Η εξέλιξη της διακυβέρνησης ασφάλειας στους σύγχρονους οργανισμούς

Σε κάθε οργανισμό υπάρχει μια στιγμή που η ασφάλεια σταματά να είναι διαδικασία και γίνεται απόφαση.

Σπύρος Κόλλας

Founder Bailout Human Synthesis |
Advisor in Human Performance, System Safety and Decision-Making Under Pressure

 

 

Μπορεί να είναι κάτι μικρό. Μια πόρτα που μένει ανοιχτή για να περάσει ένα συνεργείο. Ένας επισκέπτης που μπαίνει “για δύο λεπτά” χωρίς την τυπική διαδικασία. Ένα σύστημα CCTV που έχει βλάβη, αλλά όλοι ξέρουν ότι “γράφει το διπλανό”. Ένα access control που παρουσιάζει θέμα, όμως πρέπει να συνεχίσουμε. Ένας προμηθευτής που καθυστερεί, ένα ticket που μένει ανοιχτό, μια αναφορά που δεν ανεβαίνει πιο πάνω γιατί κανείς δεν θέλει να ανοίξει άλλη μία συζήτηση.

Όλα αυτά μοιάζουν μικρά.

Και συνήθως είναι μικρά.

Μέχρι την στιγμή που δεν είναι.

Εκεί φαίνεται η πραγματική διακυβέρνηση ασφάλειας. Όχι στο αν υπάρχει πολιτική. Όχι στο αν έχει γίνει audit. Όχι στο αν κάποιος μπορεί να δείξει το σωστό έγγραφο. Φαίνεται στο ποιος αποφασίζει όταν η ασφάλεια, η λειτουργία, το κόστος, η πίεση και η ευθύνη πέφτουν πάνω στο ίδιο τραπέζι.

Και στην ελληνική πραγματικότητα, αυτό το τραπέζι σπάνια είναι καθαρό.

Όταν η ευθύνη είναι παντού και πουθενά

Στα περισσότερα οργανωμένα περιβάλλοντα, η ευθύνη φαίνεται τακτοποιημένη. Το security έχει τον έλεγχο των μέτρων. Το IT έχει τα συστήματα. Το operations έχει τη λειτουργία. Οι προμηθευτές έχουν τη συντήρηση. Η διοίκηση έχει την τελική ευθύνη. Στο χαρτί, όλα στέκουν.

Στην πράξη, όμως, τα πράγματα μπλέκονται.

Ένα σύστημα ελέγχου πρόσβασης δεν είναι μόνο θέμα security. Έχει τεχνικό κομμάτι, επιχειρησιακό κομμάτι, κόστος, χρήστες, εξαιρέσεις, συντήρηση, συμβάσεις, δεδομένα, προθεσμίες. Αν αρχίσει να παρουσιάζει προβλήματα, όλοι έχουν ένα κομμάτι της εικόνας. Κανείς όμως δεν έχει απαραίτητα ολόκληρη την εικόνα.

Και εκεί αρχίζει το γνωστό “βλέπουμε”.

Το “βλέπουμε” δεν είναι πάντα ανευθυνότητα. Μερικές φορές είναι εμπειρία. Μερικές φορές είναι πρακτικότητα. Μερικές φορές είναι ο μόνος τρόπος να μη σταματήσει η δουλειά για κάθε μικρή αστοχία. Αλλά όταν το “βλέπουμε” γίνεται μόνιμος τρόπος διαχείρισης κινδύνου, τότε η ευθύνη αρχίζει να εξατμίζεται.

Όλοι εμπλέκονται. Άρα κανείς δεν αποφασίζει καθαρά.

