Just culture significa che gli errori sono opportunità per imparare, non motivi automatici per punire. Questa non è una richiesta non vincolante. In realtà è un modo per organizzare meglio la responsabilità. Un’organizzazione che cerca solo le parti colpevoli impara meno di un’organizzazione che indaga sul motivo per cui potrebbe verificarsi un errore.

Questo è fondamentale nella sicurezza digitale. Raramente gli incidenti derivano da un’azione di una persona. Spesso giocano un ruolo importante la pressione lavorativa, le procedure poco chiare, gli strumenti inadeguati, la formazione mancante, la dipendenza dai fornitori o una progettazione inadeguata. Se l’analisi si ferma all’ultimo clic del dipendente, le cause reali rimangono.

I fondamenti della sicurezza informatica citano l’aviazione come un esempio di pensiero maturo sulla sicurezza. La gestione delle risorse dell’equipaggio è emersa perché la gerarchia e la scarsa comunicazione possono essere mortali. Liste di controllo, formazione e apprendimento sistematico dai quasi incidenti non sono burocrazia, ma modi per individuare gli errori umani prima che diventino disastri.

La giusta cultura richiede quindi distinzione. I comportamenti imprudenti devono essere limitati. Il sabotaggio deliberato deve avere delle conseguenze. Ma gli errori umani, gli sbagli e le segnalazioni di dubbi devono poter essere discussi in sicurezza. Altrimenti i segnali scompaiono sotto il tavolo e l’organizzazione diventa dipendente dal caso.

Il materiale di Foundations of Information Security identifica la sicurezza psicologica come una parte misurabile e negoziabile dei team. Domande come se gli errori vengono usati contro le persone, se è possibile discutere questioni difficili e se chiedere aiuto è sicuro, sono direttamente collegate alla sicurezza informatica. Dove le persone restano in silenzio, il sistema diventa cieco.

Una buona cultura della segnalazione accelera la sicurezza. Le vulnerabilità sono segnalate in precedenza. I quasi incidenti forniscono punti di apprendimento prima che si verifichi il danno. Le squadre osano mettere in discussione le ipotesi. Gli amministratori potrebbero dire che manca la documentazione. Gli utenti possono indicare che una misura non è attuabile. Questa non è debolezza, ma maturità.

LibreKAT applica la giusta cultura anche alla ricerca e agli audit. Una scoperta non è un’umiliazione pubblica, ma un’informazione che può aiutare un’organizzazione a migliorare. Naturalmente, i rischi possono essere seri e talvolta è necessaria l’acutezza. Ma l’obiettivo resta il miglioramento. Una verifica del valore aiuta le persone a capire cosa sta succedendo, perché è importante e quale sia il prossimo passo fattibile.

Ecco perché il follow-up è così importante. Un audit non termina con la segnalazione e un incidente non termina con il ripristino. Il valore emerge dall’analisi delle cause profonde, dal piano di miglioramento, dall’evidenza del recupero e dalla ripetizione del test. Solo la cultura senza follow-up diventa un discorso di apprendimento. Solo la cultura con follow-up rende visibile l’apprendimento.

Solo la cultura si adatta alla sovranità perché la direzione richiede una visione onesta della realtà. Se i direttori sentono solo buone notizie, non possono fare buone scelte. Se i fornitori segnalano solo successi, la dipendenza rimane nascosta. Quando le squadre nascondono gli errori, la sicurezza diventa teatro.

Ecco perché LibreKAT incoraggia una cultura in cui la segnalazione è sicura e l’apprendimento è normale. Responsabilità e clemenza non si escludono a vicenda. Al contrario: solo quando le persone riescono ad essere oneste su ciò che va storto, un’organizzazione può essere rigorosa riguardo al miglioramento.

Just culture è in definitiva un meccanismo di affidabilità. Aumenta la possibilità che le informazioni emergano prima che un incidente si intensifichi. Non considera gli errori come un punto finale, ma come l’inizio di sistemi migliori, accordi migliori e cooperazione migliore.