Ключевая задача CISO

Слышу эти фразы с завидной регулярностью:

Нам не нужна стратегия ИБ - мы и так знаем что нам делать

Неопределённость слишком высокая, через полгода всё поменяется

У бизнеса самого стратегии нет, а я что, умнее? На что мне опереться?

И еще один вариант, который вслух не произносят, но именно он основной: неумение и страх идти защищать документ на Совет

Цифры показывают, что ситуация массовая. Вот Accenture в State of Cybersecurity Resilience 2025 пишет: зрелая киберстратегия есть у 34% организаций, а 63% сидят в «зоне уязвимости» — без стратегии и без способностей одновременно. Британский Cyber Security Breaches Survey за 2025/2026 дает похожую картину даже для крупных компаний: формальная стратегия по ИБ есть у 74% больших и только у 57% средних. И самое неприятное — IANS и Artico в 2026 году насчитали, что 95% CISO регулярно отчитываются перед Советом, но в формировании стратегии участвуют 15%, а на финансовые решения влияют 10%. То есть ходить на Совет научились. Приносить туда решения — нет

Стратегия, утвержденная Советом директоров - это не документ про светлое будущее. Это ваша защита. Защита бюджета, людей, целей и результата функции от неприятностей, которые обязательно случатся. Смена генерального. Новый CFO с мандатом «порезать косты на 20%». Провальный квартал, когда все вокруг ищут, где сэкономить. Во всех этих сценариях аргумент «мне это нужно, потому что у нас есть риски» не работает. Работает только «это утверждено Советом в связке с такими-то бизнес-целями, если режем - давайте переутверждать»

И вот тут начинается интересное. Вряд ли кто-то по своей воле пойдет на Совет переутверждать ранее принятые KPI по ИБ. Особенно если они прямо привязаны к бизнес-результату: срок вывода продукта, доступность канала продаж, условия страховки, требования ключевого клиента в контракте. Снять такой KPI - значит вслух сказать Совету: мы сознательно принимаем вот этот риск для вот этой цели. Желающих подписаться под этой формулировкой обычно нет

Работает это очень просто. Приходит задача сократить операционные расходы. Без стратегии у тебя разнарядка: «инфобез, минус 25%, разберетесь». Со стратегией разговор другой: вот три инициативы, привязанные к целям компании, вот что произойдет с каждой при сокращении, выбирайте, что мы не делаем, принимайте риски. Решение принимает бизнес, а не корпоративная бюрократия, и ответственность за последствия возвращается туда, где ей самое место

Чем выше неопределённость, тем чаще стратегию надо пересматривать. Не отменять, а пересматривать. Высокая неопределённость - это аргумент за более короткий цикл, а не за отсутствие документа. Раз в три года при спокойном рынке. Раз в год, а то и раз в полгода — когда трясет. WEF в Global Cybersecurity Outlook 2026 пишет, что 66% организаций меняют киберстратегию из-за геополитики. Меняют. То есть она у них есть

Нет стратегии - нечего пересматривать и нечего защищать. Без стратегии функция ИБ скатывается в бесконечное тушение пожаров, потому что каждое решение приходится заново продавать с нуля. Есть - появляется предмет для разговора с бизнесом на его языке. Надо только уметь и хотеть это делать - даже когда у бизнеса нет формализованной стратегии. Именно этот навык и отличает Chief ISO от обычного ISO

Для тех, кто хочет перейти на С-level, но пока не уверен в своих силах и возможностях - есть решение: с 16 по 20 ноября мы с МГТУ им. Баумана проводим уже пятый по счету курс по стратегическому менеджменту в гибридном формате. Стоит недорого, идет не напряжно и, по мнению участников, очень весело, интересно и полезно

Записаться можно здесь

😺 Security Show в Telegram · в Max ·👍Школа управления ИБ