меня возникают очень чёткие ассоциации со сферой ИБ. В частности, в диалоге между бизнесом и регуляторами.

Регулятор сказал — мы должны делать.

Очень часто встречаю эту позицию в самом деревянном её исполнении. Трактовать написанное в лоб любят и специалисты по комплаенсу, и аудиторы. И так мало людей, которые задали вопрос "а зачем это требование ввели?". Так мало людей готовы разобраться в том, как устроены системы, и "что автор имел ввиду". Гораздо проще принять позицию "так написано в законе". У меня это вызывает чёткую ассоциацию с той самой позицией жертвы.

Мало кто спрашивает, зачем это нужно.
Мало кто думает, какие интересы затронуты.
Мало кто пытается понять, как можно выполнить требования, если чуть чуть отойти в сторону от очевидного решения.

Да, есть и глубинные проблемы, которые исторически сложились. Высокий порог входа для осознания нормативки. Бешеные информационные потоки, в которых сложно ориентироваться. Противоречия или дублирования между требованиями регуляторов.

Но, кажется, вопросы могут быть полезны. На Инфобереге подняли вопрос о создании единой системы тестирования для прикладного ПО, которая бы проверяла в том числе вопросы интеграций между системами, стабильность работы и остальные жизненно-важные функции. Представитель МинЦифры прямо ответил, что они ждут такую инициативу от бизнеса. В тот момент у меня честно возник вопрос: а бизнес в курсе, что от него этого ждут? Я работаю в сегменте SMB и допускаю, что у enterprise есть информация об этом ожидании. Но для меня это было внезапным.

И сколько ещё таких моментов, когда каждая сторона друг от друга чего то просто ждёт? Не описав ожидания, надеясь, что собеседник сам догадается?

Что стоит дороже:
- страх разговора с регулятором vs затраты компании, которые последуют за исполнение законов "в лоб"?
- страх показаться глупым vs понимание реальных ожиданий руководства?
- страх выглядеть некомпетентным vs понимание работы системы?

Мы перестали задавать правильные вопросы, зациклившись на своей экспертности. Мы разучились признавать ошибки в погоне за успешным успехом. Мы иногда даже не можем найти приемлемый формат работы с коллегами. Может, уже пора?

Я ещё вернусь к этой теме. Возможно, более системно. Когда для себя смогу сложить кубики QBQ в правильную башенку.

#communication@infosec_game