Czego firma AFAS nauczyła się o tym, jak utrzymać zaangażowanie 700 pracowników w kwestii świadomości bezpieczeństwa

AFAS to jedna z największych firm na holenderskim rynku oprogramowania do zarządzania kadrami i płacami, a kwestia bezpieczeństwa zawsze była dla niej sprawą najwyższej wagi.

Sposób, w jaki firmy AFAS i Guardey nawiązały pierwszy kontakt, był jednak nieco nietypowy. Wspólny klient przeprowadzał symulację ataku phishingowego z firmą Guardey i wykorzystał do tego szablon oparty na systemie AFAS. Niektórzy pracownicy, którzy otrzymali symulowaną wiadomość phishingową, nie zgłosili tego swojemu działowi IT ani zespołowi ds. bezpieczeństwa. Zamiast tego skontaktowali się bezpośrednio z firmą AFAS, żeby ostrzec ją, że w jej imieniu wysyłane są podejrzane e-maile.

Dla AFAS-u początkowo wyglądało to na prawdziwy incydent związany z bezpieczeństwem.

To doprowadziło do pierwszych rozmów między AFAS a Guardey, a ostatecznie do znalezienia sposobu na wykorzystanie AFAS w symulacjach phishingu. Otworzyło to też szerszą dyskusję na temat świadomości bezpieczeństwa. Niedługo potem AFAS wdrożyło program Guardey dotyczący świadomości bezpieczeństwa w swojej organizacji.

Obecnie program obejmuje wszystkich 700 pracowników AFAS – od programistów po kolegów z kuchni i ekipę sprzątającą. Jednak, jak wyjaśniają Ignaece Bliekendaal, CISO w AFAS, oraz Rik ten Wolde, który zajmuje się marketingiem i komunikacją wewnętrzną, wdrożenie programu podnoszenia świadomości w zakresie bezpieczeństwa to dopiero początek. Zachęcenie ludzi do udziału i zapewnienie im powodu, by w nim trwali, wymaga aktywnego zaangażowania samej organizacji.

Wyjdź poza ramy corocznego szkolenia z zakresu bezpieczeństwa

Zanim pojawił się Guardey, w AFAS obowiązywał system podnoszenia świadomości w zakresie bezpieczeństwa, który wielu firmom na pewno wydaje się znajomy: obowiązkowe szkolenie lub webinarium mniej więcej raz w roku, uzupełniane sporadycznymi aktualizacjami, gdy działo się coś istotnego.

„Ludzie tak naprawdę nigdy nie angażują się w to w ten sposób” – wyjaśnia Ignaece. „W danej chwili myślą: tak, bezpieczeństwo jest ważne, masz rację. Tydzień później to uczucie już wygasło, a w następnym roku można opowiedzieć niemal tę samą historię od nowa”.

W tamtym momencie firma AFAS już poważnie inwestowała w cyberodporność. Wprowadzono kilka technicznych warstw zabezpieczeń, żeby ograniczyć skutki błędów ludzkich. Na przykład pracownicy musieli korzystać z menedżera haseł i mieli dostęp do firmowych aplikacji tylko z systemów zarządzanych przez AFAS. Świadomość bezpieczeństwa nie była jednak jeszcze traktowana z należytą uwagą.

Wraz z rozwojem firmy te wyliczenia zaczęły się zmieniać.

„Stajesz się ważniejszym celem, bardziej interesującym dla pewnych grup” – mówi Ignaece. „Musimy nawet liczyć się z tym, że zainteresują się nami podmioty państwowe. To zmienia zasady gry i stanowi argument za tym, żeby naprawdę zaangażować pracowników w kwestie cyberbezpieczeństwa”.

Właśnie to spodobało mu się w podejściu Guardey’a: zamiast polegać na jednym wielkim corocznym szkoleniu, pracownicy wielokrotnie stykają się z tematami związanymi z bezpieczeństwem w ramach krótkich zadań.

„Jeśli zrobisz coś dziesięć tysięcy razy, zazwyczaj zaczniesz to robić dobrze. Tak jest w sporcie zawodowym i myślę, że tak samo jest w tym przypadku. Powtarzanie to naprawdę jedyny sposób na wyrobienie sobie nawyku”.

Kampania oparta na dotychczasowych metodach komunikacji AFAS

AFAS nie przedstawiło Guardey’a tylko w e-mailu z informacją, że pracownicy mają teraz kolejne szkolenie do zaliczenia. Zamiast tego firma skorzystała z programu „Culture Half Hour” – internetowego cyklu, który AFAS nagrywa we własnym studiu i udostępnia całej organizacji. Ten istniejący format stał się jednym z głównych sposobów na zaprezentowanie Guardey’a.