Η ασφάλεια δουλεύει συχνά με ανθρώπους, όχι με σύστημα

Όσοι δουλεύουν χρόνια στον χώρο το ξέρουν. Πολλές φορές η ασφάλεια κρατιέται όρθια επειδή υπάρχουν συγκεκριμένοι άνθρωποι που ξέρουν το περιβάλλον. Ο φύλακας που έχει μάτι. Ο τεχνικός που θυμάται τι είχε συμβεί την προηγούμενη φορά. Ο security supervisor που καταλαβαίνει πότε κάτι “δεν του κάθεται καλά”. Ο υπεύθυνος εγκατάστασης που σηκώνει το τηλέφωνο και βρίσκει λύση χωρίς να χαθεί η μέρα.

Αυτό είναι δύναμη. Δεν χρειάζεται να το υποτιμήσουμε.

Έχει όμως και όριο.

Γιατί όταν ένα σύστημα βασίζεται υπερβολικά σε πρόσωπα, δεν είναι πάντα ξεκάθαρο αν λειτουργεί καλά ή αν απλώς κάποιοι άνθρωποι το σώζουν κάθε μέρα. Η διαφορά είναι τεράστια. Στην πρώτη περίπτωση υπάρχει οργανωμένη ικανότητα. Στη δεύτερη υπάρχει προσωπική υπερπροσπάθεια που βαφτίζεται κανονικότητα.

Η διακυβέρνηση ασφάλειας ωριμάζει όταν αυτή η διαφορά γίνεται ορατή. Όταν ο οργανισμός μπορεί να δει αν ο έλεγχος είναι πραγματικός ή αν στηρίζεται σε άγραφες συνεννοήσεις, γνωριμίες, συνήθεια και φιλότιμο.

Το φιλότιμο είναι πολύτιμο. Αλλά δεν είναι μοντέλο διακυβέρνησης.

Η απόφαση κρύβεται μέσα στην εξαίρεση

Τα περισσότερα συστήματα ασφάλειας δεν δοκιμάζονται στην κανονική τους λειτουργία. Δοκιμάζονται στις εξαιρέσεις.

Στον εξωτερικό συνεργάτη που πρέπει να μπει γρήγορα. Στον επισκέπτη που δεν έχει περαστεί σωστά στο σύστημα. Στην κάρτα που δεν δουλεύει. Στην πόρτα που έχει θέμα. Στην κάμερα που δεν καλύπτει ακριβώς το σημείο που όλοι νόμιζαν ότι καλύπτει. Στο προσωρινό bypass που έγινε για πρακτικούς λόγους και μετά ξεχάστηκε.

Εκεί δεν φαίνεται μόνο η τεχνική ποιότητα του συστήματος. Φαίνεται η ποιότητα της απόφασης.

Ποιος εγκρίνει την εξαίρεση; Με ποιο κριτήριο; Για πόσο; Ποιος ενημερώνεται; Πότε ξανακλείνει το θέμα; Πότε μια εξαίρεση παύει να είναι εξαίρεση και γίνεται ο καθιερωμένος τρόπος λειτουργίας;

Συχνά αυτές οι ερωτήσεις δεν γίνονται. Όχι επειδή οι άνθρωποι είναι άπειροι. Επειδή η καθημερινότητα πιέζει. Επειδή η λειτουργία πρέπει να συνεχίσει. Επειδή κανείς δεν θέλει να φανεί υπερβολικός. Επειδή ο χώρος έχει μάθει να λύνει προβλήματα γρήγορα και να συνεχίζει.

Μόνο που η ασφάλεια δεν κινδυνεύει πάντα από τη μεγάλη παραβίαση. Μερικές φορές φθείρεται από τις μικρές εξαιρέσεις που σταμάτησαν να φαίνονται περίεργες.

Η διοίκηση βλέπει τον κίνδυνο αργά

Σε πολλούς οργανισμούς, η διοίκηση μαθαίνει για ένα θέμα ασφάλειας όταν αυτό έχει ήδη αποκτήσει κόστος. Όταν υπάρχει παράπονο. Όταν υπάρχει καθυστέρηση. Όταν υπάρχει συμβάν. Όταν ο πελάτης ενοχληθεί. Όταν το audit ρωτήσει. Όταν μια μικρή τεχνική εκκρεμότητα αρχίσει να μοιάζει με έκθεση.

