Pierwsze 90 dni nowego lidera IT

akt pierwszy: zrozum grunt, na którym stoisz

Dyscyplina jest tu prosta do nazwania i trudna do utrzymania: rozumieć, zanim ocenisz. Pierwszy odcinek czasu poświęć na zbieranie rzeczywistości.

najpierw biznes

Zanim wyrobisz sobie jakąkolwiek opinię techniczną, dowiedz się, jak firma zarabia, gdzie leży jej tolerancja na ryzyko i co naprawdę mogłoby jej zaszkodzić. Assaf Keren, który budował funkcje bezpieczeństwa na dużą skalę, zadaje te same trzy pytania każdemu liderowi, którego spotyka. Jak wygląda dla Ciebie dobry dzień. Jak wygląda zły dzień. Co moja funkcja może zrobić, żebyś miał więcej dobrych dni niż złych. Odpowiedzi pokazują, z czego rozliczany jest każdy dyrektor i gdzie Twoja praca łączy się z jego.

Jeśli nie potrafisz opisać, jak płynie przychód, bez jakich systemów firma nie może działać i ile kosztuje dzień przestoju, nie jesteś jeszcze gotowy, żeby rekomendować, gdzie powinny iść pieniądze. Przeczytaj prezentację dla zarządu. Zapytaj CFO, jak firma zarabia i wydaje pieniądze. Zapytaj COO, co psuje operacje.

Apetyt na ryzyko to element, który nowi liderzy najczęściej pomijają, a kształtuje on wszystko, co następuje później. Firma trzy miesiące przed rundą finansowania i firma obsługująca regulowaną bazę klientów mają różną tolerancję na tę samą ekspozycję, i obie są uzasadnione. Twoim zadaniem jest poznać apetyt, który już istnieje, a nie narzucić własny. Możesz później argumentować za jego zmianą, mając dowody.

ludzie

Zanim odziedziczysz system, dziedziczysz zespół. Szybko znajdź swoich najmocniejszych ludzi. Wiedzą, gdzie leżą trupy, bo część z nich sami zakopali. Potem bądź szczery co do przepustowości. Policz realne godziny wobec realnego obciążenia, zanim dodasz choćby jedną inicjatywę. Zespół pracujący na pełnych obrotach nie wchłonie Twoich ambicji, a odkrycie tego w trzecim miesiącu jest gorsze niż wiedza o tym w drugim tygodniu.

Prawdziwą wczesną wygraną jest często poprawa sytuacji własnego zespołu: naprawienie stanowiska, które od dwóch lat czeka na aktualizację, skorygowanie wynagrodzenia, które spadło poniżej rynku, rozplątanie linii raportowania, która nie ma sensu. To kosztuje niewiele, a buduje zaufanie, które umożliwia wszystko inne. Obraz przepustowości mówi też coś o każdym planie, który później zaproponujesz. Kontrola, której nie masz kim obsadzić, to tylko linijka w dokumencie polityki, która po cichu zawodzi przy pierwszym teście.

co odziedziczyłeś

Część Twojego budżetu jest wydana, zanim się pojawiasz. Zmapuj to. Znajdź wieloletnie zobowiązania, licencje z automatycznym odnowieniem, sprzęt w harmonogramie amortyzacji. Wcześniejsze ustalenia z audytów przychodzą z otwartymi zadaniami, które teraz są Twoje. Ciągłość działania zasługuje na uczciwe spojrzenie już na wczesnym etapie: zadaj jedno bezpośrednie pytanie, kiedy ktoś ostatni raz odtworzył dane z backupu i potwierdził, że to zadziałało. Odpowiedzią jest często długa cisza.

Istnieje użyteczna mapa terenu. Przejdź obszary procesowe jeden po drugim: zarządzanie ryzykiem, monitoring bezpieczeństwa, reagowanie na incydenty, zarządzanie podatnościami, tożsamość i dostęp, zapobieganie utracie danych, ryzyko dostawców, szkolenia z bezpieczeństwa, politykę, governance, bezpieczeństwo aplikacji, postawę chmurową. Przejdź je, żeby zrozumieć teren, nie żeby zamknąć je w jeden kwartał.

środowisko i miejsce, w którym wchodzi widoczność

Zasada jest prosta: ustal kontekst, zanim ocenisz ryzyko. Nie da się scharakteryzować ryzyka na systemach, tożsamościach i narzędziach, których nie widzisz. Zbuduj więc ten obraz. Zidentyfikuj klejnoty koronne, czyli dane i systemy, których utraty firma by nie przetrwała, i prześledź, gdzie te dane żyją i dokąd wędrują.

