Bezpieczeństwo przede wszystkim brzmi prosto, ale to trudny wybór. Oznacza to, że bezpieczeństwo informacji nie jest dodawane na końcu projektu i nie powinno pozwolić, aby zniknęło w tyle za wygodą, szybkością i atrakcyjnością rynkową. Bezpieczeństwo jest punktem wyjścia do projektowania, wdrażania i odpowiedzialności.

To sformułowanie celowo nawiązuje do lotnictwa. W lotnictwie safety first nie jest hasłem na plakacie, ale sposobem pracy: standardowe procedury, listy kontrolne, crew resource management, kultura zgłaszania, szkolenia, badanie incydentów oraz dyscyplina, aby pod presją czasu nie normalizować niepotrzebnego ryzyka. Lot nie jest bezpieczny dlatego, że nic nie poszło źle, lecz dlatego, że ludzie, procesy i technologia są zorganizowane tak, aby wychwytywać błędy, zgłaszać odchylenia i wprowadzać wnioski z powrotem do działania.

Ta lekcja z lotnictwa jest bezpośrednio istotna dla bezpieczeństwa informacji. Systemy cyfrowe są złożone, zespoły zależą od siebie, a małe odchylenia mogą mieć duże konsekwencje. Bezpieczeństwo wymaga więc czegoś więcej niż bohaterskich ekspertów lub drogich narzędzi. Wymaga organizacji, która uwidacznia niepewność, korzysta z list kontrolnych tam, gdzie pomagają, potrafi odtworzyć decyzje i daje ludziom przestrzeń do wczesnego zgłaszania wątpliwości lub błędów.

Bezpieczeństwo informacji klasycznie odnosi się do dostępności, integralności i poufności. Te trzy słowa nie są abstrakcyjnym modelem, ale opisują, czy organizacja może dalej funkcjonować, czy dane są wiarygodne i czy informacje są chronione przed nieuprawnionym dostępem. Jeśli brakuje jednego z tych trzech elementów, bezpieczeństwo nie jest już obietnicą, lecz założeniem.

Dlatego dla LibreKAT bezpieczeństwo jest na pierwszym miejscu, dlatego zwracamy uwagę nie tylko na słabe punkty, ale także na łatwość zarządzania. Kto może uzyskać dostęp do danych? Kto może wstrzymać usługi? Kto może zmienić oprogramowanie? Kto może sprawdzić, czy środek rzeczywiście działa? Te pytania dotyczą nie tylko techników, ale także administratorów, kupujących, prawników i użytkowników.

W Podstawach bezpieczeństwa informacji podsumowuje się to jako ROT: regulacje, organizacja i technologia. Ustawodawstwo i standardy zapewniają ramy. Organizacja określa role, mandaty, procesy i kulturę. Technologia dostarcza narzędzi takich jak logowanie, zarządzanie dostępem, segmentacja i monitorowanie. Tylko wtedy, gdy te trzy elementy będą współdziałać, powstanie bezpieczeństwo, które będzie czymś więcej niż zbiorem indywidualnych środków.

Bezpieczeństwo wymaga przede wszystkim dyscypliny. Nie dlatego, że wszystko jest niebezpieczne, ale dlatego, że uzależnienia cyfrowe często powstają po cichu. Dostawca staje się ważniejszy. Link staje się niezbędny. Środowisko chmurowe staje się miejscem, w którym tożsamość, dokumenty, komunikacja i kopie zapasowe łączą się. Dopóki wszystko działa, wydaje się, że jest wydajny. Dopiero w razie zdarzenia staje się jasne, czy istnieje alternatywa.

Dlatego bezpieczeństwo w LibreKAT jest weryfikowalne. Środek należy wyjaśnić, przetestować i, w razie potrzeby, odtworzyć. Pomagają w tym otwarte narzędzia, przejrzysta dokumentacja i powtarzalne badania. Nie czynią z bezpieczeństwa rytuału, ale praktykę, którą inni mogą obserwować i w której ustalenia nie zależą wyłącznie od zaufania.

Bezpieczeństwo przede wszystkim oznacza również wytyczenie granic. Nie każda zależność jest zła. Czasami outsourcing jest racjonalny i bezpieczniejszy niż robienie wszystkiego samodzielnie. Jednak zależności muszą być celowe, odwracalne i odpowiednie do ryzyka. Inne wymagania dotyczą biuletynu niż zarządzania tożsamością czy danych pacjentów. Rozmowa dorosłych zaczyna się od tego rozróżnienia.

Pomocne jest tutaj pytanie Fundacji: czy poszło dobrze, czy zostało zrobione dobrze? Ta różnica jest zasadnicza. Organizacja może przetrwać lata bez żadnych incydentów i nadal działać przy szczęściu. Bezpieczeństwo przede wszystkim wymaga, abyśmy byli w stanie wykazać, dlaczego coś zostało zrobione dobrze: jakie ryzyko zostało zidentyfikowane, jakie środki wybrano, kto jest za to odpowiedzialny i w jaki sposób sprawdza się, czy coś nadal działa?

Ta podstawowa wartość jest ostatecznie formą obowiązku staranności. Organizacje korzystające z systemów cyfrowych są odpowiedzialne za ludzi, którzy na nich polegają. Obywatele, klienci, pracownicy i partnerzy muszą mieć pewność, że systemy są nie tylko użyteczne, ale także odporne na błędy, presję i zmieniające się okoliczności.

Bezpieczeństwo na pierwszym miejscu nie jest zatem postawą pełną lęku. To zawodowy optymizm z listą kontrolną. Budujemy, dzielimy się i ulepszamy, ale robimy to w oparciu o dowody, scenariusze i chęć wcześniejszego zadawania niewygodnych pytań. Tworzy to przestrzeń dla innowacji, która sprawdza się, gdy robi się ekscytująco.