Teadlikkus sinu meeskonnas

Moodul 9: Reeglid ja korraldus · Lugemisaeg: 9 minutit

Õpieesmärk: Pärast seda õppetundi oskad korraldada teadlikkuse kasvatamist väikeses meeskonnas: kokkulepped, süüdistamata teatamine, harjutamine ja kordamine.
Põhimõisted: teadlikkus, käitumine, teatamiskultuur, andmepüügiharjutus (loa ja karistamata), uus töötaja, lühike kordamine

Teadmine ei ole sama mis tegutsemine

Peaaegu kõik teavad, et kahtlastel linkidel ei tohi klõpsata. Sellegipoolest juhtub see iga päev, ka inimestega, kes teavad paremini. Põhjuseks ei ole rumalus. Põhjuseks on see, et andmepüügikiri (õppetund 1.2 ja moodul 3) mängib täpselt sellele, kuidas me töötame: surve, kiirustamine, soov aidata klienti või kolleegi. Reede pärastlõunal veerand viie paiku, kolmekümne teise kirja seas, näeb „tasumata arve” välja täiesti tavaline.

Teadlikkus ei ole seega ainult teadmise küsimus, vaid käitumise küsimus: mida inimesed tegelikult teevad, ka siis, kui nad on väsinud või kiirustavad? Eesmärk ei ole, et kõigist saaksid eksperdid. Eesmärk on mõni kindel refleks:

1. Peatu, kui kiri küsib midagi: raha, parooli, klõpsu, manuse avamist, millegi installimist.
2. Kontrolli teist kanalit pidi: logi ise sisse selle asemel, et linki järgida, helista tagasi tuntud numbril.
3. Teata, kui midagi tundub valesti, ka siis, kui oled juba klõpsanud.

See kolmas refleks on kõige olulisem ja see sõltub täielikult sellest, kuidas sinu meeskond sellega ümber käib.

Teatamine ilma süüdistamata

Kujuta ette kahte ettevõtet. Esimeses saab töötaja, kes klõpsas andmepüügilingil, omaniku vihase reaktsiooni: „Kuidas sa saad nii rumal olla?” Teises ütleb omanik: „Hästi, et ütlesid kohe, siis saame nüüd su parooli vahetada.”

Mis juhtub järgmine kord, kui keegi klõpsab? Esimeses ettevõttes jääb ta vait ja loodab, et kõik läheb hästi. Teises ettevõttes teatab ta sellest viie minuti jooksul.

See vahe on tohutu. Konto ülevõtmise või lunavararünnaku alguse puhul loevad tunnid (õppetund 1.3 ja 3.5). Viie minuti jooksul tehtud teade tähendab: parooli vahetamist enne, kui ründaja jõuab sisse logida, seansside tühistamist, arvuti võrgust eemaldamist enne, kui midagi on krüpteeritud. Kolm nädalat hiljem tehtud teade, või teate puudumine, tähendab, et ründajal on olnud kogu aeg maailmas.

Heal teatamiskultuuril on mõned tunnused:

• Üks selge teatamiskoht. Kõik teavad, kelle poole pöörduda: nimi ja telefoninumber, ning asendaja, kui see inimene puudub. See on kirjas ka intsidendikaardil (õppetund 8.1).
• Tänamine, mitte karistamine. Kes teatab, ka oma vea kohta, saab tänusõnad. Ütle see valjult meeskonnas: „Sanne teatas täna hommikul valearvest, tänu sellele saime teisi hoiatada.”
• Kahtlus on lubatud. „Ma ei tea, kas see on ehtne” on hea teade. Parem kontrollida kümme korda ehtsat kirja kui jätta kord märkamata petukiri.
• Juhtkonna eeskuju. Kui omanik ise teatab, et oli peaaegu millessegi langenud, muudab see kõigile teiste jaoks lihtsamaks.

Karistamine töötab vastupidiselt. Mitte sellepärast, et vead pole tõsised, vaid sellepärast, et karistamine ei vähenda vigade arvu, vaid ainult teadete arvu.

Kokkulepped, mis muudavad käitumise lihtsaks

Inimesed järgivad kiiremini reeglit, mis on selge ja lihtne. Veendu, et turvaline käitumine oleks ühtlasi kõige lihtsam käitumine. Mõned kokkulepped, mis sobivad peaaegu igale väikeettevõttele:

Kirjuta kokkulepped ühele A4-lehele. Mitte kahekümnelehekülgelist eeskirjakogu, mida keegi ei loe, vaid nimekirja, mis võib rippuda kohviautomaadi kõrval.

Harjutamine

Kokkulepe, mida kunagi ei harjutata, ununeb. Harjutamiseks on erinevaid viise, kergetest kuni raskemateni.

Koos näidete vaatamine. Võta koosolekul viis minutit mõne kahtlase kirja jaoks, mille keegi sai (isikuandmeteta). Mille järgi sa selle ära tundsid? Mis oli lingi tegelik domeen? See ei maksa midagi ja toimib üllatavalt hästi, kuna tegu on teie enda meilikasti päris kirjadega.

Lauaharjutus (tabletop). Arutate koos stsenaariumi: „On esmaspäeva hommik ja keegi ei pääse enam võrgukettale. Igas arvutis on lunarahanõudega teade. Mida me teeme?” Käid läbi intsidendikaardi ja vaatad, kus takerdub (õppetund 8.1). Üks tund, kord aastas.

