U kom grmu leži zec?

Ransomver, kao najgori oblik sajber napada, u suštini nije tehnički problem. On se samo tehnički manifestuje. Ransomver je zapravo posledica opšteg stanja jedne organizacije. Ima nesretnih slučajeva, svakako, ali oni nisu pretežni.

Ransomver ne nastaje zbog jedne greške. Iako se mi bezbednjaci uporno upinjemo da vas u to ubedimo, za ransomver nije dovoljno da zaposlenom procuri lozinka na dark vebu. Nije dovoljno ni da neko klikne na fišing poruku, niti da postoji neka famozna ranjivost kroz koju provalnici ušetaju unutra. Procurelih lozinki ima na milijarde, na fišing svako može da se upeca i ne postoji mreža bez ranjivosti. Pa opet, ne stradaju svi od ransomvera.

Da bi neko sa ukradenom lozinkom srušio kompaniju, mora da postoji niz stvari koje ne funkcionišu kako treba. Ukratko, preduslovi za ransomver su nerazmišljanje o kontroli, o bezbednosti, o planu B, o usavršavanju i, konačno, o odgovornosti. Složićete se da to nisu toliko tehnički termini, koliko organizacioni. Skoro po pravilu, za ransomver postoje uzroci koji nemaju puno veze sa tehnologijama.

Šta je organizacija, a šta ustaljena praksa

Ali, hajde prvo da vidimo šta je to organizacija. Šta je značenje reči, a šta zatičemo na terenu.

U osnovnom značenju, organizacija je uređena zajednica ljudi okupljenih oko zajedničkog cilja. Ima strukturu, uloge, odgovornosti, procese i pravila. Zadatak je da se ljudi, znanja i resursi usmere ka nečemu što pojedinac ne može da postigne sam.

Organizacije su jedna od važnijih tekovina civilizacije. Omogućile su nam da gradimo, lečimo, šaljemo ljude u svemir, razvijamo tehnologije i stvaramo vrednosti koje daleko prevazilaze mogućnosti jedinke. Kada se ljudi udruže oko zajedničke ideje i pronađu način da sarađuju, akumulacija njihovih sposobnosti mnogo je veća od prostog zbira pojedinačnih doprinosa.

Kad pojednostavimo, organizacija je grupa ljudi koja je odlučila da radi nešto zajedno. Neki su se tu našli slučajno, neki namerno. Neko radi zbog plate, neko zbog ideje, neko zbog prilike da nešto nauči ili izgradi. Bez obzira na razloge, od trenutka kada počnu da rade zajedno, među ljudima se stvaraju odnosi, očekivanja, poverenje i nepisana pravila.

Pored osnovne logike, svaka organizacija ima i nešto što nećete naći u njenim pravilnicima. Ima svoj etos. Etos je njen karakter i obično može da se nasluti iz misije i vizije, ali ne mora da znači. U pitanju je skup vrednosti, navika i nepisanih pravila koja određuju kako ta organizacija živi. Kako se ljudi u njoj ponašaju, kako rešavaju probleme, koliko brinu jedni o drugima i koliko im je do njihove organizacije stalo. Etos u velikoj meri određuje šta se smatra važnim, šta se toleriše, šta nagrađuje, a šta prećutno prihvata. Pored njene uloge u društvu, organizaciju ćete najbolje razumeti kroz njen etos koji određuje kako će se ponašati u vreme krize ili prilike za promenu.

Važno je razumeti i da etos nije trajan, jednom izgrađen ili zauvek dat. Nije uklesan u kamenu niti zapisan u osnivačkom aktu kompanije. Etos se rađa, živi i umire sa organizacijom. Gradi se i menja svakog dana, kroz stotine malih i velikih odluka, postupaka i kompromisa. Jača kada ljudi osećaju odgovornost i kada veruju da svojim delovanjem mogu nešto da promene. Slabi kada nastupe ravnodušnost, cinizam i osećaj da pojedinac nema pravo glasa.

