29.03.2010

Ожидаемое и реальное поведение людей в окружении безопасности

Есть в Норвегии такой федеральный орган как National Security Authority (это наши ФСТЭК и ФСБ вместе взятые). В 1998 году под его эгидой был выпущен Norwegian Security Act, который обязывал государственные и частные предприятия предпринимать ряд мер по защите конфиденциальной информации. Знакомо, не правда ли? Некоторое время спустя агентство решило проанализировать поведение сотрудников организаций, подпадающих под действие закона, с точки зрения ИБ. Неудивительно, что между ожидаемым (все-таки закон обязателен к исполнению) и реальным поведение был обнаружен разрыв, причиной которому было несколько барьеров:
  • юзабилити (удобство/неудобство) безопасности (как систем, так и процедур и процессов)
  • отсутствие у сотрудников необходимых знаний в области ИБ
  • отношение к безопасности (например, "старые" сотрудники не запускали утвержденный процесс реагирования на инцидент, произошедший по вине новичков, предпочитая поговорить с ними "по душам" и дать им еще один шанс в ущерб установленным правилам)
  • отсутствие культуры безопасности (например, сотрудники часто думают или говорят "почему я должен это делать, если мой коллега этого не делает?")
  • конфликт целей (классическая диллема: что важнее - запустить продукт к заданному сроку, но без серьезных проверок на безопасность, или досконально проверить защищенность, но сорвать сроки запуска проекта?)
  • традиционные человеческие ошибки.

Предположу, что аналогичные барьеры существуют не только в Норвегии, но и в любой стране и любой организации, внедряющей различные технологии и практики ИБ. А раз эти барьеры одинаковы, то, зная о них, можно подготовить и меры по снижению их негативного эффекта. Без этого любые попытки навязать какое-либо обязательное требование или заставить выполнять федеральный закон или иной нормативный акт будут обречены на провал.

2 коммент.:

Михаил комментирует...

Норвежцы радуют. И тебе благодарность, что нашёл интересную информацию и поделился оной. К сожалению, почти не читаю зарубежную литературу по ИБ. Результат - "дыры в сознании".

eagle комментирует...

Есть еще один важный, на мой взгляд, момент. Психологическое сопротивление людей изменениям - привычки и инерция, непредсказуемость последствий, страх перед неизвестным...