Alle 3:15 di mattina, mentre degli hacker dalla Romania cercavano di entrare nei conti dei clienti di una banca, ho staccato la spina del mio auricolare e me ne sono andato. Non perché avessi paura, non perché non ce la facessi, ma perché mi avevano appena detto che valevo 4. 500 dollari, mentre il mio collega Bryce ne valeva 32. 000 facendo la metà del lavoro.
Facciamo un passo indietro, perché la storia che hanno raccontato dopo non era del tutto vera. Avevo imparato da tempo a non aspettarmi gloria in questo mestiere. Due colleghi erano persone solide, che conoscevano il mestiere, in giro quasi quanto me. Uno era appena uscito dal college, sveglio e volenteroso, ma doveva ancora capire la differenza tra una minaccia reale e un falso allarme.
E poi c’era Bryce Coleman. In questo lavoro non puoi formare una task force, chiamare consulenti o aspettare la revisione del budget trimestrale. O sistemi tutto subito, o guardi milioni di dollari svanire in tempo reale mentre il telefono squilla con chiamate sempre più frenetiche da parte di persone che avrebbero dovuto prestare attenzione mesi prima. Da quando mi sono laureato al Austin Community College con una laurea in sistemi informatici e ho parlato per entrare in una piccola azienda in centro, la sicurezza informatica era ancora una specie di selvaggio west.
Le certificazioni sono diventate obbligatorie, poi quelle avanzate, poi quelle specializzate per minacce specifiche. Io mi sono tenuto aggiornato soprattutto nel mio tempo libero, perché è così che resti rilevante. Dopo che sua madre e io abbiamo divorziato otto anni fa, siamo rimasti solo noi due a cavarcela. Conoscevo abbastanza bene il mondo delle aziende da capire la matematica di queste situazioni.
Tenere al sicuro i loro sistemi per quasi vent’anni, formare nuovi assunti che venivano subito promossi sopra di me, aggiornare protocolli di sicurezza che avrebbero dovuto essere riscritti anni prima. Poi, perché Bryce non aveva mai perso l’occasione di far girare tutto intorno a sé, mi mandò un messaggio privato con uno screenshot, come se avesse vinto alla lotteria. 32. 000 dollari di bonus in contanti, non opzioni azionarie, non straordinari, non una promessa di avanzamento futuro.
Soldi veri, con un accordo di permanenza di 12 mesi, aggiunse. Non era gelosia, più che altro riconoscimento, perché sapevo già quale sarebbe stato il mio numero. Capivo tutto questo. Una videochiamata, che avrebbe dovuto essere il mio primo campanello d’allarme.
“Non posso dirti quanto apprezziamo la tua dedizione. ” Ho annuito, perché è quello che fai in queste situazioni. Li lasci arrivare al punto in cui spiegano perché tutto quell’apprezzamento non si traduce in soldi veri. “Norman, il tuo bonus di retention sarà di 4.
500 dollari. ” Ho pensato di aver sentito male, come se avesse detto 45. 000 e io avessi colto solo l’ultima parte. Ripeté la cifra, sempre con quel sorriso di circostanza, e aggiunse che includeva lo stesso accordo di permanenza di 12 mesi degli altri.
Quello che ho detto è stato: “Mi serve un po’ di tempo per rivedere i termini. ” Poi ho aperto il mio foglio di calcolo personale, quello dove tengo traccia di tutto, dal mutuo alla spesa, fino al lento accumulo dei risparmi per la pensione che non crescono mai abbastanza in fretta. Ho digitato 4. 500 in una cella, e 32.
000 proprio sotto. Mi stavano offrendo soldi da tasca per chiudermi in un altro anno a guardare altri prendersi il merito del mio lavoro. Quella notte, intorno alle 23:30, mi stavo sistemando nella mia solita routine quando il sistema di monitoraggio ha cominciato a lanciare allarmi. Era lavoro professionale, metodico e paziente.
La tempistica era troppo precisa, la scelta del bersaglio troppo intelligente per strumenti automatici. Stabilisce un punto d’appoggio, poi si nasconde nei sistemi per mesi prima che qualcuno se ne accorga. Quello che era iniziato come sondaggio era diventato chiaramente ricognizione coordinata. Gli hacker professionisti non chiamano per vantarsi o fare richieste.
Sapevano che dall’altra parte c’era qualcuno competente. Invece di reagire d’istinto, ho iniziato a documentare tutto per i miei fini, perché avevo la sensazione che mi sarebbe servita una prova esatta di cosa fosse successo quella notte e quando. Sapevano che la maggior parte del team di sicurezza lavorava solo di giorno. Sapevano esattamente quando colpire per avere il massimo impatto con la minima resistenza.
