W rozmowach o odporności firmowego IT prędzej czy później pada propozycja wielkiej zmiany. Nowa architektura, nowy model, wszystko naraz. Brzmi imponująco i właśnie w tym tkwi pułapka. Rewolucje dobrze wyglądają na slajdach. Ewolucja realnie poprawia odporność.
Pierwsza wątpliwość brzmi zwykle tak: czy odporność w ogóle da się budować etapami, czy wymaga jednej wielkiej przebudowy? Odpowiedź jest jednoznaczna. Zdecydowanie da się, a nawet tak właśnie powinno się ją budować. Absolutnym minimum odporności jest redundancja, a kolejne cechy dojrzałej architektury przychodzą wraz z rozwojem organizacji. To z natury proces, nie projekt z jedną datą końcową.
Podejście etapowe ma jednak swój warunek. Wymaga wykonania pierwszego kroku, którym powinno być usunięcie największego ryzyka. To zdanie warto czytać dosłownie. Nie chodzi o ryzyko najłatwiejsze do usunięcia, najtańsze w obsłudze ani to, które akurat ma w organizacji swojego orędownika. Chodzi o największe.
W znalezieniu tego ryzyka pomagają sposoby opisywane przez Talex: cztery brutalne pytania o gotowość, dziesięć pytań zarządu do działu IT i pytanie o największy pojedynczy punkt awarii. Odpowiedzi zwykle wskazują to samo miejsce. I właśnie tam powinien trafić pierwszy etap.
Taka kolejność działa z dwóch powodów. Pierwszy jest oczywisty: od pierwszego dnia maleje realne zagrożenie dla firmy. Drugi mniej: każdy etap buduje na poprzednim. Widzieliśmy to przy porównaniu modeli infrastruktury, gdzie hosting albo kolokacja bywają pierwszym krokiem, a zbudowane w ten sposób środowisko staje się później elementem hybrydy. Ewolucja nie wyklucza ambitnego celu. Po prostu dochodzi do niego bezpieczniejszą drogą.
Etapowość ma też wymiar ludzki. Wielkie wdrożenie przez długie miesiące nie pokazuje żadnych efektów, więc traci poparcie, zanim zdąży coś zmienić. Etap zamknięty w rozsądnym czasie daje organizacji dowód, że zmiana działa, i argument za kolejnym krokiem. Odporność rośnie wtedy razem z zaufaniem do całego procesu.
Pozostaje praktyczny problem: jak przekonać firmę do ewolucji, skoro rewolucja brzmi atrakcyjniej? Najskuteczniejszym sposobem jest zmiana płaszczyzny rozmowy z technologicznej na biznesową. Rozmawiajmy nie o technologii, a o ryzyku i koszcie. Na płaszczyźnie technologicznej wygrywają wizje i nowości. Na płaszczyźnie biznesowej wygrywa rachunek: które ryzyko usuwamy, ile to kosztuje i co się stanie, jeśli nie zrobimy nic.
Ta zmiana języka ma jeszcze jedną zaletę. Włącza do rozmowy zarząd i finanse, czyli osoby, które o ryzyku i koszcie decydują na co dzień. Pisaliśmy już, że właścicielem cyberbezpieczeństwa musi być zarząd. Rozmowa o ryzyku i koszcie jest naturalnym językiem tej własności.
Na koniec uczciwa uwaga o slajdach. Plany rewolucji naprawdę dobrze na nich wyglądają i czasem bywają potrzebne. Ale odporność firmy nie rośnie w prezentacjach. Rośnie z każdym usuniętym ryzykiem, z każdym przećwiczonym scenariuszem i z każdym etapem, który stanął na poprzednim. Ewolucja bywa mniej widowiskowa. Za to działa.
