Presja, presja, presja
Specjaliści ds. cyberbezpieczeństwa to są profesjonalistami, którzy każdego dnia mogą stanąć przed ogromnym wyzwaniem. Zawsze przygotowani, zawsze czujni, zawsze gotowi. Ich praca wiąże się z nieustannym stresem, ponieważ jeden błąd w zabezpieczeniach może prowadzić do poważnych konsekwencji.
Ucierpieć mogą zarówno finanse firmy, jak i jej reputacja, ale także poczucie własnej wartości samych pracowników, którzy przecież są tylko ludźmi. Mogą czegoś nie dokonfigurować, mogą coś przeoczyć. Mogą być zmęczeni, a wtedy może się zdarzyć zwykła ludzka pomyłka. Mogą wszystko zrobić jak trzeba, ale 0-day w powszechnie stosowanych bibliotekach programistycznych sprawi, że system stanie się podatny, albo zostawiona furtka "na chwilę" do testów pozostanie w systemie na dłużej.
Sprawy nie ułatwiają długie godziny dyżurów, co jeśli wziąć pod uwagę tą całą presję może powodować, że obciążenie psychiczne możemy porównać z służbami mundurowymi, czy ochroną zdrowia. Fakt, że w tym przypadku nikt nie umiera (choć i to się zdarza — systemy teleinformatyczne mają różne zastosowania) niczego tu nie zmieni. Pytanie brzmi, jak nasi specjaliści mogą sobie z tym poradzić?
Stres
Wszyscy wiemy, że ludzie są różni i każdy człowiek jest inny. Z tej uwagi ocena kondycji psychicznej pracowników sektora cyberbezpieczeństwa jako całości może być trudne, a wręcz niemożliwe. Możemy jednak przyjrzeć się specyfice pracy tych osób w kontekście potencjalnych zagrożeń dla psychiki człowieka i zastanowić się, w jaki sposób możemy ograniczyć negatywny efekt tychże. W tym artykule skupimy się na tym, jak duża presja — zarówno czasowa jak i ta ze strony przełożonych, a także duże ryzyko popełnienia kosztownego błędu wpływają na ludzi w momencie obsługi incydentu bezpieczeństwa.
Biorąc pod uwagę całokształt stanowiska — głównym problemem, jaki widzimy jest po prostu stres, spowodowany pracą pod presją czasu — szczególnie w sytuacjach kryzysowych, kiedy to trzeba jak najszybciej zidentyfikować i zneutralizować zagrożenie, albo podjąć inne decyzje adekwatne od sytuacji. I to na "teraz, już", bo liczy się każda sekunda. Stresująca jest również stała czujność, a także analizowanie danych w czasie rzeczywistym. Podobnie jak na drodze i tutaj jest istotne, aby stale "mieć rękę na pulsie" i nie przeoczyć czegoś, co może skończyć się tragedią.
Czujność jest o tyle problematyczna, że przez większość czasu "nic się przecież nie dzieje". Na stres wpływa również odpowiedzialność za powierzone systemy — za ich działanie i bezpieczeństwo. Ludzie często podchodzą do tego bardzo personalnie — czując, że jakiekolwiek uchybienie, które jest niezawinione, to prywatna porażka inżyniera. Konsekwencją owego poczucia odpowiedzialności może być lęk przed ewentualnym błędem, za którym szły by konsekwencje dla działania systemu.
Wypalenie zawodowe
Praca pod ciągłym stresem może prowadzić również do wypalenia zawodowego. Dotyczy ono zwłaszcza pracowników, którzy byli bardzo ambitni, bo "żeby się wypalić, to trzeba się najpierw zapalić". Kiedy człowiekowi bardzo zależy, a z czasem coraz mniej postępu widzi, może uznać, że jego praca jest pozbawiona sensu. Prowadzi to do szeregu różnych objawów, które wpływają na wydajność pracownika. Spada jego efektywność, częściej zdarzają mu się błędy i pomyłki — a to za sprawą chronicznego zmęczenia i obniżonej koncentracji.
Jest to bardzo niebezpieczna sytuacja, gdyż może prowadzić do poważnych konsekwencji w infrastrukturze. Kolejnym objawem jest osamotnienie, czy poczucie izolacji — specjalista nie czuje, że ktokolwiek może go wesprzeć, a w razie czego wszystko i tak będzie na jego głowie. Mogą pojawić się lęki, spada podatność na stres, problemy emocjonalne się zwiększają. Praca, która kiedyś cieszyła stała się tylko przykrym obowiązkiem. Wokół same trudności i zagrożenia, osiągnięć coraz mniej a znikąd pomocy. Duże ryzyko uzależnień!
Kryzys
Zdarza się, że w momencie incydentu nie tylko firma, ale i sam pracownik przechodzi kryzys. Pomimo wielu szkoleń, lat praktyki, treningów i opracowanych procedur okazuje się, że sobie "nie radzi". Kiedy produkcja "leży", to nie tylko ona leży, ale także biznes. Z każdą minutą firma traci miliony. Kolejną rzeczą, która leży, jest czas wolny, którego brakuje na odpoczynek i odreagowanie. Zmęczenie pracą powoduje również pogorszenie życia rodzinnego. Leży sam człowiek — na kanapie — nie mając siły na spędzenie czasu z bliskimi, chociażby na pobawienie się z dzieckiem czy romantyczną kolację z partnerką czy partnerem.
