После того как бэк-офис компании, где я успел недолго проработать, распустили, у меня наконец появилось время, о котором подсознательно годами мечтаешь и которого вечно не хватает.

Я закрыл домашние дела, записался на фитнес, начал гулять с экскурсией по Москве и замечать то, мимо чего обычно пробегаешь. А потом оформил читательский билет в Российскую государственную библиотеку. Захотелось утолить жажду свежих профессиональных знаний для рождения новых идей.

В монографиях и стандартах по ИБ мне раз за разом попадалась одна схема: CISO подчиняется CEO. Всё выглядит логично и удобно, но насколько это соответствует реальности сегодня?

# Что показывает мировая статистика

Heidrick & Struggles ежегодно опрашивает CISO по всему миру. В 2021 году напрямую CEO отчитывались 11% респондентов, в 2022-м: 8%, в 2023-м всего 5%. Затем тренд резко развернулся: в 2024 году показатель вырос до 14%, а в 2025-м достиг 42%.

Авторы исследования отмечают: информационная безопасность перестаёт быть подразделением ИТ, но не показывают, выросло ли от этого их влияние на решения.

# Почему CISO оставался далеко от бизнеса

Российское исследование The Edgers, Positive Education и SuperJob выявило заметный разрыв в восприятии безопасности. Более 40% CISO оценивают её зрелость в своих компаниях на 8–9 баллов из 10, тогда как среди генеральных директоров столь высокую оценку дают лишь 25%.

В 37,5% компаний регулярное взаимодействие между генеральным директором и CISO отсутствует, зафиксировали исследователи, а почти две трети руководителей не считают специалиста по безопасности участником стратегического планирования. (Коммерсантъ)

Причина знакома всем, кто бывал на профессиональных форумах: "они говорят на разных языках".

CISO обсуждает уязвимости, инциденты и средства защиты, CEO волнует выручка и сроки. Если обоснование бюджета сводится к запугиванию, безопасность быстро превращается в источник раздражения.

На мой взгляд, для генерального директора CISO часто выглядит как руководитель, который приносит плохие новости, просит дополнительные средства или перекладывает ответственность.

На вопрос о возможных потерях бизнес получает технические метрики вместо финансовой оценки. Пока риски не переведены на язык бизнеса и не учитывают компромиссы, близость к CEO кажется лишней нагрузкой и шумом, а не преимуществом.

# Что происходит в России

Крупные компании всё чаще стали рассматривать ИБ через призму бизнес-рисков: сколько стоит остановка критического сервиса, к чему приведёт инцидент и какой риск берёт на себя компания?

Показателен пример крупнейшего российского банка. В собственной методике оценки зрелости кибербезопасности он предусмотрел непосредственное подчинение CISO руководителю компании для уровней зрелости со второго по пятый. По мере развития процессов прямая подотчётность становится не просто предпочтительной схемой, а требованием.

# Возвращаясь к библиотечным наблюдениям

Статистика показывает изменение роли CISO. И на Западе, и в России специалист по безопасности не всегда, но постепенно перестаёт быть лишь хранителем периметра и становится участником принятия бизнес-решений.

Прямая подотчётность CEO, конечно, не гарантия зрелой безопасности, как и подчинение CIO не приговор.

Важнее другое: может ли CISO без искажения доносить сведения, влияющие на решения, до того, как риск превратится в убытки. Исследования показали, что часто не может.

Если оценка киберрисков не меняет бюджет, сроки запуска проектов и готовность бизнеса принимать риск, место CISO на верхней строчке оргструктуры мало что значит.