אבטחת מידע התנהגותית – פרק 16
- binyxisrael
- 8 בפבר׳
- זמן קריאה 2 דקות
תרבות האשמה מול תרבות הלמידה: למה ארגון שמעניש על טעויות - נעשה פחות בטוח
יש דבר אחד שמסוכן כמעט כמו מתקפת סייבר:
ארגון שבו אנשים מפחדים לומר “טעיתי”.
כי במציאות, טעויות קורות.
השאלה החשובה היא מה קורה מיד אחרי הטעות:
האם היא נעצרת בזמן, או מתגלגלת לנזק גדול.
וכאן נכנסת לתמונה התרבות הארגונית.
הפרדוקס: כשמחפשים אשמים – מקבלים יותר נזק
בתרבות של האשמה המסר לעובד ברור:
“אם תטעה – תיענש”.
ומה קורה בפועל?
אנשים מסתירים
דוחים דיווח
מקווים “שזה יעבור”
מנסים לפתור לבד
חוששים לפנות לתמיכה
הכוונה היא “לחנך”, אבל התוצאה הפוכה:
הארגון מאבד את הדבר שהוא הכי זקוק לו בשעת אמת – זמן.
ובאבטחת מידע, זמן הוא ההבדל בין תקלה קטנה לבין אירוע אבט״מ מתפתח.
למה אנשים מסתירים טעויות? בעיקר בגלל בושה
בושה חזקה מהיגיון.
גם עובד אחראי וחכם עלול להסתיר טעות כי הוא חושש:
להיראות לא מקצועי
לאבד אמון
להיתפס כ“בעיה”
להסתבך מול מנהל
הסכנה הגדולה היא שכאשר אדם מסתיר טעות, הוא נשאר לבד מול הבעיה – והתוקף מקבל עוד זמן לעבוד בשקט.
תרבות למידה: דיווח מהיר הוא אחריות, לא חולשה
תרבות למידה אינה אומרת “הכול מותר”.
היא אומרת שיש להבחין בין טעות אנוש חד־פעמית וסבירה לבין זלזול מודע וחוזר בכללים
בתרבות למידה עובד יודע דבר פשוט:
אם קרה משהו – מדווחים מיד, ולא “נכנסים לחקירה”.
וכשזה קורה, הארגון מרוויח:
התרעה מוקדמת
אפשרות לבודד את האירוע
תיעוד רציף
תיקון תהליכים
שיפור אמיתי לטווח ארוך
השאלה הנכונה: לא “מי אשם?” אלא “מה אפשר לתקן?”
תרבות אשמה שואלת: מי עשה את זה?
תרבות למידה שואלת: איך זה התאפשר?
דוגמה: אם עובד פתח קובץ מזויף – ייתכן שהבעיה אינה “עובד לא זהיר”, אלא:
מערכת שמאפשרת פתיחת קבצים בלי בידוד
אין דרך קצרה וברורה לאימות בקשות
ריבוי התראות שמקהה את תשומת הלב
לחץ תמידי “להספיק מהר”
במילים אחרות: במקום “לתקן את האדם” – מתקנים את הסביבה ואת התהליך.
“אבל אם לא נעניש, אנשים יזלזלו”
זו דאגה טבעית, אבל היא מתעלמת מעיקרון בסיסי:
ארגון בטוח לא נשען על פחד, אלא על הרגלים נכונים ותכנון חכם.
כן, צריך גבולות. כן, צריך סטנדרט.
אבל תגובה נכונה יודעת להבחין בין:
טעות חד־פעמית
עקיפה שנולדה מלחץ או מחיכוך מיותר
התנהגות מסוכנת שחוזרת שוב ושוב למרות הסברים וכלים
ברוב המקרים, הפתרון אינו עונש – אלא שינוי תהליך, התאמת הרשאות, או יצירת דרך קלה יותר לעבוד נכון.
איך בונים תרבות שמדווחים בה מהר
כמה כללים פשוטים שעושים הבדל גדול:
מנסחים מסר ברור: “דיווח מוקדם מציל את הארגון”
מורידים בושה: “טעויות קורות – העיקר לדווח בזמן”
מפרידים בין אדם לאירוע: בודקים תהליך, לא אופי
יוצרים מסלול דיווח קצר: למי פונים, איך מדווחים, ומה קורה אחר כך
מנהלים נותנים דוגמה אישית: מודים בטעות ומראים איך מתקנים
סוגרים מעגל: “דיווחתם – טיפלנו – תודה” (זה קריטי לבניית אמון)
סיכום
בארגון שמחפש אשמים – אנשים שותקים.
בארגון שמבקש ללמוד – אנשים מדווחים.
והאמת פשוטה:
ארגון שבו מדווחים מהר – נפגע פחות.
ארגון שבו מסתירים – משלם יותר.
בפרק הבא: אבטחה מול יעילות – למה נהלים שמפריעים לעבודה מעודדים עקיפות, ואיך בונים אבטחה שמאפשרת זרימה במקום מלחמה.
תגובות