Розничная сеть за пять лет выросла с тридцати магазинов до трёхсот. Платформа онлайн-продаж приносила сорок процентов выручки. Технический директор запросил доступ к данным покупателей в реальном времени. Нужно было для персонализации предложений, улучшения конверсии. Директор по информационной безопасности отказал. Риск утечки, требования регулятора, штрафы могут перекрыть всю выгоду от оптимизации.
Техдиректор пошёл к владельцу. Тот ответил стандартно: "Разберитесь сами, я вас для этого нанял". Три месяца никто не уступал. В чёрную пятницу платформа рухнула. Потери полмиллиарда за день. Техдиректора уволили задним числом. Директор по безопасности остался, получил право вето на любые изменения инфраструктуры. Скорость внедрения новых функций упала вдвое.
Полгода спустя владелец поднял зарплату директору по безопасности на двадцать процентов. Не за то, что предотвратил инцидент, инцидента вообще не было. За то, что дал владельцу ощущение контроля. Новый технический директор получал на пятнадцать процентов меньше.
История с разницей в зарплатах почти никогда не начинается с дефицита специалистов на рынке. Она начинается раньше, в момент, когда владелец понимает: технологии больше не просто инструмент, а источник постоянной тревоги.
Кто эти люди на самом деле
Технический директор (CTO) отвечает за то, чтобы вся технологическая инфраструктура работала. Если компания продаёт через сайт, он следит, чтобы сайт не падал под нагрузкой. Если есть мобильное приложение, чтобы оно не вылетало в момент оплаты. Если производство, чтобы системы управления станками не зависали посреди смены.
CTO решает: какие технологии использовать, как выстроить архитектуру, сколько серверов арендовать, какую базу данных взять за основу. Владелец говорит: "Хочу продавать через приложение". Техдиректор переводит это в конкретику: три месяца разработки, пять программистов, два миллиона бюджета, запуск к началу сезона.
Директор по информационной безопасности (CISO) отвечает за защиту. От атак, утечек, штрафов, репутационных провалов. Если техдиректор строит дом, CISO проверяет, насколько прочные стены, работают ли замки, можно ли выбить дверь ломом.
CISO решает: какие данные можно хранить и где, кто получает к ним доступ, как защититься от взлома, что делать, если данные всё-таки утекли. Следит за соблюдением требований регулятора, отраслевых стандартов, законов о персональных данных.
Технический директор создаёт возможности. Директор по безопасности ограничивает риски. Не из вредности, а потому что это его работа.
Откуда приходят эти руководители
Большинство технических директоров начинали программистами. Три-пять лет писали код, стали ведущими разработчиками. Потом перешли в архитекторы, начали проектировать системы целиком, а не отдельные модули. Следующий шаг, руководство разработкой: управление командой из пяти-десяти человек, распределение задач, контроль сроков.
Техдиректором становятся через семь-десять лет после первой строчки кода. К этому моменту человек понимает технологии изнутри, умеет управлять людьми, говорит с бизнесом на одном языке. Ключевой навык не в программировании, а в переводе. Владелец хочет вырастить продажи на тридцать процентов. Техдиректор разбирает задачу: ускорить загрузку сайта, добавить рекомендательную систему, интегрировать аналитику поведения.
С директорами по безопасности всё менее линейно.
Системные администраторы, которые пережили серьёзный инцидент. Сервер взломали, базу клиентов украли, данные зашифровали вирусом. После такого человек понимает: безопасность не дополнительная функция, которую можно отложить. Это способ думать о системе с первого дня.
Аудиторы и консультанты приходили в компании проверять соответствие стандартам, искали уязвимости, писали отчёты. Научились говорить с бизнесом не на языке технологий, а на языке последствий. Не "уязвимость такая-то", а "штраф пять миллионов, блокировка обработки платежей, уголовная ответственность для руководства".
Выходцы из государственных структур, где безопасность была не функцией среди прочих, а единственной целью работы.
Директором по безопасности не становятся через плавный рост внутри компании. Эта должность появляется в момент осознания: без неё будет больно. Боль может быть реальной, уже случилась утечка или пришёл штраф. Или воображаемой, страх перед проверкой регулятора.
CISO появляется как ответ на страх, а не как продолжение роста.
Почему CISO выигрывает до того, как речь зашла о деньгах
CTO приходит к владельцу с предложениями. Быстрее, больше, масштабнее. Новая платформа за три месяца, рост конверсии на пятнадцать процентов, автоматизация обработки заказов. Даже когда цифры убедительные, в них всегда есть допущения. Может вырасти, может не вырасти.
CISO приходит с другим набором аргументов. Он не говорит о том, что можно получить. Он говорит о том, что можно потерять. Штрафы, блокировки, проверки, утечки данных, уголовные дела против менеджмента. Эти вещи не выглядят как гипотезы. Они ощущаются как события, которые уже почти случились.
