В рамках подготовки рейтинга «Новая элита кибербеза» SecPost поговорил c Вячеславом Касимовым, CISO Точка Банка, Дмитрием Пудовым, заместителем генерального директора, основателем NGR Softlab, Владимиром Садовским, исполняющим обязанности руководителя департамента информационной безопасности (CISO) М.Видео-Эльдорадо, Дмитрием Соколовым, экс-CISO «Мой Офис», и Дмитрием Шараповым, управляющим директором по информационной безопасности ДОМ.РФ, о том, как изменилась роль CISO и какой опыт сегодня нужен тому, кто хочет ее занять.

CISO — одна из 7 номинаций рейтинга «Новая элита кибербеза», заявки в который принимаются до 30 сентября 2026 года.

CISO перестал быть главным технарем

Главное изменение в работе CISO — смещение от преимущественно технических задач к управленческим. «В первую очередь CISO должен думать о бизнесе: чем компания зарабатывает деньги и где она может их потерять», — говорит Дмитрий Соколов. Теперь руководителю ИБ приходится смотреть на компанию целиком и оценивать риски с учетом ее бизнес-задач.

Но управленческая роль — это не только понимание бизнеса. К техническому опыту добавились менеджмент и проектное управление, отмечает Дмитрий Пудов. Работать при этом приходится быстрее: условий, которые нужно учитывать одновременно, стало больше, а времени на их оценку меньше, считает Дмитрий Шарапов. Одновременно выросла цена ошибки, обращает внимание Владимир Садовский: старые проблемы вроде лишних прав и накопленных уязвимостей остались, а к ним добавились атаки через подрядчиков и риски ИИ.

CISO перестал быть главным технарем

В небольшой службе CISO часто остается «играющим тренером». В крупной организации ему нужно понимать архитектуру и ограничения решений, но уже необязательно самому настраивать средства защиты или проводить тестирование на проникновение.

Современный CISO — это «технически грамотный руководитель, который способен собрать людей сильнее себя в отдельных областях и при этом видеть всю систему целиком», считает Дмитрий Соколов. Похожую границу проводит Дмитрий Шарапов: специализированную работу можно делегировать, но выбор архитектуры, приоритетов и критериев приемки требует участия самого руководителя.

Технических знаний должно хватать, чтобы не принимать решения на веру, считает Владимир Садовский. Если команда предлагает новый продукт, CISO должен понимать, какую проблему он решает, как проверить результат и кто будет его сопровождать.

Вячеслав Касимов также считает глубокое понимание технологий необходимым для CISO: «Невозможно управлять тем, что не знаешь, как работает». Специализированные задачи можно делегировать, но сам руководитель должен достаточно хорошо разбираться в технологии, чтобы понимать аргументы команды и оценивать предлагаемые решения.

Безопасность вошла в бизнес-решения

CISO все чаще подключается не после того, как бизнес уже выбрал решение, а раньше — когда определяется, что запускать, какие данные использовать и какой риск компания готова принять. Вячеслав Касимов связывает это с общим сдвигом безопасности в начало процессов: CISO должен участвовать уже на этапе создания новых продуктов и сервисов, иначе его работа становится значительно менее эффективной. По словам Дмитрия Пудова, если в названии роли действительно есть буква C, такой руководитель участвует в корпоративном управлении и выработке бизнес-решений.

Для CISO вопрос все реже сводится к простому «можно» или «нельзя». Ему нужно объяснить бизнесу, к чему может привести тот или иной риск, сколько будет стоить его снижение и какие есть варианты действий — например, можно ли запустить проект с ограничениями. При этом окончательное решение о принятии бизнес-риска должен принимать руководитель, который отвечает за результат, а задача CISO — дать ему понятную картину последствий и возможных мер.

Поэтому подключать CISO нужно в тот момент, когда решение еще можно изменить без больших затрат, отмечает Владимир Садовский. Если ИБ узнает о проекте за день до запуска, выбор часто уже сводится к конфликту или формальному согласованию.

Ответственность выходит за пределы полномочий

Многие риски возникают за пределами зоны прямого управления CISO: в ИТ, разработке, бизнес-системах, у подрядчиков. Но ответственность за последствия инцидента при этом во многом остается на CISO.

Разрыв между ответственностью и полномочиями — одна из системных проблем профессии, считает Дмитрий Соколов. CISO приходится не просто запрещать, а объяснять, предлагать альтернативы и добиваться изменений в чужих подразделениях. Если руководитель отвечает за результат, у него должны быть и механизмы влияния, а при их нехватке — право добиваться дополнительных полномочий, отмечает Дмитрий Пудов.

Для этого необязательно подчинять службе ИБ разработку или ИТ. Важнее заранее определить правила: кто и когда устраняет критичную уязвимость, как согласуется исключение, когда закрывается доступ подрядчика, куда выносится спорный вопрос. Безопасность не должна держаться только на личных отношениях и энтузиазме нескольких человек.

Но одних организационных правил недостаточно. Вячеслав Касимов обращает внимание на третьи стороны: непосредственно управлять их информационной безопасностью компания не может, поэтому риски нужно ограничивать на уровне собственной архитектуры.

