Как стать руководителем отдела информационной безопасности?

Роль CISO или руководителя по информационной безопасности в последнее время становится всё более важной, поскольку киберпреступники с годами только совершенствуются и используют всё более изощрённые методы в своих атаках. Любое хоть сколько-нибудь крупное предприятие сейчас автоматически попадает в зону риска и может рассматриваться хакерами для совершения очередной кибератаки.

Проблемы кибербезопасности по-прежнему актуальны для всех сфер бизнеса, а это означает, что практически каждой компании важно иметь в штате грамотного CISO, который уж точно позаботится о безопасности данных.

Обязательные характеристики и качества хорошего CISO

1. Ясное мышление под давлением

Одним из наиболее важных атрибутов CISO является способность ясно мыслить под давлением. В отличие от большинства специалистов в отрасли кибербезопасности, CISO должен всегда быть готов решать важные бизнес-вопросы в любой области предприятия без длительных на то размышлений.

По этой причине специалисты, впадающие в панику при малейшем стрессе, станут очевидно плохим выбором на эту должность. В случае инцидента, связанного с безопасностью, CISO всегда должен присутствовать на месте, понимать динамику ситуации, действовать выверенно и спокойно. Даже под давлением со стороны высшего руководства, требующего немедленных ответов там, где их может и не быть. Спокойствие CISO перед лицом катастрофы создаёт более благоприятную атмосферу для всех остальных сотрудников отдела и компании в целом.

2. Способность расставлять приоритеты

Во время киберинцидента CISO должен уметь стратегически расставлять приоритеты среди множества необходимых действий. Изоляция системы, сегрегация сети, информирование различных заинтересованных сторон и правоохранительных органов — что нужно сделать раньше, чему уделить больше времени и внимания? Руководитель отдела безопасности должен уметь расставлять приоритеты, которые наиболее эффективно минимизируют риск для бизнеса в каждой конкретно взятой ситуации.

3. Стремление к обучению

Среда кибербезопасности постоянно развивается. И делает это, как правило куда быстрее, чем различные компании успевают адаптировать свои внутренние процессы и инструменты для противостояния угрозам. Ответственные сотрудники должны быть способны постоянно адаптироваться к меняющейся среде и быть готовыми к ежедневно возникающим новым угрозам. Грамотный CISO всегда следит за последними тенденциями и инструментами в отрасли кибербезопасности и внедряет самые интересные и полезные в структуру безопасности предприятия, за которое отвечает.

4. Продвинутые коммуникативные навыки

CISO должен быть исключительным коммуникатором. Безопасность затрагивает все сферы деятельности предприятия, от разработки приложений и их тестирования до эксплуатации и обслуживания клиентов. Поэтому CISO должен иметь возможность связаться с менеджерами во всех областях бизнеса и обсудить интересующие вопросы на понятном для них языке.

Приемлемое образование CISO

Типичный карьерный путь CISO начинается с получения высшего образования. Казалось бы, образование для такой должности должно обязательно касаться области компьютерных наук или информационных технологий, но зачастую руководители по безопасности не имеют профильного образования. Связано это в первую очередь с тем, что большинство технологий, обсуждаемых на занятиях, могут быстро утратить актуальность после окончания учёбы, хоть и дадут мощную базу знаний.

В целом, для CISO более ценно общее понимание многих технических процессов и того, как они связаны с потребностями бизнеса, чем детальный опыт настройки, например, брандмауэров и многофакторной аутентификации.

Сертификаты кибербезопасности

Всевозможные сертификаты также играют свою роль в развитии карьеры в области кибербезопасности, но не являются при этом фундаментальным требованием, чтобы стать CISO. Сертификаты наиболее полезны для того, чтобы быстро завоевать профессиональный авторитет и уверенно переступить порог любой организации.

Сертификация, которая пользуется сегодня самым широким признанием, — это CISSP. Она также имеет опциональные специализации в области архитектуры, инженерии и менеджмента. Эта сертификация широко применяется при разработке политик и процедур безопасности.

Другие авторитетные сертификаты включают звание «Сертифицированный этичный хакер» Европейского совета, а также «Сертифицированный менеджер по информационной безопасности» ISACA. Хотя все эти дипломы и сертификаты полезны для укрепления доверия к профессионалам, их не всегда бывает достаточно, чтобы гарантировать должность CISO.

Полезные советы, как стать CISO

1. Развивать трудолюбие

В то время как CISO является специалистом широкого профиля в области кибербезопасности, простой специалист по безопасности вряд ли станет серьезным претендентом на эту должность, если он не обладает обширными техническими знаниями. Любой, кто претендует на должность CISO, должен годами оттачивать мастерство в определенной области, демонстрируя свои профессиональные способности и готовность к большей ответственности, чем есть сейчас.

Важна не столько конкретная специальность, сколько подкреплённая большим опытом способность позиционировать себя экспертом в той или иной области безопасности.

2. Развивать гибкие навыки

По мере того, как руководители служб безопасности продвигаются по карьерной лестнице, гибкие навыки становятся всё более важными. К ним относятся способность быть командным игроком, понимать общую картину происходящего и брать на себя ответственность, когда что-то идет не так. Отличный CISO также поддерживает культуру прозрачности и открытости, охотно делясь информацией с исполнительным руководством, коллегами и младшими менеджерами.

CISO также должны понимать, как кибербезопасность вписывается в управление рисками, и уметь соответствующим образом принимать стратегические решения.

3. Предвидеть будущие требования к безопасности

Кибербезопасность, как и технологии в целом, постоянно меняется. Хороший CISO не просто должен уметь грамотно управлять безопасностью компании в моменте, но и предвидеть, в какую сторону её следует развивать в ближайшем будущем.

Чтобы получить должность CISO, нужно всегда одним глазом наблюдать за горизонтом. Дальновидный подход обязательно сделает своё дело — его оценит как руководство компании, так и «коллеги по цеху».

4. Улучшать свои слабые места

Чтобы показать себя со стороны хорошим специалистом, часто возникает соблазн использовать только свои сильные стороны и избегать использования недостаточно развитых навыков. Однако, хотя CISO и не обязаны быть экспертами во всех областях, они всё ещё должны быть всесторонне развиты. Поэтому все слабые места и пробелы в знаниях следует закрыть в первую очередь.

5. Продолжать учиться

Лучшие CISO испытывают постоянную страсть к обучению и рассматривают непрерывное образование как неотъемлемую часть своего профессионального развития. Этот процесс может включать в себя, например, посещение конференций по безопасности, где участники могут узнать о новых технологиях и пообщаться со своими коллегами.

6. Не держаться за должность, мыслить шире

Получив заветную должность, многие CISO не хотят раскрывать свои знания и умения младшим коллегам, а также никому не доверяют свои ключевые обязанности. Это может происходить по совершенно разным причинам. Возможно, такие люди думают, что только у них хватит навыков и опыта для подобной должности. Однако незаменимых людей не бывает, а активно делясь знаниями и навыками с коллегами, можно взрастить нового претендента на роль CISO, а самому, например, получить повышение и перейти на более престижную должность.

Заключение

Быть руководителем информационной безопасности — довольно сложная работа, полная рисков и стрессов. Сейчас грамотные кадры, способные выполнять такую работу нужны гораздо больше, чем когда-либо ранее. Лишь самоотверженность, обучение, планирование и энтузиазм в сочетании с крепкой базой, позволят вырасти в хорошего CISO, способного быстро и чётко действовать в любых ситуациях, чтобы обеспечить должный уровень защиты предприятия.