Andmepüügiharjutus. Saadad kolleegidele järeletehtud andmepüügikirja, et näha, kes klõpsab ja kes teatab. See võib olla õpetlik, kuid ainult siis, kui teed seda õigesti:

• Loa ja etteteatamisega. Teata ette, et sel aastal tuleb harjutusi, ilma kuupäeva nimetamata. Keegi ei tohi tunda end hiljem petetuna.
• Ilma karistamata. Kes klõpsab, saab kohe lühikese selgituse, mille järgi oleks saanud ära tunda, mitte noomitust ega nimekirja koosolekul.
• Mõõda seda, mis loeb. Teadete arv on olulisem kui klõpsude arv. Harjutus, kus kolm inimest klõpsab, kuid viis teatab sellest kümne minuti jooksul, on õnnestunud.
• Ei mingeid alatuid teemasid. Mitte petukirja boonuse, koondamise või kolleegi tervise kohta. See kahjustab usaldust rohkem kui annab kasu.
• Jälgi privaatsust. Ära säilita kauem kui vaja infot selle kohta, kes klõpsas, ja ära kunagi kasuta seda hindamiseks.

Viieliikmelisele meeskonnale piisab sageli juba esimesest vormist. Andmepüügiharjutusel on mõtet alles siis, kui kokkulepped ja teatamiskoht on olemas.

Uued töötajad ja kordamine

Kaks hetke on eriti olulised.

Esimene tööpäev. Uus töötaja saab kontod, sülearvuti ja juurdepääsu süsteemidele. Just neil esimestel nädalatel ei tea ta veel, kuidas asjad tavaliselt käivad, ja seega ka mitte, mis on tavapärasest erinev. Petturil, kes esineb „IT-osakonnana” või „juhatajana”, on siis suurem šanss. Võta tööleasumisel pool tundi aega kokkulepete A4-lehe, teatamiskoha, paroolihalduri ja kaheastmelise autentimise sisselülitamise jaoks. Korralda see samasse nimekirja ülejäänud sisseelamisprotsessiga (õppetund 7.1).

Lühike kordamine. Teadlikkus ununeb. Üks pikk koolitus aastas töötab vähem kui viis minutit iga kuu. Ideid lühikese kordamise jaoks:

• arutada selle kuu kahtlast kirja;
• tõsta esile üks A4-lehe kokkulepe ja küsida, kas see veel kehtib;
• uus pettuseliik, mis oli uudistes (näiteks uus ettekääne SMS-i või WhatsAppi teel, õppetund 3.4);
• küsimus „kas keegi teatas sel kuul millestki?” ja selle inimese tänamine, kes seda tegi.

Praktikas: nii see välja näeb

Näide, mis on koostatud sageli esinevatest olukordadest. Üheksaliikmelisel arhitektibürool oli neljateistkümnelehekülgeline eeskirjadokument, mis allkirjastati tööleasumisel ja mida pärast seda kunagi enam ei avatud. Pärast peaaegu õnnestunud arvepettust muudeti kolme asja: A4-leht kuue kokkuleppega printeri juures, kindel nimi ja telefoninumber teatamiseks, ning iga kuu esimesel esmaspäeval viis minutit „kahtlast posti” koosolekul. Esimese poole aasta jooksul tuli rohkem teateid kui eelneva viie aasta jooksul kokku. Kaks neist olid päris rünnakud, mis avastati nii vara, et midagi ei juhtunudki. Ülejäänud olid valehäired, ja neid tänati iga kord lihtsalt sama põhjalikult.

Kokkuvõte

• Teadlikkus on käitumise küsimus: peatumine, kontrollimine teist kanalit pidi ja teatamine.
• Süüdistamata teatamine toob kaasa kiired teated; karistamine vähendab ainult teateid, mitte vigu.
• Pane kokkulepped kirja ühele A4-lehele ja muuda turvaline käitumine kõige lihtsamaks käitumiseks.
• Harjuta päris näidetega ja lauaharjutusega; tee andmepüügiharjutust ainult etteteatatult, ilma karistamata ja privaatsust arvestades.
• Pööra lisatähelepanu uutele töötajatele ja korda lühidalt ning sageli.

Test

Ülesanne

Ülesanne D9.2: Teadlikkuse kasvatamise plaan sinu meeskonnale. Koosta oma ettevõtte jaoks A4-leht kuni kaheksa kokkuleppega, määra teatamiskoht ja asendaja, ning planeeri tulevaks aastaks, millal teed lühikese kordamise ja millist harjutust kasutad. Seejärel vasta refleksiooniküsimustele.

Rohkem lugemist

WebOké artiklite sammud kehtivad WebOké keskkonna kohta; teiste pakkujate juures töötab see sarnaselt.

• Kas see e-kiri on tõesti WebOkélt? Kuidas tunda ära andmepüük ja kasutada sooduskoodi
• RIA, Riigi Infosüsteemi Amet (andmepüük): https://www.ria.ee/
• RIA soovitused väikeettevõtjatele ja FIE-dele: https://www.ria.ee/
• CERT-EE ja politsei (pettuse ja andmepüügi teatamine): https://www.ria.ee/