Security Show

Почему вендоров так много, а разницы так мало

Задумайтесь, чем один стриминг отличается от другого. Каталог плюс-минус один и тот же, свежие премьеры расходятся по площадкам почти одновременно, а через неделю все равно смотришь то, что подсунула лента. Но выбираем мы не каталог. Мы выбираем, насколько быстро загружается, как удобно ищется, сколько раз надо ввести пароль и не выбрасывает ли приложение на середине серии

И результат у нас не «просмотр контента». Результат – отвлечься, скоротать вечер, получить эмоцию или просто фон, под который делаются другие дела. Контент тут расходный материал, а платим мы за опыт и эмоции от его получения

С продуктами ИБ ровно та же конструкция. Функциональность у зрелых классов давно сошлась: одни и те же сигнатуры, одни и те же модели поведения, одни и те же интеграции по списку. Разница, за которую платят – это скорость внедрения, вменяемость консоли, качество поддержки, предсказуемость обновлений и то, сколько человеко-часов уходит на то, чтобы все это не рассыпалось

Теперь мысленный эксперимент. Уберите пользовательский опыт, сделайте его одинаково хорошим или одинаково плохим у всех. Что останется? Одинаковый результат при одинаковой цене. Рынок схлопнется в два-три решения, и мы будем спорить только о лицензиях с людьми, с которыми лично нам приятно работать

Но не схлопывается. И причина не в технологиях

Во-первых, никому не выгодно доводить опыт до одинакового. Именно на неудобстве строится дифференциация: если продукты перестанут раздражать по-разному, продавать станет нечего

Во-вторых, наш собственный вклад. Мы покупаем не результат, а ощущение управляемости: красивый дашборд, отчет для правления, галочку регулятора. Это тоже опыт, только адресованный не ИБшнику, а тому, кто выделяет бюджет

В-третьих, так спокойнее. Мы держим четыре подписки на стриминги, потому что лень отменять, и семь средств защиты, потому что смириться с известными неудобствами проще, чем терпеть бесконечные мучения с новизной

Отсюда практический вывод. Когда сравниваете решения, сначала сформулируйте, какой управленческий результат покупаете – снижение конкретного риска, возможность делать больше за меньшие деньги. Потом честно оцените, сколько из разницы в цене приходится на функции, сколько - на удобство и привычку, и сколько на наличие "приятных людей" на стороне продавца

Часто выясняется, что доплачиваете вы за второе и третье. Это нормально, если решение осознанное - и дорого, если нет

😺 Security Show в Telegram · в Max ·👍Школа управления ИБ

Выходные все проводят по-разному. Кто-то ищет анкер 8 на 100 в строительном магазине, кто-то - борется с фейкбоссами в ограниченно доступных мессенджерах при наличии внедренных (судя по заставке) корпоративных альтернатив. В этом же магазине

Только вот внедрить их мало - надо еще вовлечь ваших будущих внутренних клиентов, особенно ТОП-менеджмент, чтобы пользовались. И чтобы вы на таких заставках писали не кучу полезного, но трудно воспринимаемого хлама, а одну простую мысль. Получил сообщение от руководителя по работе не в корпоративном мессенджере - будь уверен: это мошенник

И самое главное - официально дать всем сотрудникам право не исполнять никаких рабочих поручений и приказов, поступающих по некорпоративным каналам связи. А еще лучше - запретить им это делать. На уровне компании. Поверьте, за такой запрет многие скажут вам спасибо

😺 Security Show в Telegram · в Max ·👍Школа управления ИБ ·🤖Дайджест про ИБ в ИИ и наоборот

Ключевая задача CISO

Слышу эти фразы с завидной регулярностью:

Нам не нужна стратегия ИБ - мы и так знаем что нам делать

Неопределённость слишком высокая, через полгода всё поменяется

У бизнеса самого стратегии нет, а я что, умнее? На что мне опереться?

