Нужен ли компании vCISO или хватит штатного специалиста

Вопрос «нанимать CISO в штат или взять приходящего директора по ИБ» почти всегда решается не по учебнику. Решается он деньгами и масштабом компании. Но у него есть и содержательная сторона. Попробую разложить её без маркетинговых аргументов в пользу vCISO как услуги. Благо в этом нет никакой необходимости, оба формата рабочие.

Что вообще такое vCISO

vCISO (virtual CISO, приходящий директор по ИБ) специалист, который выполняет функции руководителя ИБ на абонентской основе, не будучи штатным сотрудником: определяет стратегию, ведёт дорожную карту, отчитывается перед руководством, координирует команду. Делает он это в рамках оговорённого количества часов или дней в месяц, полный рабочий день ему не нужен.

Когда штатный CISO объективно нужен

Если в компании уже есть команда ИБ из нескольких человек, ей нужен постоянный руководитель на месте, не раз в неделю по видеосвязи. Если требуется ежедневное присутствие для операционных решений, например непрерывное производство или финтех с высокой частотой инцидентов, тоже нужен штат. И если объём задач по ИБ стабильно превышает 30–40 часов в неделю на протяжении многих месяцев подряд, это уже фактически полная ставка, как её ни назови.

Когда vCISO более разумный выбор

Другая картина: компания на этапе роста, где риски по ИБ уже заметны, но объём работы пока не оправдывает полную ставку. Нужна стратегия и дорожная карта, ежедневное операционное управление тут избыточно. Бюджет ограничен, а рынок труда для сильных CISO конкурентный: найти и удержать такого специалиста в штат бывает непросто и небыстро. В такой ситуации vCISO почти всегда выигрывает, причём не только по деньгам, но и по скорости запуска.

Как оценить, что подходит именно вам

Практический тест: посчитайте, сколько реально часов в неделю сейчас уходит на задачи ИБ-руководителя в вашей компании. Не «сколько бы хотелось», а по факту. Если стабильно меньше 15–20 часов в неделю на протяжении нескольких месяцев, штатная позиция, скорее всего, будет недозагружена. Это дорогое решение по сравнению с абонементом.

Второй критерий: зрелость компании. Стартапу на 20 человек без выделенной ИБ-функции штатный CISO часто не по карману и не по масштабу задач. Производственному холдингу с несколькими сотнями сотрудников и распределённой инфраструктурой vCISO, наоборот, будет недостаточно. Там нужен человек на месте, погружённый в операционку каждый день.

vCISO не «дешёвая замена» штатному CISO. Это отдельный формат под конкретный этап зрелости компании. Экономия тут не главная цель. Главное не переплачивать за неиспользуемую мощность и одновременно не оставлять ИБ без владельца.

Промежуточный вариант, о котором часто забывают

Разумный путь: начать с vCISO, выстроить базовые процессы и дорожную карту, а когда объём задач вырастет, нанять штатного специалиста и передать ему уже работающую систему вместо хаоса. Это снижает риск, что первый штатный CISO компании потратит полгода просто на то, чтобы понять, что вообще происходит.

Вопрос тут не «что лучше», vCISO или штат. Вопрос в том, что соответствует текущему масштабу и зрелости компании прямо сейчас. Причём этот ответ стоит пересматривать по мере роста компании. Фиксировать его раз и навсегда не стоит.