Шившанкар Менон
Согласно исследованию SuperJob, The Edgers и Positive Education, зарплата директора по информационной безопасности (CISO) в Москве может достигать 1,3 млн рублей, а в Санкт-Петербурге — 1,2 млн рублей. Медианные значения заметно ниже: 520 тыс. рублей в Москве и 500 тыс. рублей в Санкт-Петербурге. При этом за год количество вакансий для ИБ-специалистов выросло на 24%, тогда как в ИТ за тот же период снизилось на 18%.
Рост зарплат CISO в годовом выражении составил 6%. Однако, как показало исследование, на рынке сохраняется дисбаланс между ожиданиями бизнеса и тем, что директора по ИБ реально могут обеспечить внутри компаний.
Сами CISO оценивают свой уровень компетенций на 8–9 баллов из 10. При этом руководство компаний даёт им такую высокую оценку в среднем лишь в 25% случаев.
«Отсутствие прямого диалога CEO-CISO порождает множество серых зон в построении кибербезопасности организации, приводит к ошибкам и неверной оценке последствий потенциальных киберинцидентов. Это происходит поскольку CISO могут принимать решения в отрыве от общей стратегии компании, а CEO не закладывать ИБ-риски в план развития бизнеса. В условиях роста целевых атак профессиональных киберпреступников на российские компании такое расхождение может привести к критическим последствиям для компании», — комментирует руководитель образовательных программ Positive Education Positive Technologies Анастасия Федорова.
В 38% компаний, по данным исследования, нет регулярного взаимодействия между генеральным директором и директором по ИБ. Почти две трети руководителей не рассматривают CISO как участника стратегического планирования.
В итоге CISO часто играет важную роль в технологическом контуре, но остаётся слабо встроенным в управленческий. Авторы исследования связывают это с разницей в языке и подходах: топ-менеджмент принимает решения через финансовые последствия и влияние на бизнес, а CISO чаще оперирует техническими метриками, которые бизнесу не всегда понятны. При этом специалистов по ИБ редко учат говорить с руководством на его языке.
«Рынку нужен новый тип CISO — руководитель, который умеет переводить киберриски на язык бизнеса и связывать безопасность с финансовой устойчивостью компании. Сегодня во многих организациях именно этого звена не хватает, из-за чего возникает системный разрыв между ожиданиями CEO и реальной ролью функции. Если его не сокращать, киберриски будут обсуждаться на уровне совета директоров, но сама функция безопасности так и останется в техническом контуре — без полноценного влияния на стратегические решения», — отмечает Полина Кухто, проектный менеджер консалтинговой компании The Edgers.