Μέχρι τότε, το θέμα μπορεί να έχει περάσει από αρκετά χέρια.

Το security το έχει δει. Το IT το έχει αξιολογήσει τεχνικά. Ο προμηθευτής το έχει βάλει στο πρόγραμμα. Το operations το έχει ανεχθεί επειδή είχαν άλλη προτεραιότητα. Κάποιος το έχει αναφέρει προφορικά. Κάποιος άλλος έχει πει “θα το κοιτάξουμε”. Η κατάσταση έχει ήδη διαμορφώσει αποφάσεις, χωρίς να έχει εμφανιστεί ως απόφαση.

Αυτό είναι ένα από τα πιο δύσκολα σημεία στη διακυβέρνηση ασφάλειας. Ο οργανισμός μπορεί να αποδέχεται κίνδυνο χωρίς η διοίκηση να έχει συνειδητά αποδεχθεί τίποτα.

Η καθυστέρηση γίνεται επιλογή. Η ανοχή γίνεται επιλογή. Η μη κλιμάκωση γίνεται επιλογή. Απλώς δεν παρουσιάζονται ποτέ έτσι.

Και όταν κάτι πάει στραβά, όλοι ψάχνουν την απόφαση που στην πραγματικότητα δεν πάρθηκε ποτέ καθαρά.

Το security δεν μπορεί να χρεώνεται μόνο του αποφάσεις που δεν του ανήκουν

Υπάρχει μια παλιά παγίδα στον χώρο. Όταν όλα πάνε καλά, η ασφάλεια θεωρείται κόστος ή τυπική υποχρέωση. Όταν κάτι πάει στραβά, ξαφνικά όλοι θυμούνται ότι “το security έπρεπε να το έχει δει”.

Αυτή η λογική είναι βολική, αλλά δεν είναι σοβαρή.

Ο Security Manager μπορεί να αναγνωρίσει κίνδυνο, να προτείνει μέτρα, να εξηγήσει συνέπειες, να επιμείνει, να καταγράψει, να κλιμακώσει. Δεν μπορεί όμως να αποφασίζει μόνος του για κάθε επιχειρησιακή παραχώρηση, κάθε οικονομική καθυστέρηση, κάθε τεχνική εξάρτηση και κάθε ανοχή που επιλέγει ο οργανισμός για να συνεχίσει να λειτουργεί.

Εδώ χρειάζεται σαφήνεια.

Αν η διοίκηση δεν εγκρίνει πόρους, αυτό είναι απόφαση. Αν οι του operations επιμένουν ότι μια διαδικασία δεν μπορεί να εφαρμοστεί όπως έχει σχεδιαστεί, αυτό είναι απόφαση. Αν μια τεχνική αδυναμία μένει ανοιχτή για μήνες, αυτό είναι απόφαση. Αν μια εξαίρεση επαναλαμβάνεται μέχρι να γίνει κανονική πρακτική, αυτό είναι επίσης απόφαση.

Η διακυβέρνηση ασφάλειας δεν ζητά να σταματάει η λειτουργία κάθε φορά που υπάρχει απόκλιση. Ζητά κάτι πιο δύσκολο. Να ξέρουμε τι κάνουμε όταν αποφασίζουμε να συνεχίσουμε.

Τα συστήματα δίνουν εικόνα, αλλά όχι απαραίτητα κρίση

Οι οργανισμοί έχουν σήμερα περισσότερη τεχνική πληροφορία από ποτέ. Κάμερες, logs, access events, alarms, dashboards, tickets, reports. Η εικόνα υπάρχει. Ή τουλάχιστον φαίνεται ότι υπάρχει.

