« Hoe lang? »
« Zes weken als alles perfect verloopt. Drie maanden als er complicaties optreden. »
�Je hebt alle middelen die je nodig hebt.�
�Die zal ik nodig hebben.�
De dag voordat we het nieuwe systeem online brachten, ontving ik een dagvaarding.
Een openbare toezichtscommissie wilde getuigenissen horen over de veiligheidsnormen in de financi�le technologiesector. Ze wilden met name praten over Caldwell Industries en wat er mis was gegaan.
Ik zat in een vergaderzaal in Washington, DC, tegenover een panel van functionarissen die genoeg van technologie afwisten om zich zorgen te maken, maar niet genoeg om zich er prettig bij te voelen.
‘Mevrouw Chen,’ begon een van hen, ‘kunt u in eenvoudige bewoordingen uitleggen wat er bij Caldwell Industries is gebeurd?’
Ik boog me naar de microfoon.
‘Een gekwalificeerde professional werd tijdens een acute crisis vervangen door een ongekwalificeerde persoon’, zei ik. ‘Het resultaat was een catastrofale mislukking. Als je een hartchirurg midden in een operatie zou vervangen door iemand die alleen geneeskunde in de collegezaal had gestudeerd, zou je vergelijkbare resultaten verwachten.’
Enkele mensen in de zaal reageerden fluisterend.
De vragen bleven binnenkomen.
« En wiens beslissing was dit voor vervanging? »
�CEO Brandon Caldwell.�
« Heeft hij je ontslagen terwijl het incident nog gaande was? »
« Ja. »
« En heeft hij zijn zoon ge�nstalleerd? »
« Ja. »
�Wat waren de kwalificaties van Kyle Caldwell?�
�Een bachelordiploma in de informatica en een zomerstage. Geen praktijkervaring met het beheren van bedrijfsbeveiligingssystemen, incidentrespons of crisisbeheersing.�
‘En uw kwalificaties?’
�Twaalf jaar ervaring in cybersecurity. Meerdere branchecertificeringen. Een masterdiploma in computertechniek. Acht jaar ervaring met het bouwen en onderhouden van de infrastructuur van Caldwell. En ik was fysiek aanwezig en heb actief bijgedragen aan het indammen van het incident toen ik werd weggehaald.�
Het verhoor duurde twee uur.
Andere getuigen legden een verklaring af. Beveiligingsdeskundigen. Voormalige medewerkers van Caldwell. Zelfs Kyle zelf, die er ellendig uitzag toen hij toegaf dat hij overweldigd was geweest en beslissingen had genomen die hij niet volledig begreep.
Maar het moment dat de krantenkoppen haalde, was toen een ambtenaar naar mijn gereedschap vroeg.
�Mevrouw Chen, u heeft uw aangepaste beveiligingssoftware verwijderd nadat uw dienstverband was be�indigd. Sommigen hebben gesuggereerd dat deze actie extra schade heeft veroorzaakt. Hoe reageert u hierop?�
Het werd stil in de kamer.
Ik keek recht vooruit.
‘Die tools waren mijn intellectuele eigendom,’ zei ik. ‘Ontwikkeld in mijn eigen tijd met mijn eigen middelen en in licentie gegeven aan Caldwell Industries via mijn arbeidsovereenkomst. Toen die overeenkomst afliep, verviel ook de licentie. Ik had het volste wettelijke recht om de bedrijfseigen software die van mij was te verwijderen.’
�Maar je wist dat dat uitdagingen voor het bedrijf zou opleveren.�
‘Ik wist dat het problemen zou opleveren voor mijn opvolger,’ zei ik. ‘Net zoals een chef-kok die zijn geheime recepten verwijdert, problemen zou opleveren voor degene die hem vervangt. Dat is geen wangedrag. Dat is het natuurlijke gevolg van het verlies van institutionele kennis.’
« Sommigen zouden zeggen dat je een morele verplichting had. »
‘Sommigen zouden zeggen dat een werkgever een morele verplichting heeft om zijn hoofd beveiliging niet tijdens een actieve crisis te ontslaan om een ??ongeschikt familielid aan te stellen,’ antwoordde ik. ‘Moraliteit is een ingewikkelde zaak.’
