Карьера безопасника

Эпиграф

– Классная рубаха!

– Спасибо, это мне санитары подарили

Между чем и чем не пролетит доллар или кто и как руководит в ИБ?

Не имеет смысла нанимать толковых людей, а затем указывать
что им делать. Мы нанимаем толковых людей,
чтобы они говорили, что делать нам.
Стив Джобс, основатель Apple

Давно мы не рассматривали ситуацию с кадрами в ИБ, а, уж, с руководящими кадрами – тем более.

Хотя попытки были здесь, здесь и здесь.

А про руководителей, “которых все ищут” здесь.

Шесть правил "цифровой трансформации" службы ИБ в 2020 году

Эдвард Сноуден в своей книге "Личное дело" приводит 6 рабочих правил сбора и обработки данных Агентством национальной безопасности (АНБ) США:

Эмоциональное выгорание работников служб ИБ или Дефейс* профессии

Хоть плачь, хоть смейся — всё едино:

Ошибочен программный код,

Хромает всюду дисциплина,

Сайт поломают, рухнет ЦОД

*Дефейс (англ. deface — уродовать, искажать) — тип хакерской атаки, при которой страница веб-сайта заменяется на другую (обычно это главная страница, а доступ ко всему остальному сайту блокируется или же прежнее содержимое сайта вовсе удаляется) — это может быть реклама, предупреждение, угроза, и т. д.

Disclaimer: В контексте данной статьи термин “дефейс” следует рассматривать как предупреждение и не более того. Автор не имел намерения очернить профессию безопасника в сфере информационной безопасности или принизить значимость профессии.

В последнее время в некоторых СМИ - как западных, так и российских – стали мелькать материалы про тенденцию в сфере информационной безопасности, связанную с “синдромом эмоционального выгорания у сотрудников ИБ-отделов” в компаниях. Попробуем порассуждать, имеются ли под этими “новостями” какие-либо основания.

День дурака и безопасник

“…старший брат работает – он дурак,
средний брат работает – дурак,
младший сидит на печи,
дальше он ловит щуку –
у него все хорошо…”

Сергей Швецов
первый зампред Банка России

Жизнь меняется и правоту русских сказок каждый оценивает из собственного опыта. Но безопасник в компании – точно не “младшенький” из цитаты выше. Надо обладать 100-пудовыми связями, врожденной чуйкою, изрядной гибкостью и невероятной везучестью, чтобы продолжительное время выживать в токсичных условиях российского бизнеса – бессмысленного и беспощадного. Если вам это удается, то я вас искренне поздравляю и желаю всяческих успехов.

Последствия событий, которыми вы не управляете, невозможно просчитать

Если вы занимаетесь информационной безопасностью в компании, перед вами возникают проблемы сиюминутных решений, действий и, конечно, ответственности. Иногда даже при решении простых задач возникают невероятные сложности или происходят открытия со знаком «минус». Как регулировать, например, моменты, связанные с тем, что что-то может пойти не так? Не все в ИБ можно предвидеть, а любая ситуация из-за сложной комбинации действий субъектов-участников может пойти не по сценарию.

Threats (угрозы) при планировании деятельности ИБ-службы

"Хороший боец не тот, кто напряжён, а тот, кто готов. Он не думает и не мечтает, он готов ко всему, что может случиться." (Брюс Ли)

"Прогнозные модели работают только тогда, когда будущее рассматривается во многом похожим на прошлое." (Шон Гурли)

“Работало бы до сих пор, если бы у банка лицензию не отозвали...” (цитата с банковского форума)

Поговорим о категории "угрозы" из SWOT-анализа* при планировании деятельности ИБ-службы  среднего банка.

Real security – Да! Да! Да! Not real security – Нет! Нет! Нет!

О бессмыленных интервью в СМИ на темы ИБ. Как не надо задавать вопросы, если перед журналистом стоит цель разговорить интервьюрируемого

-Вы согласны, что безопасность должа быть комплексной?

-Да.

-А с утверждением, что ИБ должна быть проактивной?

-Да.

-Вы поддерживаете тренд на диджитализацию?

-Да.

С Новым годом - годом обезьяны, коллеги!

Желаю, чтобы каждый безопасник чувствовал себя Львом в собственном лесу!

О попытках нагрузить информационную безопасность функционалом экономической безопасности

Анекдот

- А если у кого-то парашют не раскроется?!!!
- Укладчик парашютов не получит премию…

Итак, на волне кризиса бизнес принимает решение о частичном совмещении функций служб информационной безопасности и экономической безопасности, оставляя частично одних и увольняя частично других. Проводя аналогию ИБ с укладкой парашютов (работа без очевидных результатов при отсутствии ЧП) - укладчикам парашютов вменили в обязанность в свободное от парашютов время укладывать асфальт (работа с понятным всем результатом). Через какое-то время очень-очень высокое начальство высказало резкое недовольство качеством и темпами укладки асфальта. Пришлось виновников уволить и набрать новых. И вот бизнесу, в лице шефа, хочешь - не хочешь, пришла пора прыгать с парашютом. Вызывает шеф главного по кадрам:

- У нас кто парашюты укладывает?

- Укладчики асфальта.

- И что им можно доверять?

- Асфальт укладывают как боги, а парашюты - дело наживное...

Примерно также происходит в трудные для бизнеса времена при попытках руководства под лозунгом оптимизации численности пытаться нагрузить информационную безопасность функционалом экономической безопасности.