Чему может научить фиаско на фейсбуке?

Когда я пишу это, генеральный директор и основатель Facebook Марк Цукерберг находится в Вашингтоне, готовясь дать показания перед совместным заседанием судебных и коммерческих комитетов Сената 10 апреля и Комитетом по энергетике и торговле Палаты представителей 11 апреля. Комитеты проводят расследование как использование Facebook для вмешательства в президентские выборы 2016 года и потеря 87 миллионов профилей Facebook для Cambridge Analytica. Свидетельство Цукерберга также служит хорошим примером того, что не следует делать, когда речь идет о защите ваших данных, особенно если вы знаете, что что-то пошло не так.

Вы хотя бы немного знакомы с текущими подробностями разгрома Facebook, хотя бы потому, что невозможно избежать 24-часового цикла новостей, в котором Facebook играет ключевую роль. Но в этом потеряны уроки, которые ИТ-менеджеры могут использовать для защиты своих данных, своих компаний и самих себя. В конце концов, обнаружение того, что ваши данные были похищены иностранными майнерами данных, достаточно плохо, но если вы обнаружите, что вы плохо себя вели, узнав об этом, это определенно ограничит карьеру.

Защитите ваши данные… и анатомию

К сожалению, само по себе свидетельство Цукерберга недостаточно. Частично это связано с тем, что в нем не хватает специфики, а частично потому, что оно в целом корыстно. В конце концов, он пытается сохранить важные части своей анатомии, которые находятся на рубке. Имея это в виду, вот некоторые основные идеи, которые вы, возможно, захотите запомнить при работе с маркетинговым и юридическим отделами о публичных цифровых активах.

Примите эту мантру: Личные данные очень важны. Не имеет значения, является ли это серверной системой, такой как пакет автоматизации маркетинга, или внешним клиентским инструментом, таким как маркетинговая кампания по электронной почте, - любые собранные данные должны быть защищены с использованием тех же строгих правил. Также не имеет значения, что ваши клиенты, ваши сотрудники или пользователи дали вам разрешение на его использование, вы должны защищать его, как если бы это были самые важные данные в мире. Как видите, если получится, что данные используются не по назначению, кто-то придет за вами. Скорее всего, много кого-то, и они не будут заинтересованы в милосердии.

Не сдавайся. Это не сработало в Нюрнберге и не сработает здесь. Если вам поручено создать большие механизмы сбора данных для потребителей, партнеров или других версий сторонних данных, относитесь к проекту так, как будто именно вы несете полную ответственность. Потому что во многих случаях вам может быть неважно, чье имя указано в записках электронной почты. Это означает, что необходимо подвергать сомнению этот процесс, навязывать передовой опыт, когда дело доходит до контроля доступа, и не только проверять наличие журнала аудита доступа, но и фактически следить за ним на регулярной основе. Как минимум раз в квартал.

Если ты что-то видишь, скажи что-нибудь

Конфиденциальность, которая выходит за рамки личных данных, также важна. У вас нет бизнеса, чтобы шпионить за вашими клиентами без юридической необходимости, поэтому, если вас об этом попросит кто-то наверху, обязательно задайте этот вопрос и, при необходимости, возразите. И хотя большинство ИТ-специалистов наверняка знают, что им нужно будет управлять инфраструктурой и объектами, следя за незаконной деятельностью или даже за деятельностью, противоречащей политике использования дома, многие не понимают, что это их ответственность - раскрывать это. Не говорить ничего - значит быть соучастником. Знайте, каковы юридические ограничения на наблюдение, и убедитесь, что ваша компания придерживается этого.

Следование клиентам, когда вам больше не нужно, также является негативной практикой, и это несправедливо по отношению к любому, с кем ваша организация взаимодействует в Интернете. Когда Uber решил оставить свое приложение включенным, чтобы узнать, куда делись их клиенты после того, как их бросили, это было огромным нарушением доверия, и это справедливо вызвало такой же огромный протест. В случае с Uber условия использования не упоминали об этом, но, как и многие другие способы, которыми компания злоупотребляла своим положением, она делала это следующим образом, не потому что это было необходимо, но чтобы удовлетворить любопытство своего генерального директора в то время. Когда вы видите подобные нарушения в процессе разработки, скажите что-нибудь.

Вещи никогда не взрываются

Когда дела идут плохо, не держи это в секрете. Если у вас произошла утечка данных, вы, вероятно, столкнетесь с давлением, хотя бы с самого начала, чтобы сохранить это в секрете. Сделайте себе одолжение и отметьте как можно скорее, что это не очень хорошая идея. Посмотрите на пример Panera Bread, который проигнорировал ее довольно серьезное нарушение и оставил данные доступными в течение нескольких месяцев. Вместо этого исправьте это как можно быстрее, и знайте свои местные юридические обязательства, когда дело доходит до уведомления властей. Если вас попросят нарушить эти обязательства, обратитесь в юридический отдел. Когда пришло время сообщить всем об этом, маркетинг, без сомнения, ускорится, но если вам остается быть открытым, и как можно скорее сообщите всем пострадавшим, что произошло.

Не ждите и надейтесь, что проблема пройдет. Руководители Facebook ждали годами, даже после того, как узнали о Cambridge Analytica изнутри, и даже после выхода новости о том, что 87 миллионов профилей были скомпрометированы. Люди понимают, что случаются нарушения, но они не понимают, когда вы не решаете проблему. И они придут за вашими любимыми частями тела, если узнают, что вы знали об этом и ничего не делали. Основная причина, по которой Цукерберг сейчас переживает столько ада, заключается в том, что команда его команды по лидерству посоветовала ему подождать, надеясь, что проблема сама по себе улучшится. Универсальная истина: она никогда не становится лучше сама по себе.

Как это бывает, Facebook сделал некоторые вещи правильно, но держу пари, вы понятия не имеете, что они были. Причина? Проблемы, которые они вызвали, включили все остальное. Для справки, то, что они сделали правильно, включало вышибание ИРА и закрытие поддельных русских новостных страниц; но, в конце концов, никого не волнует, что Facebook сделал правильно, потому что люди видят только свою боль, и это было вызвано Facebook. Решение этих проблем в Facebook занимает одно из первых мест в списке плохих примеров, но оно не начиналось и не заканчивалось командой старших руководителей. Эти проблемы были вызваны системными злоупотреблениями, которые охватывали несколько отделов, включая маркетинг, юриспруденцию и, да, ИТ и развитие. Похоже, что Марк собирается взять большую часть тепла, но это только сейчас. Эти проблемы могут легко начать сползать вниз по цепочке руководящих кадров в Facebook, и если такие нарушения происходят в вашей организации, невозможно сказать, где могут начаться или закончиться последствия. Сделайте себе и своей организации долгосрочную услугу и убедитесь, что вы говорите о нарушениях данных и злоупотреблениях, прежде чем эти проблемы вернутся и появятся на вашем столе.