A kiberbiztonsági szakértő nem felkent próféta, nem a végső igazság letéteményese, hanem szakember, aki akkor látja el a feladatát jól, ha a napi tevékenységét szigorúan szakmai alapokon végzi, valamint pontosan ismeri – és el is fogadja – helyét és szerepét a szervezetben. Ez hangsúlyozottan érvényes a kiberbiztonságot irányító CISO-ra, akinek a szakmai kompetenciái mellett vezetői képességeit is bizonyítania kell.

Amióta felértékelődött a kiberbiztonság szerepe, egyre gyakoribb, hogy a CISO-kban mégis csak felhorgad a felkentség érzése, és úgy viselkednek, mintha élet és halál urai lennének a szervezetben. Ennek pedig egyenes következménye, hogy a kiberbiztonsági csapaton belül mérgező légkör alakul ki, ami akár tovább is terjedhet a szervezetben például beteges paranoia formájában. Csakhogy ez kontraproduktív, állítja a Forrester Research vezető elemzője, Jinan Budge, aki évek óta kutatja a toxikus kiberkultúra kialakulásának okait és hatását a vállalatok működésére.

A mérgező légkör már rövid távon növeli a dolgozói elégedetlenséget, és előbb-utóbb belső harcokhoz, összességében a csapat teljesítményének drámai romlásához vezet, állítja a kutató egy 2020-ban megjelent tanulmányában. Az ilyen helyzetek önmagában is súlyos biztonsági kockázatot jelentenek.

Túlkompenzáló CISO-k

A probléma egye gyakoribb. Kezeléséhez pedig mindenekelőtt az okokat kell feltárni, melyek Budge szerint a kiberbiztonság sajátos helyzetében gyökereznek:

● a terület viszonylag fiatal kulcsszereplője a vállalati digitális ökoszisztémának, ezért a CISO-k többségének még mindig meg kell küzdenie azért, hogy meghallgassák és megfontolják a javaslatait;

● az ebből eredő feszültségeket felerősíti, hogy sok cégnél a menedzsment a (kiber)biztonságot még mindig a szükséges rossz kategóriába sorolja (pl. compliance, ami a pénzt viszi, ám nem hoz semmit), és ezt éreztetik is a kiberbiztonsági csapattal;

● a CISO-k folyamatosan éles helyzetben, nyomás alatt dolgoznak, és mivel a támadási vektorok állandóan és gyorsan változnak, soha nem lehetnek biztosak benne, hogy teljes mértékben felkészültek az új támadástípusokra. Sokan az ebből eredő bizonytalanságukat egyfajta "messiáskomplexussal" próbálják leplezni;

● a biztonsági csapatok általában kis létszámúak, ezért a CISO és beosztottai között is közvetlenebb a kapcsolat, mint népesebb részlegeken a vezetők és beosztottaik között, ám éppen ezért vezetői képességeinek hiánya erősebben kiütközik, és esetleges frusztrációi közvetlenebbül hatnak a csapatára;

● hiába forog közszájon évek óta "az ember a leggyengébb láncszem" elv, a kiberbiztonságot a szervezetek mind a mai napig elsősorban technikai kérdésnek tekintik, és ennek megfelelően választanak CISO-t, figyelmen kívül hagyva a soft skilleket.

Nem kell különösebb vezetői tapasztalat ahhoz, hogy belássuk: a fentiek miatt könnyen alakulhat ki mérgező légkör, amely látványosan ronthatja a szervezetek teljesítményét, növeli a fluktuációt, rombolja a cég megítélését, miáltal nehezebb is pótolni a távozókat, csökken a termelékenység stb.

