Продолжая серию статей об опыте реализации программ повышения осведомлённости персонала в области информационной безопасности (далее часто будем говорить просто – повышение), обратимся теперь к ряду частных, но весьма важных на практике вопросов. Напомним: в наших статьях мы предполагаем, что читателя уже не надо склонять к пониманию необходимости и полезности повышения – статьи не содержат сдобренных разного качества статистикой аргументов в пользу тезиса о том, что программа повышения осведомлённости является неотъемлемым компонентом системы обеспечения информационной безопасности любой современной организации. Мы надеемся, что читатели (многие из которых, вероятно, являются руководителями ИТ/ИБ-подразделений) уже решили для себя этот вопрос.
Итак, необходимость создания и реализации программы повышения осведомлённости ответственным за обеспечение информационной безопасности осознана. И почти сразу с деятельным воодушевлением и желанием немедленно начать повышать эту самую осведомлённость приходит понимание, что в одиночку ИТ/ИБ-подразделению делать ничего нельзя. Или, хуже того, никто ничего сделать не даст.
В предыдущей статье мы говорили о том, что одним из наиболее важных факторов успеха любой программы повышения осведомлённости является её поддержка (а лучше – формальное санкционирование) высшим руководством организации. В большинстве случаев следствием такой поддержки является выделение необходимых программе ресурсов – финансовых, человеческих и материальных. Верно и обратное: нет поддержки высшего руководства – нет и денег на реализацию программы, а вы завалены другой работой так, что про повышение осведомлённости некогда даже вспомнить!
Давайте рассмотрим, как наименее болезненно и наиболее эффективно можно решать жизненно важный для самой идеи повышения осведомлённости персонала вопрос: как заручиться поддержкой руководства?
Задача эта, по нашему опыту, для многих ИТ/ИБ-руководителей является нетривиальной, поскольку обычно условия таковы:
Общий подход: думайте как маркетолог
Необходимо «продать» повышение осведомлённости руководству, поэтому придётся какое-то время побыть маркетологом, обычная работа которого заключается в привлечении внимания потенциальных покупателей к товару и склонения оных к покупке. Мы умышленно не говорим здесь «действовать как маркетолог», потому что как раз действовать лучше в рамках существующих корпоративных правил.
Из необходимости думать как думают маркетологи следует, что:
Знайте «головные боли» своего руководства
Давно известный, но часто забываемый и требующий определённой сноровки метод – встать на сторону оппонента и посмотреть на ситуацию его глазами. Это всегда полезно. Кроме того, у вашего руководства может быть своё руководство – попытайтесь понять, что оно требует от вашего руководства, какие цели ставит. Это поможет определить о чём у вашего руководства «болит голова» и даст возможность лучше адаптировать к текущей ситуации идею инициации программы повышения осведомлённости.
Покажите руководству его личную выгоду
Руководство – тоже люди. Поэтому оно непременно должно увидеть собственный интерес и выгоду от реализации программы повышения осведомлённости персонала. Данный совет, конечно, сильно коррелирует с предыдущим. Однако, не забывайте и про личные (т.е. не рабочие) интересы и выгоды руководства: обычно это люди среднего или старшего возраста, часто совершающие поездки, имеющие взрослых детей и, как правило, использующие современные модели сразу нескольких устройств. Показать руководству на его личном примере что даст каждому сотруднику организации программа повышения – весьма неплохой аргумент. Однако, опять же, здесь важно не только что вы расскажете руководителю, но и как вы это будете рассказывать: ваш рассказ должен быть кратким, по сути и фокусироваться на наиболее острых проблемах.
Начинайте заранее, продолжайте периодически
Всё новое часто воспринимается негативно – такова особенность человеческой психики. Поэтому если вы уже приняли идею повышения, а ваше руководство всё ещё понятия не имеет ни об эволюции вашего мировоззрения, ни даже о том, что такое повышение осведомлённости и зачем оно нужно, то необходимо учитывать инерцию мышления руководства и его занятость (здесь под занятостью мы понимаем обычный режим работы руководителей – быстрое переключение с вопроса на вопрос при малом удельном времени рассмотрения каждого из них). Первое упоминание о повышении и связанных с ним нуждах в разговоре с руководством должно иметь место задолго (в некоторых сложных случаях – за год и больше) до желаемого действия с его стороны. Например, принципиального одобрения начала реализации и выделения необходимых ресурсов. Затем периодически напоминайте об идее, постепенно детализируя её контуры и наполнение. Фактически вам придётся заниматься повышением осведомлённости руководства о повышении осведомлённости с полноценным применением упомянутых в предыдущей статье практик (должное документационное обеспечение, правильные материалы для правильной аудитории, периодичность).
Используйте релевантные аргументы
Часто используемый метод обоснования – «подкладывание» статистики в пользу обосновываемого тезиса – употребим и в нашем случае. Применять его, однако, необходимо со вниманием:
Упомянутые в нашей статье рекомендации достаточно высокоуровневые, однако, более подробные советы возможны лишь при изучении особенностей конкретной ситуации. Меж тем высказанные рекомендации основаны на опыте компании UBS выполнения проектов по повышению осведомлённости и действительно помогут вам сократить путь до создания и реализации эффективной программы повышения осведомлённости персонала.
Отправляя данную форму вы соглашаетесь с политикой конфиденциальности персональных данных
Отправляя данную форму вы соглашаетесь с политикой конфиденциальности персональных данных