Khi rủi ro trở thành nỗi đau cá nhân: Bài học từ một chẩn đoán ung thư cho các nhà lãnh đạo an ninh mạng

Steve Durbin, Giám đốc điều hành Information Security Forum

Các nhà quản lý rủi ro thường giỏi phân tích những hệ thống vô hình, nhưng điều gì xảy ra khi chính bản thân họ trở thành "tài sản" cần được bảo vệ? Steve Durbin, Giám đốc điều hành Diễn đàn An ninh Thông tin (ISF), đã rút ra những bài học về khả năng phục hồi, sự minh bạch và vai trò con người trong an ninh mạng từ chính trải nghiệm đối mặt với căn bệnh ung thư tuyến tiền liệt giai đoạn ba của mình.

Rủi ro mang tên chính mình

Những người làm quản trị rủi ro luôn dạy người khác cách đo lường mức độ phơi nhiễm, kiểm chứng các giả định và chuẩn bị cho những sự cố mà không ai mong muốn xảy ra. Họ hiểu rằng sự im lặng của hệ thống cảnh báo không đồng nghĩa với an toàn, rằng khả năng phục hồi phụ thuộc vào sự chuẩn bị, và một kế hoạch chỉ tốt bằng chính những người thực thi nó.

Nhưng khi rủi ro trở thành câu chuyện cá nhân, những khái niệm tưởng chừng khô khan ấy bỗng mang sức nặng khác hẳn.

Durbin phát hiện bệnh sau một buổi khám sức khỏe định kỳ có xét nghiệm máu PSA. Ông không hề có triệu chứng nào, cũng không có tiền sử gia đình. Kết quả bất ngờ dẫn tới chẩn đoán ung thư tuyến tiền liệt giai đoạn ba.

Ông nhấn mạnh chia sẻ của mình không nhằm đưa ra lời khuyên y tế, mà là một khung tham chiếu cho một ngành nghề thường nói nhiều về chuẩn bị, lãnh đạo và phục hồi, nhưng đôi khi quên mất chính những con người được kỳ vọng phải tạo ra ba yếu tố đó.

Khẩu vị rủi ro thay đổi khi "tài sản" chính là bạn

Trong công việc, các nhà lãnh đạo có thể phân tích rất khách quan. Họ chất vấn một biện pháp kiểm soát an ninh, quyết định một rủi ro có nằm trong ngưỡng chấp nhận hay không, và giải thích trước hội đồng quản trị vì sao một đánh đổi khó khăn là cần thiết. Nhưng đó thường là khi họ đang phân tích một doanh nghiệp vô danh.

Theo Durbin, quản trị rủi ro không chỉ là đề xuất các khung phân tích, mà còn là việc ra quyết định dưới áp lực, thường với thông tin thiếu đầy đủ và tâm lý căng thẳng. Những nhà lãnh đạo không bao giờ thừa nhận khía cạnh con người này có thể sẽ chuẩn bị kém hơn, chứ không phải tốt hơn, khi áp lực dồn lên chính cuộc sống của họ hoặc đội ngũ của họ.

Một nhà lãnh đạo an ninh không nên chấp nhận ngay lập tức một bản cam kết của nhà cung cấp, một cấu hình công nghệ mặc định hay khuyến nghị của ban quản lý mà không có đánh giá chính thức. Tương tự, một bệnh nhân cũng không nên bị đặt vào cảm giác rằng việc đặt câu hỏi là khiêu khích.

Trong cả hai tình huống, quyền tự chủ bắt nguồn từ thông tin sẵn có, cảm giác an toàn tâm lý và khả năng nói lên: hãy giúp tôi hiểu các lựa chọn, các giả định và hệ quả của phương án xử lý.

Phục hồi là sự chuẩn bị, không phải màn trình diễn

Trước khi bắt đầu xạ trị, Durbin chuẩn bị một cách có chủ đích: rèn luyện thể lực, ăn uống khoa học, nghỉ ngơi, thiền và rèn luyện tinh thần. Ông xem lại mối quan hệ với rượu và caffeine, rồi biến 37 tuần điều trị thành một "giải đấu" mỗi ngày một trận, với mục tiêu bước vào mỗi "trận" ở trạng thái tốt nhất có thể. Cách làm này mang lại cấu trúc cho một trải nghiệm mà nếu không sẽ rất dễ mất kiểm soát.

Bài học lãnh đạo ở đây là: khả năng phục hồi chỉ lớn lên trong những điều kiện nhất định — thói quen rõ ràng, mục tiêu vừa sức, các mối quan hệ hỗ trợ và quyền được nghỉ ngơi. Và cả quyền thay đổi hướng đi khi kế hoạch ban đầu không còn phù hợp nữa.

