Ошибки, которые я допустил на пути от инженера до CISO

Истории карьерного роста обычно рассказывают в жанре «делай так, и получится». Мой путь от инженера ИБ до CISO включал не меньше просчётов, чем удачных решений. Разбираю их прямо, без попытки представить карьеру как последовательность правильных ходов. Реальная польза для тех, кто сейчас проходит похожий путь, в честном разборе, не в глянцевой версии.

Ошибка 1: я думал, что глубина экспертизы говорит сама за себя

Первые годы я был уверен: если я разбираюсь в теме лучше всех вокруг, руководство это заметит и продвинет меня само. Так не произошло. Я тратил месяцы на то, чтобы довести техническое решение до идеала. Вместо того чтобы объяснить руководству, зачем это решение вообще нужно бизнесу и во что обходится его отсутствие. Пришлось отдельно, осознанно учиться разговаривать языком рисков и денег. Этот навык оказался сложнее любой технической задачи, потому что его не проверяют ни на одном сертификационном экзамене.

Ошибка 2: я купил инструмент раньше, чем выстроил процесс

На одном из этапов я настоял на внедрении SIEM-системы, рассчитывая, что технология сама наведёт порядок в мониторинге. Систему развернули. А процесса, кто и как реагирует на алерты, по каким приоритетам и в какие сроки, ещё не было. Первые месяцы SIEM генерировал огромный поток срабатываний, команда физически не успевала их разбирать, доверие к алертам стремительно падало. Понадобилось несколько месяцев ручной настройки корреляций и, что важнее, выстраивания процесса реагирования, прежде чем шум превратился в сигнал. Опиши я сначала процесс, а потом уже выбирай инструмент под него, сэкономил бы, по моей оценке, около полугода.

Ошибка 3: я не строил устойчивость к смене приоритетов наверху

Один раз фокус компании на информационной безопасности исчез почти мгновенно после смены руководства. Риски не стали меньше. Просто у ИБ пропал «спонсор» среди топ-менеджмента. Бюджет, который ещё вчера казался согласованным, оказался под вопросом. Ошибка была в том, что вся стратегия держалась на личных договорённостях с одним конкретным руководителем, не на процессах и регламентах, закреплённых институционально. С тех пор я закладываю в любую стратегию устойчивость именно к этому сценарию. Смена руководства происходит чаще, чем кажется на старте.

Ошибка 4: я слишком долго не делегировал

Специалисту, который вырос из инженера, тяжело перестать быть тем, кто разбирается в инциденте лучше всех. Я слишком долго держал в себе критичные решения. Делать самому было быстрее и спокойнее, чем объяснять и передавать ответственность команде. В итоге сам стал узким местом: без меня процессы буксовали, а команда не получала возможности расти и брать на себя реальную ответственность. Разорвать этот цикл оказалось сложнее, чем любое техническое решение. Пришлось сознательно отдавать решения, даже когда была уверенность, что сам сделал бы быстрее.

Ошибка 5: я недооценивал, сколько времени требует комплаенс

Готовя категорирование объектов КИИ и последующую аттестацию, я на старте закладывал слишком оптимистичные сроки. Казалось, что если техническая часть готова, документооборот с ФСТЭК пройдёт быстро. На практике согласования, уточнения и доработки по замечаниям регулятора заняли заметно больше времени, чем изначальный план. С тех пор в любой комплаенс-проект я закладываю запас по срокам минимум в полтора раза. Дело не в том, что работа делается медленнее. Взаимодействие с регулятором объективно непредсказуемо по срокам.

Ни одна из этих ошибок не была фатальной сама по себе. Ошибиться не страшно, это неизбежно на любом карьерном пути. Страшно не заметить закономерность и повторять один и тот же тип ошибки годами, потому что никто не назвал её вслух.

Что объединяет эти пять ошибок

Ни одна из них не про недостаток технических знаний. Все они про недооценку того, что происходит вокруг технологии: коммуникацию с руководством, процесс вместо инструмента, институциональную устойчивость, делегирование, реалистичное планирование. Это ровно то, что отличает специалиста от руководителя. И ровно то, чему сложнее всего научиться в одиночку. Цена ошибки на руководящей позиции выше, чем на позиции исполнителя, и промахи запоминаются надолго.

Рассказываю об этом потому, что каждая ошибка была бы дешевле, назови её кто-нибудь заранее. Обесценивать пройденный путь я не пытаюсь. Разбор чужого реального опыта, в том числе неудачного, экономит месяцы, которые иначе уходят на то, чтобы набить те же шишки самостоятельно.