Общались сегодня с коллегой, который отвечает за работу с инцидентами безопасности в крупной компании.
Обсуждали человеческий фактор — опасные действия людей, которые приводят к инцидентам безопасности, а также наш подход для классификации этих действий и проактивной работы с людьми:
People as Code: как мы применили подход Everything as Code к людям, чтобы устранить причину 82% инцидентов безопасности
Почти сразу коллега озвучил очень популярное у технических экспертов мнение на эту тему, которое можно выразить примерно так:
Людей учить бесполезно
Им это все не поможет
Сами ведь все знают, но не делают
Надо их просто уволить
Или заблокировать техническими средствами все, что они могут сделать опасного
Я его отлично понимаю — сам отвечал за безопасность в крупной компании несколько лет, знаю, какие бывают инциденты и как сильно желание все заблокировать и запретить.
Но мой личный опыт, а также опыт нашей команды и сотни действующих клиентов подсказывает еще кое-что:
Все технические возможности совершить инцидент никогда не заблокируешь
Всегда будут люди с большими доступами, чем хочется команде безопасности
Люди всегда могут отдать свой пароль или сделать что-то еще очень простое, что нужно хакеру и за чем нельзя уследить
А еще:
Люди действуют так, как им проще и понятнее, как принято в их командах
Люди стремятся выполнить свою работу, и если какие-то правила безопасности в этом мешают — они будут их нарушать
Люди действуют в соответствии со своими убеждениями, и если они во что-то не верят или не считают важным — они не будут это делать, даже если знают или умеют действовать по-другому
Любых, самых хороших курсов и знаний недостаточно
Нужны навыки, которые человек умеет применять на практике
Нужны убеждения, чтобы он верил в то, что будет способствовать правильному и безопасному поведению
Команды безопасности должны ясно понимать, какие действия людей они ожидают и как легко (или сложно) человеку их выполнить
К счастью, в разговоре с коллегой удалось это показать.
И, возможно, именно благодаря экспертам из их команды, которые уже работают с людьми, наша модель People as Code превратится в сильный инструмент целевого изменения поведения тысячи их сотрудников 🤩
@startwithease