Het filmpje ging binnen een uur viraal.
Zes maanden na die nacht in de serverruimte stond ik voor de raad van bestuur van Caldwell Industries.
‘De nieuwe beveiligingsinfrastructuur is voltooid’, vertelde ik hen. ‘Hij is operationeel, getest en aanzienlijk sterker dan wat jullie voorheen hadden. Mijn team heeft jullie vaste medewerkers getraind. De documentatie is compleet. Jullie zijn in goede handen.’
Amanda Walsh, die inmiddels een grotere leiderschapsrol op zich had genomen, glimlachte.
« Dus dit is afscheid? »
�Dit is vaarwel.�
Ik had mijn contract nagekomen.
De advieskosten van 2,5 miljoen dollar stonden op mijn rekening.
Het bedrijf was veilig.
En daarmee was ik klaar.
Toen ik voor de laatste keer het gebouw uitliep, haalde Eric me in bij de lobby.
‘We gaan je missen,’ zei hij.
�Het komt helemaal goed. Je kent deze systemen nu door en door.�
�Het is niet hetzelfde.�
�Zo hoort het niet te zijn. Jij bent niet mij. Jij bent beter omdat je hiervan hebt geleerd.�
Hij schudde mijn hand.
‘Mocht je ooit iets nodig hebben,’ zei ik, ‘bel dan.’
Ik meende het.
Drie maanden later opende ik mijn eigen cybersecurity-adviesbureau.
Chen Beveiligingsoplossingen.
Mijn eerste klant was een zorgbedrijf dat ternauwernood een groot systeemincident had vermeden. Mijn tweede was een productiebedrijf waarvan de beveiliging voornamelijk bestond uit een met een wachtwoord beveiligd spreadsheet. Mijn derde was een startup waarvan de oprichters vanaf dag ��n alles goed wilden aanpakken.
Het nieuws verspreidde zich snel.
De vrouw die bij Caldwell Industries was weggelopen.
De vrouw die in Washington getuigde.
De vrouw die in zes weken tijd de infrastructuur van een miljardenbedrijf herbouwde.
Ze was beschikbaar voor inhuur.
Het werk was uitdagend, lonend en volledig op mijn eigen voorwaarden.
Geen bazen meer die familievoorkeur boven competentie stelden. Geen gesmeek meer om middelen om mijn werk goed te kunnen doen. Geen stilzwijgen meer wanneer ik problemen zag aankomen.
Ik heb een team van specialisten samengesteld die mijn waarden deelden. We namen klanten aan die daadwerkelijk veiligheid wilden, niet alleen klanten die aan de wettelijke eisen wilden voldoen.
Elk contract bevatte een clausule.
Leidinggevenden moeten tijdens actieve incidenten het advies van beveiligingsdeskundigen opvolgen.
Geen uitzonderingen.
Ik noemde het de Caldwell-clausule.
Sommige klanten boden weerstand.
Dat waren niet de klanten die ik wilde hebben.
Degenen die het begrepen, die hadden gezien wat er gebeurde toen ego de overhand kreeg boven expertise, tekenden onmiddellijk.
Een jaar na die nacht in de serverruimte ontving ik een e-mail van Kyle Caldwell.
Onderwerp: Een verontschuldiging.
Ik heb er lange tijd naar gestaard voordat ik het openmaakte.
Mevrouw Chen,
Ik weet dat ik deze e-mail al veel te laat had moeten sturen. Mijn excuses daarvoor.
Wat er bij Caldwell Industries is gebeurd, is niet jouw schuld. Het was mijn schuld en die van mijn vader. Hij had me nooit in die positie moeten plaatsen, en ik had slim genoeg moeten zijn om te weigeren.
Ik was arrogant. Ik dacht dat een diploma me gekwalificeerd maakte. Ik vond de systemen die jullie bouwden onnodig complex. Ik dacht dat ik het beter kon.
Ik had het overal mis.
Het afgelopen jaar heb ik instapfuncties in de cybersecurity vervuld en alles vanaf de basis geleerd. Ik begin nu opnieuw en probeer het deze keer goed te doen.
