Мягкие навыки: что почитать

Решил сделать мини-обзор литературы на тему soft skills, полезной для специалиста по ИБ / аудитору ИБ/ИТ, консультанта по ИБ ... да и вообще. Литературы существует огромное множество и, как всегда, что-то полезное, а что-то - мусор. Кратенькие отзывы по тем книгам,  прочтение которых не показалось напрасно потраченным временем и дало пользу. В списке есть далеко не новые книги, но все актуальны.

Переговоры / сложные переговоры / манипулирование 

Роберт Чалдини "Психология влияния."  Лучшая книга по социальной психологии, которую я читал. В отличие от огромного количества книг по переговорам/влиянию/манипулированию/противодействию манипулированию, построенных по принципу "поваренной книги", т.е. в таком случае сделайте это,  книга объясняет почему человек поступает так в том или ином случае. Понимая эти основы не нужно заучивать "рецепты", которые к тому же не всегда срабатывают. Можно просто оперативно реагировать по ситуации. В мемориз однозначно.

Серия книг Владимира Козлова. "Минные поля переговоров",  "Психотехники особых коммуникаций", "Инструменты персонального влияния на переговорах", "Приемы перехвата управления", "Ловушки общения", "Техники управления агрессией" и т.д. Данная серия построена по принципу рецептов кулинарной книги с элементами самоплагиата. Для расширения кругозора сойдет. Может показаться, что не очень лестный отзыв. Но если сравнивать огромным количеством макулатуры книг на данную тему, серия приятно отличается в положительную сторону.   Вся серия в аудио формате - можно слушать в машине по дороге на работу.

Карстен Бредемайер. "Черная риторика". Из той же оперы, что и серия Козлова.

По данному разделу пока все. Остальные книги (достаточно большой список) хотелось бы представить в виде черного списка книг, прочтение которых вызвали сожаление о потраченном времени. Но тратить время на составление данного списка тоже жалко.

Да, и самое главное. Перечисленные книги посвящены манипулированию.  Если вы строите долгосрочные отношения, манипулированием лучше не злоупотреблять.

Для консультантов "все-в-одном"

Итан Расиел "Метод McKinsey". Мастрид для консультантов. Описывает будни консультантов McKinsey, малоотличающийся от будней аналогичных компаний (вроде большой четверки). Достаточно много разнообразных полезных советов как правильно делать ту или иную вещь. От решения проблем до хитростей проживания в командировках.

Владимир Демин  "Плохие консультанты 2". Книга раскрывает отличие мотивации заказчика и консультанта и какие из этого возникают проблемы. Ну и, разумеется, советы, как эти самы трудности избегать. Написана в первую очередь для заказчиков, но и  консультанты смогут почерпнуть для себя много полезного. В часности те советы, которые даются заказчикам, могут спокойно предлагаться консультантами как "особенности их уникального подхода".

Дэвид Майстер. "Управление фирмой, оказывающей профессиональные услуги." В целом, книга рассчитана на старших менеджеров и партнеров. Но полезна даже на уровне консультантов. Раскрываются многие вещи, дающие ответ почему так происходит в компании и нормально ли это. Например то, что высокая текучка в консалтинговой компании - это не только норма, но и необходимое условие нормальной работы компании.

Презентация, визуализация, отчетостроение

Барбара Минто. "Золотые правила Гарварда и McKinsey. Правила магической пирамиды для делового письма." Как часто бывает, не совсем корректный перевод. В оригинале - "The Pyramid Principle. Logic in writing and thinking." Без золотых правил и магии. Нет, книга не посвящена финансовым пирамидам. Она посвящена логике, типам логических взаимосвязей и как это все наиболее эффективно использовать в деловом письме, чтобы получить на выходе понятный текст. Пожалуй, одна из лучших книг, которые я читал по данной тематике.

Джин Желязны  "Говори на языке диаграмм. Пособие  по  визуальным  коммуникациям для руководителей." Однозначно мастрид для тех, у кого проблемы в выборе типа диаграммы для визуализации данных. Очень доходчиво описано в каком случае какой тип диаграммы использовать и чем чреват неправильный выбор. Большое количество примеров.

Игорь Осипенко. "Секреты прибыльного голоса." Аудио книга. В бумажной версии нет, поскольку без звука не имеет смысла. Это скорее книга - мотиватор. Она не рассказывает о том, как заработать правильный голос. Но является отличной демонстрацией того, каким этот голос может быть и какую пользу из этого можно почерпнуть. Пробуждает интерес к постановке голоса для улучшения искусства презентации. 

Алексей Каптерев. "Смерть через PorwerPoint." На самом деле, это не совсем полноценная книга, а презентация. Но в ней собраны и очень наглядно приведены основные проблемы презентаций. Электронную версию можно найти тут.

