Сразу маленький дисклеймер: любое упоминание топ CISO 25 под этим постом автоматически отклоняется, иначе у меня начнёт дёргаться глаз. Сегодня хочется вообще не про это, а про вещь, о которой в ИБ почему-то говорят куда реже, чем про процессы, архитектуру, документацию, зрелость и новые подходы.

Мне кажется, мы очень много обсуждаем, как правильно строить ИБ, но почти не обсуждаем состояние людей, которые это ИБ строят. А работа у нас, объективно, довольно напряжённая. Здесь много ответственности, постоянная необходимость думать на несколько шагов вперёд, замечать проблему раньше, чем она стала проблемой, объяснять риски людям, для которых никакого риска пока вообще не существует, и держать в голове огромное количество вещей одновременно.

При этом хороший результат твоей работы очень часто выглядит как полное отсутствие результата: ничего не утекло, ничего не сломалось, никто не пришёл с проверкой, инцидент не случился. К этому добавляется вечное балансирование между ИТ, бизнесом, пользователями, руководством, подрядчиками и регуляторикой. И всё это в какой-то момент начинает съедать ресурс, даже если ты искренне любишь то, чем занимаешься.

Если быть честной, я и сама в какой-то момент выгорела - собственно, поэтому я и пропадала. Взвалила на себя слишком много, а времени и сил на всё это становилось всё меньше. И в какой-то момент обнаружила, что одного «ну соберись» уже недостаточно. Не особенно спасает ни профессиональная гордость, ни привычное «я сама разберусь», ни даже любовь к своей сфере.

Потому что мы всё-таки не роботы.

Мужчины, возможно, где-то действительно крепче духом, но, господа, вы тоже люди. И девочки в ИБ тоже не обязаны превращаться в терминаторов только потому, что выбрали профессию, где постоянно что-то горит. У человеческого ресурса нет бесконечной отказоустойчивости, и резервных нас, к сожалению, пока тоже не завезли.

Поэтому мне кажется, что если мы действительно хотим говорить про зрелую информационную безопасность, то в эту зрелость пора включать не только процессы, технологии, документацию, метрики и красивые методологии, но и нормальное отношение к тем, кто всё это тащит. К их нагрузке, состоянию и способности в принципе продолжать нормально выполнять свою работу, а не существовать на одном чувстве ответственности.

Выгорание не всегда означает, что ты выбрал не ту профессию или внезапно разлюбил то, чем занимаешься. Иногда оно означает только то, что ты слишком долго тащил больше, чем мог нормально тащить.

И, возможно, к этому стоит относиться так же серьёзно, как мы относимся к отказоустойчивости инфраструктуры. Потому что довольно странно резервировать серверы, каналы и системы, продумывать точки отказа и восстановление после сбоев, но при этом считать человеческий ресурс бесконечным.

Так что пусть этот пост в этот раз будет не очередным незавуалированным хихи-хаха в мою сторону - хотя периодически быть музой для ваших постов довольно забавно. Пусть сегодня от меня будет хотя бы капелька полезного.

Берегите не только инфраструктуру, но и себя. Иногда тоже нужно бэкапиться самим 💓