Эволюция роли CISO идёт на пути от «полицейского» к «архитектору рисков»

Эволюция роли CISO идёт на пути от «полицейского» к «архитектору рисков»

Ещё пять лет назад типичный директор по информационной безопасности (Chief Information Security Officer/CISO) воспринимался как «министр запретов», человек в сером свитере, чья главная задача — заблокировать доступ ко всему, что движется. В 2026 году ситуация изменилась радикально. Сегодня CISO — это полноправный бизнес-лидер, стратег и дипломат, который балансирует между агрессивными темпами внедрения ИИ и необходимостью сохранить устойчивость компании в условиях цифрового хаоса.

На днях наиважнейшие аспекты деятельности ИБ-руководителя обсуждали на CISO Forum 2026: метрики и инструменты реальной эффективности, взаимодействие кибербеза, ИТ и бизнеса, внедрение ИИ-систем, переход к комплексной архитектуре, умение говорить с бизнесом на одном языке и так далее. Говоря на тему защиты ПДн, начальник управления развития процессов кибербезопасности «ОТП Банка» Алексей Колпаков сравнил её со строительством дома, где фундамент — это discovery-процесс (то есть анализ с использованием DCAP-системы всего того, что уже есть в компании), стены — это доступы, обезличивание, работа с подрядчиками, а крыша — это DLP (Data Loss/LeakPrevention). Со слов эксперта, все три инструмента одновременно использует только 15% компаний, работающих с ПДн, но в банках и финтехе этот процент достигает 75%.

Статистика, которая содержится в ежегодном исследовании системного интегратора «Инфосистемы Джет», рисует не самую благополучную картину. В 2025 году доля компаний с растущими ИБ-бюджетами снизилась с 60% до 49%, при этом доля тех, кто финансирование урезал, подскочила с 8% до 20%. Параллельно рынок труда перешёл к заморозке найма, оптимизации штата и сохранению текущих сотрудников: кадровые потребности 80% предприятий так и остались не закрыты. Когда в прошлом году произошла серия резонансных атак на крупные организации, только 40% из них уложилось в плановое время, что свидетельствует о недостаточном уровне реальной операционной готовности к инцидентам.

Как отметил руководитель отдела развития консалтинга по ИБ «Инфосистемы Джет» Александр Морковчин, российский бизнес постепенно уходит от устаревшей модели «замок и ров» в сторону «эшелонированной обороны»: «Рынок учится жить в условиях перманентного стресса, где ценность определяется не защищённостью периметра, а зрелостью процессов реагирования, восстановления и непрерывности бизнеса. Разрыв между «понимаем» и «можем отреагировать» — главная угроза 2025–2026 годов, и без перехода от теории к реальным практикам киберустойчивости компании рискуют остаться с идеальным планом, но без реальной защиты в момент атаки».

Умение брать на себя ответственность — прежде всего

За рубежом, особенно в США и Европе, CISO всё чаще занимают исполнительные должности уровня SVP или EVP (Senior Vice President и Executive Vice President). Согласно исследованию IANS и Artico Search, в крупных организациях количество ИБ-руководителей с такими титулами выросло с 33% в 2023 году до 47% в 2025 году. Большое их число переходит под прямое подчинение генеральному директору (CEO) или другим бизнес-руководителям, отходя от подчинения техническому директору (CIO). Исследования показывают, что компании с такой модернизированной структурой управления демонстрируют лучшие показатели в области безопасности.

В России роль CISO также претерпела заметную трансформацию, во многом обусловленную усилением государственного регулирования, выразившимся в персональной ответственности руководства и нормативно-правовой базе. Указы Президента №166 и №250, Закон о критической информационной инфраструктуре (КИИ) №187-ФЗ и ужесточение штрафов за утечки данных стали для первых лиц серьёзным дисциплинирующим фактором. CISO обязаны обеспечивать соответствие требованиям ФСТЭК, ФСБ и Роскомнадзора, контролировать использование сертифицированных средств защиты, а также отслеживать цепочки поставок ПО и оборудования.

