Prawdziwa współpraca zaczyna się od słuchania. Wydaje się to oczywiste, ale w obszarze bezpieczeństwa cyfrowego ludzie często zbyt szybko przechodzą do rozwiązań. Jest skan, standard, narzędzie, dashboard czy umowa. Wszystko to może się przydać. Jednak bez dobrego zrozumienia kontekstu istnieje ryzyko, że udzielimy technicznej odpowiedzi na pytanie administracyjne, społeczne lub prawne.

Słuchanie oznacza, że ​​użytkownicy, administratorzy, dyrektorzy, prawnicy, dostawcy i badacze są traktowani poważnie w oparciu o swoją wiedzę specjalistyczną. Użytkownik wie, gdzie utknęła praca. Administrator zna historyczne wybory w systemie. Prawnik widzi jurysdykcję i odpowiedzialność. Kierowca musi rozważyć ryzyko. Badacz widzi wzorce. Łączenie to łączenie tej wiedzy.

Bezpieczeństwo informacji to w pełnym tego słowa znaczeniu zawód łączący. Dostępność, integralność i poufność nie są gwarantowane przez jeden dział. Wynikają one z połączenia technologii, organizacji i regulacji. Model ROT wyjaśnia to: zasady bez wdrożenia nie działają, organizacja bez technologii pozostaje papierem, a technologia bez ram administracyjnych wędruje.

Fundamenten pokazuje również, że ryzyko jest często rozumiane odmiennie. CISO szybko mówi o lukach w zabezpieczeniach, poprawkach i scenariuszach ataków. Dyrektor myśli w kategoriach ciągłości, reputacji, zobowiązań prawnych i celów organizacyjnych. Słuchanie i łączenie oznacza, że ​​te języki są tłumaczone. Nie „istnieje krytyczny CVE”, ale „jeśli zostanie on nadużyty, nasz główny proces zostanie zatrzymany, a obywatele lub klienci stracą zaufanie”.

Słuchanie pomaga również uwidocznić zależności. Wiele zagrożeń nie wynika ze spektakularnej podatności na zagrożenia, ale z założeń, które nigdy nie zostały wyrażone. Wszyscy myślą, że dostawca jest wymienny. Wszyscy myślą, że dane można eksportować. Wszyscy uważają, że kopia zapasowa jest przydatna. Dopóki ktoś nie zapyta: czy testowaliśmy to?

LibreKAT chce pozostawić takie pytania pod dyskusję, nie potępiając ich od razu. Otwarty dialog umożliwia lepsze podejmowanie decyzji. Daje pole do stwierdzenia, że ​​coś jest jeszcze nie tak, że migracja będzie trudna lub że ryzyko jest świadomie akceptowane. Zachowanie milczenia do czasu, aż incydent sprawi, że wszystko stanie się widoczne, jest znacznie droższe administracyjnie.

Łączenie oznacza również, że strony publiczne i prywatne potrzebują siebie nawzajem. Odporność cyfrowa nie jest własnością jednego sektora. Rząd, firmy, edukacja, organizacje społeczne i społeczności open source wspólnie zarządzają infrastrukturą, na której działa społeczeństwo. Jeśli działają na rzecz różnych celów, powstają luki w wiedzy, standardach i odpowiedzialności.

Dlatego słuchanie nie jest bierne. Jest to aktywne badanie tego, co się dzieje i co jest potrzebne. Wymaga zadawania dobrych pytań, umiejętności tolerowania dyskomfortu i chęci korygowania wniosków, gdy wymagają tego nowe informacje.

Dzięki temu rejestr ryzyka to coś więcej niż arkusz kalkulacyjny. Jest to stół dyskusyjny, na którym zbierają się sygnały z audytów, incydentów, zarządzania dostawcami, pracownikami i informacjami o zagrożeniach. Łączenie oznacza, że ​​sygnały te nie pozostają u osoby, która je przypadkiem widzi, ale przekładają się na własność i decyzje.

Dla LibreKAT słuchanie i łączenie się jest warunkiem zaufania. Ludzie chętniej zaufają procesowi, jeśli zauważą, że ich rzeczywistość została zrozumiana. Organizacje podchodzą do działań poważniej, jeśli pasują do kontekstu. Społeczności rozwijają się, gdy słychać wkład.

Bezpieczeństwo cyfrowe poprawia się, gdy poprawia się rozmowa. Nie dlatego, że wystarczy mówić, ale dlatego, że działanie bez słuchania często idzie w złym kierunku. Połączenie to droga od indywidualnych spostrzeżeń do wspólnej odporności.