Суть безопасности лежит в ИТ и в разработке

Роль CISO должна трансформироваться в компании, становиться более «размытой», считает генеральный директор Positive Technologies Денис Баранов. К безопасникам прислушиваются тогда, когда они выступают в роли бизнес-партнёров, подчеркнул эксперт в своем выступлении на фестивале Positive Hack Days 12.

«Что такое на самом деле серьёзные инциденты с точки зрения восприятия со стороны менеджмента? По-настоящему серьёзный инцидент – это повод для трансформации в первую очередь. И мне кажется, что те инциденты, которые происходили в России, показывают, что по-старому уже не получится жить никому», — высказал своё мнение Баранов.

Сегодня звучало, что безопасникам нужны полномочия. При этом, когда говорится о проблемах — почему инциденты случаются, ответы звучат такие: потому что нужно быстрее, потому что в ИТ бардак и т. д.

«Мой опыт говорит о том, что те компании, в которых безопасность выстроена отлично, роль безопасника заключалась не в том, что под себя «задублировать» всю компанию. Те безопасники, которые смогли взять власть в компании, сделали это не стандартным директивным образом, а объяснили айтишникам, что на самом деле суть безопасности лежит в ИТ и в разработке (ведь паки появляются потому, что программисты допускают ошибки кода), они выступили в роли бизнес-партнеров», — отметил Баранов.

Безопасники должны уметь объяснить, какие последствия могут иметь те или иные действия айтишников.

«Например, бывают ситуации, когда нужно сказать: давайте притормозим с фитчами. А то если мы будем бежать за фитчами, то после первого же инцидента все получат такое же удовольствие, как сейчас получают пользователи такси в Москве от Яндекс.Навигатора, когда отключается GPS», — провел параллель эксперт.