Just culture oznacza, że błędy są okazją do nauki, a nie automatycznym powodem do karania. Nie jest to zarzut niewiążący. Jest to właściwie sposób na lepszą organizację odpowiedzialności. Organizacja, która szuka jedynie winnych, uczy się mniej niż organizacja, która bada, dlaczego mógł wystąpić błąd.
Ma to kluczowe znaczenie w bezpieczeństwie cyfrowym. Do incydentów rzadko dochodzi w wyniku jednego działania jednej osoby. Presja w pracy, niejasne procedury, nieodpowiednie narzędzia, brak szkoleń, zależność od dostawcy lub zły projekt często odgrywają rolę. Jeśli analiza zatrzyma się na ostatnim kliknięciu pracownika, prawdziwe przyczyny pozostaną.
Podstawy bezpieczeństwa informacji przytaczają lotnictwo jako przykład dojrzałego myślenia o bezpieczeństwie. Zarządzanie zasobami załogi pojawiło się, ponieważ hierarchia i słaba komunikacja mogą być zabójcze. Listy kontrolne, szkolenia i systematyczne uczenie się na podstawie bliskich incydentów nie są tam biurokracją, ale sposobami wychwytywania ludzkich błędów, zanim przerodzą się w katastrofę.
Dlatego sprawiedliwa kultura wymaga rozróżnienia. Należy ograniczać lekkomyślne zachowania. Celowy sabotaż musi mieć konsekwencje. Należy jednak zapewnić możliwość bezpiecznego omówienia błędów ludzkich, pomyłek i zgłoszeń wątpliwości. W przeciwnym razie sygnały znikają pod stołem, a organizacja uzależnia się od przypadku.
Materiał z Podstaw Bezpieczeństwa Informacji identyfikuje bezpieczeństwo psychiczne jako wymierną i podlegającą negocjacjom część zespołów. Pytania takie jak to, czy błędy wykorzystuje się przeciwko ludziom, czy można omawiać trudne tematy i czy proszenie o pomoc jest bezpieczne, bezpośrednio odnoszą się do cyberbezpieczeństwa. Tam, gdzie ludzie milczą, system staje się ślepy.
Dobra kultura raportowania zapewnia szybsze bezpieczeństwo. Luki są zgłaszane wcześniej. Nieudane wypadki zapewniają punkty nauki, zanim nastąpią szkody. Zespoły mają odwagę kwestionować założenia. Administratorzy mogą stwierdzić, że brakuje dokumentacji. Użytkownicy mogą wskazać, że dane rozwiązanie jest niewykonalne. To nie jest słabość, ale dojrzałość.
LibreKAT kieruje się także kulturą w badaniach i audytach. Ustalenie to nie jest publicznym upokorzeniem, ale informacją, która może pomóc organizacji ulepszyć się. Oczywiście ryzyko może być poważne i czasami konieczna jest ostrość. Celem pozostaje jednak poprawa. Audyt wartości pomaga ludziom zrozumieć, co się dzieje, dlaczego jest to ważne i jaki jest wykonalny następny krok.
Dlatego tak ważne jest monitorowanie. Audyt nie kończy się na raporcie, a incydent nie kończy się na naprawie. Wartość pojawia się w analizie przyczyn źródłowych, planie poprawy, dowodach powrotu do zdrowia i powtórzeniu testu. Sama kultura bez dalszych działań staje się mówieniem o uczeniu się. Sama kultura i kontynuacja sprawiają, że nauka jest widoczna.
Po prostu kultura łączy się z suwerennością, ponieważ kierowanie wymaga uczciwego spojrzenia na rzeczywistość. Jeśli dyrektorzy usłyszą tylko dobre wieści, nie będą mogli dokonywać dobrych wyborów. Jeśli dostawcy zgłaszają tylko sukcesy, zależność pozostaje ukryta. Kiedy zespoły ukrywają błędy, bezpieczeństwo staje się teatrem.
Dlatego LibreKAT promuje kulturę, w której raportowanie jest bezpieczne, a uczenie się jest normalne. Odpowiedzialność i łagodność nie wykluczają się wzajemnie. Wręcz przeciwnie: tylko wtedy, gdy ludzie potrafią szczerze powiedzieć, co idzie nie tak, organizacja może rygorystycznie dążyć do poprawy.
Just culture jest ostatecznie mechanizmem niezawodności. Zwiększa szansę, że informacja wypłynie na światło dzienne, zanim incydent się eskaluje. Nie czyni błędów punktem końcowym, ale początkiem lepszych systemów, lepszych umów i lepszej współpracy.