ENISA opublikowała 30 września materiał o umiejętnościach pracowników przy okazji Europejskiego Miesiąca Cyberbezpieczeństwa. W przywołanym Eurobarometrze 26% respondentów wskazuje brak czasu w pracy jako barierę szkolenia. Dla osób odpowiedzialnych za program świadomości proponujemy z tego wyprowadzić konkretne zadanie: wpisać naukę do planu pracy i oceniać warunki wykorzystania wiedzy, zamiast kończyć rozliczenie na liście obecności.
Czy uznalibyśmy szkolenie za dobrze zorganizowane, gdyby pracownik miał obowiązek je ukończyć, ale nie potrafił wskazać czasu przeznaczonego na naukę? Potraktujmy to pytanie jako początek przeglądu własnego programu. Otwórzmy harmonogram szkolenia i plan pracy zespołu, a następnie poszukajmy w nich miejsca na tę samą czynność. Jeżeli widzimy wyłącznie termin ukończenia kursu, poprośmy o wskazanie, kiedy uczestnik ma się uczyć. Nie przesądzajmy przy tym, jaka odpowiedź padnie w naszej organizacji. Wynik przywołany przez ENISA daje powód do zadania pytania, ale odpowiedź zbierzmy u siebie. Poniższe propozycje redakcyjne rozwijają ten przegląd o kanał zgłoszeń oraz ocenę zachowania w rzeczywistych sytuacjach; nie opisują zdarzeń w konkretnej firmie.
Barierę czasu sprawdź w harmonogramie
Wskazane przez ENISA 26% dotyczy odpowiedzi o przeszkodzie w szkoleniu. Zachowajmy ten zakres także w rozmowie o własnym programie. Nie wyprowadzajmy z tej liczby oceny umiejętności uczestników ani tego, czy konkretny kurs czegoś nauczył. Zacznijmy od sprawdzenia, czy zaplanowany udział ma przypisany czas w godzinach pracy.
Przy najbliższym szkoleniu zestawmy termin ukończenia z dostępnym czasem uczestnika. Poprośmy przełożonego o potwierdzenie, które obowiązki mogą wtedy poczekać. Jeśli nauka koliduje z zadaniem, ustalmy kolejność przed rozpoczęciem szkolenia i zapiszmy ją przy terminie. Zostawmy też uczestnikowi sposób zgłoszenia, że uzgodniony czas okazał się niedostępny. Takie zgłoszenie potraktujmy jako informację do poprawy harmonogramu, bez przypisywania pracownikowi z góry braku zainteresowania.
W przeglądzie programu rozdzielmy pytanie o ukończenie szkolenia od pytania o możliwość spokojnego udziału. Przy braku odpowiedzi na drugie pytanie pozostawmy ocenę warunków nauki otwartą. Nie dopisujmy potwierdzenia na podstawie samej obecności.
Rozliczając szkolenie, wymagajmy wskazania czasu na naukę w planie pracy.
Kanał zgłoszeń przejdź od strony pracownika
Po pytaniu o czas, do którego skłania wynik przywołany przez ENISA, sprawdźmy dalszy krok: co uczestnik ma zrobić, gdy podczas pracy zauważy problem albo będzie miał wątpliwość. To proponowany przez redakcję zakres oceny programu, bez twierdzenia, że badanie wykazało konkretną wadę kanałów zgłoszeń.
Otwórzmy instrukcję dostępną pracownikowi. Wskażmy miejsce, do którego ma trafić zgłoszenie, oraz osobę odpowiedzialną za jego odbiór. Poprośmy uczestnika przeglądu o odnalezienie tej instrukcji i opisanie kolejnego działania. Jeżeli odpowiedź wymaga dopowiedzenia przez prowadzącego, zapiszmy dokładnie, której informacji zabrakło. Poprawę przypiszmy do treści instrukcji albo organizacji obsługi, zależnie od tego, co ustalimy.
Przy ocenie zachowania w rzeczywistej sytuacji sięgnijmy do rzeczywistego zgłoszenia, o ile mamy materiał pozwalający je omówić. Sprawdźmy, czy pracownik wiedział, gdzie je skierować, i czy otrzymał informację o dalszym postępowaniu. Gdy takiego materiału brakuje, oznaczmy wynik jako nieustalony. Ćwiczenie odnajdywania instrukcji opiszmy jako ćwiczenie; nie przedstawiajmy go jako dowodu zachowania podczas rzeczywistego problemu.
