Справедлива культура означає, що помилки – це можливість вчитися, а не автоматичні причини для покарання. Це не прохання про необов’язковість. Насправді це спосіб краще організувати відповідальність. Організація, яка лише шукає винних, дізнається менше, ніж організація, яка досліджує причини помилки.
Це надзвичайно важливо для цифрової безпеки. Інциденти рідко виникають через одну дію однієї людини. Робочий тиск, незрозумілі процедури, неадекватні інструменти, відсутність навчання, залежність від постачальника або поганий дизайн часто відіграють роль. Якщо аналіз зупиняється на останньому клацанні працівника, справжні причини залишаються.
Основи інформаційної безпеки наводять авіацію як приклад зрілого мислення безпеки. Crew Resource Management з’явився тому, що ієрархія та погана комунікація можуть бути смертельними. Контрольні списки, тренінги та систематичне навчання на основі майже інцидентів — це не бюрократія, а способи виявити людські помилки, перш ніж вони стануть катастрофою.
Тому справедлива культура вимагає розрізнення. Безрозсудна поведінка повинна бути обмежена. Навмисний саботаж повинен мати наслідки. Але людські помилки, помилки та повідомлення про сумніви необхідно безпечно обговорювати. Інакше сигнали зникають під столом і організація стає залежною від випадку.
У матеріалі «Основи інформаційної безпеки» психологічна безпека визначена як вимірна та обговорювана частина команд. Такі питання, як те, чи використовуються помилки проти людей, чи можна обговорювати складні питання та чи безпечно звертатися за допомогою, безпосередньо стосуються кібербезпеки. Там, де люди мовчать, система стає сліпою.
Хороша культура звітності забезпечує безпеку швидше. Про вразливості повідомлялося раніше. Майже промахи дають очки навчання до того, як станеться пошкодження. Команди наважуються поставити під сумнів припущення. Адміністратори можуть сказати, що документація відсутня. Користувачі можуть вказати, що міра непрацездатна. Це не слабкість, а зрілість.
LibreKAT також застосовує справедливу культуру до досліджень і аудиту. Висновок — це не публічне приниження, а інформація, яка може допомогти організації покращитися. Звичайно, ризики можуть бути серйозними, і іноді потрібна різкість. Але метою залишається вдосконалення. Аудит цінності допомагає людям зрозуміти, що відбувається, чому це важливо та який можливий наступний крок.
Ось чому подальше спостереження є таким важливим. Аудит не закінчується звітом, а інцидент не закінчується відновленням. Цінність виникає в аналізі першопричини, плані покращення, доказах відновлення та повторенні тесту. Just culture без подальших заходів стає розмовами про навчання. Лише культура з подальшою діяльністю робить навчання видимим.
Справедлива культура поєднується з суверенітетом, оскільки керівництво вимагає чесного погляду на реальність. Якщо директори чують лише хороші новини, вони не можуть зробити правильний вибір. Якщо постачальники повідомляють лише про успіхи, залежність залишається прихованою. Коли команди приховують помилки, безпека перетворюється на театр.
Ось чому LibreKAT заохочує культуру, в якій звітування є безпечним, а навчання нормальним. Відповідальність і поблажливість не виключають одне одного. Навпаки: лише тоді, коли люди можуть бути чесними щодо того, що йде не так, організація може суворо ставитися до вдосконалення.
Справедлива культура – це, зрештою, механізм надійності. Це збільшує ймовірність того, що інформація з’явиться до того, як інцидент розгорнеться. Це не робить помилки кінцевою точкою, а початком кращих систем, кращих угод і кращої співпраці.