Специалисты сходятся во мнении, что CISO должен подчиняться непосредственно генеральному директору или операционному директору, а не ИТ-директору. Это позволяет избежать конфликта интересов, когда безопасность приносится в жертву технологическому удобству или скорости внедрения. ИБ-руководитель позиционируется на стыке информационных технологий, корпоративного управления, риск-менеджмента и юриспруденции. Важнее всего для него — умение брать на себя ответственность и принимать взвешенные решения при неполной информации во время активных кибератак, а также наличие таких софт-скиллов, как свободная коммуникация со смежными подразделениями (ИТ, юристы, HR), способность вести сложные переговоры на уровне топ-менеджмента и отстаивать непопулярные, но необходимые для безопасности решения.

Стоит ли защищать «всё и вся»?

Достижение абсолютной, 100%-ной безопасности невозможно и экономически нецелесообразно. Главная задача CISO — не построить неприступную крепость, а найти разумный баланс между защитой и развитием бизнеса. Это, по сути, треугольник, где необходимо соизмерять инвестиции в ИБ, потенциальный ущерб от атаки и способность компании получать прибыль. CISO должен защищать критически важные бизнес-процессы, обеспечивать непрерывность операций и брать на себя «просчитанный риск», позволяя предприятию развиваться с той скоростью, которая требуется рынку. Эта концепция — отказ от попытки защитить «всё и вся» в пользу фокуса на защите самого ценного, что значительно повышает эффективность ИБ-функции.

После того как VolgaBlob совместно с проектом «Кибердом» провела исследование рынка ИБ, аналитики пришли к выводу: при ограниченных бюджетах компании фокусируются на базовом уровне кибербезопасности, но постепенно акцент сместится на комплексные платформенные решения. Подход к ИБ как к «лоскутному одеялу» из набора мощных, но разрозненных средств защиты не работает, полагает генеральный директор VolgaBlob Александр Скакунов: «Бизнесу сейчас важно выстраивать комплексную превентивную защиту. Рынку нужны продукты, которые обеспечивают сквозную видимость всего ИТ-ландшафта и способны системно выявлять угрозы на ранних этапах. Так компании смогут проактивно управлять рисками, а не разрешать последствия инцидентов».

Было бы уместно создать своего рода «коллективный кибериммунитет», регулярно обучая сотрудников (ведь 70–75% утечек случается по их вине), внедряя программы по повышению осведомлённости (Security Awareness) и развивая ИБ-культуру в организациях. Это даёт очень высокую отдачу при относительно небольших вложениях. Эксперты предлагают также использовать внешние сервисы (MSSP): для компаний, которые не могут позволить себе содержать штат из 15–20 узкопрофильных специалистов, передача части функций на аутсорсинг — экономически разумное решение.

Для построения эффективной защиты при дефиците бюджета и кадров CISO следует начинать с полной инвентаризации активов (нельзя защищать то, о чём вы не знаете), сфокусировать усилия на главном, выделив критически важные системы и данные, автоматизировать рутинные операции. Часто ровно половину рабочего времени безопасник тратит на сбор логов и обработку ложных срабатываний. Внедрение SOAR и инструментов на базе ИИ позволяет высвободить дефицитные кадры для решения действительно важных задач, которые не под силу машине.

Нейросети не могут полностью заменить сотрудника-человека, но они демонстрируют большую пользу в обнаружении и предотвращении утечки чувствительных сведений и персональных данных, а также анализе большого объёма информации в антифрод-системах. Также они помогают выявлять компрометацию пользователей с помощью технологий Face-ID и Voice-ID, снижать число ложноположительных срабатываний СЗИ, проверять выполнение нормативных требований и так далее. В ближайшем будущем ИИ сможет выполнять большинство рутинных действий по защите — от обнаружения до реагирования — оставляя человеку только верификацию и анализ сложных инцидентов, предполагает руководитель отдела исследований безопасности банковских систем Positive Technologies Сергей Белов.

