3 подписчика
Текучка CISO: почему ИБ-команды бегут, и что с этим делать
Средний срок жизни CISO в компании — что-то около 14 месяцев. Я считал — у себя, у коллег, с которыми работаю. Цифра устойчивая. Дальше обычно идёт выгорание, либо уход «на светлую сторону» — в консалтинг, в вендора, куда угодно, лишь бы не тушить пожары 24/7.
Один кейс въелся.
Внедряли SIEM. Проект на 8+ миллионов, если считать лицензии, железо и интегратора. До приёмки оставалось три недели. И в понедельник утром CISO присылает заявление на увольнение. Не скандал, не деньги — просто «устал биться головой об стену, бизнес не слышит». Его слова, не мои.
Проект встал на полгода. Новый человек пришёл через два месяца, потом ещё четыре месяца просто разбирался, как устроена сеть — где какие логи, кто за что отвечает, где вообще лежат пароли от критичных систем. Безопасность в это время работала в режиме «надежда». SIEM собирал логи, но alert-ов почти не было — правила некому было тюнить.
За эти полгода пропустили три инцидента, которые всплыли уже задним числом. Один — тестовая база с реальными телефонами клиентов «сказала – гудбай и уехала в неизвестном направлении. Не катастрофа, но неприятно. И это только то, что нашли.
Почему CISO бегут? По моим наблюдениям тут всего пять пунктов, и они повторяются от компании к компании.
Нереалистичные KPI. «Сделайте так, чтобы нас не взломали. Чтобы инцидентов было ноль». Понимаю, откуда это — бизнес хочет гарантий. Но в ИБ гарантий не бывает, бывают reasonable risks. Когда человеку ставят KPI «ноль инцидентов», он либо выгорает за полгода, либо начинает прятать инциденты. Второе хуже.
Одиночество на вершине. CISO сидит между двух стульев. Бизнес считает его тормозом — «опять твои согласования, мы сделку теряем». ИТ-команда — параноиком — «ну зачем нам ещё один сегмент сети, мы и так работаем». Поговорить не с кем. Не к первому же заму гендира идти жаловаться.
Бюджетный голод. Требуют соответствовать 152-ФЗ, пройти аттестацию ФСТЭК, построить SOC. А выделяют — ну, хватит на renewal антивируса и половину ставки стажёра. Я видел компании, где ИБ-бюджет был 0.4% от ИТ-бюджета. Это не безопасность, это символический жест.
Роль пожарного. Человек приходит строить стратегию, а заканчивает тем, что в три ночи разбирает фишинговую рассылку. Через год он уже не помнит, зачем вообще хотел быть CISO. Стратегия лежит в Confluence, потому что каждый день — пожар.
Козёл отпущения. Самое обидное. Проект шёл два года, риски были известны, бюджет урезали — всё зафиксировано в протоколах. Происходит инцидент — и первым увольняют CISO. Не того, кто урезал бюджет. Не того, кто подписал «ок, принимаем риски». А того, кто всё это время «КРИЧАЛ».
Чем это бьёт по компании? Потеря контекста — пока новый человек раскачивается, дыры остаются открытыми. Пропущенные инциденты — они потом всплывают, когда уже поздно. Стоимость простоя SOC считается не в тысячах, а в миллионах, если дойдёт до реальной утечки. Один пропущенный инцидент с базой клиентов — это штрафы 152-ФЗ, проверка Роскомнадзора, репутация. Цифра легко может перевалить за десять миллионов.
Что делать?
Если вы бизнес — начните разговаривать с ИБ на языке рисков. Не «сделайте так, чтобы нас не взломали», а «какие риски мы готовы принять, какие нет, и сколько стоит закрыть остальные». На этом языке ИБ-команда работает, а не выгорает.
Если штатный CISO вам не по карману — а для среднего бизнеса это часто так: нормальный CISO стоит от 400–500 тысяч в месяц, плюс команда, плюс инфраструктура — посмотрите в сторону vCISO.
vCISO — это не разовый консалтинг, не «пришёл, дал список рекомендаций, ушёл». Это ваш ИБ-директор на парт-тайме. Регулярные встречи, выстроенные процессы, отчётность, которую понимает бизнес. Без оклада, который вы платите 12 месяцев, даже если задач на три.
👉 Если узнали свою компанию в этом описании — напишите мне в ЛС. Не буду ничего продавать. Поговорим про вашу ситуацию минут 30, и если поймёте, что я вам не нужен — так и скажем. Без обид.
Если пока не готовы писать — поставьте «+» в комментариях, пришлю чек-лист 5 признаков, что CISO выгорает...
3 минуты
10 октября