Mon employeur a récemment obtenu notre première certification de sécurité des informations ISO-27001. Pour réussir, nous avons dû réfléchir à différents modes de défaillance et ajouter des procédures pour les contourner. Nous devions tester ces procédures.

Les modes de défaillance étaient des choses comme

• un immeuble de bureaux devient inaccessible en raison d'un sinistre (incendie, inondation)
• employé devient hostile et tente de faire des dégâts
• ordinateur portable de direction volé dans une voiture
• cybercreep s'introduit dans le centre de données de production. etc etc

Dans le désastre actuel, notre immeuble de bureaux est devenu presque inaccessible. Ainsi, notre procédure inspirée de l'ISO pour la poursuite à distance s'est avérée très utile. Je suis heureux que nous puissions le suivre sur un disque Google.

Maintenant, voici la chose. Nos clients adorent aimer aimer que nous ayons cette certification ISO. Il sera rentabilisé par une augmentation des ventes dans environ un an. Donc, même si c'est une douleur bureaucratique dans le ... cou, ça vaut le coup.

Pour répondre à votre question : Si vous voulez que les gens soient proactifs plutôt que réactifs, la conformité aux normes est un excellent outil. Vous pouvez pointer vers le standard au lieu de dire «parce que je l'ai dit». Et vous pouvez faire des héros des personnes qui y travaillent grâce à la reconnaissance publique, aux bonus, etc.

Lorsque je me disputais la conformité ISO, j'ai eu beaucoup de conversations comme celle-ci:

Employé : C'est une perte de temps et d'argent, nous n'en aurons jamais besoin.

Moi : Peut-être pas. Mais la certification ISO insiste pour que nous y travaillions.

Vice-président des ventes : Hé, nous avons besoin de ce truc ISO.

PDG : Obtenir l'ISO d'ici la fin de l'année est notre priorité.

Employé : OK, je vais y travailler.

Moi : Comment puis-je aider?

Nous l'avons fait, toutes les personnes impliquées ont reçu un bonus et nous avons organisé une fête de Noël à fêter.

C'est difficile.

Peut-être huit heures de travail à temps vous auraient fait économiser 18 heures de travail plus tard. Mais il existe de nombreux problèmes potentiels qui prendront huit heures pour être résolus à temps et peuvent coûter 18 heures plus tard. Si vous avez dix problèmes potentiels de ce type, mais qu'un seul un cause réellement des problèmes, vous avez échangé 80 heures de travail contre 18 heures supplémentaires héroïques plus tard.

Je pense que notre service informatique a reçu des commandes pour préparer tout le monde travaillant à domicile, avec la plus haute priorité, huit jours ouvrables avant la fermeture du bureau. Et les quatre derniers jours, tout le monde a transporté son ordinateur portable du travail à la maison et de retour tous les jours, afin que tout le monde puisse rester à la maison sur un appel téléphonique sans avoir à aller au travail une seule fois pour prendre des choses. Donc, dans ce cas, alors que l’ensemble de la pandémie Covid n’était pas prévisible il y a des années, le travail à domicile était prévisible il y a deux semaines.

Il semble être dans la nature humaine de récompenser les héros plus que les planificateurs - donc tout changement culturel nécessite un changement assez massif.

Récompenser les héros doit cesser. À tout le moins, ne donnez pas de bonus pour éteindre un incendie que leur négligence a essentiellement causé.

Au lieu de cela, avoir des enquêtes post-mortem après chaque incident pourrait peut-être lentement changer la culture en une culture plus proactive. Après un certain temps, vous réaliserez qui sont les gens proactifs - car ce seront eux qui seront invités à plusieurs reprises aux post-mortems, d'où les héros seront absents.

Cela s'améliore souvent en fonction de l'expérience.

A vu un cas où l'équipe informatique a demandé UPS sur 3 sites pour les serveurs en fonction de la sécurité des données - a fait un rapport montrant les conséquences, etc. La direction a répondu NON. ..

2 mois plus tard, l'un des 3 sites a été touché par la foudre ... perte de données, temps perdu lors de la reconstruction, etc.