Что касается кибериспытаний, «белых» и «красных» хакеров и тому подобного — не все эксперты единодушны в их оценке, так как определённая искусственность сценария рискует создать ложное чувство безопасности. Евгений Акимов, директор направления развития бизнеса департамента ИБ Группы Rubytech, считает более разумным исходить из принципиальной уязвимости любой системы: «Защита в таком случае строится не на попытках создания некого непроницаемого супербарьера, а на быстром и чётком реагировании на инциденты. Главная задача — своевременно обнаружить атаку, не допустить её развития и оперативно восстановить работу систем, чтобы избежать серьёзных последствий».

Задавать неудобные вопросы, чтобы получить бюджет

Традиционные технические метрики (количество заблокированных писем или закрытых уязвимостей) не работают при разговоре с советом директоров. Руководство компании и акционеры хотят видеть ориентированные на будущее показатели, которые предсказывают возможные риски и их влияние на бизнес: например, вероятность реализации критической уязвимости в системе, обрабатывающей платёжные данные, и потенциальный финансовый ущерб. Время обнаружения и реагирования (MTTD и MTTR) являются ключевыми показателями, наглядно демонстрирующими эффективность и скорость работы SOCа. Сокращение этих метрик — прямое доказательство повышения киберустойчивости. Будет доходчивее для слушателей, если перевести данные отчётности в финансовый эквивалент: например, сколько денег сэкономила ИБ-служба, предотвратив потенциальную утечку данных. Такой подход превращает ИБ из «необходимых затрат» в «инвестиции, защищающие прибыль».

Совет директоров в 2026 году стал более подкованным, но он всё ещё не хочет слушать про SQL-инъекции. Чтобы получить бюджет, CISO должен показывать сценарии («что произойдет с акциями компании, если данные клиентов окажутся в даркнете?»),

использовать бенчмаркинг («наши конкуренты тратят на ИБ 12% ИТ-бюджета, мы — 7%, что делает нас лёгкой мишенью»), демонстрировать комплаенс как конкурентное преимущество («наличие сертификатов безопасности позволяет заходить на рынки с высокими требованиями к защите данных»). Функция директора ИБ как стратега — задавать неудобные вопросы высшему руководству.

В своей коммуникации с акционерами CISO следует переводить угрозы на язык бизнеса: вместо абстрактных «новых уязвимостей» говорить о конкретных потерях — выручке, репутации, доле рынка. Он быстрее добьётся цели, если вместо длинных технических отчётов будет использовать наглядные дашборды, показывающие динамику основных показателей бизнес-риска. Важно предлагать решения и приходить на совет директоров с готовым бизнес-планом: вот проблема, вот возможный ущерб, а вот что нужно сделать, сколько это будет стоить и какую выгоду/защиту принесёт.

Ценность ИБ-директора состоит в предоставлении «отдельного взгляда на бизнес», через призму технологической реализуемости и защищённости. Он помогает совету видеть «слепые зоны», которые не видят ни финансисты, ни маркетологи. Благодаря его вкладу, технологический риск становится таким же учтённым фактором в стратегическом планировании, как и рыночный или валютный. Такое понимание способствует трансформации функций от управления тактикой защиты к формированию стратегии устойчивости компании. И главное здесь — умение говорить на языке бизнес-результатов и переводить технические угрозы в термины финансовых потерь и упущенных возможностей.

Образно говоря, современный CISO — это не тот, кто строит стены, а тот, кто учит компанию «быстро бегать в бронежилете», то есть обеспечивать максимальную безопасность, не парализуя работу. В сложившихся условиях его успех измеряется не отсутствием инцидентов (они неизбежны), а способностью бизнеса выстоять, адаптироваться и стать сильнее после каждой атаки. Это путь от технической функции к стратегическому лидерству, где главной ценностью является доверие клиентов и акционеров.