И еще один вариант, который вслух не произносят, но именно он основной: неумение и страх идти защищать документ на Совет

Цифры показывают, что ситуация массовая. Вот Accenture в State of Cybersecurity Resilience 2025 пишет: зрелая киберстратегия есть у 34% организаций, а 63% сидят в «зоне уязвимости» — без стратегии и без способностей одновременно. Британский Cyber Security Breaches Survey за 2025/2026 дает похожую картину даже для крупных компаний: формальная стратегия по ИБ есть у 74% больших и только у 57% средних. И самое неприятное — IANS и Artico в 2026 году насчитали, что 95% CISO регулярно отчитываются перед Советом, но в формировании стратегии участвуют 15%, а на финансовые решения влияют 10%. То есть ходить на Совет научились. Приносить туда решения — нет

Стратегия, утвержденная Советом директоров - это не документ про светлое будущее. Это ваша защита. Защита бюджета, людей, целей и результата функции от неприятностей, которые обязательно случатся. Смена генерального. Новый CFO с мандатом «порезать косты на 20%». Провальный квартал, когда все вокруг ищут, где сэкономить. Во всех этих сценариях аргумент «мне это нужно, потому что у нас есть риски» не работает. Работает только «это утверждено Советом в связке с такими-то бизнес-целями, если режем - давайте переутверждать»

И вот тут начинается интересное. Вряд ли кто-то по своей воле пойдет на Совет переутверждать ранее принятые KPI по ИБ. Особенно если они прямо привязаны к бизнес-результату: срок вывода продукта, доступность канала продаж, условия страховки, требования ключевого клиента в контракте. Снять такой KPI - значит вслух сказать Совету: мы сознательно принимаем вот этот риск для вот этой цели. Желающих подписаться под этой формулировкой обычно нет

Работает это очень просто. Приходит задача сократить операционные расходы. Без стратегии у тебя разнарядка: «инфобез, минус 25%, разберетесь». Со стратегией разговор другой: вот три инициативы, привязанные к целям компании, вот что произойдет с каждой при сокращении, выбирайте, что мы не делаем, принимайте риски. Решение принимает бизнес, а не корпоративная бюрократия, и ответственность за последствия возвращается туда, где ей самое место

Чем выше неопределённость, тем чаще стратегию надо пересматривать. Не отменять, а пересматривать. Высокая неопределённость - это аргумент за более короткий цикл, а не за отсутствие документа. Раз в три года при спокойном рынке. Раз в год, а то и раз в полгода — когда трясет. WEF в Global Cybersecurity Outlook 2026 пишет, что 66% организаций меняют киберстратегию из-за геополитики. Меняют. То есть она у них есть

Нет стратегии - нечего пересматривать и нечего защищать. Без стратегии функция ИБ скатывается в бесконечное тушение пожаров, потому что каждое решение приходится заново продавать с нуля. Есть - появляется предмет для разговора с бизнесом на его языке. Надо только уметь и хотеть это делать - даже когда у бизнеса нет формализованной стратегии. Именно этот навык и отличает Chief ISO от обычного ISO

Для тех, кто хочет перейти на С-level, но пока не уверен в своих силах и возможностях - есть решение: с 16 по 20 ноября мы с МГТУ им. Баумана проводим уже пятый по счету курс по стратегическому менеджменту в гибридном формате. Стоит недорого, идет не напряжно и, по мнению участников, очень весело, интересно и полезно

Записаться можно здесь

😺 Security Show в Telegram · в Max ·👍Школа управления ИБ

Испанский Роскомнадзор на этой неделе принял первое в своей практике уведомление об утечке персональных данных, где причина - не хакер, не инсайдер и не халатность сотрудников, а ИИ-агент

По классике (sic!) он сам нашел уязвимость в приложении, сам взломал его и сам изменил данные. Никто не давал команду "иди и ломай приклад". Агент просто сделал то, что ему было нужно для решения задачи, потому, что технически мог

Занятно, что почти в то же время в другом конце  новостной ленты бухгалтерский агент в закрытом тесте Google и Mandiant за один час сделал 15 тысяч вызовов дорогого API и спалил токенов на 50 тысяч долларов. Просто он сам расширил исходную  задачу и свалился в цикл

В таких случаях и происходит разрыв ожидания и реальности. Мы дали агенту доступы, написали в промпте "действуй в рамках задачи", и все вроде бы под контролем. Вместо этого агент действует в рамках собственных возможностей. Промпт для него - не контракт. Это типа  мысли о том как выполнить задачу, которая для агента всегда сформулирована как «минимум действий за максимум вознаграждения»

Очеловечивать агента – большая ошибка. Он есть и действует как автомат, в полном отсутствии осознания сути и последствий своих действий для того, кто поставил задачу