Zarządowi pokaż warunki i sposób sprawdzenia
W rozmowie zarządczej o publikacji ENISA proponujemy połączyć decyzję o szkoleniu z decyzją o czasie pracy. Poprośmy osobę zatwierdzającą program o wskazanie, kto uzgadnia dostępność uczestników, kto przyjmuje zgłoszenia problemów i kto ocenia wykorzystanie wiedzy. Przy każdej odpowiedzialności zapiszmy działanie, które da się później sprawdzić.
W raporcie obok informacji o udziale umieśćmy ustalenia dotyczące warunków nauki. Wskażmy, czy przełożony uzgodnił czas i czy uczestnicy mieli możliwość zgłoszenia kolizji. Przy ocenie kanału zgłoszeń opiszmy, co sprawdzono i czego nadal nie wiadomo. Zamiast ogólnej oceny gotowości zespołu przedstawmy dostępne obserwacje wraz z pytaniami wymagającymi odpowiedzi.
Nie przypisujmy temu przeglądowi z góry oszczędności ani poprawy bezpieczeństwa o określonej skali. Postawmy skromniejszy cel i rozstrzygnijmy, co zmienić w organizacji nauki lub zgłaszania problemów. Każdą proponowaną zmianę połączmy z odpowiedzialnym za nią przełożonym i sposobem potwierdzenia wykonania.
W ocenie programu pozostawmy miejsce na odpowiedź „nie sprawdzono”, zamiast zastępować ją listą obecności.
W polskiej firmie zbierz własne odpowiedzi
Liczby 26% nie przedstawiajmy jako odsetka ogółu polskich pracowników. Dotyczy ona respondentów badania przywołanego przez ENISA. Na jej podstawie nie przypisujmy też takiego samego wyniku własnemu zespołowi. W lokalnym przeglądzie użyjmy jej jako uzasadnienia pytania o dostępny czas, a ustalenia zapiszmy oddzielnie od wyniku Eurobarometru.
Poprośmy pracowników o wskazanie konkretnych kolizji między szkoleniem a obowiązkami, jeśli takie wystąpiły. Przy odpowiedzi doprecyzujmy, którego terminu i zadania dotyczy. Jeśli nie zbierzemy tych informacji, nie opisujmy przyczyny trudności za uczestników. Tak samo potraktujmy zgłaszanie problemów: zapytajmy o dostępność instrukcji i możliwość skorzystania z niej, bez zakładania wyniku.
Przy prezentowaniu ustaleń określmy, jaki zespół i jakie szkolenie sprawdziliśmy. Rekomendację zmiany harmonogramu lub instrukcji oprzyjmy na zebranych odpowiedziach. Nie rozszerzajmy lokalnej obserwacji na wszystkich pracowników ani nie przedstawiajmy wyniku badania jako diagnozy własnej organizacji.
Co z tym zrobić w poniedziałek
- W 30 minut porównaj termin najbliższego szkolenia z planem pracy wybranego zespołu. Zapisz dostępny czas albo konkretną kolizję oraz osobę, z którą uzgodnisz jej rozwiązanie.
- W 30 minut przejrzyj instrukcję zgłaszania problemów od strony uczestnika szkolenia. Wskaż kanał, odbiorcę i informację o dalszym postępowaniu; brakujący element zapisz jako zadanie do uzupełnienia.
- W 30 minut przygotuj kartę oceny zachowania w rzeczywistej sytuacji: czego dotyczyło zgłoszenie, jak trafiło do odbiorcy i co ustalono dalej. Wypełnij ją dostępnymi informacjami albo oznacz brak materiału do oceny.
Za punkt odniesienia dla programu świadomości przyjmijmy możliwość uczenia się i skorzystania z wiedzy podczas pracy. Od osoby zatwierdzającej szkolenie wymagajmy decyzji o czasie, a od oceny programu odpowiedzi opartych na sprawdzonych sytuacjach. Listę obecności zachowajmy jako zapis udziału, bez powierzania jej zadania oceny całego programu.
Źródła
Redakcja cyberinsight.pl.