Защита персональных данных: ответственность откладывается

В Раде появился законопроект, очередной раз откладывающий введения в действие норм относительно ответственности за нарушения в сфере защиты персональных данных. На этот раз до 1-го февраля 2013.
В этом, безусловно, есть положительный момент. Цивилизованные страны вводили ответственность по истечении  5-6 лет с момента вступления в силу закона о защите персональных данных. Обкатав нормы, определив основные проблемные места и определив ответственность и санкции в соответствии с накопленной статистикой по проблемам.
У нас же понимание, что такое персональные данные, как их защищать, а главное зачем, еще только формируется. А ответственность по закону о защите персональных данных - это пока дополнительная дубина в руках контролирующих органов. Ведь кроме комиссии по защите персональных данных, спасибо коллизиям в законодательстве, на это звание есть еще претенденты. И коллизии не только в определении контролирующих органов, но и в требованиях по защите. Так что, как нормы не соблюдай,  виноватым будешь в любом случае.  
По-хорошему ответственность нужно перенести этак на 2018 год. А за это время устранить коллизии в законодательстве,  определить, наконец, требования по защите, и, самое главное, сформировать культуру работы с персональными данными. Чтобы защита этих самых персональных данных была в первую очередь нужна их владельцам, а не контролирующим органам.
<Ложка дегтя>
С другой стороны, я бы слукавил, сказав, что закон о защите персональных данных очень молодой и требует осознания и закрепления в умах. Возьмем парочку норм:

• Информация о персоне – совокупность документированных или публично объявленных сведений о персоне
• Все организации, собирающие информацию о гражданах, обязаны до начала работы с информацией осуществить в установленном Кабинетом Министров Украины порядке  государственную регистрацию соответствующих баз данных
• Граждане имеют право знать в период сбора информации, какие сведения про них собираются и с какой целью они используются

Это из нового закона о защите персональных данных? А вот и нет. Это закон Украины "Об информации." 1992 года. Там же и регистрация баз. 20 лет прошло, а в умах не отложилось. Почему? Потому, что менталитет. Нет ответственности - нет понимания.
И пока ответственность будет откладываться, компании будут находить поводы и недостатки законодательства. Лишь бы не внедрять. Потому, что нет ответственности для компании - нет риска для компании. Есть риск только для субъектов персональных данных. Но ведь это их проблемы? Тем более что они, в большинстве случаев, этого не понимают.

<\Ложка дегтя>

Мифическое существо полезный аудит

Не так давно, на RISSPA была оживленная дискуссия на тему "бывают ли полезными аудиты ИБ?". Речь, безусловно, шла не об аудитах, а скорее независимой оценке ИБ, но речь сейчас не об юридических терминах. Назовем его аудитом или консалтингом, а вопрос остается один - есть ли польза?
В дискуссии обсуждали понятность отчетов, четкость поставленной задачи, прозрачность методологии, качество самих аудиторов. В общем, обсудили много полезных вещей, обеспечивающих "полезность" аудитов и других консалтинговых проектов. Вроде бы как все просто. Почему же тогда существование в природе  такого рода полезных проектов ставится под сомнение? По всей видимости, секрет в формулировке полезный для компании. Абстрактная сущность компания часто не может оценить полезность проектов, по той простой причине, что состоит из разных индивидуумов, у каждого из которых свое понимание полезности. Хотя нет. Стоп. Оценка - это уже в конце. А в начале - постановка задачи. Критический фактор успеха будущего проекта. Ибо, будь хоть все консультанты семи пядей во лбу, а если попросить у них не то, то и сделают они не то. В свою прошлую бытность консультантом, по результатам  переговоров с клиентом о предмете и цели услуги, в большинстве случаев складывалась вот такая картина (упрощено для улучшения восприятия, в реальности все значительно хуже):

Разберем фрагменты картинки по отдельности:

Техническое задание - часть тендерной документации, которую получают консультанты и которая теоретически должна содержать цель и подробные требования к проекту. На практике этот документ имеет очень мало общего с тем, что реально нужно и полезно компании. В лучшем случае цель, но далеко не всегда. Происходит это обычно по нескольким причинам (или их комбинациям):

• Человек, ответственный за написание ТЗ, не обладал достаточным временем на полноценную формулировку требований и написал на колене, в пене, ночью.
• Человек, ответственный за написание ТЗ,  по причине отсутствия времени/квалификации/совести (нужное подчеркнуть) "списал" с другого, по его мнению похожего ТЗ.
• Услужливые консультанты помогали "правильно" сформулировать ТЗ, и прописали то, что в перспективе проекта они смогут предложить, ориентируясь исключительно на свои возможности и ресурсы.

