It's a people thing!

peopleВ портфеле GamingWorks есть игра Oceans99™, посвященная управлению информационной безопасностью. Согласно сценарию, владелец токийского банка организует выставку в токийском музее, выставляя три очень известных и дорогих экспоната, которые привлекают внимание криминальной группы Oceans99. Задача команды заключается в успешной доставке объектов в токийский музей так, чтобы не допустить кражу.

Пол Вилкинсон поделился на своей странице в LinkedIn весьма любопытными наблюдениями от недавно проведенной симуляции и уроками, которые усвоила команда, которые по большей части, конечно, одинаково применимы к любой области управления ИТ.

"Сначала команда выполняла упражнение по идентификации угроз, уязвимостей и рисков. При этом никто даже не заглянул в политику безопасности, чтобы ограничить охват рисками информационной безопасности — падения самолетов, наводнения, ураганы и землетрясения вскоре стали преобладать в обсуждении. Один из участников выполнял роль аудитора и использовал чеклисты из Resilia. Однако команда (в основном – бизнес-менеджеры) считала аудитора и, более того, даже менеджера по безопасности скорее препятствиями для выполнения работы, что уводило команду далеко от реальных проблем с ИБ.

Когда бизнес-менеджеры осознали, что игра в первую очередь про ИБ, они начали активно вкладываться в защиту ИТ-систем, игнорируя тот факт, что информация также является критичным активом. В итоге карты маршрутов доставки остались не защищенными, что могло привести к многомиллионным потерям и итоговому провалу проекта.

Аудитор сообщал об отклонениях, но бизнес-менеджеры быстро остудили его пыл вопросом «Можно ли в этой игре уволить аудитора?». Предложения по контрмерам менеджера по безопасности проходили с трудом из-за неспособности подготовить адекватные бизнес-обоснования.

Естественно, что в Oceans99 злоумышленники могут эксплуатировать неизвестные менеджменту уязвимости, что требует процедур реагирования и восстановления, о которых участники игры, конечно, также забыли.

В конце игры участники пришли к следующим заключениям:

  • Каналы коммуникации должны быть формализованы, необходимо понимание, кто в какой информации нуждается и для принятия каких решений
  • Ответственность ролей должна быть полностью прояснена, необходимы матрицы RACI
  • Больше внимания командной работе: должно быть понимание, как согласовывать решения, как разрешать противоречия
  • Требуется сквозное понимание каждого проекта/процесса, особенно в контексте бизнес-потребностей и ожидаемых результатов
  • Необходимо фиксировать идеи (полученные знания, опыт и предложения по совершенствованию)
  • Необходимо как можно чаще собираться всей командой для обмена опытом
  • Требуется подход по приортитизации рисков, контрмер, проектов, инициатив, в основе которого должны лежать критичность актива и бизнес-влияние
  • Срочность почти всегда крайне субъективна: уровень срочности необходимо связать с бизнес-контекстом
  • Каждый сотрудник компании играет роль в обеспечении ИБ
  • Меньше доверия, больше подозрения: необходима более широкая осведомленность об уязвимостях и прочих аспектах безопасности
  • Системный подход, правильный выбор уровня авторизации различных решений – самое важное для достижения результата
  • Анализировать обратную связь: люди в проектах часто неспособны взглянуть на результаты со стороны и увидеть эффект, слабые стороны и возможности

Как видно, основные выводы, которые сделала команда, едва ли связаны с технологиями; обеспечение ИБ – в первую очередь про людей, их отношение к работе, культуру и поведение".

GamingWorks Деловые игры на серьёзные темы:

  • Apollo-13 — ITSM на практике
  • Grab@Pizza — ИТ и основной бизнес
  • The Challenge of Egypt — управление проектами
  • 2020 — организационные изменения
  • Проект Феникс — DevOps на практике

 
Узнайте больше!

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

Ближайшие мероприятия

Зарегистрируйтесь, чтобы получить больше полезных знаний:

ОКТ
22