Дефицит руководителей в ИБ CISO остаются «играющими тренерами»

По следам статьи о росте спроса на директоров по ИБ на фоне дефицита компетенций. https://www.kommersant.ru/doc/8635481

Рынку не хватает не просто технических экспертов, а управленцев, способных интегрировать киберриски в бизнес-процессы и выстраивать коммуникацию со смежными подразделениями, в особенности с ИТ.

На практике в банках часто работают два изолированных контура, когда ИТ экстренно внедряет отечественные решения и обновляет ДБО, а ИБ пишет предписания, которые невозможно встроить в текущий CI/CD пайплайн.

Итог: бэклог уязвимостей растет, так как стороны не могут договориться об элементарном OLA на патч-менеджмент Указ Президента РФ № 250 обязал поднять статус CISO до уровня заместителя руководителя. Но формальное повышение часто не меняет сути: новоиспеченный зампред остается «играющим тренером» и мыслит рамками своего отдела, а не устойчивостью бизнеса в целом.

Цена такой изоляции в финсекторе измеряется не только предписаниями ЦБ, но и устойчивостью всей инфраструктуры. Когда безопасность внедряется уже после релиза продукта, страдает и time-to-market, и надежность. Зрелый CISO должен уметь встраивать процессы ИБ в производственный цикл ИТ, делая их прозрачными и измеримыми.

Вскрыть эту проблему обычно помогает внешний аудит и консалтинг Он объективно подсвечивает проблемные места CEO, особенно в исторически сложившихся структурах, где глаз команды окончательно замылился. Альтернативный путь прозрения еще проще — дождаться первого серьезного инцидента ИБ

А где ИБ находится в структуре вашей компании? Участвует ли CISO в принятии стратегических решений?