Zarząd nie musi znać się na technologii, żeby ocenić odporność własnej firmy. Musi za to zadać właściwe pytania. W rozmowach o bezpieczeństwie najlepiej sprawdza się jedna zasada: nie chcę wiedzieć, czy jesteśmy zabezpieczeni. Chcę wiedzieć, czy jesteśmy w stanie działać, gdy zabezpieczenia zawiodą.

Ta zasada zmienia charakter rozmowy. Pytanie o zabezpieczenia zaprasza do prezentacji narzędzi i procedur. Pytanie o zdolność działania wymusza konkrety: liczby, terminy, scenariusze. Dziesięć pytań poniżej zamienia tę zasadę w praktykę.

Pierwsza grupa dotyczy zależności od świata zewnętrznego. Czy możemy dalej działać, jeśli stracimy głównego dostawcę IT? Czy możemy przenieść się do innego środowiska? Czy ktoś może nas wyłączyć decyzją administracyjną lub prawną? Te trzy pytania sprawdzają, na ilu zewnętrznych decyzjach wisi działanie firmy. O tym, dlaczego zależność od dostawców stała się ryzykiem strategicznym, pisaliśmy w tej serii osobno.

Druga grupa dotyczy danych. Czy mamy kopię danych poza głównym środowiskiem? Czy i skąd wiemy, że nasze dane są czyste? Gdzie dokładnie są nasze najważniejsze dane? Słowo skąd w środkowym pytaniu robi całą robotę. Odpowiedź w stylu zakładamy, że tak, niczego nie dowodzi. Odpowiedź sprawdzamy to w taki sposób już tak.

Trzecia grupa mierzy zdolność powrotu do działania. Jak długo trwa pełne odtworzenie działania firmy? Czy regularnie ćwiczymy scenariusz katastrofy? Pierwsze z tych pytań powinno mieć odpowiedź w godzinach lub dniach, a nie w formie zobaczymy. Drugie oddziela plan na papierze od planu prawdziwego, o czym również pisaliśmy szerzej.

Zostają dwa pytania, które spinają całość. Co jest naszym największym pojedynczym punktem awarii? Oraz: ile kosztuje godzina przestoju? Pierwsze wskazuje, gdzie zacząć pracę nad odpornością. Drugie pozwala tę pracę uzasadnić finansowo, bo zestawia koszt przygotowań z kosztem ich braku.

Kolejność pytań nie jest przy tym świętością. W praktyce dobrze działa zaczęcie od kosztu godziny przestoju, bo ta odpowiedź nadaje wagę wszystkim pozostałym. Gdy okazuje się, ile firma traci na każdej godzinie niedostępności, pytania o kopię danych, scenariusz katastrofy i pojedynczy punkt awarii przestają brzmieć jak techniczna ciekawostka. Zaczynają brzmieć jak rachunek.

Z listy najlepiej korzystać bez oczekiwania, że wszystkie odpowiedzi padną od razu. Wartość pierwszego podejścia polega na czym innym. Pokazuje, które odpowiedzi istnieją, które wymagają sprawdzenia, a których nikt nigdy nie szukał. Każde nie wiem to nie porażka, tylko punkt do agendy następnego spotkania.

Warto też uprzedzić naturalną obawę działu IT. Te pytania nie są egzaminem ani szukaniem winnych. Są zaproszeniem do rozmowy, w której bezpieczeństwo opisuje się skutkami dla biznesu, a nie parametrami systemów. Taki wspólny język najlepiej zbliża zarządy i zespoły techniczne.

Dziesięć pytań, jedno spotkanie, zero technicznego żargonu. W zamian zarząd dostaje rzecz bezcenną: obraz odporności firmy oparty na faktach, a nie na poczuciu, że ktoś się tym zajmuje. A od takiego obrazu zaczyna się każda dobra decyzja.