Информационная безопасность как ценность организационной культуры

Введение

Организационная культура как совокупность общих ценностей, моделей поведения, убеждений, правил, традиций, формирующих уникальную рабочую среду, определяет стиль управления, лидерство, коммуникацию, сотрудничество и межличностное взаимодействие внутри коллектива. Организационная культура оказывает влияние на мотивацию и вовлеченность персонала, эффективность деятельности, прозрачность коммуникации, наличие коллективных практик, применение инновационных подходов [1]. В современных условиях цифровизации статичные ценности организации претерпевают значительное воздействие со стороны динамичных инноваций, включая новые цифровые технологии. Как следствие, «ценности и инновации оказываются ключевыми факторами влияния на происходящие глубокие изменения, при этом оказывая значимое взаимное влияние друг на друга» [2, с. 6]. Ценности и инновации являются факторами поддержания равновесия организационной системы на основе принципа самосохранения – за счет кадровых ресурсов и резервов, связанных с созданием и поддержанием ценностей, и принципа развития – посредством внедрения инноваций, помогающих адаптироваться к изменяющимся условиям внешней среды и достигать организационные цели. Зачастую организационные ценности и инновации вступают в открытый конфликт друг с другом: «сопротивление изменениям со стороны сотрудников организаций сектора биотехнологий в процессе цифровой трансформации связано с неопределённостью и страхом перед будущими изменениями, а также изменением формата работы» [3, с. 126-127]. В период трансформаций для снижения повышенной тревожности необходимо введение системы оценивания труда на основе критериев эффективности для повышения прозрачности управления и оценки результативности сотрудников [4]. Дополнительно, под влиянием инноваций возникает необходимость получения вспомогательных навыков и квалификаций [5]. Повышение квалификации и профессиональная переподготовка могут рассматриваться не только как возможность профессионального саморазвития (положительное отношение), но и дополнительные затраты личных временных и финансовых ресурсов (негативное отношение). Организационная среда, ориентированная на инновации, безусловно, подчеркивает важность многозадачности, непрерывного обучения во избежание эмоционального выгорания. Принцип инновационного развития в особенности актуален для организаций, обладающих большими объемами информационных ресурсов – ИТ-компании, поставщики данных и услуг связи, государственные и научные учреждения, специализированные коммерческие фирмы и отраслевые организации.

Управление персоналом на основе ценностей предполагает эмоциональную вовлеченность сотрудников: «включение эмоциональной энергии в коммуникационные механизмы изменяет медийный фон и порождает конструктивную сопричастность в процессе преодоления кризиса» [6]. Положительный эмоциональный фон способствует повышению вовлеченности сотрудников и улучшению эффективности при выполнении текущих задач [7]. В долгосрочной перспективе организация может опираться на эмоциональный капитал как ценный нематериальный актив. К особенностям управления карьерным развитием представителей поколения Зуммеров относится возможность творческой самореализации и креативного подхода к решению организационных задач в условиях удаленного формата трудовой деятельности и снижения уровня регламентированности трудового процесса [8]. Исследователи отмечают, что «цифровые кочевники относятся к работе не как к необходимости, а как к досугу, приносящему моральное удовлетворение» [9, с. 175].

Негативный эмоциональный фон не только снижает эффективность деятельности, но и порождает социально-психологические проблемы, такие как цифровая тревожность и интернет-зависимость [10]. Актуальность изучения культуры информационной безопасности является необходимостью в контексте организации, поскольку затрагивает многие социальные аспекты, начиная от личного тайм-менеджмента, соблюдения баланса между трудовой и личной жизнью, заканчивая составлением графиком рабочего времени и формированием повседневных практик. Необходимость включения инфор- мационной безопасности в организационную культуру обусловлена как социальной, так и цифровой средой организации.

Материал и методы

Материалом исследования послужили данные об информационной безопасности (ИБ), собранные методом сплошной выборки на сайте Elsevier [23]. Методы исследования включали семантический анализ, категоризацию и классификацию. Актуальность включения ИБ в состав организационных ценностей подтверждается многочисленными исследованиями. Проблема существенных объемов киберпреступности напрямую связана со сбоями в соблюдении политик и процедур ИБ на корпоративном уровне.

Невыполнение требований ИБ, таких как слабое управление паролями (использование простых паролей, их повторное использование на разных платформах), отсутствие многофакторной аутентификации, отсутствие шифрования или несвоевременное обновление программного обеспечения усугубляют риски и тяжесть последствий для репутации компании. Игнорирование нарушений в течение длительного времени приводит к увеличению затрат на ИБ в долгосрочной перспективе.

Отсутствие мониторинга безопасности, надлежащего ведения журналов и процедур реагирования на инциденты увеличивает подобные риски (рис. 1).

Рис. 1. Причины возникновения рисков для информационной безопасности. Источник: составлено автором.

Сотрудники организаций становятся легкой мишенью для злоумышленников, если они не обучены распознаванию фишинговых атак, соблюдению политики безопасности и необходимости сообщения о подозрительной активности при посещении тех или иных сайтов. При отсутствии сегментации сети злоумышленники, получившие доступ к одной ее части, могут перемещаться по всей сети и получать доступ к конфиденциальным данным.