Pri tome, iako u mnogome zavisi, etos nije isključiva odgovornost rukovodstva. Na njega utiču svi, bez obzira na sistematizaciju. Direktor može da postavi smer koji će zaposleni da potvrđuju ili da potkopavaju. Jedan tim može da podigne standarde cele organizacije, dok drugi vremenom može u potpunosti da ih uruši. Izgradnja i očuvanje etosa je prirodan i neprekidan ciklus. Ne postoji trenutak u kojem možemo da kažemo da je taj posao završen.

To se posebno vidi u organizacijama koje rastu brzo. Dok su male, ljudi se međusobno poznaju, dele slične vrednosti i osećaju snažniju povezanost sa onim što grade. Kako broj zaposlenih raste, rastu i složenost, fizička i emocionalna udaljenost, različita očekivanja i različiti prioriteti. Bez svesnog napora da se zajedničke vrednosti očuvaju, originalni etos počinje da bledi ili da se prilagođava.

Suština etosa za pisca ovih redova može da se svede na jedno jednostavno pitanje i svu složenost odgovora koji sledi. Koliko nam je zaista stalo? Do posla koji radimo, do ljudi sa kojima radimo, do kvaliteta onoga što iza sebe ostavljamo. I do same organizacije, ne kao pravnog lica, već kao zajednice kojoj pripadamo, za koju smo vezani i za koju odgovaramo.

Nijedna organizacija ne živi u vakuumu, pa tako ni njen etos nije zatvoren ekosistem. Na njega svakodnevno utiču i unutrašnji i spoljni faktori, ponekad grubo, ponekad neprimetno. Dovoljno je da jedan čovek bude nadrndan, umoran ili ogorčen, pa da svojim ponašanjem zakuva neslogu na mesec dana. Isto tako, dovoljan je jedan kolega koji svojim primerom diže energiju i vraća inspiraciju među ljude. Etos živi kroz međuljudske odnose, način rešavanja sukoba, osećaj pravičnosti i stepen poverenja među ljudima.

Organizacije su istovremeno i ogledalo društva. Teško je graditi kulturu odgovornosti tamo gde se krivinarenje nagrađuje. Teško je negovati poverenje u okruženju gde vlada korupcija, zakon jačeg i strah. Vrednosti koje dominiraju van organizacije, pre ili kasnije, pronalaze svoj put do svakog mikrokosmosa, hteli mi to ili ne.

Zdravlje etosa se ne meri isključivo prihodima, rastom ili brojem zaposlenih. Organizacija može da ostvaruje odlične poslovne rezultate, a da njen etos iznutra boluje. Bolestan etos ume da se zamaskira uspehom i retko ga odaju veliki događaji, a mnogo češće sitnice.

Kada na sastanku niko ne postavlja neprijatna pitanja. Kada ljudi prestanu da prijavljuju probleme jer veruju da ne mogu ništa da promene. Kada se greške prećutkuju zbog straha od posledica. Kada zaposleni znaju kako stvari zaista funkcionišu, a ne kako piše u pravilniku.

Obolelo stanje se oseća i kada odgovornost ustupi mesto snalažljivosti, kada se kratkoročni rezultati vrednuju više od dugoročne održivosti i kada odlazak dobrih ljudi prestane da zabrinjava. Jedan od prvih simptoma bolesnog etosa je ravnodušnost. Ljudi prestaju da idu korak dalje, da upozoravaju i da brinu. Ostaju zbog plate i straha od neizvesnosti. Sukobi su u takvom okruženju neminovni, ali odsustvo iskrenog neslaganja je signal za povlačenje ručne.

Paradoks je u tome što organizacija sa takvim etosom može delovati potpuno zdravo godinama. Prihodi rastu, projekti se završavaju, broj zaposlenih se povećava i spolja gledano sve izgleda sjajno i bajno.

