Синдром самозванца у ИБ-руководителей: как с ним работать

Синдром самозванца встречается во многих профессиях, но у CISO и руководителей ИБ он особенно распространён. И не случайно. Сама природа роли создаёт для него идеальные условия. Результат работы почти невидим, пока не случится провал. Масштаб ответственности растёт быстрее, чем субъективное ощущение готовности к ней.

Почему именно у CISO это так часто

Успех в ИБ выглядит как отсутствие инцидентов, то есть как будто ничего не произошло. Это плохо конвертируется в ощущение достижения. Сложно чувствовать уверенность в работе, результат которой всего лишь отсутствие плохих новостей. Видимого успеха тут не предъявишь. Добавьте к этому постоянно меняющийся ландшафт угроз: знать всё невозможно, и это ощущается как личный пробел, хотя объективно поспевать за всем нереально в принципе. И асимметрию ответственности: цена одной ошибки CISO выше, чем цена ста правильных решений, и это усиливает страх единственного промаха.

Как это выглядит на практике

Руководитель, который объективно справляется, продолжает считать, что «просто повезло» или что «команда сделала всю работу», обесценивая собственный вклад в принятые решения. Избегает высказывать мнение на совете директоров, даже когда экспертиза явно есть, из страха, что вопрос вскроет несуществующий пробел. Берёт на себя избыточный объём работы, чтобы лично всё проверить, потому что не доверяет своей оценке достаточности контроля.

Парадокс синдрома самозванца в том, что он чаще встречается у компетентных людей, чем у некомпетентных. Компетентность включает понимание, сколько всего вы ещё не знаете. Менее опытный специалист часто переоценивает свою готовность именно потому, что не видит объёма нерешённых вопросов.

Что реально помогает

Разговор с другими CISO о том же чувстве обычно даёт неожиданное облегчение. Оказывается, это чувство почти универсально среди руководителей ИБ, признаком личной несостоятельности его не назвать. Ведение записи реальных решений и их результатов помогает тоже. Не для отчётности, для себя: опора на факты нужна именно в момент, когда субъективное ощущение готовности проседает. И разделение оценки решения и оценки себя: решение можно было принять иначе, зная то, что известно сейчас, но это ещё не значит «я плохой руководитель». Это нормальная часть работы с неопределённостью.

Чего делать не стоит

Не стоит пытаться избавиться от чувства через накопление ещё большего числа сертификатов и знаний. Синдром самозванца не про реальный дефицит компетенций, и попытка закрыть его образованием обычно просто откладывает проблему. И не стоит скрывать это чувство от ментора или доверенного коллеги, считая его признаком слабости. Честный разговор об этом обычно снижает интенсивность переживания сильнее любой самостоятельной работы над собой.

Синдром самозванца у CISO не сигнал о реальной некомпетентности. Это побочный эффект самой природы роли: невидимый успех, постоянно растущая сложность, высокая цена ошибки. Признание этого механизма уже значительная часть работы с ним.