Результаты и обсуждение

Информационная безопасность как актуальная задача современных организаций Цифровые технологии предоставляют значительные возможности для развития бизнеса с точки зрения маркетинговых коммуникаций [11], автоматизации бизнес-процессов, снижения затрат и повышения эффективности деятельности предприятий. С точки зрения управления, цифровые технологии являются основным инструментом управления и способствуют развитию управленческой деятельности в целом [12], поскольку являются фактором развития систем для учета, отчетности, анализа и планирования всех бизнес-процессов. Одновременно, они порождают социальное неравенство [13], являются причиной безработицы из-за отсутствия цифровых компетенций вследствие автоматизации ряда рабочих процедур, ранее выполняемых людьми, ограничения доступа к информации и услугам или появления новых форм контроля.

Цифровая безопасность становится ключевым фактором риска для организаций, т.к. информация является ключевым активом большинства современных компаний. От работников требуется развитие определенных мыслительных конструктов и поведенческих паттернов, позволяющих им активно использовать новые технологии и сохранять внутреннюю информацию организации [14], например, анализ преимуществ и недостатков программных средств для определения наиболее безопасного способа связи и передачи данных [15], обоснование практического значения и целе- сообразности их использования. Ядерным элементом ИБ является цифровая гигиена [16], или комплекс мер, включающий использование сложных паролей, неразглашение личных сведений онлайн, осторожность со ссылками и незнакомыми пользователями, а также применение антивирусов. Безопасное поведение сотрудников в цифровой среде от имени компании достигается через обучение, формирование устойчивых навыков, и когнитивный подход – осознанное поведение по ограничению информации в сети и использование различных каналов связи.

Одним из наиболее ярких и сложных примеров необходимости ИБ является добыча полезных ископаемых, требующая комплексной защиты данных – конфиденциальности, целостности и доступности – от внешних и внутренних угроз [17]. Применение цифровых технологий необходимо на всех стадиях добычи полезных ископаемых для повышения эффективности производственных процессов [18], начиная от геолого-разведывательных работ и заканчивая стадией завершения, облагораживания территории и восстановления местного эко-климата. ИБ является источником производственной безопасности на подобных предприятиях. Глубокие исследования производственных процессов свидетельствуют о психологической природе безопасности [19], поскольку именно психологические модели составляют основу эффективных систем управления и повышения безопасности работников при угледобыче.

Информационная безопасность как компонент организационной культуры Поведение сотрудников, методы принятия решений, взаимоотношения и способы выполнения задач составляют культуру организации и с течением времени формируют стереотипы о ее культуре. Общая модель ценностей, ментальных конструктов и поведенческих паттернов, типичных для сотрудников организаций, которые проявляются на протяжении длительного времени и непосредственно связаны с ИБ, определяет культуру информационной безопасности (КИБ). КИБ потенциально может быть сформирована посредством совместного обучения поведенческим навыкам в области информационных и компьютерных технологий – как менеджеров, так и сотрудников.

На практике сотрудникам необходимо в полном объеме выполнять требования менеджеров по соблюдению мер, направленных на повышение ИБ. Поведение, связанное с ИБ может быть отнесено к следующим видам: (1) поведение, направленное на обеспечение ИБ; (2) поведение, соответствующее требованиям ИБ; (3) поведение, связанное с риском для ИБ; (4) поведение, наносящее ущерб ИБ. Данные типы поведения являются индикаторами организационной культуры в отношении ИБ.

Угрозы для ИБ возникают в тех случаях, когда сотрудники открывают фишинговые электронные письма через почтовые сервисы организации, посещают вредоносные веб-сайты, подключают зараженные USB-накопители или загружают непроверенные документы на рабочие компьютеры. Опросы сотрудников, направленные на самоанализ поведения, как правило, не являются эффективными, поскольку сотрудники могут не замечать входа на фишинговые сайты, не способны распознавать их, заботясь исключительно о поиске информации. Утечка внутренней информации чревата серьезными последствиями вплоть до закрытия бизнеса.

Публичные сообщения об утечках данных часто приводят к кратковременной негативной реакции общественности. Однако гораздо более отрицательным является отсутствие легитимности – неспособности пройти проверки на безопасность, штрафы со стороны регулирующих органов и потеря бизнеса. Последствия подобных утечек поднимают вопросы о необходимости постоянного улучшения организационной кибербезопасности. Легитимность ИБ – это доверие к действиям компании в области безопасности со стороны заинтересованных сторон [20]. Исследования показывают, что организации с более высоким уровнем легитимизации в области ИБ подвержены значительно меньшим рискам в долгосрочной перспективе. Кроме того, незамедлительные публичные объявления об утечках снижают риски распространения негативной информации о компании. Постоянное улучшение ИБ повышает эффективность управления рисками. Положительными последствиями своевременным и проактивным управлением ИБ являются наем экспертов в области безопасности, внедрение новейших технологий и получение признанных в отрасли сертификатов безопасности. Следует отметить, что необходимость соответствия правилам безопасности требует существенных инвестиций со стороны руководства на соответствие нормам и стандартам [3].

