Desbloquear a resiliência cibernética
O papel da liderança na formação da cultura organizacional
Na década de 1980, a empresa General Motors enfrentava forte concorrência dos fabricantes de automóveis japoneses, que eram, em comparação, capazes de produzir carros mais eficientes em termos de combustível e com menos defeitos em um período de tempo mais curto. Para resolver isso, a GM fez parceria com a Toyota para abrir uma fábrica conjunta que incorporasse técnicas de gestão de estilo japonês com mão de obra americana. Enquanto a administração tentava lidar com vários desafios que contribuíam para a ineficiência da produção, havia um em particular que eles viam como uma solução rápida: fazer com que os trabalhadores chegassem pontualmente.
Na GM, antes da colaboração, havia um grande problema de absenteísmo. Enquanto na Toyota, cada trabalhador na linha de produção desempenhava um papel crítico e era cronometrado até o segundo. Se um trabalhador chegasse atrasado, isso causaria uma interrupção em toda a linha. Portanto, nessa joint venture, eles introduziram o que consideravam uma mudança simples: cada trabalhador teria que bater o ponto e começar no horário, ou seu salário seria deduzido.
A mudança, no entanto, estava longe de ser simples. Esperava-se que os trabalhadores, que estavam acostumados a horários flexíveis e à ausência de fiscalização ou consequências, mudassem seu comportamento da noite para o dia. O que a liderança não compreendeu foi que as razões para a ausência crônica eram variadas e multifacetadas, indo desde uma profunda desconfiança na administração até a pressão dos colegas para não cumprir as regras. Para a GM, o que começou como uma simples mudança de política de repente se transformou em um exercício de mudança na cultura inteira da organização.
Há muitas lições que as organizações podem tirar da experiência da parceria entre a GM e aToyota. As organizações que procuram melhorar ou alterar aspectos dos seus negócios não devem apenas avaliar pessoas, processos e tecnologia, mas também examinar atentamente seus valores fundamentais e a cultura que impulsiona o comportamento dos funcionários. O objetivo deste artigo é examinar o papel que a liderança desempenha na criação e, em última análise, na transformação de culturas, e quais lições dessa experiência podem ser aplicadas aos esforços de mudança da sua organização para torná-la mais resiliente ciberneticamente.
O papel da liderança na condução do comportamento organizacional
Na minha carreira, estudei a influência da liderança na dinâmica organizacional, desde gigantes tradicionais do petróleo e do gás até start-ups tecnológicas em rápido crescimento. Onde esses insights são normalmente benéficos é na compreensão do impacto da liderança nos resultados dos negócios ou no envolvimento dos funcionários.
No entanto, a liderança dentro de uma empresa tem influências de longo alcance e profundamente enraizadas sobre o comportamento das pessoas na organização, desde fazer a coisa certa até a busca desenfreada pela ganância, desde priorizar a sustentabilidade até a produção em massa e o consumismo.
A liderança pode ser definida como o conjunto de valores, comportamentos e dinâmicas necessários para executar a estratégia da empresa. Embora muitos presumam que a liderança se refere simplesmente a indivíduos no nível executivo de gestão, definida de forma mais ampla, ela também inclui os valores fundamentais da empresa. As empresas muitas vezes articulam o que liderança significa para elas num conjunto de competências e/ou atributos que esperam que os líderes imitem.
Os valores da empresa são frequentemente moldados pelo setor e pelos mercados em que operam. As empresas de varejo valorizam a centralização no cliente. As empresas de tecnologia valorizam velocidade e inovação. Quando uma empresa tem claros os seus valores, a liderança torna-se então o veículo que molda a cultura interna da empresa através da influência dos seus líderes. Os líderes comunicam a visão, modelam comportamentos, reforçam os valores da empresa e tomam decisões que moldam seu futuro. Como observa Schein*, “Os líderes não influenciam apenas a cultura; eles são os principais arquitetos dela.”
