Готовлюсь к конференции по нашей теме. Планирую участвовать в дискуссии, которая называется Актуальный чек-лист CISO, директора по безопасности.
Посмотрел вопросы от организаторов и понял, что они не очень отражают реальность, которую я знаю на своем опыте работы в этой роли и которую вижу у наших клиентов.
Поделился с коллегами своим видением, и делюсь с вами:
Список вопросов хороший, но как будто бы из нашей известной триады: технологии, процессы и люди, — мы пока раскрываем в нем только тему технологий.
Как бывший CISO, могу сказать, что чем выше мы поднимаемся по иерархии, то есть от инженерных позиций идем к менеджерским и затем к C-левелу, тем больше в нашей работе и в нашем чек-листе появляется процессных и людских вопросов. В плохом случае это называется политикой, в хорошем — выстраиванием отношений и коммуникациями.
Чтобы наш чеклист был полнее и актуальнее, предлагаю добавить вопросы, без которых лично у меня и знакомых мне CISO работа невозможна:
1. Как дела в компании? — время нынче такое, всякое может быть: ракеты, ИИ, конкуренты.
Как наш ключевой процесс производственный? Поставщики? Клиенты? Привлечение? По деньгам какие показатели? — самая база, без понимания ее ты как CISO отрываешься от реальности и не найдешь общего языка с СЕО и бордом, у которых именно об этом голова болит.
2. Чего хочет шеф? — отношения с руководством, приоритеты, из первых уст.
Узнать самому, а не догадываться. Поставить встречу по приоритетам. Чем я могу помочь? Что важно? — спросить лично.
3. Как моя команда? — CISO это как бифидобактерия, которая сама по себе, без молока = команды бесполезна.
Как мои ключевые люди? Какие результаты? Какое состояние? Мотивация? — поставить 1-2-1, три типовых вопроса, полчаса на каждого.
4. Как наши коллеги? — тут все в курсе про человеческий фактор, но мало кто знает, как люди воспринимают безопасность.
CISO и его команда мало что смогут, если вся компания против них. ИТ = СТО — первый друг или первый враг. СОО — следующий. HRD — далее по списку.
Знаю реальное состояние, отношение людей к нам? Есть sNPS / что-то подобное? Что им важно? А мне?
Успех в роли CISO, как я вижу — в хорошем контакте с реальностью. А наша реальность — это компания, в которой мы работаем, и люди, которые нас окружают.
Фокус на технологиях нам всем привычен (это я как бывший программист, UNIX-админ и сетевой инженер вам скажу), это классная зона комфорта, но если уж ты дорос до роли CISO — пора из нее выходить.
Буду рад помочь нам раскрыть эту тему в дискуссии.
@startwithease