CISO

Также называют: Chief Information Security Officer, Chief Security Officer, VP Security, VP Information Security.

Кто такой CISO и чем он занимается?

CISO (Chief Information Security Officer) — это руководитель, который отвечает за защиту компании: стратегию безопасности, управление рисками, соответствие требованиям регуляторов и стандартам, реагирование на инциденты и команду безопасности. Сильный CISO говорит с советом директоров на языке рисков, а с инженерами — на языке архитектуры.

• оценивает риски и строит программу безопасности под них;
• проводит компанию через сертификации и проверки: ISO 27001, SOC 2, PCI DSS, требования ЦБ, DORA;
• руководит реагированием на инциденты и отвечает за коммуникацию после них;
• строит команду безопасности: AppSec, Cloud Security, SOC, compliance;
• отчитывается перед CEO и советом директоров о рисках и решает, какие из них компания принимает.

Когда компании нужен CISO?

CISO нужен, когда безопасность становится условием для бизнеса: без неё нельзя получить лицензию, пройти аудит, продать продукт крупному клиенту или привлечь инвестиции. Типичные ситуации: финтех или платёжная компания выходит под регулятора, B2B SaaS начинает продавать в enterprise и сталкивается с требованиями SOC 2 и ISO 27001, после серьёзного инцидента совет директоров требует ответственного за безопасность на уровне топ-менеджмента. Роль не сработает, если компании пока нужна защита инфраструктуры и разработки, а не управление рисками на уровне бизнеса: тогда лучше нанять DevSecOps Engineer или Head of Security с инженерным фокусом.

Чем CISO отличается от Head of Information Security?

CISO отличается от Head of Information Security тем, что отвечает за стратегию, риски и отчётность перед руководством и регуляторами, а Head of Information Security — за операционную безопасность и команду. В небольших компаниях это часто один человек, в крупных — два уровня. DevSecOps Engineer встраивает безопасность в разработку, но не отвечает за риски компании целиком.

CISO и смежные роли: сравнение

Почему CISO сложно нанять?

CISO — один из самых сложных executive-поисков: рынок кандидатов очень узкий, а требования сильно зависят от отрасли и регулятора.

• Под конкретную компанию подходит лишь малая часть рынка: CISO банка, SaaS-платформы и промышленной компании работают с разными регуляторами и угрозами.
• Нужно редкое сочетание: глубокая техническая экспертиза и умение говорить о рисках с советом директоров на языке бизнеса.
• В резюме почти не видно главного — как кандидат вёл себя во время реальных инцидентов: о них не пишут публично.
• Сильные руководители безопасности редко меняют работу и почти никогда не ищут её открыто.

Что выяснить до найма CISO?

• Что запускает найм: требования регулятора, сертификация, инцидент или рост? От ответа зависит, нужен специалист по compliance, по реагированию или строитель функции с нуля.
• Какие стандарты и регуляторы важны: ISO 27001, SOC 2, PCI DSS, требования ЦБ, DORA? Опыт с одним регулятором плохо переносится на другой.
• Кому подчиняется CISO и может ли он остановить релиз или сделку? Без реальных полномочий CISO становится формальной фигурой и быстро уходит.
• Какая команда безопасности уже есть? Руководить готовой командой и строить её с нуля — разные задачи.

Где искать CISO?

CISO чаще всего приходят из банков, финтеха, платёжных компаний и крупных SaaS-платформ, где безопасность давно под контролем регулятора и клиентов. Это действующие CISO и Heads of Security, а также Heads of AppSec и Cloud Security, готовые к первой роли в топ-менеджменте. Сильный сигнал в профиле — программа безопасности или сертификация, которую кандидат провёл от начала до конца. Второй сигнал — опыт с тем же регулятором, что и у вас. NEWHR ищет таких кандидатов по результатам их работы, а не по откликам на вакансию.

Как проверить CISO на интервью?

CISO проверяют разбором инцидента, которым он руководил, и программы безопасности, которую он выстроил: риски, бюджет, метрики, сертификации. Со стороны компании участвуют CTO или CIO и отдельно CEO: на встрече с CEO проверяют, умеет ли кандидат объяснить риски на языке бизнеса.

Сильные сигналы:

• описывает риски через их стоимость для бизнеса, а не только через уязвимости;
• рассказывает об инциденте честно, включая собственные ошибки;
• спрашивает о полномочиях и о том, кто принимает решение о риске.

Красные флаги:

• предлагает закрыть все риски сразу, не выбирая приоритеты;
• говорит только о compliance и документах, без понимания архитектуры;
• не может объяснить технический риск CEO простыми словами.

Сколько длится поиск CISO?

Первых кандидатов на роль CISO показываем через 5–7 дней после брифа. Весь поиск обычно занимает от 1 до 6 месяцев.

Смежные роли

• DevSecOps Engineer — встраивает безопасность в разработку, но не отвечает за риски компании.
• Information Security Analyst — анализирует угрозы и инциденты в команде, которой руководит CISO.
• Network Security Developer — разрабатывает средства защиты сети, а не программу безопасности компании.
• CIO — отвечает за работу внутренних систем; CISO — за их защиту.
• CLO — ведёт юридическую сторону регуляторики и инцидентов вместе с CISO.