Что хочет менеджер проекта. На определённом уровне, и, как правило, обладающие печальным опытом, консультанты перестают делать предложения компаниям, руководствуясь сугубо техническим заданием. Поэтому они, прочитав ТЗ, едут встречаться с менеджером проекта для уточнения правильности своего понимания. Тут их ждет сюрприз (или не ждет, в зависимости от того, на сколько они изначально верили в правильность ТЗ). Менеджер проекта со стороны заказчика озвучивает что-то, совершенно отличающееся от того, что написано в техническом задании. И то, что в ТЗ написано другое, менеджера проекта не смущает. Он флегматично поживает плечами и рассказывает любопытным консультантам, что на самом деле нужно сделать вот это и вот это.
Обуславливается это двумя факторами. Первым фактором является то, как менеджер проекта понял, что нужно сделать в рамках проекта и какой у него есть опыт по решению подобных проблем. И, поскольку спрос в перспективе с него, он будет делать проект как понял и как считает правильным.

Скрытые мотивы участников проекта
Вторым фактором является то,  что менеджер проекта хочет достичь в рамках проекта. Если кому-то показалось, что первое и второе - это одно и то же, то он глубоко заблуждается. В первом случае речь идет о понимании что нужно компании, а во втором - менеджеру проекта лично. И не редко бывает, что эти две потребности находятся в конфликте. С учетом того, что для конкретного человека  его личные мотивы всегда более веский аргумент,

потребности компании отходят на второй план.
Как всегда, в реальной жизни все сложнее. И кроме менеджера проекта есть еще целая куча других участников проектов. И да. У них у всех есть свои скрытые ожидания и личные мотивы. И, часто, они (мотивы) находятся не только в конфликте с интересами компании, но и друг с другом. Не обязательно это стремление отхватить кусок одеяла побольше. Порой в результате проекта возникает угроза для кого-нибудь из участников. Угроза его влиянию в компании, полномочиям... в общем, месту под солнцем. Например, посредством сокращения подчиненных в результате оптимизации. Для компании - сокращение затрат, а для конкретного руководителя - понижение статуса. Будет он считать такой проект полезным? Скорее всего, нет. А будет ли считать проект полезным человек, которого накажут по выявленным в результате проекта недостаткам?  Добавим сюда тех, кто с помощью проекта хочет реализовать свои скрытые планы, не относящиеся к сути проекта, и картина будет более-менее полной.

Реальные потребности компании. В пылу обсуждения личных мотивов чуть не забыли про потребности той самой абстрактной сущности - компании. Для начала не плохо бы определить, кто из выше перечисленных участников представляет интересы это самой компании. Никто. Пользу для компании могут оценить только акционеры. Ну и топы в большинстве случаев. С которыми как раз встретиться для обсуждения потребностей не реально. Да не скажут они что именно нужно компании. В лучшем случае, что не так. А вот в чем причина... Так ведь консультантов то для этого и наняли. 
Не раз сталкивался в своей практике с ситуацией, когда, после многочленных переговоров и  

анализа исходных данных, выяснялось, что то, что запрошено компанией в ТЗ или озвучено менеджером проекта - совсем не то, что реально нужно компании. Что корень проблемы лежит в другой области. Просто никто не копал до этого корня. Описали симптомы, а причину болезни установили не правильно. В этих случаях приходилось идти на риск и предлагать компании не то, что она хотела изначально. И в результате, коммерческое предложение, не смотря на то, что содержало очень мало общего с ТЗ, выигрывало тендер. С комментариями от представителей компании: "Вы лучше всех поняли, что мы хотели".
Бывает и так, что то, что хочет компания ей попросту не нужно, поскольку в перспективе затраты превысят выгоды от проекта. Встречаемся как-то с представителем компании. Хотят в перспективе получить сертификат по ISO 27001. Спрашиваю - зачем? - Хотим, что бы была надежной информационная безопасность. Говорю - прекрасно, а сертификат вам зачем? Он вам нужен для укрепления имиджа компании? - Нет. - Контрагенты/поставщики/регуляторы требуют? - Нет. В результате короткой дискуссии выяснилось, что сертификат компании не нужен.

И это - только первый шаг. А впереди еще сам проект и, не менее увлекательное упражнение - предоставление результатов проекта. Даже если требования были определены правильно, проект прошел нормально, нужно еще правильно представить результаты и убедить заказчика в том, что это именно то, что ему нужно. Подводные камни данного этапа заслуживают отдельного поста.
  
Резюмируя вышесказанное. Практически в любом проекте с привлечением консультантов будут недовольные, которые считают проект бесполезным, а деньги на него - зря потраченными. И наиболее объективную информацию можно получить только у высшего руководства и акционеров.