На профильных конференциях регулярно поднимается тема про то, что должен сделать CISO в первые 30-60-90 дней своей работы. Прежде всего потому, что это самый любимый вопрос потенциального работодателя на собеседовании. Почему – понятно: бизнесмены любят quick wins. Однако на месте нового CISO я бы очень осторожно относился к требованию «сразу показать результат». Особенно если под результатом понимается что-нибудь немедленно отменить или наоборот - запретить, пока не успел разобраться, почему это сделал (или наоборот – не сделал) твой предшественник

Запрет вообще удобен для первого впечатления. До тебя люди как-то работали. С тобой сразу стало заметно, что появился руководитель. Представим: новый CISO обнаружил, что сотрудники обмениваются документами с клиентами через внешний сервис. Непорядок. Сервис заблокировали, о быстрой победе доложили, расслабляем галстук

А теперь представим руководителя продаж, которому сегодня нужно передать клиенту документы для заключения договора. Согласованного способа нет, обращение в поддержку принято, срок ответа позволяет основательно обдумать смену профессии. В итоге документы уходят с личной почты. В отчете ИБ запрещенный сервис больше не используется. Все сказали правду, данные покинули компанию, результат достигнут

В этой истории важно не то, почему сотрудники «сопротивляются изменениям». Гораздо занятнее, почему сначала перекрыли дорогу, а потом начали выяснять, куда она вела. Поэтому до блокировки надо поинтересоваться: какие документы там ходят, для каких сделок нужен обмен данными и почему люди не пользуются согласованным, безопасным способом. Вполне возможно, потому что его нет. Неловкая деталь, способная испортить красивый план мероприятий. Дальше надо выбрать один реальный рабочий сценарий и вместе с его владельцем проверить замену: документы дошли, клиент получил доступ, сделка не встала, лишние данные наружу не ушли. После этого старый способ можно закрывать. Не наоборот

Это не предложение новому CISO в его первые 30-60-90 дней пить кофе и постигать корпоративную культуру. Если данные уже утекают, сначала надо остановить утечку. Но управлять инцидентом и срочно производить впечатление на нового начальника - разные задачи

В первые недели я бы проверял каждую «быструю победу» простым вопросом: мы реально снизили риск или добились того, что нам о нем перестали рассказывать? Во втором случае придется сначала возвращать доверие, вытаскивать риск из тени, а уже потом разбираться с документами

Я бы предпочел начинать работу без quick wins любой ценой. Мне кажется, испытательный срок нужен, чтобы понять компанию, а не чтобы компания испытала облегчение после твоего ухода

😺 Security Show в Telegram · в Max ·👍Школа управления ИБ