Владелец редко глубоко разбирается в технологиях. Зато отлично понимает ответственность. Язык безопасности в этой ситуации оказывается сильнее языка развития.
Когда техдиректор говорит "если сделать X, мы сможем увеличить выручку", владелец слышит неопределённость. Может сработать, может нет.
Когда директор по безопасности говорит "если сделать X, может прийти регулятор", владелец слышит угрозу. Конкретную, осязаемую.
Человеческий мозг устроен так, что потенциальная потеря бьёт сильнее потенциальной выгоды. Не в теории управления рисками, а на уровне инстинкта. Не логика, а реакция.
В этот момент CISO начинает выигрывать, хотя формально ничего ещё не изменилось.
Дальше происходит подмена. Безопасность перестаёт быть функцией одного департамента. Она становится символом контроля над ситуацией в целом. Владелец чувствует: есть человек, который держит руку на пульсе. Кто-то, кто скажет "стоп", если станет опасно.
CTO в этой логике выглядит иначе. Он ассоциируется с движением, риском, экспериментами. Даже когда эксперимент тщательно просчитан, он всё равно воспринимается как источник неопределённости.
CTO отвечает за будущее. CISO отвечает за то, чтобы этого будущего не лишиться.
Когда компания маленькая, перевешивает первое. Когда становится большой, второе.
Именно в этой точке начинается история с разницей в зарплатах. Не потому что одна роль объективно важнее другой. Потому что страх владельца начинает цениться дороже его амбиций. Деньги просто фиксируют решение, которое уже принято на уровне эмоций.
Как усиление безопасности тормозит бизнес
Когда страх становится главным аргументом в принятии решений, логика управления меняется. Не резко, без официальных объявлений. Меняется интонация, с которой задаются вопросы.
Раньше вопрос звучал так: что нужно сделать, чтобы запустить продукт быстрее и при этом не развалиться.
Теперь он звучит иначе: что может пойти не так, если мы вообще что-то запустим.
CISO в этой точке уже не просто защищает инфраструктуру. Он фильтрует каждую инициативу через призму возможного ущерба. Здесь возникает первая системная ошибка.
Риск начинают оценивать изолированно, без учёта упущенных возможностей.
Штраф виден. Его можно посчитать, назвать сумму, показать в презентации.
Потерянный рынок не имеет точной цифры, пока конкурент не забрал клиентов.
Задержка запуска выглядит временной проблемой, а не стратегическим провалом.
Решения принимаются асимметрично. Потери от действий тщательно учитываются. Потери от бездействия игнорируются.
CTO в такой системе оказывается в слабой позиции. Любая его инициатива требует обоснований, расчётов, гарантий безопасности. Но гарантий в развитии не существует.
CISO почти всегда может сказать "нет" без необходимости предлагать альтернативу. Отказ сам по себе выглядит безопасным решением. Проект не запущен, инцидента не произошло. Формально всё правильно.
Рынок не ждёт, пока внутренние службы договорятся. Конкуренты не обязаны соблюдать те же внутренние ограничения. Клиенты не знают, что запуск новой функции задержали ради соответствия стандарту. Они просто видят, что сервис неудобный, медленный, устаревший.
Здесь происходит второй сдвиг.
CTO перестаёт бороться за свои инициативы.
Сначала он пытается договариваться. Предлагает компромиссы, дополнительные меры защиты, поэтапное внедрение. Потом видит: решения всё равно блокируются. Или растягиваются так долго, что теряют смысл.
Следующий шаг предсказуем. Он начинает минимизировать трение с отделом безопасности.
Перестаёт выносить на обсуждение все изменения сразу. Делает часть через тестовые контуры, которые формально не требуют согласования. Использует временные решения, которые потом незаметно становятся постоянными. Формально безопасность соблюдена. Фактически контроль частичный.
Директор по безопасности при этом может искренне считать, что всё под контролем. Документы подписаны, регламенты соблюдены, отчёты сходятся.
Система выглядит устойчивой. На самом деле она становится хрупкой. **Риски не исчезают, они просто перестают быть видимыми.**
Владелец получает ровно то, за что платит. Ощущение контроля. Спокойствие. Отсутствие плохих новостей.
Он не видит, что внутри компания уже разделилась на две параллельные реальности. В одной всё согласовано, задокументировано, безопасно. В другой принимаются настоящие решения, потому что иначе бизнес просто встанет.
Что происходит с людьми при разнице в окладах
Когда зарплаты двух ключевых ролей различаются больше чем на двадцать процентов, начинается деградация мотивации.
Тот, кто получает меньше, перестаёт брать на себя ответственность сверх формальных обязанностей. Подписывает документы, не вдаваясь в детали. Присутствует на совещаниях, не предлагая решений. Логика простая: зачем нести равную нагрузку за меньшие деньги?