Então, o que isso significa no contexto da cultura organizacional? Schein definiu de forma útil a cultura organizacional como “um padrão de pensamento que um grupo aprendeu ao resolver problemas que é então ensinado a novos membros do grupo como a maneira correta de perceber, pensar e sentir sobre esses problemas.” Esses padrões de pensamento levam a certos comportamentos que são reforçados quando outras pessoas do grupo são vistas exibindo esses comportamentos.
O modelo abaixo ilustra como o que é visível para os outros (comportamentos) tem raízes e significado muito mais profundos para uma empresa do que apenas o comportamento em si.
A maneira como você percebe e pensa leva, em última análise, a como você se comporta e reage. É assim que a cultura influencia comportamentos que se tornam uma segunda natureza e, portanto, difíceis de mudar.
Mudando a cultura da empresa
Então, o que a General Motors pode nos ensinar na aplicação da mudança cultural?
Um. Reconhecer que a mudança comportamental não acontece apenas através da proibição de comportamentos. Se você se aprofundar no comportamento de absenteísmo no caso da GM, fica claro que as raízes desse comportamento eram profundas e precisavam ser compreendidas e abordadas primeiro. Não fazer isso pode significar que as pessoas, no final, voltarão aos seus velhos hábitos.
Dois. Reconciliar onde houver valores concorrentes. É útil observar até que ponto a cultura da empresa pode entrar em conflito com os novos comportamentos que a empresa pretende incutir. Imagine que a cultura da empresa seja de rapidez, agilidade e “pedir perdão, não permissão”. A implementação de ainda mais regras, procedimentos e burocracia poderia ser vista como conflitante com essa cultura?
Três. Enfrente a mudança de todos os ângulos. Isso significa que a empresa deve mudar tanto o que as pessoas fazem como também a forma como pensam. Se observarmos o modelo do iceberg, isso significa iniciativas destinadas tanto acima como abaixo da superfície:
Acima da superfície, as empresas devem ser claras sobre os comportamentos que desejam que os funcionários adotem e comunicar essas expectativas de forma clara e frequente.
Abaixo da superfície, as empresas precisam definir e incorporar os seus valores fundamentais na mentalidade dos funcionários e, portanto, parte do que significa ser um líder na empresa.
Muitas empresas fazem o primeiro, mas poucas fazem o segundo.
Incutindo segurança cibernética na cultura
A ideia de transformar a segurança cibernética de um departamento em uma cultura tornou-se predominante.
De acordo com o Índice de inteligência contra ameaças de segurança da IBM, o erro humano é responsável por 95% das violações de segurança cibernética. Como as pessoas são tão complexas e imprevisíveis, abordar o fator humano é muito mais difícil do que implementar processos e tecnologias.
Como resultado, criar a resiliência cibernética na cultura da empresa requer uma mudança tanto na mentalidade como no comportamento. Aqui estão 8 ideias que ajudarão os líderes organizacionais a reforçar a segurança cibernética como uma cultura baseada em princípios-chave de iniciativas bem-sucedidas de mudança cultural:
Seus líderes ajudam ou prejudicam seus esforços para criar uma cultura de segurança cibernética. Se eles não levam isso a sério, prejudicam a mensagem ou exibem comportamentos que não são seguros, seu trabalho se tornará infinitamente mais difícil. Fazer com que os líderes influentes aproveitem todas as oportunidades que têm para falar sobre segurança cibernética terá efeitos exponenciais na eficácia das políticas. Encontre seus campeões e trabalhe em estreita colaboração com eles para que possam ser promotores visíveis.
Há um ditado que diz que o que se pode medir é feito. Considere quais métricas sobre segurança cibernética podem ser compartilhadas abertamente com a organização e compartilhe-as frequentemente com exemplos e histórias específicas.
