Руководство в сфере кибербезопасности вступило в новую эпоху. Традиционный образ CISO как глубоко технического защитника межсетевых экранов и антивирусных систем уступил место чему-то более масштабному и стратегическому: бизнес-лидеру, который должен оказывать влияние на топ-менеджмент, формировать приоритеты компании и помогать организациям адаптироваться в условиях давления.
Таков был главный лейтмотив беседы с участием Маргариты Риверы (Margarita Rivera), директора по информационной безопасности (CISO) в Carnival Corporation, и Прашанта Маскареньяса (Prashant Mascarenhas), старшего вице-президента и глобального руководителя отдела решений по кибербезопасности в HCLTech. Их обсуждение было сосредоточено на том, что должно входить в «плейбук современного CISO» и как руководители служб безопасности могут сохранять эффективность по мере того, как риски становятся все более комплексными, взаимосвязанными и динамичными.
Оба лидера пришли к этой теме разными профессиональными путями, но пришли к одному и тому же выводу: киберриск — это бизнес-риск, устойчивость важна как никогда, а команды безопасности должны превратиться из реактивных операторов в проактивных помощников бизнеса.
От технического эксперта к бизнес-переводчику
Собственный карьерный путь Риверы помогает объяснить, почему роль CISO так драматически изменилась. Она начинала с бизнес-образования, прежде чем углубиться в технологии — путь, который когда-то казался нетрадиционным, но в конечном итоге стал ее сильной стороной.
«Чего я тогда не понимала, так это того, что… та база в области бизнес-администрирования, понимание конечной прибыли, окупаемости инвестиций, рисков и реальная способность говорить на языке бизнеса станут тем самым дифференцитором», — сказала она.
Эта способность переводить с технического языка на язык коммерческих последствий сегодня незаменима. Современным CISO по-прежнему необходим достаточный уровень технической подготовки, чтобы руководить инженерами, архитекторами и командами безопасности, но они также должны обладать авторитетом в зале заседаний совета директоров.
«Кибербезопасность — это бизнес-проблема. Это не ИТ-проблема», — заявила Ривера.
Маскареньяс поддержал эту точку зрения со стороны поставщика услуг и решений. Начав карьеру инженера и поработав в сферах инфраструктуры, архитектуры и безопасности, он отметил, что задача заключается не просто в обеспечении работоспособности систем, а в том, чтобы они работали так, как это удобно бизнесу.
«Бизнес должен иметь возможность работать. У него должна быть возможность использовать инструменты. Пользователи должны иметь возможность делать то, что им нужно, эффективно, а политики безопасности не должны быть излишне ограничительными», — пояснил он.
Этот баланс между защитой и удобством использования лежит в основе роли современного CISO. Безопасность должна снижать риски, не превращаясь в барьер для работы, инноваций и роста бизнеса.
Ландшафт рисков не изменился, но изменилась скорость
Одной из самых ярких тем обсуждения стало то, что многие ключевые проблемы в сфере кибербезопасности не являются новыми. Управление уязвимостями, установка патчей, работа с идентификационными данными, обнаружение и реагирование остаются фундаментальными вещами. Изменилась лишь скорость.
«Я думаю, главным отличием является скорость», — отметила Ривера.
Это ускорение отчасти обусловлено искусственным интеллектом, который усилил как наступательные, так и оборонительные возможности. Злоумышленники могут действовать быстрее, больше автоматизировать и эффективнее масштабировать эксплойты. В то же время защитники получают доступ к лучшей аналитике, более быстрому обнаружению и более адаптивным инструментам.
Для Риверы это означает, что лидеры в сфере безопасности больше не могут позволить себе быть исключительно реактивными. «Нам нужно стать гораздо более проактивными в нашем подходе и действительно использовать существующие технологии, задействовать ИИ во благо, поскольку мы уже знаем, что злоумышленники используют его во зло», — сказала она.
Маскареньяс согласился с этим, особенно в отношении роли человеческого фактора в операциях безопасности, дополненных ИИ. «Вам все равно нужен человек в контуре управления, потому что он привносит контекст», — отметил он. ИИ может улучшить скорость обнаружения и ускорить реагирование, но он не отменяет потребности в людях, которые понимают бизнес-контекст, операционные нюансы и намерения.
Он также указал на риски, связанные с цепочками поставок и внедрением теневых технологий. То, что раньше было «теневыми ИТ», превратилось в нечто более масштабное, охватывающее SaaS, инструменты ИИ и нерегулируемые цифровые зависимости. Руководители служб безопасности теперь должны мыслить шире собственной инфраструктуры и устранять растущую экосистему рисков.
Идентификационные данные теперь стали периметром защиты
Если и была область, в которой оба спикера проявили особую озабоченность, так это управление идентификационными данными (identity).
Ривера утверждала, что модель безопасности на основе периметра, на которую команды полагались много лет назад, ушла в прошлое. Облака, SaaS и внедрение децентрализованных технологий сделали традиционные границы гораздо менее значимыми. В такой среде идентификационные данные становятся плоскостью управления.
«Единственный инструмент, который у нас есть, — это идентификация», — заявила она.
Маскареньяс развил эту мысль в контексте ИИ и автоматизации. «Долгое время мы понимали, что идентификация становится периметром с точки зрения безопасности. Это первая линия обороны. Я думаю, что теперь в мире ИИ это ваша единственная линия обороны», — сказал он.