Zamiast zaczynać od wyjaśnienia, na czym polega ta platforma, AFAS zaczęło od prawdziwej historii. Nowo zatrudniony programista dał się nabrać na próbę phishingu. Mimo że miał sporą wiedzę techniczną i myślał, że na pewno by coś takiego rozpoznał, to jednak i jemu się to przydarzyło. Zgodził się otwarcie opowiedzieć o tym doświadczeniu podczas „Culture Half Hour”.

Dzięki temu firma AFAS mogła przedstawić ten program w sposób, z którym łatwiej było się utożsamić. Phishing nie był już abstrakcyjnym scenariuszem związanym z bezpieczeństwem. Stał się czymś, co mogło przydarzyć się komuś z firmy, nawet osobie z wiedzą techniczną.

AFAS wspierało wdrażanie tej inicjatywy za pośrednictwem intranetu i innych kanałów wewnętrznych. Pomysł był prosty: żeby świadomość bezpieczeństwa stała się częścią codziennych nawyków, pracownicy musieli najpierw zrozumieć, dlaczego to takie ważne.

Znalezienie zachęty, na której pracownikom naprawdę zależało

Komunikacja to tylko jedna z części tej akcji. AFAS chciało też wykorzystać element rywalizacji w grze Guardey, żeby dać pracownikom dodatkowy powód do udziału. To nasunęło pytanie, które brzmi prosto, ale stało się kluczowe dla ich podejścia:co tak naprawdę ludzie z AFAS chcieliby wygrać?

Zespół rozważał znane zachęty, takie jak karty podarunkowe, AirPods i iPady. Ale droższa nagroda niekoniecznie musi być bardziej motywująca.

„Właściwie nie wiesz, czy ludzie na to czekają” – wyjaśnia Rik. „Nagroda może być droga, a mimo to nie być czymś, czego ludzie chcą”.

Zamiast więc zaczynać od listy nagród, AFAS przyjrzało się temu, o czym ludzie w całej organizacji już rozmawiali. W tamtym czasie była to zbliżająca się coroczna wycieczka firmowa. Ponieważ AFAS zarezerwowało już cały hotel na tę wycieczkę, niektóre pokoje były oczywiście bardziej luksusowe niż inne. Jeden z ładniejszych pokoi, wyposażony w jacuzzi, stał się główną nagrodą w konkursie Guardey.

„Nie kosztowało nas to nic dodatkowego” – wyjaśnia Rik. „Te pokoje i tak były częścią hotelu, który zarezerwowaliśmy. Musieliśmy tylko zdecydować, że jeden z nich będzie nagrodą, zamiast losować zwycięzcę”.

W rezultacie wskaźnik udziału w premierze wyniósł prawie 90%. Wniosek dla firmy AFAS nie polegał na tym, że każdy program podnoszenia świadomości w zakresie bezpieczeństwa musi oferować spektakularną nagrodę. Chodziło raczej o to, że zachęta działa najlepiej, gdy nawiązuje do czegoś, na czym pracownikom już zależy.

Dając większej liczbie osób powód, by nie rezygnować z gry

Pierwsza zachęta sprawdziła się, ale firma AFAS odkryła też, dlaczego nie da się zaprojektować programu motywacyjnego raz na zawsze i potem o nim zapomnieć. Po około dziesięciu tygodniach zaangażowanie zaczęło słabnąć. Skoro w grę wchodziła tylko jedna główna nagroda, pracownicy, którzy przestali wierzyć, że uda im się zdobyć pierwsze miejsce, mieli mniej powodów, by dalej rywalizować. Dlatego firma AFAS rozszerzyła zakres nagród, jakie mogli otrzymać pracownicy.

Zamiast skupiać się tylko na tym, kto zdobył najwięcej punktów, wprowadzili nagrodę zespołową – dodatkowy limit bagażu dla grupy, która osiągnęła najlepszy wspólny wynik. Były też nagrody za stałą formę oraz dla pracownika, który odnotował największy postęp między dwoma sezonami.

Ta ostatnia kategoria była szczególnie ważna.

„Tak naprawdę nie szukamy deweloperów, którzy już są na szczycie rankingu, bo oni i tak zazwyczaj radzą sobie dobrze” – wyjaśnia Ignaece. „Staramy się dotrzeć też do innych grup”.

Dotyczy to też kolegów z kuchni i ekip sprzątających w AFAS, którzy w codziennej pracy mają znacznie mniej do czynienia z komputerami i niekoniecznie mają dostęp do wrażliwych systemów. Nie oznacza to jednak, że świadomość bezpieczeństwa nie ma dla nich znaczenia.

