Почти на каждой конференции слышу тезисы про культуру ИБ. Контекст — мы можем накручивать любую защиту техническими средствами, но пока не будет культуры цифровой грамотности — всё это бессмысленно, потому что человек — самое уязвимое звено системы.
И вот вопрос: а что мы сделали, чтобы эта культура появилась?
Минутка занудства:
Культура — сложившиеся у людей ценности, нормы, обычаи, верования и обряды, знания и умения, техника и технологии, способы мышления, деятельности, взаимодействия и коммуникации.
— Большая российская энциклопедия
Исключим, что иногда ИБ действительно похожа на обряды, верования и обычаи. Вернемся в ту часть определения, где ценности, нормы и взаимодействие.
Ценности
Несколько лет слышу про "продажу ценности ИБ руководству". Но большая масса все ещё торгует страхами:
- придет регулятор и накажет;
- придет хакер и всё сломает;
- придет аудитор и всё перечеркнет.
И с одной стороны, история понимаема: зачем заморачиваться и менять способ получить бюджеты, если и старый способ работает? Особенно в условиях оборотных штрафов.
С другой же — пока остается такая позиция с нашей стороны, бизнес не начнет воспринимать нас иначе, чем налог на деятельность.
Нормы
Всем поставить на рабочие компы антивирус. Никаких доступов не из офиса. Но генеральному директору можно — он же генеральный. И ещё админу. Потому что кто ему действительно запретит (а не на бумаге)? А то, что работа сотрудников в командировках встанет — это мелочи, зато безопасно.
Наша паранойя — это известная болезнь. И её наличие не означает, что за нами не следят.
Но цель бизнеса — зарабатывать деньги. И нам, как функции, которая помогает бизнесу, действительно важно понимать, что, зачем и от кого мы защищаем. И адекватно оценивать потребности бизнеса, когда мы вводим ограничения.
Взаимодействие
Банальная история: продакт-менеджер заводит договор об интеграции на согласование. Договор посмотрел юрист, руководитель менеджера и финансы. Вопрос: кто должен вспомнить, что к согласованию нужно подключить ИБшника? И знают ли они вообще о том, что это нужно?
Бумага — это скучно и нудно, чем меньше бумаги — тем нам же проще. И особенно приятно потом ругаться, что коллеги глупые и неосмотрительные.
И из-за этого в итоге пострадают все:
- IT, когда будет это подключать и поймет, что схема какая то странная и требуется внезапно доп оборудование,
- продакт, когда к нему возникнут вопросы у ИБшника,
- все участвующие, потому что не подключили вовремя,
- а в случае инцидента в рамках интеграции — ещё и сам ИБшник, потому что не отследил и т.д.
Культура начинается с нас. Она не сформируется за день, неделю или месяц. Это долгая, кропотливая работа. Это выстраивание совместных процессов, которые учитывают интересы всех сторон. Это системы by design, построенные совместно с IT. Это работа с внутрикомом, который поможет вам объяснить просто сложные вещи. Это постоянная видимость для коллег, когда они уверены, что получат от вас помощь даже в глупых ситуациях, а не осуждение и насмешки.
Культура ИБ начинается с нас. С наших контактов с коллегами. С наших действий. И с наших историй.
PS Навеяно коллегами-девопсами, которые действительно захотели сделать правильно, а не бумажки для.
#reflection@infosec_game