Принцип "без вины"

Расставались ли вы с сотрудником после крупного кризиса или его ошибки?

В реагировании на киберинциденты есть такая штука: постмортем — это разбор после атаки, когда все уже немного выспались и способны анализировать. Один из ключевых принципов такого разбора — blameless-подход. Его используют такие парни как Google, Atlassian, он содержится в рекомендациях NIST и NCSC.
Нужен для двух вещей:

Поиска того, почему система позволила человеку совершить ошибку, а не наказание за саму ошибку.
Извлечения максимум опыта для предотвращения повторных инцидентов.

Если после кризиса все силы уходят на поиск виноватого, люди начинают защищаться. Молчать. Скрывать слабые места. Доказывать, что лично они-то все сделали норм, а виноват соседний отдел, подрядчик, предыдущая команда, ретроградный Меркурий или вот этот кабель, который никто не трогал с 2017 года.

В итоге на первое место выходит древний инстинкт самосохранения, а не разбор случившегося. Но главные вопросы-то другие: почему процесс не сработал, как пропустили сигнал, почему подрядчик имел такой доступ, как так вышло, что коммуникации узнали обо всём последними. Или почему наш шикарный антикризисный план на бумаге был, а проверку реальностью не выдержал?

В пятницу SecPost запустил эксклюзив о том, что ВСК, чей антикризис мы разбирали, рассталась с руководителями ИБ и ИТ. "Это произошло после масштабной кибератаки в ноябре 2025 года (ущерб — 900 млн рублей)", пишет СМИ. Что именно было причиной мы не знаем. По крайней мере, я. Это могло быть решение акционеров, итог аудита, личный выбор, конфликт, смена модели управления или демонстрация того, что выводы сделаны.
Прочла у Ромы, что это — показатель того, с какими рисками имеют дело ИТ и ИБ. Рома прав, но по-моему вопрос еще и в другом.

Люди, прошедшие через крупный киберинцидент, становятся носителями редкого прикладного знания. Где, что не сработало, где костыли, где выявились слепые зоны или зависимость от подрядчиков. Где решения принимаются слишком долго. Или где всё держится на трех людях и одном героическом чате, который не умолкает за полночь.

Эти кастомные знания нельзя купить на курсе. Их нельзя быстро передать новому человеку в увесистой папке “Передача дел”. Их можно приобрести только в условиях мясорубки, под давлением, близко к панике, когда кажется, что эти сутки не закончатся никогда.

При найме ребят в свою PR-команду, я всегда спрашивала про кризисный опыт. Потому что успешные кейсы это хорошо, но мало: все вовремя, все красиво и все молодцы. Правда, иногда еще и непонятно, чья там заслуга — PR, маркетинга, агентства или просто повезло. Кризисный опыт не такой. Его сложно присвоить. Его можно только прожить.

Blameless-подход не сохраняет чью-то репутационную невинность, он дает возможность создать внутри компании кризисную экспертизу и научиться.
Следующий киберинцидент будет. Не обязательно такой же, не обязательно прямо завтра, но будет. Касты кибернеприкасаемых нет.

Вопрос не в том, можно ли расставаться с людьми после кризиса. Иногда нельзя. Иногда можно. Иногда иначе уже никак.
Вопрос в другом — где проходит грань между ценностью приобретенного опыта, возможностью стать умнее, устойчивее и необходимостью принести жертву на корпоративный алтарь, чтобы всем на время стало спокойнее?

#кибербез