„Tu nie chodzi tylko o twoją pracę” – mówi Ignaece do pracowników, którzy zastanawiają się, czy dany temat dotyczy ich stanowiska. „Chodzi też o ciebie jako osobę, o twoją własną sytuację i o to, żebyś był świadomy tego, jak sobie radzisz z różnymi sprawami”.

Ta filozofia była już częścią podejścia firmy AFAS do cyberodporności jeszcze przed przyjściem Guardey’a. Od pracowników oczekuje się na przykład nie tylko profesjonalnego korzystania z menedżera haseł, ale daje im się też możliwość używania go w życiu prywatnym. Bezpieczeństwo traktuje się jako coś, z czego pracownicy mogą czerpać korzyści nie tylko w pracy.

Sam program Guardey jest obowiązkowy, ale AFAS celowo nie wymusza udziału w nim za pomocą ograniczeń technicznych, takich jak blokowanie dostępu do systemów do czasu ukończenia szkolenia.

„To by zadziałało, ale nie pasuje do naszej kultury” – mówi Ignaece. „Wolimy osiągnąć ten cel w pozytywny sposób”.

Jak sprawić, by szkolenie miało charakterystyczny styl AFAS

Ta sama zasada dotyczy samej treści. Guardey oferuje gotowe wyzwania, kampanie i szablony komunikacyjne, ale AFAS radzi innym organizacjom, żeby nie przyjmowały wszystkiego tak, jak jest. Dostosujcie to do swoich potrzeb.

„To właśnie ta rzecz, która wciąż mnie naprawdę fascynuje – możliwość dostosowania każdego szkolenia do potrzeb twojej organizacji” – mówi Ignaece.

AFAS zastąpiło ogólne przykłady własnym oprogramowaniem, a zdjęcia stockowe – własnymi zdjęciami. To drobne zmiany, ale dzięki nim scenariusze wydają się bardziej zbliżone do rzeczywistego środowiska pracy pracowników.

„Ludzie nie zawsze dostrzegają, że dane szkolenie naprawdę ich dotyczy” – mówi Rik. „Ale jak dodasz do tego swój własny akcent, to już to widzą”.

AFAS chciałoby robić to jeszcze bardziej konsekwentnie. Znalezienie czasu w firmie na dostosowywanie treści nie zawsze było łatwe, ale zarówno Ignaece, jak i Rik uważają to za ważny sposób, by działania uświadamiające były trafne, a nie ogólnikowe.

To samo dotyczy szablonów komunikacyjnych Guardey’a, programów ambasadorskich i pomysłów na kampanie. Mogą one stanowić punkt wyjścia, ale organizacja i tak musi sama zdecydować, jak te pomysły wpisują się w jej własną kulturę.

„Wykorzystaj pomysły, skorzystaj z szablonów” – mówi Ignaece – „ale dostosuj je do siebie. Zastosuj je do tego, co faktycznie sprawdza się w twojej organizacji, a nie do tego, co sprawdziło się u nas”.

Świadomość bezpieczeństwa nie działa sama z siebie

Po pierwszych sezonach AFAS wciąż zastanawia się, co sprawi, że pracownicy będą nadal zaangażowani. Wycieczka firmowa była świetnym pomysłem na start, ale zadziałała właśnie dlatego, że w tamtym momencie w AFAS działo się coś ważnego. Następna inicjatywa motywacyjna może musieć być zupełnie inna.

I to jest chyba najważniejsza lekcja, jaką można wyciągnąć z dotychczasowych doświadczeń AFAS. Gamifikacja, rywalizacja i krótkie, cykliczne wyzwania mogą dać organizacjom narzędzia, dzięki którym podnoszenie świadomości w zakresie bezpieczeństwa stanie się bardziej angażujące. Szablony i gotowe kampanie mogą ułatwić wdrożenie. Ale żadna z tych rzeczy nie zastąpi potrzeby zrozumienia własnych pracowników.

AFAS wykorzystało prawdziwą historię pracownika, bo dzięki temu ryzyko stało się namacalne. Przedstawiło program za pośrednictwem kanałów, na które ludzie już zwracali uwagę. Powiązało konkurs z czymś, czym pracownicy już się ekscytowali. A kiedy jeden sposób nagradzania za udział przestał motywować wszystkich, stworzyło nowe sposoby na osiągnięcie sukcesu zarówno dla poszczególnych osób, jak i dla zespołów.

Nie ma jednej zachęty, kampanii promocyjnej ani szablonu komunikacyjnego, które na zawsze utrzymałyby zaangażowanie każdego pracownika. Organizacje, które czerpią największe korzyści z podnoszenia świadomości w zakresie bezpieczeństwa, to te, które wciąż zadają to samo pytanie, co firma AFAS:

Co teraz będzie najlepsze dla naszych ludzi?