Αλλά η εικόνα δεν είναι το ίδιο με την κρίση.

Ένα CCTV μπορεί να καταγράφει χωρίς κανείς να παρακολουθεί ουσιαστικά. Ένα access event μπορεί να αποθηκεύεται χωρίς κανείς να το συνδέει με μοτίβο. Ένα report μπορεί να γράφεται χωρίς να αλλάζει τίποτα. Ένα dashboard μπορεί να δείχνει πράσινο επειδή μετρά δραστηριότητα. Όχι πραγματικό έλεγχο.

Εδώ υπάρχει μια αθόρυβη παγίδα. Όσο περισσότερη τεχνολογία μπαίνει στην ασφάλεια, τόσο πιο εύκολα δημιουργείται η αίσθηση ότι ο οργανισμός “βλέπει”. Το ερώτημα όμως δεν είναι μόνο αν βλέπει. Είναι αν καταλαβαίνει αυτό που βλέπει και αν ξέρει πότε πρέπει να αντιδράσει.

Η τεχνολογία προσθέτει δυνατότητες. Προσθέτει όμως και νέες εξαρτήσεις. Από vendors, software, δίκτυα, integrations, updates, δικαιώματα, data handling. Άρα η απόφαση ασφάλειας δεν είναι πια μόνο φυσική, ούτε μόνο τεχνική. Είναι οργανωσιακή.

Και εκεί χρειάζεται κοινή εικόνα. Όχι απλώς κοινό dashboard.

Η σιωπηρή αποδοχή κινδύνου είναι το πιο δύσκολο κομμάτι

Σχεδόν κανένας οργανισμός δεν λέει επίσημα “Αποδεχόμαστε αυτόν τον κίνδυνο χωρίς να το έχουμε σκεφτεί καλά”. Παρ’ όλα αυτά, αυτό συμβαίνει συχνά.

Συμβαίνει όταν κάτι αναβάλλεται συνεχώς. Όταν ένα πρόβλημα είναι γνωστό αλλά δεν ενοχλεί αρκετά. Όταν όλοι ξέρουν ότι μια διαδικασία δεν εφαρμόζεται ακριβώς, αλλά κανείς δεν θέλει να το ανοίξει. Όταν η πραγματική πρακτική διαφέρει από την επίσημη διαδικασία και αυτό έχει γίνει μέρος της καθημερινότητας.

Αυτό δεν σημαίνει απαραίτητα ότι υπάρχει αδιαφορία. Πιο συχνά υπάρχει πίεση. Υπάρχουν προτεραιότητες. Υπάρχουν άνθρωποι που προσπαθούν να κρατήσουν τη δουλειά ζωντανή. Υπάρχουν διοικήσεις που ζητούν ασφάλεια, ταχύτητα και χαμηλό κόστος μαζί, χωρίς πάντα να αναγνωρίζουν την ένταση ανάμεσα σε αυτά τα τρία.

Η ώριμη διακυβέρνηση δεν κάνει ότι αυτή η ένταση δεν υπάρχει. Τη βάζει στο φως.

Πόσο ρίσκο παίρνουμε για να μη σταματήσει η λειτουργία; Πόσο καιρό μπορεί να μείνει ανοιχτή μια αδυναμία; Ποιος ξέρει ότι υπάρχει; Ποιος έχει πει “το δέχομαι”; Ποιος θα δώσει εξήγηση αν αύριο η ίδια αδυναμία εμφανιστεί στο κέντρο ενός περιστατικού;

Αυτές οι ερωτήσεις είναι άβολες. Γι’ αυτό και έχουν αξία.

 

Η διακυβέρνηση ως τρόπος να μη χάνεται η αλήθεια μέσα στη λειτουργία

Η καθημερινή λειτουργία έχει έναν τρόπο να καταπίνει την αλήθεια. Όχι από κακή πρόθεση. Από ρυθμό. Από επείγοντα. Από συνήθεια. Από την ανάγκη να βγει η μέρα.

