Самолет не падает на землю не потому, что он крыльями «опирается на воздух», а потому, что он подсасывается кверху, к небу

Список вопросов хороший, но как будто бы из нашей известной триады: технологии, процессы и люди, — мы пока раскрываем в нем только тему технологий.

Как бывший CISO, могу сказать, что чем выше мы поднимаемся по иерархии, то есть от инженерных позиций идем к менеджерским и затем к C-левелу, тем больше в нашей работе и в нашем чек-листе появляется процессных и людских вопросов. В плохом случае это называется политикой, в хорошем — выстраиванием отношений и коммуникациями.

Чтобы наш чеклист был полнее и актуальнее, предлагаю добавить вопросы, без которых лично у меня и знакомых мне CISO работа невозможна:

1. Как дела в компании? — время нынче такое, всякое может быть: ракеты, ИИ, конкуренты.

Как наш ключевой процесс производственный? Поставщики? Клиенты? Привлечение? По деньгам какие показатели? — самая база, без понимания ее ты как CISO отрываешься от реальности и не найдешь общего языка с СЕО и бордом, у которых именно об этом голова болит.

2. Чего хочет шеф? — отношения с руководством, приоритеты, из первых уст.

Узнать самому, а не догадываться. Поставить встречу по приоритетам. Чем я могу помочь? Что важно? — спросить лично.

3. Как моя команда? — CISO это как бифидобактерия, которая сама по себе, без молока = команды бесполезна.

Как мои ключевые люди? Какие результаты? Какое состояние? Мотивация? — поставить 1-2-1, три типовых вопроса, полчаса на каждого.

4. Как наши коллеги? — тут все в курсе про человеческий фактор, но мало кто знает, как люди воспринимают безопасность.

CISO и его команда мало что смогут, если вся компания против них. ИТ = СТО — первый друг или первый враг. СОО — следующий. HRD — далее по списку.

Знаю реальное состояние, отношение людей к нам? Есть sNPS / что-то подобное? Что им важно? А мне?

Успех в роли CISO, как я вижу — в хорошем контакте с реальностью. А наша реальность — это компания, в которой мы работаем, и люди, которые нас окружают.

Фокус на технологиях нам всем привычен (это я как бывший программист, UNIX-админ и сетевой инженер вам скажу), это классная зона комфорта, но если уж ты дорос до роли CISO — пора из нее выходить.

Буду рад помочь нам раскрыть эту тему в дискуссии.

— Сначала думали наказывать людей, кто провалил атаку. Быстро поняли — так не работает. Гораздо лучше ясная коммуникация: вот что было, вот к чему могло привести, вот кто сообщил об атаке (важное целевое действие) — вам спасибо.

— Для руководства работа с людьми — одна из самых эффективных, но при этом дешевых мер (особенно по сравнению с NGFW, SIEM/SOC). И все остальное без работы с людьми не имеет смысла. У нас же русские люди, ссылка не открывается — перешлют коллегам, файл не работает — на домашнем компьютере попытаются открыть 😊

— Да, кто-то может кликнуть по ссылке, такой процент всегда есть. Но главное, что за это время сотня людей уже сообщат об атаке, и мы заблокируем ее на средствах защиты. В результате инцидента не будет.

— Наш человек в космосе!
— Да это фантастика, не может такого быть?
— А вот и может!

— И на Марсе будут яблони цвести!

Мы отрицаем дар понимания вещей, который дается нам нашими чувствами.

В результате теоретическое осмысление процесса восприятия отделилось от самого восприятия и наша мысль движется в абстракции.

Наши глаза превратились в простой инструмент измерения и опознавания — отсюда недостаток идей, которые могут быть выражены в образах, а также неумение понять смысл того, что мы видим. Естественно, что в этой ситуации мы чувствуем себя потерянными среди предметов, которые предназначены для непосредственного восприятия. Поэтому мы обращаемся к более испытанному средству — к помощи слов.