Путь CISO: от стратегии до успешных киберучений #опытэкспертов

Материал предоставил Илья Борисов, директор департамента защиты данных "Билайна", в рамках интенсива Код ИБ ПРОФИ в Дагестане.

Стратегия — это диалог, а не монолог. И планировать надо на 3 года

Эффективная стратегия ИБ состоит из целей, дорожной карты, бюджета (CAPEX, OPEX, FOT) и метрик.

Горизонт планирования 3 года с ежегодной корректировкой, привязанной к циклу бюджетирования.

Главное правило: стратегия — это диалог с CFO, CIO, HR. В идеале вы должны представить несколько сценариев, где выигрышный для бизнеса очевиден.

Важно учесть в стратегии все планируемые затраты, включая затраты на персонал — это позволяет избежать хаотичных «тактических» запросов, когда после покупки средства защиты выясняется, что нужны еще сотрудники или услуги по настройке/поддержке.

Главный бизнес-риск — не штрафы, а простой

Для большинства компаний топ-1 риска — это простой сервисов.

Даже если случится утечка данных, бизнес может продолжать нормальную бизнес-деятельность несмотря на претензии регуляторов и негатив от части клиентов.

А вот если встал основной актив — встал весь бизнес.

Объясняя ценность ИБ, опирайтесь на финансовые метрики — это понятный бизнесу язык.

Бюджет: как перестать выпрашивать деньги и начать планировать

Типичная ошибка — сначала получить бюджет на железо (CAPEX), а потом приходить за деньгами на людей (OPEX), обучение, подписки и поддержку.

Как правило с финансовой точки зрения важно сокращать OPEX, так как CAPEX выгоднее для баланса компании. Защищайте бюджет не страхом, а понятными рисками, например, регуляторными требованиями или стратегическими приоритетами (импортозамещение, развитие собственной экспертизы и продуктов).

При планировании бюджета показывайте «экономию на тендере» (15–20% от рынка) — это аргумент, который любят финансисты.

AI-агенты: новая угроза и новая стратегия

Главное изменение за последний год — появление ИИ-агентов. Теперь ИИ действует в системах от имени пользователя.

Это создает проблему Shadow AI и вопрос: как отличить действия агента от действий человека? Агенты меняют бизнес-процессы полностью.

Стратегия ИБ должна учитывать, что каждый сотрудник получит свою «ИИ команду» из агентов для автоматизации любых рабочих задач, и вам придется формализовать знания и правила принятые в компании иначе ИИ будет предлагать решения, которые не работают в вашей реальности и совершать дорогие ошибки.