U takvom okruženju nema smisla tražiti jednog krivca. Organizacije su suviše složeni i isprepleteni sistemi da bi njihovo stanje moglo da se pripiše jednoj osobi, jednoj odluci ili jednom događaju. U jednačinu svako unosi svoje znanje, vrline, mane, nesigurnost, ambicije i životne okolnosti. Sve to, zajedno sa spoljnim pritiscima i društvenim uticajem, stvara mrežu odnosa koju je nemoguće svesti na jednostavan uzrok i posledicu. Pokušaj da pronađemo jednog krivca potraga je za prostim rešenjem složenog problema.

Štaviše, u toj potrazi obično nastrada i deset onih koji su samo radili svoj posao i pet dobronamernih koji nisu imali pravo glasa. A, za ozdravljenje etosa potrebna je većina.

Treba reći i ono što se obično preskače. Ne radimo u idealnim uslovima, niti sa idealnim ljudima. Takvih nema, niti ih je bilo. Grešimo svi, imamo loše dane, mislima smo negde drugde. Firmom ponekad upravlja naslednik koji bi radije presađivao orhideje u oksfordskom stakleniku nego što sluša šta je krenulo naopako između dvesta ljudi koje je nasledio uz kuću i posed. U susednoj kancelariji možda sedi čovek koji u glavi zviždukom skuplja ovce, dok mu na ekranu stoji dvadeseta tabela koju će popuniti tek da je se otarasi. Nijedan od njih nije loš čovek. Obojica su naprosto ljudi sa svojim čežnjama koje je život zatekao tu gde jesu. A organizacija, sviđalo se to nama ili ne, počiva na nama samima. Ne na ljudima kakvi bismo voleli da budemo, nego na ovakvima kakvi jesmo.

Ponedeljak kad sve dođe na naplatu

I onda, u svim tim sanjarenjima, straćenim danima i maskaradi, jednog sasvim običnog ponedeljka događa se incident, onaj prethodno spomenuti veliki događaj. Ransomver. Baš pred kraj kvartala, zatičemo se pred zaključanim vratima naše organizacije.

Niko nije kriv i svi su krivi. Kriv je administrator koji je tri godine tražio pare za novi storidž, pa je konačno u nekom trenutku slegnuo ramenima. Nije njegova firma, što bi se nervirao. Kriv je direktor koji je taj zahtev pročitao i odložio, pa odobrio tri nove Oktavije za vozni park. Storidž je čekao sledeći budžet i raskalašnija vremena. Kriva je koleginica iz nabavke koja je otvorila fakturu od poznatog dobavljača, koji je takođe kriv, jer nije stigao da je obavesti o sajber napadu u njegovoj firmi. A i da jeste, tog dana joj se žurilo kući, pa je pitanje da li bi i bilo od neke koristi. Kriv je i pripravnik koji je u petak po podne primetio da se nešto dešava, ali nije smeo nikome da kvari vikend. Kriv je inženjer koji je sa vrhovnim nalogom prčkao po mreži, jer tako i brže i lakše. Jer, ko će nas, bogati, napasti. Kriv je i šef odeljenja koji je pre dve godine oterao jedinog čoveka koji je postavljao nezgodna pitanja, zato što je bio težak čovek. Krivi su, na kraju, i svi oni koji su odavno prestali da mare, pa su samo gledali svoja posla i čekali platu.

Nijedna od tih odluka, sama za sebe, nije srušila firmu. Svaka je bila sitna i donekle razumljiva, jer smo ljudi.

Ransomver ne ulazi na velika vrata — prošeta kroz mala koja smo sve vreme vredno otključavali.

Prvih sati niko ne shvata o čemu se radi. Svi misle da je pao server, da je crklo nešto i da će IT to popraviti za sat, dva. Eto opravdanja da se skokne do kineza. Onda na ekranima osvane poruka sa cifrom i uputstvom za plaćanje. Telefoni počinju da zvone. Zove kupac koji je čekao isporuku za danas, zove dobavljač, zove generalni sa poslovnog puta. I niko ne ume da im objasni šta se dešava. Proizvodnja staje, fakture ne mogu da se izdaju, podataka o klijentima nema. Plate kasne, procenjuje se šteta, kupci gledaju u pravcu konkurencije. Banke zovu sa pitanjima na koje odgovora nema. Ona cifra sa ekrana ispada i najsitnija stavka u tom trenutku.