Para mudar um antigo padrão de pensamento, as pessoas precisam ser conduzidas através de um novo padrão de pensamento. Ao avaliar o treinamento, procure opções que permitam aos participantes trabalhar em cenários complexos e permitam discussões e dilemas, e não apenas clicar em e-learnings. Dizem que você retém apenas 10% do que lhe dizem, mas 90% do que pratica.
Incentive os líderes a compartilhar histórias e exemplos de incidentes cibernéticos e dos comportamentos humanos que desempenharam um papel neles, tanto positiva como negativamente. Os líderes devem estar na vanguarda de cada incidente, comunicando resultados e modelando comportamentos que desejam ver nos outros. Considere reuniões de toda a equipe ou assembleias gerais como excelentes fóruns para compartilhar essas histórias.
Mude o enquadramento de comportamentos negativos para comportamentos positivos. Estudos psicológicos mostraram que comportamentos positivos, ou aqueles enquadrados positivamente, alinham-se mais com um autoconceito positivo e, portanto, são muito mais propensos a serem seguidos (por exemplo, Enquadramento negativo: “Não faça isso…” versus Enquadramento positivo: “Faça isto …”)
Reconhecer e recompensar ativamente as pessoas que reportam possíveis ameaças ou vulnerabilidades, especialmente se trabalharem fora da função de segurança, destacando que a segurança cibernética é responsabilidade de todos.
A integração costuma ser um momento chave para criar afiliação e sentimento de pertencimento, além de ser um ótimo momento para apresentar a cultura da empresa. Os novos funcionários podem ser apresentados às políticas e diretrizes de segurança cibernética desde o primeiro dia, compreendendo imediatamente a sua importância e os comportamentos esperados.
Considere como o conhecimento e a prática de segurança cibernética podem ser avaliados durante o processo de contratação. Os líderes que entram na organização já possuindo um elevado grau de consciência dos riscos também reforçam os comportamentos corretos com as suas equipes.
Durante meu tempo na Cloudflare, vi em primeira mão como esses princípios, na prática, podem afetar uma organização. Tomemos por exemplo o treinamento. Já ouvi histórias horríveis de colegas que agendam um horário com executivos para ficarem ao lado deles enquanto eles fazem o treinamento anual de conscientização sobre segurança. No entanto, na Cloudflare, nossos executivos normalmente são os primeiros a realizar o treinamento. Liderar pelo exemplo desta pequena forma ajuda a tornar as políticas mais eficazes.
Repensando a cultura organizacional
A mudança leva tempo para criar raízes. Depois da parceria entre a GM e a Toyota ter enfrentado os seus reveses iniciais, muitas das mudanças culturais que implementaram finalmente começaram a ter efeito e a ter um impacto positivo.
A persistência da GM face a esses desafios iniciais deve ser uma lição positiva para os CISOs que podem estar se sentindo desanimados ou frustrados. Se os comportamentos fossem fáceis de mudar, o seu trabalho (e francamente o meu) seria muito mais fácil. Quando se trata da parte pessoal da segurança cibernética, é necessário ir mais fundo do que o nível superficial e observar o que está no centro da empresa.
Na Cloudflare, adotamos a segurança cibernética como um valor fundamental e tanto os líderes quanto os funcionários são capacitados e incentivados a participar de uma cultura de segurança. Ter os processos e a tecnologia já implementados permite que os líderes se concentrem no aspecto das pessoas e aproveitem as oportunidades que esta resiliência cibernética criou.
Este artigo é parte de uma série sobre as tendências e os assuntos mais recentes que influenciam os tomadores de decisões de tecnologia hoje em dia.
*Schein, E.H. (2010). Organizational Culture and Leadership
Autoria
Xiaolu Coenen — @xiaolucoenen
Diretor de desenvolvimento de liderança global, Cloudflare
Principais conclusões
Após ler este artigo, você entenderá:
Como abordar o aspecto pessoal da gestão de mudanças organizacionais
O papel da liderança na mudança de mentalidade e comportamento para realizar mudanças
8 ideias que reforçam a cultura de resiliência cibernética