Солдатов в Телеграм

На днях на регулярном речеке (от recheck) ошибок аналитиков задумался о следующем: нужно ли, принимая решение о степени критичности ошибки аналитика, брать во внимание последствия. Простой пример: аналитик небрежно оформил карточку инцидента, и с точки зрения внутренней классификации это ошибка низкой критичности. Однако, допустим, что в результате клиент оказался сильно задет этой небрежностью, что привело к эскалации, которую далее пришлось отрабатывать улаживать с привлечением разного рода менеджеров. Как из любой эскалации, мы сделали выводы и немного подправили внутренние инструкции по оформлению карточек инцидентов, довели нововведения на стендапах, проанализировали следует ли добавить что-то в программу онбординга.

Ответ на вопрос какой, в итоге, критичности ставить ошибку аналитику, даст дельнейшее развитие событий или что мы собираемся делать с этими ошибками. Если, допустим, не дай Бог, у нас задача найти виновного и как-то наказать (об отрицательной мотивации обязательно как-нибудь поговорим, вопрос важный и актуальный, как не странно, до сих пор), то надо исходить из последствий: последствия серьезные, значит ошибка серьезная.

Но, если у нас задача - повышение качества работы аналитиков, а точнее, контроль выполнения ребятами внутренних инструкций, то оценивать ошибку следует без учета последствий. Действительно, ведь последствия вызваны особенностями восприятия действительности заказчиком или неточностями во внутренних инструкциях, которые обновили в рамках работы над ошибками после эскалации, а ошибки аналитика здесь нет. Конкретно в нашем случае есть еще одно правило: в спорных ситуациях мы считаем в пользу аналитика.

Описанная логика работает и наоборот: по фактической оценке несложно предположить истинную цель оценки. Т.е. если исполнителя оценивают исходя из последствий на которые он крайне слабо мог повлиять - явный индикатор поиска козла отпущения, и надо делать соответствующие выводы

#управление #MDR

Дзен | Статьи

Контроль качества работы аналитиков SOC: опубликованные инциденты

Статья автора «REPLY-TO-ALL Information Security Blog» в Дзене ✍: Продолжаем серию статей о практиках, сложившихся в нашем SOC, и в этой заметке коснемся темы контроля качества работы аналитиков...

🔥5

www.tgoop.com/soldatov_in_telegram/471

1.13K viewsOct 23, 2024 at 08:11

На днях на регулярном речеке (от recheck) ошибок аналитиков задумался о следующем: нужно ли, принимая решение о степени критичности ошибки аналитика, брать во внимание последствия. Простой пример: аналитик небрежно оформил карточку инцидента, и с точки зрения внутренней классификации это ошибка низкой критичности. Однако, допустим, что в результате клиент оказался сильно задет этой небрежностью, что привело к эскалации, которую далее пришлось отрабатывать улаживать с привлечением разного рода менеджеров. Как из любой эскалации, мы сделали выводы и немного подправили внутренние инструкции по оформлению карточек инцидентов, довели нововведения на стендапах, проанализировали следует ли добавить что-то в программу онбординга.

Ответ на вопрос какой, в итоге, критичности ставить ошибку аналитику, даст дельнейшее развитие событий или что мы собираемся делать с этими ошибками. Если, допустим, не дай Бог, у нас задача найти виновного и как-то наказать (об отрицательной мотивации обязательно как-нибудь поговорим, вопрос важный и актуальный, как не странно, до сих пор), то надо исходить из последствий: последствия серьезные, значит ошибка серьезная.

Но, если у нас задача - повышение качества работы аналитиков, а точнее, контроль выполнения ребятами внутренних инструкций, то оценивать ошибку следует без учета последствий. Действительно, ведь последствия вызваны особенностями восприятия действительности заказчиком или неточностями во внутренних инструкциях, которые обновили в рамках работы над ошибками после эскалации, а ошибки аналитика здесь нет. Конкретно в нашем случае есть еще одно правило: в спорных ситуациях мы считаем в пользу аналитика.

Описанная логика работает и наоборот: по фактической оценке несложно предположить истинную цель оценки. Т.е. если исполнителя оценивают исходя из последствий на которые он крайне слабо мог повлиять - явный индикатор поиска козла отпущения, и надо делать соответствующие выводы

#управление #MDR

BY Солдатов в Телеграм