Pazartesi sabahının görünmez kuyruğu

Okul servisini kaçırdığınız bir sabah düşünün. Kimse size kızmıyor, ama çocuklar arabada, işe geç kalıyorsunuz, telefonunuz titriyor. Her şey yolunda olsa da gün baştan hırpalanmış başlıyor. Güvenlik ekiplerinin pazartesi sabahları yaşadığı his buna çok benziyor.

Hafta sonu boyunca kuyruk büyüyor. Bu sabahki haberlere bakınca bile görebiliyoruz: yeni yamalar, yeni istismar raporları, yeni tedarikçi açıklamaları. Her biri tek başına makul bir iş. Hepsi birden bir insanın önüne bir sabah toplanınca, işin adı değişiyor ve 'iş yükü' olmaktan çıkıp 'suçluluk' oluyor. Ben bunu eski mesleğimden biliyorum. Bir hastane CISO'su olarak pazartesi günleri listeyi açar, ilk yarım saat sadece yapılamayacakları sayardım.

Siber güvenlikte tükenmişlik genellikle yorgunluk olarak anlatılıyor. Bence daha az konuşulan yanı, hiçbir zaman 'bitti' diyememek. Bir mutfakta bulaşık biter, tezgâh silinir, ışık kapanır. Güvenlikte tezgâh hiç silinmez; temizlediğiniz yere yeni bir şey düşer. Ekibinizdeki insanlara 'bugün şunu bitirdik' diyebilecekleri bir an vermezseniz, haklı olarak 'hiçbir şey bitmiyor' sonucuna varıyorlar.

Bir şeyi daha not düşeyim: tükenmişlik çoğu zaman bir kişinin zayıflığı olarak okunuyor ve en iyi çalışan, en çok yük alan kişi oluyor. Ekibin sessiz kalan, her şeye 'tamam' diyen üyesi, aslında ilk bırakacak olandır. Haftalık toplantıda 'bu hafta sana ne fazla geldi' diye sormayı öneriyorum; cevap bazen yazılı bir kuyruktan çok daha fazla şey anlatır. Okul servisi benzetmesine dönersek: şoförün yorgun olup olmadığını, yolcular hiçbir zaman sormaz; sormak hep servis sorumlusuna düşer.

Peki ne yapılır? İlk önerim küçük görünecek: kuyruğu sıralayın ve sıranın dışına bir çizgi çekin. 'Bugün yalnızca internete açık sistemler.' Geri kalanı yarın. Çizginin altında kalanlar yok olmuyor, ama çizgi, ekibin vicdanına bir sınır koyuyor. İnsanlar sınırı olan işi daha uzun süre yapabiliyor.

İkincisi, yöneticilere düşen iş: kuyruğu görünür kılmak. Yönetim kurulunda 'kaç açık var' diye sorulduğunda cevap bir sayı olmamalı; cevap 'şu kadarını bu hafta kapattık, şu kadarını şu nedenle bekletiyoruz' olmalı. Rakamı bilmek ile hikâyeyi anlatabilmek farklı şeyler. Kriz iletişiminde yıllarca gördüğüm şey şu: hikâyesi olan ekip, rakamı savunmak zorunda kalan ekipten daha az yıpranıyor.

Küçük şirketlerde bu tablo daha da çıplak: güvenlik, bir kişinin üç işinden biri. O kişiye 'her şeyi yamala' demek, bir apartman yöneticisine hem asansör hem çatı hem güvenlik kamerasını aynı hafta onartmasını söylemeye benziyor. Öncelik listesi yoksa, en gürültülü olan kazanıyor, en tehlikeli olan değil. Yazılı bir 'önce bunlar' listesi, sadece yönetici için değil, o kişinin akşam eve huzurla gidebilmesi için de bir güvence.

Üçüncüsü, pazartesiyi hafta sonunun artığı olmaktan çıkarmak. Nöbet tutan biri varsa, ertesi sabah onun dinlenme saati toplantıya feda edilmesin. Bunu kâğıda yazmak kolay; uygulamak için bir yöneticinin 'o toplantıya sen gelme' demesi yetiyor.

Bugün ekibinize küçük bir şey söylemek için güzel bir gün: 'Her şeyi biz yetiştirmeyeceğiz; önce şunu yapacağız.' Bunu duyan bir insan, aynı kuyruğa farklı bakıyor. Güvenliği ayakta tutan şey, çoğu zaman bir araç değil, o sabah masaya oturan insanın kendini yeniden toplayabilmesi.