Có những lúc ông cảm thấy mình đã làm quá sức, và cơ thể buộc ông phải lắng nghe. Điều này rất đáng suy ngẫm với các đội an ninh mạng — những người thường được yêu cầu chịu đựng trong khi sự kiệt sức bị xem là bình thường: thức trắng đêm xử lý sự cố, luôn trong trạng thái trực chiến, và quan niệm rằng cam kết được đo bằng mức độ sẵn sàng.

Một bộ phận an ninh không thể phục hồi nếu con người của nó ít có cơ hội hồi sức. Khả năng phục hồi cá nhân không phải là một chương trình năng suất, mà là năng lực được củng cố bởi sự hỗ trợ, ranh giới rõ ràng và một nền văn hóa coi việc hồi sức là một phần của hiệu suất bền vững.

Minh bạch có thể là biện pháp kiểm soát, không phải gánh nặng

Ung thư vẫn có thể mang theo định kiến, nhất là trong môi trường cấp cao nơi sự mạnh mẽ thường bị đồng nhất với việc không thể bị tổn thương. Durbin quyết định công khai chẩn đoán để nâng cao nhận thức, vì ông không muốn che giấu điều đang xảy ra. Phản hồi nhận được khá trái chiều: một số người không biết nên nói gì, số khác lại rất ủng hộ.

Đó là một tình huống quen thuộc với các nhà lãnh đạo an ninh. Chúng ta muốn mọi người khai báo sự cố sớm, nêu lên lo ngại và nhờ trợ giúp. Nhưng tổ chức có thể vô tình kìm hãm chính sự cởi mở mà họ nói là coi trọng. Nếu văn hóa đòi hỏi các nhà lãnh đạo phải luôn tỏ ra chắc chắn tuyệt đối, thì sẽ càng khó để bất kỳ ai chia sẻ điểm yếu hay nhu cầu của mình.

Ai cũng nên có quyền kiểm soát việc tiết lộ điều gì, khi nào và với ai. Những nhà lãnh đạo thể hiện được rằng sự nhân văn và tinh thần trách nhiệm không đối lập nhau có thể dẫn dắt bằng chính tấm gương của mình. Họ có thể thể hiện một kiểu mạnh mẽ tốt hơn: khả năng nâng đỡ người khác mà không cần giả vờ là bất khả chiến bại.

Điều này không chỉ là thiện chí với người sử dụng lao động, mà còn là vấn đề duy trì nguồn lực. Sự hỗ trợ tại nơi làm việc cho người đang điều trị ung thư có thể đến dưới nhiều hình thức: nghỉ phép, giờ làm linh hoạt, điều chỉnh trách nhiệm, hỏi thăm thường xuyên, hỗ trợ y tế nghề nghiệp hoặc chương trình trợ giúp nhân viên.

Một mô hình lãnh đạo rủi ro "người" hơn

Tất nhiên, sức khỏe cá nhân và an ninh mạng không thể đánh đồng. Một kết quả xét nghiệm PSA không phải là một lần quét lỗ hổng, và việc điều trị không phải là xử lý sự cố. Phép so sánh sẽ sụp đổ nếu biến bệnh tật thành một vấn đề quản lý có thể giải quyết bằng ý chí.

SecurityWeek

Nhưng các nhà lãnh đạo rủi ro vẫn có thể học được điều quan trọng. Những thói quen giúp tổ chức đối mặt với bất định — tò mò, chuẩn bị, tin vào chuyên môn đáng tin cậy, giao tiếp có chủ đích và phục hồi linh hoạt — cũng quan trọng trong cuộc sống con người. Việc thừa nhận những gì các thói quen ấy không thể kiểm soát cũng vậy.

Với một ngành nghề được xây dựng quanh việc lường trước tổn hại, thách thức không phải là trở nên lo lắng hơn, mà là nhạy bén hơn với những tín hiệu yếu đang bị bỏ qua, với những người mà ta kỳ vọng sẽ tự xoay xở trong im lặng, và với sự khác biệt giữa "có vẻ ổn" và thực sự được hỗ trợ.

Các nhà lãnh đạo an ninh mạng thường hỏi tổ chức rằng liệu họ đã sẵn sàng cho gián đoạn chưa. Một câu hỏi mang tính cá nhân hơn có thể cũng quan trọng không kém: liệu chúng ta có đang tạo ra một môi trường để mọi người có thể thoải mái bàn về rủi ro, nhờ giúp đỡ khi cần và hồi phục mà không phải đánh đổi phẩm giá của mình?

Lưu ý: Đây là chia sẻ trải nghiệm cá nhân, không phải lời khuyên y tế. Độc giả quan tâm nên tham khảo ý kiến của các chuyên gia y tế có chuyên môn.