Są firmy znakomicie wyposażone, które kryzys i tak zaskakuje. Są też firmy o skromniejszym zapleczu, które przechodzą przez incydenty zaskakująco sprawnie. Różnica rzadko leży w sprzęcie. O cyberodporności organizacji tylko w części świadczy jej wyposażenie technologiczne.

Ten wniosek płynie wprost z projektów realizowanych dla wymagających klientów. Bez dobrze zbudowanych procesów ochrony oraz świadomości załogi mamy tylko technologię. A technologia, choć niezbędna, to nie wszystko.

Pierwszym filarem są procesy ochrony. To one przesądzają, czy reakcja na incydent jest działaniem, czy improwizacją. Proces mówi, kto reaguje, w jakiej kolejności, skąd czerpie informacje i komu je przekazuje. Dobrze zbudowany proces działa także wtedy, gdy zawiedzie pojedynczy człowiek albo pojedyncze narzędzie, bo nie jest przywiązany do jednej osoby ani jednego ekranu. Ma to znaczenie zwłaszcza w kryzysie, gdy presja rośnie, a czas się kurczy.

Drugim filarem jest świadomość załogi, czyli wiedza ludzi spoza działu IT o ich roli w bezpieczeństwie firmy. To pracownicy pierwsi widzą podejrzane wiadomości, dziwne zachowania systemów i sytuacje odbiegające od normy. Załoga świadoma zgłasza i pyta. Załoga nieświadoma klika i przemilcza. Żadne narzędzie nie zniweluje tej różnicy w pełni.

Świadomość załogi to przy tym nie jednorazowe szkolenie z prezentacją. To stan, w którym reagowanie na nieprawidłowości jest w firmie czymś normalnym i bezpiecznym. Pracownik, który boi się zgłosić własny błąd, będzie go ukrywał. Pracownik, który wie, że zgłoszenie jest pożądane, daje firmie czas na reakcję. Kultura zgłaszania bywa więc tak samo ważna jak sama wiedza.

Oba filary łączą się z technologią w jedną całość, o czym pisaliśmy przy okazji największego błędnego założenia w budowie cyberodporności. Proporcja z projektów mówi o 60% po stronie narzędzi i 40% po stronie procesów, kompetencji i gotowości organizacji. Procesy ochrony i świadomość załogi to znaczna część właśnie tych 40%.

Stan obu filarów da się wstępnie ocenić dwoma pytaniami. Pierwsze: kiedy nasze procesy ochrony były ostatnio ćwiczone w praktyce, a nie tylko aktualizowane w dokumencie? Drugie: czy pracownik spoza IT wie, co zrobić, gdy zobaczy coś niepokojącego, i czy zrobił to kiedykolwiek naprawdę? Odpowiedzi pokazują, czy firma buduje odporność w ludziach, czy tylko w infrastrukturze.

Jest jeszcze jedna praktyczna konsekwencja. Procesy i świadomość nie wymagają wielkich budżetów, wymagają za to regularności. Szkolenie zrobione raz na trzy lata daje świadomość sprzed trzech lat. Proces przećwiczony przy wdrożeniu i nigdy później opisuje firmę, której już nie ma. To obszar, w którym systematyczność bije rozmach. Kwartalny rytm ćwiczeń i przypomnień robi tu więcej niż jednorazowy zryw.

Technologia pozostaje fundamentem i nikt rozsądny jej nie kwestionuje. Ale fundament to jeszcze nie dom. Firma odporna to taka, w której narzędzia, procesy i ludzie pracują razem, a każda z tych trzech części wie o istnieniu pozostałych. Dwie z nich nie kosztują wiele. Kosztują uwagę.