Регулирование повышает цену ошибки

CISO должен понимать, какие нормативные требования относятся к компании, какие риски возникают при их невыполнении и что придется менять в архитектуре, процессах и бюджете. Но самому превращаться в специалиста по комплаенсу или юриста не требуется. Отслеживать изменения законодательства и разбирать их детали могут GRC-специалисты и юристы, а задача CISO — понимать последствия для бизнеса и участвовать в принятии решений, отмечает Дмитрий Пудов.

Дальше начинается уже не толкование требований, а их выполнение. За него в компании может отвечать CISO или методолог — в зависимости от структуры. Такой специалист, по словам Дмитрия Соколова, должен быть скорее «адвокатом, а не прокурором»: не просто ссылаться на документ, а понимать, как превратить требование в работающую меру.

При этом соответствие требованиям и реальная защищенность — не одно и то же. При небольшом бюджете особенно полезно выбирать меры, которые одновременно закрывают обязательное требование и реальный сценарий атаки, а затем проверять их на практике, а не только по отчетам.

Импортозамещение стало управленческим экзаменом

Переход на российские решения оказался не просто заменой продуктов. Одновременно менялись архитектура, интеграции и процессы эксплуатации, а CISO приходилось учитывать, насколько надежно новое решение и что произойдет с инфраструктурой в случае его сбоя, отмечает Вячеслав Касимов.

Особенно сложным оказался период миграции: старые и новые системы работали параллельно, менялись настройки и форматы журналов, появлялись временные доступы. Поэтому в такие проекты приходилось закладывать пилот, возможность отката и проверку новой системы до отключения старой, отмечает Дмитрий Шарапов. В стоимость перехода стоило учитывать труд команды, обучение и период параллельной эксплуатации, а при оценке продукта — возможность выгрузить данные и при необходимости сменить поставщика, добавляет Владимир Садовский.

Для CISO эти годы стали сильным управленческим интенсивом, считает Дмитрий Пудов. Он сравнивает руководителя ИБ с венчурным инвестором: оценивать приходилось не только продукт, но и перспективы поставщика. В результате многие руководители ИБ за несколько лет получили опыт крупных миграций и межфункциональных проектов, который в обычных условиях набирался бы гораздо дольше.

ИИ заставляет CISO одновременно защищаться и ускоряться

ИИ используется внутри компаний — и одновременно помогает атакующим. Сотрудники отправляют внешним сервисам код и внутренние документы, а собственные ИИ-системы получают доступ к корпоративным данным и иногда право выполнять действия.

Начинать стоит с ограниченных пилотов: заранее определять владельца сценария, набор данных, круг пользователей и допустимые действия системы, считает Дмитрий Шарапов. При этом появляется и новый уровень риска — переход от помощника, который только пишет текст, к агенту, способному читать корпоративные данные и выполнять действия. Как отмечает Владимир Садовский, ошибка такого агента уже может повлиять на рабочую систему.

ИИ упрощает поиск уязвимостей и создание простых эксплойтов, тогда как сопоставимого ускорения их устранения пока не видно, отмечает Дмитрий Соколов. При этом сам ИИ можно использовать для чернового разбора событий и поиска по базе знаний. Но автоматически закрывать инциденты или менять доступы только потому, что так предложила модель, Владимир Садовский не советует.

При этом самому CISO недостаточно наблюдать за развитием ИИ со стороны. Вячеслав Касимов считает, что руководитель ИБ должен глубоко разбираться в новой технологии, много читать и самостоятельно пробовать инструменты на практике — так же, как любые другие технологии, влияющие на инфраструктуру компании.

Путь к CISO: специализация может быть любой

К позиции CISO приходят из самых разных направлений — архитектуры, центров мониторинга безопасности, ИТ, аудита, управления рисками, разработки. Но опыта только в одной области со временем становится недостаточно: руководителю ИБ приходится одновременно разбираться в технологиях, управлять рисками и людьми и понимать, как устроен бизнес, считает Дмитрий Соколов.

Вячеслав Касимов считает собственный опыт программирования важной частью технической базы будущего CISO: он помогает лучше понимать, как устроены технологии, системы и процессы.

Расширять этот опыт лучше еще до первого назначения на позицию CISO. Полезно взять проект целиком — от обсуждения задачи с бизнесом и бюджета до внедрения и проверки результата, поучаствовать в реагировании или учениях с восстановлением, поработать с подрядчиками, наймом и развитием команды, советует Владимир Садовский.

К этому добавляется опыт, который уже выходит за рамки исходной специализации. Дмитрий Шарапов считает важными умение обосновать бюджет, провести изменения с участием нескольких подразделений и отвечать за результат работы команды. Для первого назначения на позицию CISO, по его мнению, нужны также понимание экономики бизнеса, договорных отношений и корпоративного управления.

Техническая база при этом остается фундаментом. Но по мере роста ответственности CISO отвечает уже не за отдельные средства защиты, а за работу всей функции ИБ и ее вклад в устойчивость компании.