Netöryggi snýst líka um að þora að segja frá

Þegar rætt er um net- og upplýsingaöryggi beinist athyglin oft að tækninni og kerfunum. Eldveggir, fjölþátta auðkenning, uppfærslur og öryggiskerfi fá eðlilega mikið vægi. En á bak við hvert kerfi eru manneskjur. Og manneskjur gera mistök.

Við höfum flest sent tölvupóst á rangan viðtakanda, smellt á tengil áður en við hugsuðum okkur um eða vistað upplýsingar á röngum stað. Slík mistök verða sjaldnast að alvarlegum öryggisatvikum. En stundum gerist það. Þá skiptir ekki aðeins máli hvað gerðist heldur hversu fljótt við þorum að segja frá því.

Raunveruleg hætta í net- og upplýsingaöryggi felst því oft ekki í mistökunum sjálfum heldur í þögninni sem getur fylgt þeim. Sú þögn getur sprottið af ótta við afleiðingar og endurspeglað vinnustaðamenningu þar sem mistök eru ekki rædd opinskátt.

Ímyndum okkur starfsmann sem áttar sig á því að hann hafi mögulega smellt á falskan tengil og slegið inn notandanafn og lykilorð. Fyrstu viðbrögðin geta verið mjög mannleg: Kannski gerðist ekkert. Ætti ég að bíða aðeins? Hvað ef ég segi frá og þetta reynist svo ekkert hafa verið? Mun fólk halda að ég hafi verið kærulaus?

Þessar mínútur skipta máli.

Ef starfsmaðurinn lætur strax vita af mistökunum er mögulega hægt að skipta um lykilorð, loka virkum innskráningum og kanna hvort óeðlileg virkni hafi átt sér stað. Ef beðið er í nokkrar klukkustundir, eða jafnvel fram á næsta dag, getur staðan verið orðin allt önnur.

Tæknilegar varnir geta verið framúrskarandi en þær hjálpa minna ef starfsfólk treystir sér ekki til að láta vita þegar eitthvað fer úrskeiðis. Lítið atvik sem tilkynnt er strax getur verið stöðvað áður en það veldur tjóni. Sama atvik getur orðið að mun stærra vandamáli ef enginn veit af því fyrr en síðar.

Sterk öryggismenning gerir ráð fyrir mannlega þættinum og viðurkennir að mistök geti gerst. Markmiðið getur ekki verið að útrýma öllum mannlegum mistökum. Mikilvægara er að draga úr líkum á þeim og mögulegum áhrifum þeirra með því að tryggja að brugðist sé hratt við þegar þau verða.

Slík menning byggir á trausti og opnum samskiptum þar sem starfsfólk veit að tilkynningar um atvik eru hluti af ábyrgri hegðun, ekki veikleikamerki.

Það skiptir miklu máli hvernig tekið er á móti fólki þegar það tilkynnir mistök. Ef fyrsta spurningin er „Hvernig gastu gert þetta?“ eru skilaboðin allt önnur en ef spurt er: „Hvað gerðist og hvað þurfum við að gera núna?“

Viðbrögðin við einu atviki geta þannig mótað hegðunina við það næsta. Starfsmaður sem upplifir stuðning er líklegri til að tilkynna aftur. Sá sem upplifir skömm eða ásakanir getur hins vegar lært að næst sé betra að segja sem minnst.

Við getum lært af öðrum geirum. Í flugheiminum hafa atvik, frávik og mistök lengi verið skráð og greind með það að markmiði að læra af þeim og koma í veg fyrir að þau endurtaki sig. Svipuð hugsun hefur fengið aukið vægi í heilbrigðiskerfinu og öðrum mikilvægum geirum.

Þessi nálgun á jafn vel við um net- upplýsingaöryggi. Þegar mistök eiga sér stað ætti ekki fyrsta spurningin að vera hver gerði þau, heldur af hverju gerðust þau. Var ferlið nægilega skýrt? Hafði starfsfólkið réttar upplýsingar? Hafði það fengið réttar leiðbeiningar og þjálfun? Var kerfið hannað þannig að auðvelt var að gera mistök? Hefði verið hægt að setja upp varnir sem minnkuðu líkurnar á þeim eða áhrifum þeirra?

Þannig breytist greining á mistökum úr því að vera leit að sökudólgi yfir í að vera leit að lærdómi. Við verðum að færast úr heimi þagnar yfir í heim samtals og samvinnu.

Fáar tilkynningar um öryggisatvik eru því ekki endilega merki um að fá atvik eigi sér stað. Þær geta líka þýtt að fólk sé ekki að segja frá þeim. Vinnustaður þar sem starfsfólk tilkynnir grunsamlega tölvupósta, eigin mistök og óvenjulega hegðun kerfa, getur einmitt verið vinnustaður þar sem fólk tekur virkan þátt í örygginu og er merki um heilbrigða og nauðsynlega öryggismenningu.

Þetta þýðir ekki að ábyrgð skipti ekki máli. Ábyrgð snýst líka um að bregðast rétt við þegar mistök verða. Að segja strax frá og taka þátt í að leysa vandann er ábyrg hegðun.

Það þarf líka að vera einfalt að tilkynna. Starfsfólk ætti að vita hvert það á að leita og hvað það á að gera þegar eitthvað gerist. Þegar tíminn skiptir máli eiga boðleiðirnar að vera skýrar.

Stjórnendur gegna þar lykilhlutverki. Öflug öryggismenning verður ekki til í stefnuskjölum einum saman heldur í viðvarandi samtali og viðbrögðunum þegar eitthvað gerist. Starfsfólk þarf að vita að það sé betra að tilkynna einu sinni of oft en einu sinni of sjaldan.

Við þurfum að skapa umhverfi þar sem fólk þorir að segja: „Ég held að ég hafi gert mistök.“

Slík setning ætti ekki að vekja ótta heldur koma af stað viðbrögðum.

Besta öryggismenningin er nefnilega ekki sú þar sem enginn gerir mistök. Hún er sú þar sem fólk þorir að segja frá þeim nógu snemma til að hægt sé að bregðast við og koma í veg fyrir að lítil mistök verði að stórum öryggisatvikum.

Höfundur er sérfræðingur í net- og upplýsingaöryggi hjá netöryggissviði Fjarskiptastofu.