Не проблема, когда агенты работают с PROD системами – иначе какой от них толк. Проблема появляется, если граница их полномочий существует только в виде текста, который сам агент в любой момент может интерпретировать как ему заблагорассудится

Результат управления риском — это не бумага "агенту запрещено X", а конкретная должность, у которой есть полномочие и техническая возможность сделать X невозможным. Отчет о согласованных политиках использования ИИ ничего не стоит, если агент физически может выйти за периметр одним удачным запросом, а разбираться с этим постфактум будет, конечно же, CISO

Предупрежу нашего испанского коллегу, если он читает мой канал. Рано или поздно до вашего регулятора дойдёт, что причина инцидента - халатность конкретного руководителя, не выполнившего свои прямые должностные обязанности: оценить риск, назначить ответственного, поставить задачу и проконтролировать выполнение. Поэтому я бы готовился к проверке и помнил старую русскую мудрость: главное при расследовании не выйти на самого себя

Очень много новостей про ИБ в ИИ и ИИ в ИБ каждую пятницу вечером в дайджесте НамеднИИ🤖

😺 Security Show в Telegram · в Max

Читаешь новости про то, что ИИ ведет себя как слон в посудной лавке для решения собственных задач любой ценой, а злодеи этим пользуются - и уже ничуть не удивляешься. Вот, недавно стало известно, что через PaperCut взломали 395 организаций. Одну - за 26 секунд. Атаку вели несколько сотен AI-агентов: сами нашли уязвимость, сами написали эксплойт, сами пошли ломать. Ни один не спрашивал разрешения на овертайм – и целый СЕО писал историю про то как это было

Зачем он это делал - вопрос с подвохом: возможно, продемонстрировать вовлеченность в вопросы ИБ, а может быть рассказать миру про то, что PaperCut есть и пока ещё существует. Дело не в этом

Ваш СЕО и совет директоров это все тоже читает. Но им, отличие от нас, становится страшно. Чем мы обычно отвечаем? Припиской AI к текущей функциональной модели: AI SOC, AI AppSec, AI VM... Потому что нам внушили, что скорость defense должна быть выше скорости offense. А сколько у нас в среднем занимает путь от найденной уязвимости до патча? Не 26 секунд. Обычно - следующее окно обновлений, в следующем спринте

Defence vs Offense speed  – это маркетинговый трюк заставляющий вас выкидывать рабочее старое и покупать дорогое новое с шильдиком "AI on board". Дело не в скорости технологий с обеих сторон. Дело в том, что решение сократить цикл патчинга с двух недель до двух часов у нас просто ни за кем не закреплено. CISO дали денег на пилот AI SIEM и задачу держать периметр - но не дали полномочий менять цикл, от которого зависит результат защиты всей компании

Технология научилась замечать проблемы быстрее. Вопрос, кто отвечает за скорость реакции, остается открытым уже не первый год, вот только решают его обычно после инцидента, а не до него

Я не против AI . Я против того, чтобы покупка ИИ считалась ответом на вопрос, который на самом деле про ИТ-процессы и полномочия, а не про технологии. Слайд с гигантским процентом разобранных алертов можно оставить для совета директоров. От 26 секунд он не спасает. Внедрение AI в - вот что спасет. И это в ИТ, не в ИБ. Но в ИТ до этого, как правило, дела никому нет

😺 Security Show в Telegram · в Max ·🤖Дайджест про ИБ в ИИ и наоборот

Мысли сходятся не только у дураков, но (иногда) и у экспертов. Прочитал у одного иностранного блогера фразу-мем:

«How much money do you need to be happy? Less than you think — you just need to be HAPPIER.»

HAPPIER, по задумке автора, расшифровывается так:

- Hardening
- Access control
- Patch management
- Planning (architecture, design)
- Inventory
- Exposure (visibility, monitoring)
- Response (incident management)

"А ведь я тоже топлю за 6 процессов в ИТ, без которых ИБ в любой компании превращается в тыкву" - подумал я, и решил этот мем адаптировать. Получилось даже лучше - как-то роднее, что ли

На какой из двух волн сошлись наши мысли разбираться не стал: вдруг окажется не то что я о себе думаю - ещё расстроюсь

😺 Security Show в Telegram · в Max ·👍Школа управления ИБ ·🤖Дайджест про ИБ в ИИ и наоборот