Tutaj w tym łuku znajduje swoje miejsce widoczność dostępu, SaaS i shadow AI. Obraz tożsamości i dostępu, czyli kto ma dostęp do czego, które aplikacje są podłączone do Twoich kluczowych systemów, jakie narzędzia AI są faktycznie w użyciu, to jeden z najszybszych sposobów, żeby wcześnie zamienić „wydaje mi się" w „wiem". Większość środowisk kryje więcej, niż wydaje się ich właścicielom: były kontraktor, który wciąż ma dostęp do repozytorium, katalog, który wygląda czysto, dopóki nie sprawdzisz grantów OAuth i podłączonych aplikacji, które nigdy nie pojawiają się na liście użytkowników, stos triali SaaS, które po cichu stały się produkcją, asystent AI podpięty pod skrzynkę sprzedażową, o którym nikt nie zrobił notatki. Dowody mówią, że te luki są normą, a nie wyjątkiem. Zdobycie tego obrazu nie zobowiązuje Cię do żadnej architektury. Jest odwracalne, jest szybkie i daje Ci coś konkretnego, na czym możesz się oprzeć w rozumowaniu.

wyznacz termin na zrozumienie

Słuchanie ma swój tryb awarii. Zbieranie informacji bez wyznaczonej daty końcowej zamienia się w niekończący się proces. Możesz spędzić cały kwartał na słuchaniu i wyjść z niego bez żadnej decyzji. Ustal więc granicę z góry. Zdecyduj, kiedy zrozumienie przestaje być głównym zajęciem, a zaczynają się decyzje.

akt drugi: zdecyduj, co naprawdę ma znaczenie

Zrozumienie mówi Ci, co jest prawdą. Kolejna dyscyplina to decydowanie, na co warto poświęcić Twoją ograniczoną uwagę. Priorytetyzuj według realnego wpływu na biznes, nie według najgłośniejszego alarmu technicznego.

ryzyko, zagrożenie i podatność to nie to samo

Ransomware to zagrożenie. Niemożliwy do załatania przestarzały system to podatność. Ryzyko to strata biznesowa, która powstaje, kiedy zagrożenie spotyka się z podatnością, która ma znaczenie. Zarządy interesuje realny wpływ na biznes. Ustalenie, które ryzyka są istotne i jak je zredukować, to cała gra. Długi inwentarz podatności uszeregowanych według surowej powagi myli ruch z postępem.

metoda pasująca do pierwszego kwartału

W pierwszych dziewięćdziesięciu dniach nie potrzebujesz ciężkiego programu kwantyfikacji ryzyka. Umieść każdy obszar na dwóch osiach: jak dojrzały jest i ile ryzyka niesie. Oceń każdą domenę, którą przeszedłeś w akcie pierwszym, umieść ją na siatce i skieruj uwagę tam, gdzie dojrzałość jest niska, a ryzyko wysokie. Trzymaj się jednej skali. Wartość leży w spójności, nie w precyzji.

Ten wykres robi coś jeszcze: daje Ci sposób na obronę swoich priorytetów wobec osób, które się z nimi nie zgadzają. Kiedy interesariusz naciska, żeby zająć się jego ulubioną sprawą, możesz pokazać, gdzie ona siedzi na siatce i dlaczego jest niżej niż coś innego. Nowy lider z widoczną metodą ma na co wskazać.

kontekst zamienia liczbę w priorytet

Ten sam wynik podatności znaczy różne rzeczy w zależności od kontekstu. Wysoki wynik na odizolowanej maszynie testowej to szum. Ten sam wynik na systemie będącym klejnotem koronnym, w sektorze aktywnie atakowanym, to priorytet. Rankinguj według wpływu na realnych wymiarach: ekspozycji finansowej, zakłóceń operacyjnych, konsekwencji prawnych albo regulacyjnych, reputacji i zaufania.

dlaczego tożsamość zwykle wychodzi na szczyt

Przeprowadź tę priorytetyzację uczciwie, a tożsamość i dostęp same z siebie często wychodzą na szczyt: kontrole w tej domenie zwykle dają najwięcej redukcji ryzyka na jednostkę wysiłku na wczesnym etapie. Uwierzytelnianie wieloskładnikowe to najwyraźniejszy przykład, jego skuteczność wobec ataków opartych na danych uwierzytelniających jest dobrze potwierdzona w głównych zbiorach danych o incydentach. Uporządkowane wdrożenie MFA, podstawowe zarządzanie dostępem uprzywilejowanym (PAM) i nadzór nad grantami OAuth regularnie lądują w ćwiartce wysokiego ryzyka i niskiej dojrzałości dla firm mid-market, i zwykle da się je ogarnąć w jeden kwartał. Przedstaw to jako wniosek, do którego dochodzi priorytetyzacja, a nie jako gotową odpowiedź, którą przyniosłeś ze sobą.