Professionale. Costoso. Un messaggio di testo da Bryce. “Norm, dove sei?
Abbiamo un problema. ” Ho fissato quel messaggio a lungo. La stessa Jennifer che il mese scorso mi aveva detto di concentrarmi sull’esecuzione, non sul miglioramento dei processi, quando avevo suggerito di aggiornare i protocolli di risposta agli incidenti. La stessa Jennifer che dormiva tranquilla nella sua casa in periferia mentre hacker stranieri cercavano di rubare i risparmi di una vita alla gente.
I tre puntini sono apparsi subito, poi sono spariti, poi sono ricomparsi. Bryce stava scrivendo qualcosa, poi lo cancellava, poi ci riprovava. “Sono dentro i sistemi amministrativi. ” Per due decenni ero stato io a ripulire disastri digitali come questo mentre gli altri dormivano tranquilli nei loro letti, sicuri che qualcuno di competente fosse di guardia.
“Allora fai quello che devi fare, Norman. ”
Alle 3:10 di mattina, dopo aver passato 20 minuti a spiegarle dettagli tecnici che avrebbe dovuto capire da anni, lo disse di nuovo. Così, alle 3:15, ho fatto esattamente quello che mi aveva detto. Ho staccato la spina.
Il mio cervello era finalmente in silenzio per la prima volta in mesi, come se avessi smesso di cercare di giustificare cose che non avevano mai avuto senso. Gli hacker rumeni non hanno fatto le valigie e non se ne sono andati perché Norman Hayes aveva deciso che era stufo di essere sottovalutato. Altre aziende vengono a sapere degli incidenti. Prima messaggi su Slack, poi SMS, poi chiamate perse da Jennifer senza nemmeno un messaggio in segreteria.
Nessun ordine del giorno allegato. Nessuna spiegazione. Ogni minaccia importante neutralizzata tra mezzanotte e le 6 di mattina. Ma nessuno di questo si è tradotto in riconoscimento, avanzamento o compenso che rispecchiasse il valore reale consegnato.
La documentazione del programma di retention raccontava la sua storia. Nessun parametro di performance, nessuna considerazione per l’anzianità, nessuna valutazione dell’impatto misurabile. Solo percezione della leadership e valore strategico per le operazioni in corso. In parole povere: quanto i dirigenti ti volevano bene e quanto pensavano che saresti costato se te ne fossi andato.
“Norman”, disse lui, saltando i convenevoli. “Jennifer mi dice che hai più contesto sui nostri protocolli di risposta e sulle configurazioni specifiche dei clienti. ” Come se fossi un armadietto pieno di informazioni, non la persona che aveva scritto la maggior parte di quei protocolli. Ho pensato alla clausola di rimborso che mi avrebbe reso finanziariamente responsabile se avessi accettato la loro offerta insultante e poi me ne fossi andato comunque.
Un lungo silenzio dall’altra parte. Abbastanza lungo da dirmi tutto quello che dovevo sapere su come sarebbe andata quella conversazione. Potevo sentirlo respirare con attenzione, cercando di restare professionale mentre i clienti della sua azienda minacciavano di andarsene e la sua squadra di risposta agli incidenti si dibatteva cercando di gestire minacce che non capivano. Non un SMS stavolta, non un messaggio su Slack, ma una vera telefonata.
La conversazione era diversa da qualsiasi colloquio di lavoro che avessi fatto di recente. Nessun accordo di permanenza richiesto. Mi volevano per quello che potevo contribuire, non perché avevano paura che me ne andassi. Ho silenziato il telefono e mi sono riaddormentato senza pensare a livelli di minaccia o violazioni degli SLA o se qualcuno mi avrebbe incolpato se non avessi sistemato qualcosa prima del mattino, perché uscire alle 3:15 non era stato un capriccio.
Quando il telefono squilla alle 2 di notte, di solito è solo un SMS di Ryan che studia tardi in biblioteca e mi chiede se sono orgoglioso di lui. Io rispondo sempre la stessa cosa. Diciannove anni ho passato a credere che se avessi lavorato abbastanza duramente, fossi rimasto abbastanza leale, avessi risolto abbastanza problemi che gli altri non sapevano gestire, alla fine sarei stato valorizzato come meritavo. Ci è voluto un divario di 27.
500 dollari nel bonus di retention per insegnarmi qualcosa che ogni uomo di 49 anni dovrebbe già sapere. Tutto il resto si sistema da solo. È semplicemente rifiutarsi di giocare a un gioco truccato che non ha mai valorizzato il tuo contributo. Le aziende che sopravvivono capiscono questo.
La lealtà funziona in entrambe le direzioni.