Ik verwacht geen vergeving. Ik verwacht geen reactie. Ik wilde je alleen laten weten dat ik nu begrijp wat ik jou, het bedrijf en de 47 miljoen mensen wiens gegevens ik niet heb kunnen beschermen, heb gekost.
Het spijt me.
Kyle.
Ik heb het twee keer gelezen.
Toen klikte ik op ‘antwoord’.
Kyle,
Dankjewel voor je excuses. Het vergt moed om fouten toe te geven, vooral in het openbaar.
Als je dit serieus neemt en het goed wilt doen, heb ik een vacature voor een junior security analyst. Het salaris is startersniveau. Het werk is zwaar. Je leert van mensen die je niet zomaar de hand boven het hoofd houden vanwege je naam.
Maar als je hier echt goed in wilt worden, blijft het aanbod staan.
Vivian.
Hij begon de daaropvolgende maandag.
In het begin was hij vreselijk.
Hij maakte beginnersfouten. Hij stelde voor de hand liggende vragen. Hij worstelde met concepten die hij eigenlijk al had moeten kennen voordat hij die serverruimte betrad. Maar hij kwam elke dag opdagen.
Hij luisterde.
Hij heeft het geleerd.
Langzaam maar zeker ging het beter met hem.
Ik heb hem nooit gespaard.
Mijn team evenmin.
Maar we leerden hem dezelfde les die mijn ouders mij in hun restaurant in Queens hadden geleerd: uitmuntendheid komt voort uit integriteit, en bekwaamheid uit bescheidenheid.
Na zes maanden ontdekte Kyle een kwetsbaarheid die een klant miljoenen had kunnen kosten.
‘Goed gedaan,’ zei ik tegen hem.
Hij keek verrast op.
Het was het eerste compliment dat ik hem had gegeven.
‘Dank u wel,’ zei hij. ‘Ik denk dat ik nu eindelijk begrijp wat u die avond aan het doen was. Waarom die protocollen belangrijk waren. Hoeveel ik niet wist.’
‘Iedereen moet ergens beginnen,’ zei ik. ‘De vraag is of je bereid bent om de nodige inspanningen te leveren om beter te worden.’
« Ik ben. »
�Dan komt alles goed.�
Caldwell Industries is er nooit volledig van hersteld.
Het incident kostte hen miljarden aan rechtszaken, boetes, verloren omzet en geschonden vertrouwen. De reputatie van Brandon Caldwell herstelde zich nooit meer. Het bedrijf werd uiteindelijk overgenomen door een concurrent voor een fractie van wat het ooit waard was geweest.
Maar de infrastructuur die ik had herbouwd, bleef gewoon functioneren.
Zeker.
Stabiel.
Een monument voor wat mogelijk is wanneer competentie belangrijker is dan gemak.
Wat mij betreft, Chen Security Solutions is uitgegroeid tot een van de meest gerespecteerde bedrijven in de branche. We hebben meer klanten afgewezen dan aangenomen. We betaalden onze mensen goed, behandelden ze met respect en deden nooit concessies aan onze normen.
Elke nieuwe medewerker hoorde hetzelfde verhaal op zijn of haar eerste werkdag.
Die nacht verliet ik een crisis omdat ik weigerde te werken voor mensen die expertise niet waardeerden.
Het verschil tussen een baan hebben en respect krijgen.
Het is belangrijk om te weten wat van jou is voordat iemand besluit dat je wegwerpbaar bent.
Sommige mensen noemden me wraakzuchtig omdat ik mijn gereedschap had weggehaald.
Anderen noemden me moedig omdat ik me verzette tegen nepotisme binnen het bedrijfsleven.
Ik noemde mezelf geen van beide.
Ik was gewoon iemand die begreep dat het soms het krachtigste is om weg te lopen en mensen de consequenties van hun keuzes te laten dragen.
Brandon gaf de voorkeur aan zijn zoon boven competentie.
Kyle verkoos ego boven nederigheid.
Ze hebben er allebei voor betaald.
Ik heb voor integriteit gekozen in plaats van voor mijn salaris.
En daardoor heb ik iets beters gebouwd.