Kada se prašina slegne, počinju prozivke. Administrator je morao upornije da moli, rukovodstvo ne ulazi u svoju odgovornost, a vlasnik ništa ne razume i na kraju je antivirus kriv, iako ga nije bilo na pola računara. U vazduhu se oseća da neko za ovo mora da plati, ali se ne zna ko, pa svi hodaju kao po jajima. Oni najbolji dopunjuju svoje biografije i gledaju oglase, jer se ne osećaju sigurno. I tako je organizacija, pogođena vlaškom magijom, izgubila i ono malo zajedničkog tla na kojem je stajala.

Veliki obično moraju da izađu sa istinom u javnost, hteli to ili ne. Gleda ih previše očiju, servisi ne rade, akcionari zapitkuju, regulatori istražuju, novinari njuškaju. Mali se, po pravilu, povuku u sebe i ne progovaraju. Plate ako mogu, stisnu zube i oplakuju, ali u tišini, da se ne pročuje. Delom iz straha — od kupaca, inspekcije i konkurencije, a delom iz stida. Jer, koliko god mi iz struke ponavljali da ransomver može svakoga da zadesi, u glavi prosečnog čoveka on je signal da negde nešto nije valjalo. Pokazatelj da se loše radilo. I tu se krug zatvara. Ista ona tišina sa sastanaka, na kojima niko ništa nije pitao, sada se proliva i izvan kompanije.

Ima onih koji su loše prošli, ali je neuporedivo više onih koji čekaju u redu da i njih ista sudbina sabije. Za dvadesetak godina sam se nagledao toga više nego Boljeg života. Pozove te čovek, treba mu podrška, otvoriš konzolu, a u njoj trista problema. I samo 50 od 150 računara. I na tim prisutnim, zaštita od pre dve godine, kad ste se poslednji put i čuli. Tad je urađeno 50, uz dogovor da se završi ostatak. Predložiš da se to konačno sredi i utegne, a sa druge strane čuješ umor od života i poznatu prozu – mala plata, nepoštovanje, kolege klikću gde stignu, večiti konflikti i nerazumevanje. Na kraju ide kulminacija: „al', ti si dobar i razumeš, ti ćeš mi pomoći..."

I pomogneš, naravno. To ti je posao. Samo što znaš da time problem ne rešavaš, već ga samo odlažeš. Znaš da je to što vidiš na ekranu odraz nečega što seže mnogo dublje od tvoje ekspertize. I znaš da će te čovek zvati i dogodine, sem ako nas u tome nešto ne pretekne.

Reset kompasa, dok još ima vremena

Koliko god to bio standard za naše krajeve da nezadovoljstvo nesebično delimo kao znak prijateljstva i prepoznavanja, ovaj tekst se neće završiti u fatalizmu i determinizmu, bez ponuđenog izlaza.

Neke društvene probleme ne mogu da rešim kao pojedinac. Za to postoje organizacije, ili još bolje — institucije. Ono što mogu je da vam resetujem kompas i pokažem gde je sever, dok još ima vremena da se krene i pre nego što osvane sledeći ponedeljak.

Kao odgovor na prethodno navedeno, jer i mene sve to nervira, za ovo leto planiram seriju radionica na temu sajber bezbednosti za mikro, mala i srednja preduzeća. Pričaćemo o konkretnim problemima i njihovim rešenjima, ali i kroz prizmu sajber kulture unutar koje ta sajber bezbednost obitava. Jedno bez drugog ne ide i nije nešto što može da se kupi na crni petak, ako pretekne para. Sajber bezbednost morate da utkate u svoju organizaciju, uz prihode, rashode, ljude i ono što radite bolje od drugih, a ja slučajno znam šta je dobar vez i u tome mogu da pomognem.