akt trzeci: ruszaj z kilkoma rzeczami, które realnie obniżają ryzyko

Teraz działasz. Dyscyplina polega tu na powściągliwości.

szybkie wygrane, które budują wiarygodność

Niektórzy nazywają to wyciąganiem ciernia. Znajdź mały, widoczny, bolesny problem, na który skarży się konkretna osoba, i rozwiąż go szybko. VPN, który pada co popołudnie. Wniosek o dostęp, który trwa dwa tygodnie. Żadne z nich nie jest Twoim priorytetem strategicznym. Wszystkie budują zaufanie, które pozwala później zrobić większe ruchy. Wybieraj ciernie odwracalne, niskiego ryzyka i budujące relacje. Najlepsze szybkie wygrane pełnią podwójną rolę: naprawienie wolnego procesu wniosków o dostęp kupuje przychylność i uczy Cię, jak dostęp naprawdę płynie przez firmę.

dyscyplina tego, czego jeszcze nie decydować

Ujmuj decyzje jako drzwi jednokierunkowe i dwukierunkowe. Drzwi dwukierunkowe są odwracalne, zasługują na skłonność do działania. Drzwi jednokierunkowe są nieodwracalne albo na tyle kosztowne, że w praktyce takie są, zasługują na namysł. Większość nieodwracalnych decyzji, przebudowa stosu tożsamości, duże wieloletnie zobowiązanie wobec dostawcy, reorganizacja, ciężki framework compliance, nie powinna zapadać w pierwszym kwartale. Nazwij je decyzjami, które świadomie odkładasz, co samo w sobie jest oznaką dobrej oceny sytuacji.

nie kupuj narzędzi, zanim zrozumiesz lukę

Pułapka narzędziowa łapie nowych liderów często: produkty kupione, żeby rozwiązać problem, który nigdy nie został jasno zdefiniowany. Kupuj możliwości dopiero, kiedy znasz lukę, nie wcześniej. Jeśli nie potrafisz w jednym zdaniu nazwać konkretnej luki, którą zamyka zakup, i tego, skąd będziesz wiedzieć, że zadziałał, nie jesteś gotowy, żeby go zrobić. I najpierw zinwentaryzuj to, co już jest wykupione i nieużywane: większość firm mid-market zapłaciła za możliwości, których nigdy nie włączyła. Włączenie możliwości, za którą firma już płaci, daje redukcję ryzyka przy zerowym dodatkowym koszcie.

zamknij kwartał planem, nie listą problemów

Zakończ jedną zasadą: nazwij rzeczywistość, potem wznieć nadzieję. Nazwij realny stan wprost, a potem podaj pewny, konkretny plan poprawy. Briefing, który kończy się katalogiem wszystkiego, co jest zepsute, zostawia salę zaniepokojoną. Briefing, który kończy się priorytetowym planem i uzasadnieniem biznesowym, zostawia salę z decyzją do podjęcia. Trzymaj plan krótko. Trzy priorytety, które zespół zarządzający zapamięta, biją listę piętnastu. Powiąż każdy z nich z językiem biznesowym z aktu pierwszego i tam, gdzie uczciwie się da, podaj liczbę.

wątek pod spodem: zaufanie jako system operacyjny

Relacje to infrastruktura, na której działa wszystko inne. Zbuduj regularny rytm spotkań jeden na jeden z rówieśnikami i interesariuszami, zanim będziesz ich potrzebować. Rób to, co obiecujesz, na czas, za każdym razem. Stań się funkcją, która znajduje sposób, żeby bezpiecznie powiedzieć tak, zamiast być działem, który zawsze mówi nie. Mów nie wystarczająco często, a biznes przestanie pytać, co oznacza, że przestanie Ci mówić, co robi. Mów językiem biznesu: chroniony przychód, uniknięty przestój, odblokowany deal, zadowolony regulator. I buduj relacje przed kryzysem, bo incydent to najgorszy możliwy moment na pierwsze poznanie.

horyzont: dokąd to zmierza

Dojrzewający program zmierza w stronę zero trust i dostępu skoncentrowanego na tożsamości, gdzie dostęp jest nadawany na żądanie, weryfikowany w sposób ciągły i nie zakłada domyślnego zaufania wynikającego z lokalizacji sieciowej. To cel docelowy, nie coś do dowiezienia w pierwszym kwartale. Nazwanie horyzontu wcześnie mówi zarządowi, że Twoje rekomendacje z pierwszego kwartału to kroki na świadomie wybranej drodze. Frameworki zero trust opisują to jako migrację rozłożoną na lata, zaczynającą się od discovery i widoczności, czyli tej samej pracy nastawionej najpierw na zrozumienie, co w akcie pierwszym. Widoczność, którą budujesz w pierwszym kwartale, jest pierwszym krokiem tego długiego łuku.