Lefordítva kiberbiztonságra

Mi történik, ha egy kiberbiztonsági csapatban kialakul ez a helyzet? A lehető legrosszabb: a csapat elveszíti a képességét arra, hogy egy támadás esetén gyorsan hozzon optimális döntéseket. Mindenki bizonytalanná válik, a csapat tagjainak figyelmét a belső intrikák kötik le, ha probléma van, azért mindenki a másikat hibáztatják – a munka pedig elvégzetlenül marad. Ez pedig már önmagában is jelentős kiberbiztonsági kockázat.

Budge szerint a menedzsmentnek tisztában kell lenni azzal, hogy a kiberbiztonság területén miért kontraproduktív – sőt veszélyes –, ha a CISO-nak hiányoznak a csapat vezetéséhez szükséges soft skilljei. Ezek hiányában a kiberbiztonsági vezető, akinek folyamatosan az egészséges bizalmatlanság és a beteges paranoia közti nagyon vékonyka mezsgyén kell egyensúlyoznia, hamar elveszítheti a nyitottságát, rugalmasságát, empátiáját stb. Gyorsan kialakulhat olyan hangulat, ahol a csapat tagjainak az az alapélménye, hogy egy negatív vélemény a védelmi rendszerek hatékonyságáról vagy akár egy technikai részletkérdés kezeléséről akár megtorlással – megszégyenítéssel, szankciókkal stb. – is járhat. Ilyen környezetben senki sem foglalkozik majd a kibervédelem hatékonyságának javításával, főleg nem a felismert problémák és nehézségek jelentésével, hiszen a rossz hír hozóját megbüntetik. Ugyanakkor önvédelemből a kollégák jelentenek minden incidensnek tűnő eseményt, még ha azt amúgy szakmai szempontból jelentéktelennek is gondolják. A Forrester kutatásai szerint a "toxikus szervezetekben" a globális átlagnál mintegy 3,5-szer több a jelentett belső incidensek száma.

Akik toxikus környezetben dolgoznak, gyakrabban érzik magukat túlterheltnek, jellemzően elégtelennek érzik a munkavégzésükhöz biztosított erőforrásokat. Emiatt úgy érzik, képtelenek is elhárítani az egyre komplexebb támadásokat. Ez pedig egyenes út a gyors kiégéshez.

A megoldás: az őszinteséghez való jog

Egy amerikai szervezetfejlesztési pszichológus, a Harvard Business Schoolon tanító Amy Edmondson, aki több mint két évtizede kutatja a munkahelyi csoportok működését, ezért tartja fontosnak a csapatok ún. pszichológiai biztonságát. A fogalom alatt Edmondson az őszinteségre való jogot érti. A csapat tagjainak az kell legyen a közös élménye, hogy vállalhatnak kockázatot, szabadon megfogalmazhatják ötleteiket – és félelmeiket –, feltehetik a kérdéseiket. És beismerhetik hibáikat, mert nem kell retorziótól tartaniuk.
 

A pszichológiai biztonság nem arról szól, hogy egymással kedvesnek, udvariasnak kell lenni. Az ugyanis Edmondson szerint gyakran csupán annak elkendőzésére szolgál, hogy nem vagyunk egymáshoz őszinték. És a pszichológiailag biztonságos környezet nem is az, ahol mindig jól kell éreznünk magunkat. Hanem épp ellenkezőleg: az ilyen csapatokban nyíltan ki lehet mondani azt is, amitől más talán rosszul érzi magát, hiszen a tanulás, a hibázás és a hibákra való rámutatás általában kényelmetlen. A pszichológiai biztonság azonban épp azt garantálja, hogy a kényelmetlen dolgok kimondása nem jár sérüléssel.

Edmondson állítása az, hogy bár a pszichológiai biztonságot egyénileg éljük át, az valójában a csapatok "pszichés" tulajdonsága. Azaz ha létrejön, a csapattagokra is visszahat függetlenül egyéni kommunikációs képességeiktől (és kommunikációra való hajlandóságuktól). Nőnek az egyéni teljesítmények, gyorsul a döntéshozatal, és javul a minősége, erősödik a csapat tanulási képessége.