Ένα μικρό θέμα γίνεται γνωστό. Μετά γίνεται γνώριμο. Μετά γίνεται αποδεκτό. Μετά κανείς δεν θυμάται πότε ακριβώς σταμάτησε να θεωρείται πρόβλημα.

Αυτό είναι ίσως το πιο κρίσιμο σημείο για τη σύγχρονη διακυβέρνηση ασφάλειας. Να κρατά ζωντανή τη διάκριση ανάμεσα σε αυτό που είναι προσωρινά ανεκτό και σε αυτό που έχει γίνει επικίνδυνα φυσιολογικό.

Ο Security Manager έχει σημαντικό ρόλο εδώ. Όχι ως άνθρωπος που λέει συνεχώς “όχι”. Αυτό κουράζει και τελικά απομονώνει την ασφάλεια. Ο ρόλος του είναι να μεταφράζει. Να λέει στη διοίκηση “αυτό που φαίνεται μικρό, σημαίνει αυτό”. Αυτή η καθυστέρηση μεταφέρει αυτό το ρίσκο. Αυτή η εξαίρεση επαναλαμβάνεται. Αυτό το τεχνικό θέμα έχει αρχίσει να γίνεται επιχειρησιακή συνήθεια.

Με άλλα λόγια, να προστατεύει τη μνήμη του οργανισμού από την καθημερινή του βιασύνη.

 

Η πραγματική ωρίμανση της διακυβέρνησης ασφάλειας

Η εξέλιξη της διακυβέρνησης ασφάλειας δεν θα φανεί από το πόσο καλοδιατυπωμένες είναι οι πολιτικές. Θα φανεί από το αν ο οργανισμός μπορεί να απαντήσει με ειλικρίνεια σε μερικές απλές ερωτήσεις.

Ποιος αποφασίζει όταν ένα μέτρο ασφάλειας συγκρούεται με τη λειτουργία; Ποιος εγκρίνει μια εξαίρεση; Ποιος ξέρει ότι μια αδυναμία παραμένει ανοιχτή; Ποιος έχει την πλήρη εικόνα όταν security, IT, operations και προμηθευτές βλέπουν διαφορετικά κομμάτια του ίδιου προβλήματος; Ποιος αποδέχεται το ρίσκο όταν όλοι συμφωνούν σιωπηρά να συνεχιστεί η δουλειά;

Αυτές οι ερωτήσεις δεν είναι θεωρητικές. Είναι η καθημερινή ύλη της ασφάλειας.

Και εδώ βρίσκεται η αλλαγή. Η ασφάλεια δεν αξιολογείται πλέον μόνο από τα μέτρα που έχει εγκαταστήσει, αλλά από την ποιότητα των αποφάσεων που βοηθά να παρθούν. Από το αν κάνει την ευθύνη πιο καθαρή. Από το αν βοηθά τη διοίκηση να δει εγκαίρως τι πραγματικά αποδέχεται. Από το αν αποκαλύπτει τις ανοχές πριν αυτές γίνουν αστοχίες.

Στο τέλος, η διακυβέρνηση ασφάλειας δεν είναι ένα ακόμη επίπεδο ελέγχου πάνω από την καθημερινότητα. Είναι ο τρόπος να μη χάνεται η κρίσιμη ερώτηση μέσα στον θόρυβο της λειτουργίας.

Ποιος αποφασίζει, με ποια εικόνα, ποιο ρίσκο αποδέχεται και ποιος θα ζήσει με τις συνέπειες;

Αν αυτό αρχίσει να φαίνεται καθαρά, τότε ο οργανισμός έχει κάνει ένα πραγματικό βήμα ωριμότητας.

Όχι επειδή έγινε πιο “τυπικός”.

Επειδή έγινε πιο ειλικρινής απέναντι στον τρόπο που παίρνει αποφάσεις.