Не хочу отнимать хлеб у Андрея Прозорова, который активно пишет обзоры для книг, но тут не смог удержаться. Прочитал на выходных книгу психолога Михаила Лабковского "Хочу и буду". Читал я ее не в контексте информационной безопасности, но так уж часто бывает, что многие идеи перекладываю на свою сферу деятельности (помимо основного предназначения книги). И вот в этот раз я, пожалуй, вынесу на страницы блога две мысли, которые могут иметь отношение к ИБ.
Первая мысль банальна до безобразия, но вот я ее пропустил через себя, только прочтя книжку. Звучит мысль просто "Если человек чего-то не хочет, значит он не будет это делать". В самом предисловии автор приводит пример с наркоманами и алкоголиками, которых опытные наркологи отправляют домой сразу же, если видят, что они пришли не сами, а их привели жены, матери, отцы, подруги. Мотивируют это врачи тем, что человек, которого притащили на аркане, никогда не бросит пить или колоться, пока сам не решит это сделать. Это жестоко, но так и есть. Бросать курить, худеть, заниматься спортом... Все это человек не делает, пока сам не захочет. А захочет, никакая дополнительная мотивация ему не нужна. Наверное именно этим объясняется тот факт, что несмотря на большое количество материалов о том, как улучшить ИБ (и не всегда с большими затратами, а то и вовсе без них), многие специалисты по ИБ их не воспринимают. Лет 10 назад я пришел в один крупный банк и моему коллеге, человеку принимающему решения, предложил ряд решений по ИБ, которые должны были улучшить ситуацию с регулярными атаками и эпидемиями внутри финансовой организации. Он тогда мне ответил очень просто: "Меня все устраивает и я не хочу ничего менять". Я тогда еще подумал, ну как же так? Ты же специалист по ИБ, тебе платят, чтобы было лучше, чтобы атак было меньше, чтобы снижались простои и ущерб. Надо признать, что с тех пор он мало изменился :-(
И то, что так или иначе крутилось в голове и иногда проскальзывало в презентациях или заметках в блоге, сформулировалось только на выходных. Специалист по ИБ не будет воспринимать никаких новых идей, если он не хочет ничего менять в сложившемся порядке вещей. А он обычно не хочет, так как его все устраивает. Зарплата идет, за хакерские атаки не увольняют, с регуляторами налажен контакт. Тишь да гладь. Я все время удивлялся, почему казалось бы банальные мысли про то, что безопасность - это не только про угрозы, но и про содействие бизнесу, не находят своего отклика у тех, кому я эту мысль пытался доносить в своих презентациях? Почему идеи про измеримость ИБ выслушиваются, но дальше этого ничего не идет. И вот банальный ответ - не хочется. А если не хочется, то заставить человека делать что-то через палку бесполезно. Это работает очень короткое время.
Вторую мысль я подчерпнул в разделе про детей, которые не хотят учится. Психолог пишет, что происходит это по банальной причине. У современных детей перед глазами одни яркие картинки, видеоклипы, игры. Они привыкли воспринимать информацию именно так, а не так как взрослые. Не зря существует понятие "клиповое сознание". Поэтому и в школе им неинтересно. Их учат-то совсем по другому - зубрежка, доска и мел, домашка, оценки и никакого соревновательного духа. Они не воспринимают такой, привычный моему поколению формат донесения информации (у нас-то другого и не было). Отсюда вывод - программы повышения осведомленности, построенные по старым принципам обучения (часовые и нудные лекции "за партой") не дают уже того эффекта для работников молодого поколения. Им нужна совсем иная подача - ярко, коротко, с соревнованиями, доской почета, призами. Отсюда и интерес к геймификации, которая так активно внедряется в разных продвинутых программах повышения осведомленности, о которых я уже не раз писал в блоге.
Вот такие мысли... Не то, чтобы они уникальны или новы, но у меня они оформились только сейчас. По крайней мере, первая так уж точно. Вторая - это по сути классическое "говори с аудиторией на ее языке".
Первая мысль банальна до безобразия, но вот я ее пропустил через себя, только прочтя книжку. Звучит мысль просто "Если человек чего-то не хочет, значит он не будет это делать". В самом предисловии автор приводит пример с наркоманами и алкоголиками, которых опытные наркологи отправляют домой сразу же, если видят, что они пришли не сами, а их привели жены, матери, отцы, подруги. Мотивируют это врачи тем, что человек, которого притащили на аркане, никогда не бросит пить или колоться, пока сам не решит это сделать. Это жестоко, но так и есть. Бросать курить, худеть, заниматься спортом... Все это человек не делает, пока сам не захочет. А захочет, никакая дополнительная мотивация ему не нужна. Наверное именно этим объясняется тот факт, что несмотря на большое количество материалов о том, как улучшить ИБ (и не всегда с большими затратами, а то и вовсе без них), многие специалисты по ИБ их не воспринимают. Лет 10 назад я пришел в один крупный банк и моему коллеге, человеку принимающему решения, предложил ряд решений по ИБ, которые должны были улучшить ситуацию с регулярными атаками и эпидемиями внутри финансовой организации. Он тогда мне ответил очень просто: "Меня все устраивает и я не хочу ничего менять". Я тогда еще подумал, ну как же так? Ты же специалист по ИБ, тебе платят, чтобы было лучше, чтобы атак было меньше, чтобы снижались простои и ущерб. Надо признать, что с тех пор он мало изменился :-(
И то, что так или иначе крутилось в голове и иногда проскальзывало в презентациях или заметках в блоге, сформулировалось только на выходных. Специалист по ИБ не будет воспринимать никаких новых идей, если он не хочет ничего менять в сложившемся порядке вещей. А он обычно не хочет, так как его все устраивает. Зарплата идет, за хакерские атаки не увольняют, с регуляторами налажен контакт. Тишь да гладь. Я все время удивлялся, почему казалось бы банальные мысли про то, что безопасность - это не только про угрозы, но и про содействие бизнесу, не находят своего отклика у тех, кому я эту мысль пытался доносить в своих презентациях? Почему идеи про измеримость ИБ выслушиваются, но дальше этого ничего не идет. И вот банальный ответ - не хочется. А если не хочется, то заставить человека делать что-то через палку бесполезно. Это работает очень короткое время.
Вторую мысль я подчерпнул в разделе про детей, которые не хотят учится. Психолог пишет, что происходит это по банальной причине. У современных детей перед глазами одни яркие картинки, видеоклипы, игры. Они привыкли воспринимать информацию именно так, а не так как взрослые. Не зря существует понятие "клиповое сознание". Поэтому и в школе им неинтересно. Их учат-то совсем по другому - зубрежка, доска и мел, домашка, оценки и никакого соревновательного духа. Они не воспринимают такой, привычный моему поколению формат донесения информации (у нас-то другого и не было). Отсюда вывод - программы повышения осведомленности, построенные по старым принципам обучения (часовые и нудные лекции "за партой") не дают уже того эффекта для работников молодого поколения. Им нужна совсем иная подача - ярко, коротко, с соревнованиями, доской почета, призами. Отсюда и интерес к геймификации, которая так активно внедряется в разных продвинутых программах повышения осведомленности, о которых я уже не раз писал в блоге.
Вот такие мысли... Не то, чтобы они уникальны или новы, но у меня они оформились только сейчас. По крайней мере, первая так уж точно. Вторая - это по сути классическое "говори с аудиторией на ее языке".