Создание единой концепции в сфере ИБ направлено на разработку профилактических действий, которые, в совокупности с упреждающими внешними коммуникациями, такими как своевременные заявления в прессе, снижают долгосрочные финансовые риски и убытки для компании. Менеджерам необходимо разрабатывать практические рекомендации по соблюдению общеорганизационной безопасности, принимать оперативные меры быстрого реагирования, обе- спечивать стратегическую легитимность, а также способствовать укреплению культуры кибербезопасности на всех уровнях управления.

Система управления ИБ – это систематический подход к контролю конфиденциальной информации, обеспечению ее секретности, целостности и доступности посредством минимизации рисков и принятию мер по обеспечению безопасности [21]. С точки зрения целостности и доступности информации, ИБ может гарантировать непрерывность бизнеса, принимая во внимание, что кибератаки способны нанести ущерб операционной деятельности организаций (рис. 2).

Рис. 2. Информационная безопасность как ценность организационной культуры. Источник: составлено автором Внедрение программ для обучения сотрудников основам ИБ, обучения менеджеров навыкам коррекции поведения сотрудников оказывает положительное влияние на профилактику кибернарушений. Программы преследуют цели улучшения корпоративной культуры, КИБ, а также влияния на поведение сотрудников для повышения ИБ в организационной среде [22]. Подобные обучающие программы выполняют анализ поведения сотрудников и предоставляют отчеты менеджерам о рисках и негативных последствиях для организации.

Изменение поведения сотрудников при работе с информацией в интернете требует времени на распространение новых организационных ценностей и норм, формирование подходов к получению и обработке информации, внедрение новых программ и обучение сотрудников работе с соответствующими программами. Однако, прежде всего, необходимы: принятие новых инициатив на уровне руководства, имплементация стратегий работы с информацией как основополагающих принципов поведения во всех подразделениях, издание приказов и директив с назначением ответственных за контроль их исполнения во всех структурах и подразделениях.

Заключение

В современной цифровой среде ИБ перестает быть исключительно технической проблемой и переходит в разряд комплексных задач, требующих глубокой интеграции в текущую деятельность и организационную культуру учреждений и предприятий. Обеспечение конфиденциальности, целостности и доступности информации становится невозможным без активной вовлеченности персонала и формирования у сотрудников устойчивых ментальных конструктов и поведенческих паттернов, направленных на соблюдение принципов цифровой гигиены.

Непрерывное обучение распознаванию кибератак, например, фишинговых сайтов, является ключевой задачей организаций. Большинство киберпреступлений начинается с человеческой ошибки, когда сотрудник, не способный распознать приемы социальной инженерии, рас- крывает учетные данные или запускает вредоносное программное обеспечение. Обучение, выходящее за рамки формальных инструктажей и опирающееся на интерактивные, персонализированные и регулярно проводимые занятия, способствуют аккумулированию практических навыков, противодействующих киберпреступности.

Наряду с получением знаний, сотрудники организаций должны формировать критическое мышление, позволяющее им самостоятельно оценивать риски и принимать осознанные решения при возникновении киберугроз.

В дополнение к тренингам необходимы профессиональный мониторинг безопасности, установка программ, предотвращающих доступ к конфиденциальным данным и интеграция ИБ в организационную культуру предприятия:

–мониторинг безопасности – постоянный анализ лог-файлов, сетевого трафика и активности пользователей, оперативное выявление аномалий и реагирование на потенциальные угрозы; –предотвращение доступа к конфиденциальным данным – четкое разграничение прав доступа и использование средств защиты данных; –производственная безопасность – интеграция принципов ИБ в производственные процессы для минимизации рисков, связанных с потерей данных или несанкционированным доступом к критически важным системам.

Усилия по обеспечению ИБ должны быть легитимными и прозрачными. Сотрудники должны понимать цели и задачи политики безопасности, а также влияние их действий на общий уровень ИБ организации. Получение сертификатов безопасности служит свидетельством надежности системы управления ИБ и повышения доверия к организации со стороны клиентов и партнеров.

Эффективная система ИБ – это не только борьба с инцидентами, но и готовность к их профилактике и предупреждению. Быстрое раскрытие информации об инцидентах кибератак, грамотное управление критическими ситуациями и оперативное восстановление систем после попыток взлома позволяют минимизировать ущерб операционной деятельности организаций и предотвратить негативные реакции общественности.

Информационная безопасность – это непрерывный процесс, требующий постоянного комплексного совершенствования. Интеграция ценности ИБ в систему организационной культуры, активная вовлеченность персонала, их непрерывное обучение, использование эффективных технических средств и готовность к реагированию на инциденты являются ключевыми факторами успеха в противодействии киберпреступности и обеспечении конфиденциальности, целостности и доступности информации. Правильно выстроенная стратегия ИБ не только защищает активы организации, но и способствует повышению доверия и укреплению ее репутации.