Jeśli chodzi o bezpieczeństwo reagowania na incydenty strategii, wydaje się, że wiele organizacji skupia się w dużej mierze na znaczeniu odporności cybernetycznej, co jest w pełni uzasadnione, ale często zapominają o uwzględnieniu wartości człowiek odporność.
W końcu wiele oczekuje się od osób odpowiedzialnych za powstrzymanie, analizę i zaradzenie atakowi, a także późniejsze działania naprawcze. Na każdym etapie procesu muszą zachować zimną krew, analizując złożone sytuacje, formułując odpowiednie reakcje, dyplomatycznie zarządzając oczekiwaniami interesariuszy, a czasami radząc sobie z odrzuceniem ich zaleceń. I to nie wspominając o długich godzinach pracy i ograniczonych zasobach, z którymi regularnie się borykają.
Ale ile uwagi poświęca się faktycznemu doświadczeniu wykonywania tej pracy? Czy zaangażowani ludzie mają odpowiednie wyposażenie i wsparcie? A może po prostu polega się na nich, że podejmą nadludzki wysiłek, niezależnie od tego skutki zmęczenia fizycznego i psychicznego na ich zdolność do odbijania się?
Jako CISO pełnię ważną rolę: zapewnienie, że nasze plany reagowania na incydenty obejmują odpowiednie zabezpieczenia dla ludzi pracujących na pierwszej linii frontu.
Na początku zdarzenia, kiedy adrenalina buzuje, a motywacja do szybkiego zaprzestania ataku jest wysoka, członkowie zespołu zazwyczaj dołożą wszelkich starań, aby osiągnąć wyznaczone im cele. To okres o wysokiej intensywności oktanowej.
Nie jest jednak tajemnicą, że incydenty związane z bezpieczeństwem i odzyskiwanie po nich mogą ciągnąć się tygodniami, a nawet miesiącami. Długi okres stale wysokich wymagań dotyczących czasu i uwagi zespołu będzie zniechęcał nawet najbardziej kompetentnych i optymistycznych pracowników. Zmniejsza się zakres uwagi. Duch zespołu słabnie. Wydajność spada. Trudno to nazwać receptą na wspieranie wzrostu pomimo przeciwności losu.
Bardzo realnym ryzykiem jest to, że gdy ucierpi intensywność i zaangażowanie, ucierpi także powiązanie niedokończonych spraw. Pierwotnemu incydencie można zaradzić, ale w zbiorniku może nie pozostać wystarczająca ilość paliwa, aby właściwie wyciągnąć wnioski i przekształcić skuteczną reakcję w skuteczne zapobieganie na przyszłość.
Skuteczniejsze wsparcie
Sugerowanie, że zespoły ds. bezpieczeństwa cybernetycznego powinny składać się wyłącznie z osób o wyjątkowym poziomie wbudowanej odporności, jest niepraktyczne. Po pierwsze, jest to po prostu nierealne w kontekście globalnych niedoborów wykwalifikowanej siły roboczej. Ale co ważniejsze, nie jest to uczciwa i odpowiedzialna praktyka w zakresie zatrudnienia. Liderzy organizacji muszą zdawać sobie sprawę ze swojego obowiązku wspierania zespołów zajmujących się incydentami bezpieczeństwa w ich pracy. W połowie 2022 r artykuł w Harvard Business Review bardzo dobrze podkreśla tę kwestię:
„Aby naprawdę zbudować odporność w swojej organizacji, musisz zdać sobie sprawę, że dwie rzeczy mogą wystąpić jednocześnie: jednostki mogą zbudować zbiornik zasobów, takich jak optymizm, wigor i ugruntowane sieci wsparcia społecznego, z których mogą korzystać, aby pomóc im zachować odporność, podczas gdy organizacje oferują proaktywne zasoby i tworzyć zmiany, które pomagają chronić pracowników.”
Innymi słowy, indywidualna odporność pracowników nie może zastąpić usprawnień i wsparcia organizacyjnego. W przypadku incydentów związanych z bezpieczeństwem CISO mają obowiązek stworzyć kulturę i ramy, w których następuje doskonalenie i wsparcie. Oto kilka punktów, które polecam wziąć pod uwagę:
- Odpowiednie przygotowanie. Ćwiczenia praktyczne stanowią stałą część większości programów reagowania na incydenty związane z bezpieczeństwem, ale czy dają pracownikom dokładny obraz wymagań, jakie przed nimi staną? Kiedy pracownicy mają możliwość przećwiczenia ćwiczeń związanych z reagowaniem na incydenty, istnieje duże prawdopodobieństwo, że będą lepiej przygotowani psychicznie na wypadek prawdziwego ataku. Ćwiczenia te są także doskonałą okazją do podkreślenia wagi robienia przerw w tej trudnej pracy i zastanowienia się, w jaki sposób można je osiągnąć.
- Planowanie. Jeśli chodzi o planowanie personelu, plan powinien wykraczać poza krótkoterminową reakcję o dużej intensywności i uwzględniać tygodnie i miesiące, jakie może zająć rozwiązanie incydentu. Jeśli to możliwe, rozważ rotację członków personelu w zespole reagowania na incydenty i poza nim, aby zapewnić im bardzo potrzebny przestój. Jeśli to możliwe, należy przestrzegać zaplanowanych urlopów osobistych oraz zobowiązań osobistych/rodzinnych.
- Wsparcie. Jakie wsparcie zespoły reagujące na incydenty bezpieczeństwa otrzymują od całej organizacji? Może to obejmować programy redukcji stresu kierowane przez dział HR, zapewnienie płatnego urlopu w celu odpoczynku i regeneracji po incydencie oraz formalne kanały, za pośrednictwem których pracownicy mogą wyrażać swoje obawy i sugestie dotyczące warunków pracy, których doświadczają podczas tych kampanii.
Przede wszystkim jest to dla mnie kwestia uznania człowieczeństwa osób zaangażowanych w tę pracę. To ludzie, nie roboty. A to oznacza, że negatywne emocje będące reakcją na negatywne sytuacje, zarówno w trakcie zdarzenia, jak i po nim, są naturalne i zdrowe. Dlatego też CISO muszą sami wykazać się wyjątkową odpornością, wspierać zdrową ekspresję emocjonalną wśród członków zespołu znajdujących się pod presją i nie oczekiwać od nich optymizmu w najtrudniejszych chwilach.
Muszę też sobie przypominać, że dotyczy to bezpośrednio także mnie. Nie mogę być w drużynie, jeśli nie dbam o siebie.