Dans les 2 semaines, les 3 sites avaient UPS pour les serveurs ... un cas réel de fermeture de la porte de l'écurie après que le cheval s'est verrouillé.

Ou «c'est un risque si minime que cela n'arrivera jamais», c'est pourquoi de nombreuses entreprises n'ont pas payé le risque de pandémie assurance ...

Faites des recherches sur les industries critiques pour la sécurité comme l'aviation. Planifier à l'avance et atténuer les menaces est très récompensé, et les héros peuvent avoir des ennuis (jusqu'à être renvoyés ou perdre leur certification) pour ne pas avoir réussi à anticiper les problèmes ou à suivre les procédures - même s'ils "sauvent la mise". C'est une culture acquise que j'ai trouvée très différente de celle de nombreuses autres industries.

Les principales caractéristiques de cette culture sont des lignes de communication ouvertes entre les niveaux de la hiérarchie, une culture de conformité avec les procédures, mais aussi le don d'expérience les membres de l'équipe suffisamment de liberté pour prendre des décisions sans interférence de la haute direction. L'outil le plus important est un briefing avant et après chaque événement (appelez cela une réunion d'équipe si vous le souhaitez). Le compte rendu, en particulier, se concentre sur 1) ce qui a été bien fait, 2) ce qui a été mal fait, 3) comment y remédier à l'avenir. Pour que cela fonctionne, vous avez besoin de professionnels matures qui peuvent signaler les problèmes, même les leurs, et qui peuvent donner et accepter les critiques sans les prendre personnellement. Vous avez besoin de dirigeants qui peuvent accepter les critiques aussi bien qu’elles les donnent. Une culture qui consiste à la fois à ne pas attribuer de blâme (y compris à ne pas donner de punition punitive sauf pour des erreurs flagrantes / imprudentes) et à accepter la responsabilité du résultat en équipe est essentielle pour que cela fonctionne.

Je propose une solution monétaire. Il existe un projet en Allemagne pour payer le médecin pour sa santé. Les gens souscrivent à un médecin et l'assurance le paie pour chaque personne en bonne santé. Si une personne tombe malade, le paiement est réduit. L'intention est de réparer la santé des gens à long terme, au lieu d'inciter le médecin à améliorer sa santé à court terme, de sorte que les gens doivent revenir pour un autre traitement.

Pour être honnête , Je n'ai aucune expérience de la mise en œuvre de cela. Mon idée est de payer un bonus pour la maintenance informatique qui est réduit pour les erreurs de production ou les temps d'arrêt. Cela devrait inciter l'équipe de maintenance à disposer de systèmes hautement disponibles, à tirer des leçons des erreurs et à mettre en œuvre des mesures de prévention.

Je pense que vous confondez le travail des travailleurs individuels et le travail de la direction. Les travailleurs trouvent ou corrigent les bogues, tandis que les responsables créent des processus et des plans pour s'assurer que les bogues sont détectés et corrigés. Certes, cela peut devenir flou lorsque vous êtes un développeur senior traitant avec des cadres non techniques, ou un informaticien en solo qui est toujours considéré comme un simple concierge électronique mais qui est en fait vital pour l'entreprise.

La direction décider de l'équilibre entre le risque et la récompense. Ils décident de tenir des réunions d’évaluation des risques, des risques à atténuer et de quelle manière.

Il est normal que la direction récompense les employés pour leurs actes héroïques qui les sauvent d’une mauvaise planification de la gestion, car cela ne cache pas le fait que le gestionnaire n'a pas planifié correctement. Les gestionnaires sont récompensés lorsque leur service fonctionne correctement et atteint leurs objectifs.

Offrez aux managers et aux employés une incitation (financière) basée sur la disponibilité du système. Peut-être un bonus ou des perspectives de promotion. À un niveau inférieur, faites connaître la disponibilité de vos systèmes en interne.

Lors des réunions hebdomadaires ou mensuelles, mentionnez les équipes ou les systèmes sans interruption depuis la dernière réunion.

Ou célébrez chaque fois qu'un système atteint un an sans temps d'arrêt imprévus , et avec tous les temps d'arrêt planifiés se terminant en douceur. (Cela ne servirait pas à encourager la maintenance différée.)