Техническое образование поможет вам, но также нужно понимать, как технологии способствуют достижению бизнес-целей. Например, господин Ривас начинал с технической инфраструктуры: был системным администратором Sun Solaris и хотел стать CCIE (Cisco Certified Internetwork Expert). Понимание технологий на этом уровне пригодилось.

Он советует как опытным CISO, так и новичкам не ограничивать себя только ролью технического эксперта. Пусть это будет вашим навыком, но в разговоре с руководством и на заседаниях совета директоров важно говорить на языке бизнеса. Стоит приложить усилия, чтобы понять бизнес-процессы в начале карьеры — это принесет пользу на десятилетия вперед.

Отсюда возникает второй навык, которым должны овладеть CISO, — быть операционистом.

Лучшие руководители могут связать то, что они делают, с бизнес-целями. Для этого нужно понимать бизнес-операции организации, источники дохода и отраслевые стандарты. Руководители должны разбираться, что происходит в мире, чтобы знать, какие факторы влияют на бизнес и индустрию.

Господин Ривас читает не менее пяти публикаций каждое утро, следит за международными делами, глобальной политикой, конфликтами, выборами и всем, что может повлиять на ландшафт угроз или бизнес-среду, в которой он работает.

Он имеет опыт в сфере финансовых услуг, где ему пришлось познакомиться с продавцами, сотрудничать с маркетологами и изучить работу различных отделов. Именно так можно понять организацию и ее цели.

Быть операционистом — это критически важный набор навыков для CISO в любом месте. Стоит сотрудничать с финансовым директором и использовать такие методы, как FAIR, для количественной оценки потенциальных последствий киберинцидентов в финансовом выражении. Как руководитель отдела информационной безопасности, вы должны обсуждать на уровне совета директоров вопросы операционной доступности, устойчивости бизнеса, влияния на доходы и защиты доходов. Обо всем этом необязательно говорить только в разрезе последних киберугроз. Хотя для этого, безусловно, есть время и место.

Отсюда мы имеем третий и, пожалуй, самый важный навык, который необходимо развивать CISO.

Быть коммуникатором означает быть агентом изменений — эффективно рассказывать о рисках и использовать их в свою пользу. Вы должны уметь общаться за пределами организации, часто с регуляторами, политиками и клиентами. И вы должны быть, в некотором смысле, евангелистом.

Например, когда администрация Байдена издала исполнительный приказ 14028 об укреплении кибербезопасности, господину Ривасу было важно обучать руководство Trellix и объяснить, как этот документ влияет на различные отрасли, поставляющие решения по безопасности для федерального правительства США. В других компаниях он также способствовал моделированию кризисных ситуаций с участием топ-менеджмента. Это позволило исполнительному руководству, включая главного юрисконсульта и операционного директора, лучше понять свою роль в управлении киберрисками и способствовало чрезвычайно важному диалогу.