В индустрии безопасности всегда было принято действовать через запреты, которые для простых пользователей могут ощущаться как хамство:
— Это я решаю, какой антивирус будет у вас стоять, не нравится — идите ищите другую работу
сотрудник ИБ-команды крупной компании в ответ на жалобы пользователей, что новый антивирус замедляет работу примерно в два раза
— Не будет вашего релиза на проде, пока сканы чистые не принесете!
реальный процесс публикации приложений в бигтехе
— По решению службы безопасности ваш аккаунт заблокирован. Подробности сообщить не можем.
из личного опыта, сидя в каршеринге в девять вечера в выходной день, без возможности завершить аренду или хотя бы закрыть машину
Коллег можно понять: они отвечают за безопасность систем и данных миллионов клиентов, у них — тысячи компьютеров и сотни серверов, с которыми работают самые разные пользователи.
Как тут обойтись без запретов, или даже хамства, если это на благо общей безопасности?
Юрий Лотман в своих лекциях подсказывает ответ. Он противопоставляет хамству интеллигентность — внутреннюю свободу, уважение к себе и к другому, душевную чуткость.
Ее можно встретить у крестьянина и у «старого питерского рабочего» — и не встретить у академика с дипломами.
При этом обязательным свойством интеллигентности он называет коммуникацию: способность и желание понимать другого человека.
Что это значит для нас?
На возражения пользователей — например, владельцев продукта, которые не понимают сути уязвимостей:
— Да, мы видим, что тут много уязвимостей, и какой конкретно риск это для нас создает?
— Мы поняли, что уровень соответствия был красный, сейчас стал желтый. А что для нас это означает?
— Может быть, желтый уровень — это нормально, нам больше и не надо?
Достаточно поговорить: объяснить на понятном для них языке, что это значит для их продукта, для их клиентов и в контексте их целей и смыслов.
Это поможет им увидеть безопасность не как что-то абстрактное и навязанное извне — а как ценность и свойство собственных продуктов, важное и для компании, и для пользователей, и для них лично.
Таким путем внешние запреты заменяются внутренним навыком.
И вот уже те самые владельцы продукта, аналитики и разработчики сами задаются такими вопросами и помогают друг другу
, ведь их общая цель — сделать не что попало, а крутой, а значит качественный, а значит — безопасный продукт. @startwithease
