Фраза «без него всё остановится» часто звучит как высшая форма профессионального признания.

В информационной безопасности я бы воспринимал её иначе — как предупреждение о системной зависимости.

Сильный эксперт может годами удерживать на себе критичный процесс. Он знает архитектуру, историю исключений, владельцев систем и реальную логику принятия решений. У него есть нужные доступы, доверие бизнеса и способность быстро действовать во время инцидента.

Пока он рядом, функция выглядит зрелой.

Но стоит человеку уйти в отпуск, заболеть или сменить работу — и выясняется, что организация владела не процессом. Она пользовалась его персональной компетенцией.

Обычно key-person risk маскируют три вещи.

1. Хорошие текущие результаты Инциденты закрываются, аудит проходит, бизнес получает ответы. Никто не видит причин менять модель. Но результат обеспечивается ручными связями и личной памятью, а не воспроизводимым процессом.

2. Наличие документации Инструкция может описать последовательность действий. Она редко передаёт умение принимать решение при неполных данных, понимать последствия компромисса и убеждать владельца продукта. Знание передано только тогда, когда другой человек способен действовать самостоятельно.

3. Формальный заместитель Запись в приказе не создаёт capability. Заместителю нужны контекст, доступы, полномочия, участие в реальных ситуациях и опыт самостоятельного решения.

Особенно опасно, когда у одного сотрудника одновременно находятся уникальное знание, привилегированный доступ, право согласовывать исключения и личные отношения с владельцами систем.

Это уже не просто кадровый риск. Это единая точка отказа в управлении безопасностью.

На мой взгляд, руководителю следует измерять не количество «незаменимых людей», а устойчивость конкретных security capabilities: - реагирование на инциденты; - IAM/PAM; - восстановление; - облачная безопасность; - AppSec; - detection engineering; - работа с регулятором; - управление критичными поставщиками.

Для каждой способности я бы проверял четыре вещи:

Насколько она критична для бизнеса?

Сколько людей способны выполнять её автономно?

Сколько времени займёт передача роли?

Когда резервный специалист последний раз подтверждал свою готовность на практике?

И есть ещё один важный управленческий аспект. Эксперт не должен терять влияние после передачи знаний. Иначе организация сама создаёт мотивацию сохранять зависимость.

Подготовка преемника должна открывать специалисту следующий уровень: архитектурную роль, управление capability, наставничество, развитие стандартов и участие в стратегических решениях.

Сильный руководитель не избавляется от незаменимых экспертов. Он помогает им превратить личную экспертизу в способность всей организации.

Как вы считаете: незаменимость сотрудника — это показатель его профессиональной силы или признак недостаточной зрелости руководителя и процесса?