PODROČJE: UPRAVLJANJE IN ODGOVORNOST – LEKCIJA 25/100
CISO mora o tveganjih poročati brez ustvarjanja panike in brez olepševanja dejanskega stanja.
Obe skrajnosti sta nevarni.
Če vsaka ugotovitev zveni kot krizna situacija, ljudje sčasoma prenehajo poslušati.
Če pa resna tveganja preveč omilimo, vodstvo ne more sprejemati odločitev na podlagi pravih informacij.
Najtežje je najti pravo ravnovesje.
Komunikacija mora biti:
- jasna,
- mirna,
- konkretna,
- podprta z dokazi,
- usmerjena v poslovanje,
- usmerjena v ukrepanje.
Ne dramatična.
Ne nejasna.
In ne preveč tehnična.
Namesto da rečemo:
»Imamo kritično varnostno težavo.«
lahko povemo:
»Ta pomanjkljivost vpliva na sistem, ki podpira pomemben poslovni proces. Če bi bila izkoriščena, bi lahko povzročila motnje v poslovanju. To so realne možnosti za ukrepanje, pričakovani obseg potrebnih aktivnosti in preostalo tveganje.«
Namesto da rečemo:
»Nismo varni.«
lahko povemo:
»Na teh področjih imamo pomanjkljivosti, ki predstavljajo konkretna tveganja. To so področja, ki jih moramo obravnavati prednostno, in to so vprašanja, pri katerih je potrebna poslovna odločitev.«
Dobro komuniciranje o tveganjih bi moralo odgovoriti na naslednja vprašanja:
- Kaj je težava?
- Zakaj je pomembna?
- Kaj se lahko realno zgodi?
- Kdo je lastnik tveganja?
- Katere možnosti imamo?
- Kakšna odločitev je potrebna?
- Kaj se zgodi, če ne ukrepamo?
Novi CISO mora z uravnoteženo komunikacijo graditi zaupanje.
Ne tako, da stvari prikazuje slabše, kot v resnici so.
In ne tako, da jih prikazuje boljše.
Ampak tako, da jih predstavi jasno.
Cilj poročanja o tveganjih namreč ni prestrašiti ljudi.
Cilj je organizaciji pomagati pri sprejemanju odločitev.