Технічна освіта допоможе вам, але також потрібно розуміти, як технології сприяють досягненню бізнес-цілей. Наприклад, пан Рівас починав з технічної інфраструктури: був системним адміністратором Sun Solaris і хотів стати CCIE (Cisco Certified Internetwork Expert). Розуміння технологій на цьому рівні стало в пригоді.

Він радить як досвідченим CISO, так і новачкам не обмежувати себе лише роллю технічного експерта. Хай це буде вашою навичкою, але в розмові з керівництвом і на засіданнях ради директорів важливо говорити мовою бізнесу. Варто докладати зусиль, щоб зрозуміти бізнес-процеси на початку кар’єри — це принесе користь на десятиліття вперед.

Звідси випливає друга навичка, якою мають володіти CISO, — бути операційником.

Найкращі керівники можуть пов'язати те, що вони роблять, з бізнес-цілями. Для цього треба розуміти бізнес-операції організації, джерела доходу й галузеві стандарти. Керівники мають розбиратися, що коїться у світі, щоб знати, які фактори впливають на бізнес та індустрію.

Пан Рівас читає щонайменше п'ять публікацій щоранку, стежить за міжнародними справами, глобальною політикою, конфліктами, виборами і всім, що може вплинути на ландшафт загроз або бізнес-середовище, у якому він працює.

Він має досвід у сфері фінансових послуг, де йому довелося познайомитися з продавцями, співпрацювати з маркетологами і вивчити роботу різних відділів. Саме так можна зрозуміти організацію та її цілі.

Бути операційником — це критично важливий набір навичок для CISO будь-де. Варто співпрацювати з фінансовим директором і використовувати такі методи, як FAIR, для кількісної оцінки потенційних наслідків кіберінцидентів у фінансовому вираженні. Як керівник відділу інформаційної безпеки, ви повинні обговорювати на рівні ради директорів питання операційної доступності, стійкості бізнесу, впливу на доходи та захисту доходів. Про все це необовʼязково говорити тільки в розрізі останніх кіберзагроз. Хоча для цього, безумовно, є час і місце.

Звідси ми маємо третю і, мабуть, найважливішу навичку, яку необхідно розвивати CISO.

Бути комунікатором означає бути агентом змін — ефективно розповідати про ризики та використовувати їх на свою користь. Ви повинні вміти спілкуватися за межами організації, часто з регуляторами, політиками й клієнтами. І ви маєте бути, у певному сенсі, євангелістом.

Наприклад, коли адміністрація Байдена видала виконавчий наказ 14028 про зміцнення кібербезпеки, пану Рівасу було важливо навчати керівництво Trellix та пояснити, як цей документ впливає на різні галузі, що постачають рішення з безпеки для федерального уряду США. В інших компаніях він також сприяв моделюванню кризових ситуацій за участі топменеджменту. Це дало змогу виконавчому керівництву, включно з головним юрисконсультом і операційним директором, краще зрозуміти свою роль в керуванні кіберризиками й сприяло надзвичайно важливому діалогу.