W konsekwencji może odbija się to na dobrostanie człowieka i przeświadczeniu, że "do niczego się nie nadaje". Błędne koło prowadzić może do obniżenia odporności, a wtedy może nas złapać infekcja. Jeżeli praca pod wpływem takiej infekcji będzie kontynuowana, to może dojść do zarażenia pracowników innych działów i w taki oto sposób "wirusy rozsiewają się z maszyn na ludzi".
Jakie jeszcze pracownicy zgłaszają objawy? Wspomniano już o infekcjach bakteryjnych i wirusowych, ale także bóle pleców, głowy, problemy trawienne, nasilenie objawów alergicznych, zwiększona potliwość, czy bóle kręgosłupa. Ponad to nadmierny apetyt lub brak apetytu, trudności z pamięcią i koncentracją uwagi, bladnięcie, nadmierne pobudzenie czy obniżone libido.
Środki zaradcze
Należy pamiętać, że niezależnie od wykonywanego zawodu jesteśmy po prostu ludźmi, więc mamy ludzkie potrzeby — jedną z nich jest zadbanie o odpowiednią kondycję psychofizyczną organizmu. Warto pracowników przeszkolić z tego, w jaki sposób można sobie radzić ze stresem — przydatne mogą tu być warsztaty prowadzone przez specjalistów. Możliwe, że znajdują się tacy w dziale HR państwa firmy, a jeśli nie, to na otwartym rynku nietrudno znaleźć podmioty z dostosowaną ofertą. Ponad to należy dać pracownikom przestrzeń na to, by mogli wyregulować swoje emocje i nadmiar frustracji. Z jednej strony fizycznie — umożliwić pracownikowi wyjście w ramach "przewietrzenia się", udostępnienie np. worka bokserskiego, stołu ping-pongowego czy piłkarzyków i pozwolenie grać w trakcie pracy w momentach zwiększonego napięcia.
Warto dać przestrzeń pracownikom również na "wygadanie się" — w zespole, przy przełożonym. Również na używanie słów niecenzuralnych, zginanie w rękach papieru, rzucanie piłką do minikosza czy inne formy wybrane przez zespół. Następnie — warto wypracować odpowiednią kulturę w organizacji — że o wszystkim można powiedzieć tak, aby pracownicy nie pozostawali sami ze swoim problemem. Ważne, by za takimi rozmowami szła akceptacja i wsparcie. Ponad to należy zapewnić pracownikom tak popularny obecnie "work life ballance". Należy zachęcać pracowników, aby poza pracą też mieli swoje życie.
Warto wprowadzić w pracy zasadę "Zero blame", ponieważ wszyscy zgodzimy się, że lepiej mieć działający i bezpieczny system niż winnego. Nie ważne kto doprowadził do obecnego stanu — ważne jest co z tym możemy dalej zrobić. Kiedy już wiemy, aby skupić się na działaniach naprawczych, warto, aby pracownikom przy tych działaniach nie zabrakło cukrów i białek — aby mieli z czego budować neuroprzekaźniki i aby mieli energię do działania. Okazuje się, że taki "owocowy czwartek" to nie tylko benefit, ale działanie mogące wpłynąć pozytywnie na pracowników. W przypadku bardzo ciężkich zdarzeń, jeśli pracownik bardzo to przeżył — warto rozważyć dodatkowy dzień czy dwa dni wolnego po to, aby po powrocie pracownik wrócił do formy.
Niektóre zdarzenia najlepiej jest odespać, zwłaszcza, jeśli przy obsłudze incydentu przepalono wiele nadgodzin. Jak już przy nadgodzinach jesteśmy — warto zapewnić pracownikowi alternatywny transport po długotrwałej pracy w dużym skupieniu, ponieważ taka osoba skrajnie zmęczona może stanowić zagrożenie na drodze, jeśli przyjechała własnym samochodem. Mając na uwadze, że wypadki w drodze z pracy są traktowane jak wypadki przy pracy — firmie powinno zależeć, aby pracownik dotarł do domu bezpiecznie. A co może zrobić sam pracownik? Instytut Cyberpsychologii proponuje tutaj psychologicznego Metasploita (nazwa narzędzia używanego przez red-teamerów, tu od pierwszych liter, by łatwo było zapamiętać i mieć pod ręką w razie potrzeby):
- Medytacja
- Emocje (pozwól sobie na nie! Masz prawo być zarówno zdenerwowany jak i podekscytowany)
- Trening (nic tak nie poprawia nastroju jak opanowanie nowej umiejętności)
- Aktywność fizyczna (odrobina endorfiny jeszcze nikomu nie zaszkodziła)
- Sen (tak, 2 godziny przysypiania w server roomie to za mało, 5 a najlepiej 8 to minimum)
- Przyjemności (zrób coś, co lubisz – przynajmniej raz dziennie i niech ci to wejdzie w nawyk – wykonywanie tasków w robocie się nie liczy)
- Liczenie w myślach (Ale nie do trzech – trochę za mało)
- Odpoczynek (najlepiej na świeżym powietrzu, ale przy dobrej książce w budynku też się liczy – byle nie przy komputerze)
- Integracja (pobądź z ludźmi! Jesteśmy stadem i wbrew nerdowskim preferencjom potrzebujemy tego)
- Twórczość (nic tak nie poprawia nastroju, jak stworzenie czegoś dla potomnych, chociażby raportu po incydencie)
Co, jeśli tego typu działania nie pomagają? Najlepiej skontaktować się ze specjalistą zdrowia psychicznego. W zależności od potrzeb — z psychologiem lub lekarzem psychiatrą (do którego nie potrzeba skierowania). Obie te profesje są objęte tajemnicą zawodową i nic, co zostało powiedziane w gabinecie nie wyjdzie poza niego.