Человек с адекватной самооценкой в такой ситуации либо уходит из компании, либо минимизирует вовлечённость. Владелец думает, что дифференциация зарплат мотивирует. Создаёт систему с двумя разными скоростями принятия решений.
В компании, где директор по безопасности получал значительно больше техдиректора, последний формально согласовывал все решения с отделом безопасности. Реально внедрял критичные изменения через тестовые среды, которые потом незаметно переводились в боевую эксплуатацию. Директор по безопасности формально контролировал все процессы. Реально не видел половины происходящего. Владелец платил за контроль рисков. Получал иллюзию.
Как на практике чинится связка CTO и CISO
Самая распространённая ошибка собственника, попытка решить конфликт новым регламентом. Прописать зоны ответственности детальнее, ввести согласовательный комитет, добавить этапы проверки. Формально оргструктура усложняется. Фактически проблема уходит глубже.
Регламенты не меняют мотивацию. Они только перераспределяют формальную вину.
Пока у CTO и CISO разные источники боли, они будут тянуть систему в противоположные стороны. Один боится упустить рынок. Второй боится инцидента. Оба правы в рамках своей функции.
Рабочая модель начинается не с изменения оргструктуры. Она начинается с изменения того, как именно принимаются решения.
Первый признак здоровой связки
Безопасность участвует не в согласовании готового решения, а в проектировании с самого начала.
Не "разработали продукт, принесли на проверку". А "сели вместе до начала разработки, обсудили архитектуру, заложили требования безопасности в дизайн системы".
Пока CISO видит продукт уже готовым, его единственный инструмент, запрет или требование переделать.
Когда безопасность подключается на уровне проектирования, появляются варианты. Не идеально безопасные, таких не существует. Но допустимые, с известными рисками. Не максимально быстрые любой ценой. Но настолько быстрые, насколько позволяет приемлемый уровень риска.
Второй признак
У безопасности есть видимая цена отказа.
Если проект не запущен из-за требований безопасности, последствия этого решения должны быть озвучены заранее.
Не в виде наказания. В виде честного вопроса к руководству: готовы ли мы потерять эту возможность ради снижения вот этого риска. И кто именно несёт ответственность за это решение.
В большинстве компаний такого вопроса не существует. Отказ от запуска считается безопасным по умолчанию. А значит, он слишком дёшев.
Третий признак
Общие метрики эффективности, которые невозможно оптимизировать по отдельности.
Если CISO оценивается только по отсутствию инцидентов, он будет блокировать любые изменения.
Если CTO оценивается только по скорости запуска, он будет обходить контроль безопасности.
Когда оба зависят от одного набора показателей, начинается реальный диалог. С торгом, аргументами, поиском решений, которые выдержат и требования рынка, и требования безопасности.
Конфликты в такой модели не исчезают. Они становятся полезными. Спор идёт не за власть. Спор идёт за выбор варианта, который выдержит и давление рынка, и проверку регулятора.
И здесь появляется последний момент, самый неприятный для собственника.
Такой подход требует постоянной вовлечённости владельца. Нельзя просто нанять "человека, который отвечает за безопасность", поднять ему зарплату и успокоиться. Придётся разбираться в компромиссах. Задавать неудобные вопросы обеим сторонам. Принимать решения в условиях неопределённости.
Гораздо проще заплатить одному из директоров больше и считать, что риск под контролем. Эта простота обманчива.
Что на самом деле означает разница в зарплатах
Разница в зарплатах сигнализирует: одна функция важнее другой. Сигнал ложный.
Без роста нечего защищать. Без защиты рост уничтожается первой атакой или штрафом. Эти функции не конкурируют. Они либо работают вместе, либо разрушают компанию по отдельности.
Правильная архитектура: оба руководителя несут ответственность за один результат. Оба получают бонусы от одних метрик. Скорость выхода на рынок при приемлемом риске, рост прибыли без репутационных катастроф, соблюдение требований без критического замедления.
Безопасность, это не функция департамента с правом вето. Это свойство всей системы, которую проектируют совместно.
Когда техдиректор теряет бонус из-за инцидента безопасности, а директор по безопасности из-за задержки критичного запуска, они начинают искать компромиссы. Появляется общий интерес найти решение, а не отстоять позицию.
Владелец, который платит CISO заметно больше "за контроль рисков", создаёт систему, где контроль становится самоцелью. Риски при этом не исчезают. Они уходят в теневые процессы.
Разница в зарплатах, это симптом, а не причина. Она появляется там, где собственник делегировал не функцию, а страх.
Когда владелец спрашивает "кто должен получать больше", он задаёт неправильный вопрос. Правильный: "Могут ли эти два человека работать как команда при равных окладах?"
Если честный ответ "нет", проблема не в деньгах. Проблема в отсутствии общей стратегии.
Две разные стратегии под одной крышей, это не управление. Это политика. А политика в технологических компаниях убивает бизнес быстрее любой атаки.