Неделю назад состоялась конференция CISO Forum 2026, в рамках которой прошли обсуждения...
Неделю назад состоялась конференция CISO Forum 2026, в рамках которой прошли обсуждения ключевых вопросов, с которыми сталкиваются руководители функций информационной безопасности в различных компаниях. Одна из открывающих сессий – «Лидеры ИБ в России. Как стать CISO» – была посвящена поиску ответа на вопрос, что из себя представляет CISO, какими качествами он обладает, какой путь ведёт его к руководящей должности и с какими трудностями он сталкивается на этом пути. Кратко резюмировали дискуссию. Как правило, руководители функции ИБ (CISO, chief information security officer) – это бывшие хорошие инженеры, практики, которые со временем освоили навыки общения с разными командами и взяли на себя ответственность за конкретные вопросы в организации. Важно осознавать, что ответственность нужно брать самостоятельно, нет смысла ждать, пока будет поставлена задача свыше, и это является камнем преткновения при росте – безопасники любят приносить проблемы, а CISO должен приносить решения и уметь объяснять их высшему руководству простым и понятным языком. Важным фактором успеха является количество инфоповодов – примеров успешных прикладных решений, – которые принесли пользу компании, и упоминание которых может быть полезным на уровнях выше в цепочке CISO – генеральный директор – совет директоров – общее собрание акционеров – государство. При этом решения CISO имеют очень длинный период обратной связи – последствия от них могут наступать через полгода, год и более, что создает высокую степень неопределенности и поднимает градус тревожности. Хорошей практикой является письменная фиксация крупных стратегических решений с последующим ретроспективным анализом в момент наступления последствий. Основная добавленная стоимость хорошего CISO для компании проявляется в его лидерских качествах, способности набрать и удержать команду, поставить ей релевантные задачи и отчитаться об их решении на уровни выше. В первую очередь он должен обеспечить практическую защищенность компании здесь и сейчас, поэтому важно наличие технических навыков, чтобы уметь поставить конкретные задачи и затем осмысленно принять результаты их решения, приобретая и сохраняя авторитет у команды и смежных технических подразделений. Следующим уровнем внимания является стратегия – она описывает задачи, для решения которых текущего состояния функции недостаточно и требуются усилия для ее трансформации. Третий уровень фокуса включает сверку курса безопасности с курсом компании, и только на вершине этой конструкции появляется диалог с бизнесом, который сам по себе, без предыдущих уровней, не должен являться целью руководителя ИБ. Прийти к роли руководителя функции ИБ можно как путем роста в своей компании, так и по приглашению в другую компанию, и в обоих случаях важно стать понятным и понравиться своему нанимателю. Очень важно совпадение с руководителем в культурном коде, должны сложиться доверительные отношения, опирающиеся на схожие ценности. Оценить это можно с помощью вопросов о том, какие у руководства ожидания от CISO и как будет оцениваться его работа. Мотивация руководителя ИБ, построенная только на величине вознаграждения, может приводить к катастрофическим для компании последствиям, должен присутствовать элемент азарта и энтузиазма. Вступая в роль CISO, важно быть готовым к негативу и сопротивлению, особенно в первое время. Следует строить культуру партнерства, но не в ущерб безопасности, поэтому нужно уметь спорить, доказывать, требовать. Хорошо иметь партнерские отношения с ИТ и с бизнесом, но важно соблюдать баланс и не отступить от принципов безопасности. CISO должен иметь полную картину со всеми проблемными местами, без серых пятен и слепых зон, а также уметь выбрать между плохим и очень плохим вариантом, сохраняя при этом самообладание в условиях неопределенности и наличия проблем, которые либо не могут быть решены в данный момент, либо не могут быть решены в принципе.