Это порождает новую сложность. Службы безопасности управляют теперь не только человеческими учетными записями, но и нечеловеческими идентификаторами, машинными аккаунтами и агентами ИИ, действующими с делегированными привилегиями. Вопросы намерений, доступа, разделения обязанностей и управления становятся сложнее, когда в дело вступают автономные системы.
Проблема, как отметила Ривера, заключается в том, что многие организации все еще испытывают трудности с базовым управлением человеческими идентификационными данными. Будущее наступает быстрее, чем основы успевают полностью оказаться под контролем.
Содействие инновациям без потери средств защиты
Постоянным источником напряжения в ходе обсуждения был вопрос о том, как поддерживать стремительные инновации, особенно в сфере ИИ, не создавая неприемлемых рисков.
Ривера описала этот баланс как «искусство и науку» и использовала аналогию с Формулой-1. «В Формуле-1 машины хотят двигаться как можно быстрее, но как убедиться, что в них встроены меры безопасности, позволяющие гонщику развивать максимальную скорость? — сказала она. — Как встроить ремни безопасности и деформируемые структуры, чтобы бизнес мог двигаться как можно быстрее, не причиняя вреда… себе или компании?»
Эта аналогия отражает сдвиг в том, как должна работать безопасность: элементы контроля должны быть встроены в процесс движения бизнеса, а не добавляться позже в качестве ограничителя.
Маскареньяс сформулировал ту же мысль в терминах управления: «Установите защитные барьеры, а затем управляйте ими».
Он также подчеркнул этическое измерение внедрения ИИ. Ответственный ИИ, подотчетность, защита данных и устойчивое развитие кадрового потенциала — все это должно быть частью дискуссии о безопасности. В совокупности эти соображения определяют, насколько уверенно организации могут развертывать и масштабировать ИИ.
Ривера добавила, что прозрачность имеет решающее значение. Командам безопасности необходимо знать, что создается, как используется ИИ и где возникают риски. Для этого требуются не только технические средства контроля, но и просветительская работа в масштабах всей организации. Во многих компаниях энтузиазм по поводу ИИ опережает трезвое понимание рисков.
Разговор с советом директоров на языке бизнеса
По мнению обоих руководителей, одним из определяющих навыков современного директора по информационной безопасности (CISO) является способность общаться с высшим руководством на языке, имеющем значение для бизнеса.
Ривера пояснила, что традиционные показатели безопасности часто не работают на уровне исполнительной власти, поскольку они четко не связаны с бизнес-результатами. «Я не прихожу на встречу с разговорами о том... что мы устранили десять тысяч уязвимостей в инфраструктуре», — сказала она. Вместо этого более эффективный подход заключается в том, чтобы связать работу по кибербезопасности с защитой доходов, операционной непрерывностью и стратегическими приоритетами.
«Если я скажу, что мы устранили уязвимости в 60% систем, приносящих доход, это отзовется гораздо сильнее», — отметила она.
Маскареньяс высказал аналогичную мысль. Лидеры в области безопасности должны согласовывать свои сообщения с бизнес-приоритетами, такими как слияния и поглощения, рост, экспансия, устойчивость и право на ведение деятельности. Когда запросы на инвестиции оформляются как абстрактные технологические обновления, они могут звучать как жалобы. Когда же они позиционируются как обеспечение непрерывности бизнеса и снижение бизнес-рисков, советам директоров становится проще понять их и поддержать.
Он назвал эту способность «сторителлингом, ориентированным на бизнес», и предположил, что она станет одним из важнейших лидерских навыков в сфере кибербезопасности.
Таланты, повышение квалификации и способность к маневру
Ни одно обсуждение будущего лидерства в сфере кибербезопасности не было бы полным без темы кадров. Оба спикера признали сложность формирования команд, способных поспевать за ИИ, трансформацией систем идентификации, квантовыми рисками и меняющимися операционными моделями.
Ривера четко дала понять, что обучение не должно прекращаться. «Если вы не повышаете свою квалификацию, если вы не учитесь, то вы станете столь же устаревшими, как и технологии прошлых лет», — сказала она.
Она описала осознанную стратегию инвестирования в людей, сочетающую внутреннее развитие с выборочным внешним наймом и личным примером. Она и сама продолжает учиться, в том числе проходит курсы по созданию приложений на базе генеративного ИИ, поскольку понимание того, как строятся системы, помогает ей предвидеть способы возможных атак.
Но, пожалуй, самым запоминающимся высказыванием Риверы стал тезис о самой стратегии. В быстро меняющейся среде статичные дорожные карты быстро теряют ценность. «К третьему, а может быть, даже ко второму году ваша дорожная карта превратится в мусор», — сказала она.
Ее решением был не отказ от планирования, а замена жесткости на адаптивность. «Способность к маневру невероятно важна, — сказала она. — Единственный способ достичь истинной устойчивости — это умение вовремя менять направление и постоянно совершенствоваться».
Современный CISO: формирование безопасного будущего бизнеса
Дискуссия указывает на более широкие полномочия CISO, объединяющие системы контроля и техническую защиту с устойчивостью, пониманием бизнес-процессов, партнерством и стратегической адаптивностью.
Лидерам в сфере безопасности по-прежнему необходимы прочные базовые основы. Им по-прежнему нужно правильно выстраивать управление идентификацией, гигиену, видимость и реагирование. Но они также должны заглядывать в будущее, четко общаться, способствовать инновациям и сохранять гибкость по мере развития технологий и угроз.
Эти расширенные полномочия ставят CISO в самый центр процессов безопасного продвижения бизнеса в будущее.
