☄️ Развенчание мифов кибербезопасности от Gartner

В сентябре в Лондоне прошел трехдневный саммит Gartner Security & Risk Management Summit 2023. Вступительная презентация Gartner была посвящена мифам, укоренившимся в кибербезе:

🔥 Первый миф: «больше данных – лучше защита»
Вместо того, чтобы собирать огромный объем данных, проводить сложные расчеты вероятности киберсобытий, лучше использовать подход минимальной эффективной аналитики. Для этого предлагается использовать показатели, ориентированные на результат (ODM), связывающие операционные показатели и риски ИБ с бизнес-задачами, которые они поддерживают

🔥 Второй миф: «больше технологий – лучше защита»
Предлагается использовать минимально эффективный набор инструментов ИБ, что должно позволить повысить уровень контроля за архитектурой ИБ, упростить ее и снизить риск несовместимости используемых решений. Для поддержания простоты и совместимости Gartner предлагает смотреть в сторону «ячеистой архитектуры кибербезопасности» (CSMA)

🔥 Третий миф: «чем больше специалистов ИБ в штате, тем лучше»
Предлагается спускать меры ИБ для реализации на уровни ИТ, например на уровень бизнес-аналитиков, чтобы снизить нагрузку на ИБ-специалистов и не нанимать новых специалистов. По мнению Gartner ИБ часто является «бутылочным горлышком» при цифровой трансформации и вместо того, чтобы тормозить процесс «так как только профессионалы в ИБ скажут как надо делать» и пытаться найти экспертов нужно идти в сторону демократизации экспертных знаний

🔥 Четвёртый миф: «больше контроля – лучше защита»
Добавление новых контролей ИБ часто приводит к обратным результатам. ИБ не должно стать препятствием в достижении бизнес-целей, дополнительные меры контроля и удобство пользователей должны быть сбалансированы. И вообще «средства контроля, которые обходятся, хуже, чем их полное отсутствие.»

А что думаете вы?
#gartner

▶️ Бюджеты в ИБ вырастут на 9%

Обновили данные нашего регулярного опроса руководителей ИТ и ИБ, IT Security Economics. В целом по миру бюджеты на ИБ растут в компаниях всех размеров, в крупных компаниях чуть меньше чем в средних и малых. Сложнее всего приходится как раз небольшим бизнесам, которые вынуждены направлять непропорционально много сил своей ИТ-команды на задачи ИБ.
Защита сетей и конечных точек внедрена повсеместно, защита облачных решений применяется в 80% компаний, а вот тренинги по ИБ есть лишь в каждой второй фирме.

Самые распространённые виды инцидентов отличаются для компаний разного масштаба (на иллюстрации). У малого бизнеса значительно чаще проблемы с публичными облаками и недобросовестными сотрудниками.
При этом потери от серьёзных инцидентов практически всегда превышают годовой бюджет на ИБ — для небольших компаний в 1,5 раза, для крупных — в 1,1.

🔎 Данные по типичным проблемам и расходам каждой индустрии можно изучить в полной версии отчёта или поиграть с цифрами в нашем калькуляторе.

#статистика #CISO @П2Т

💰 CISO, эволюция, зарплатный рост

Подробное исследование на базе опроса многих западных CISO опубликовал IANS. Отчёт 2025 State of the CISO содержит любопытную статистику о том, чем занимаются различные CISO, как различается их роль и вес внутри компании, и как они видят эволюцию своего подразделения, своей должности и карьеры.

Основной тенденцией последнего года-двух называют расширение роли CISO за пределы традиционной ИБ — приходится охватывать более широкий спектр бизнес-рисков, уделяя внимание безопасности цепочки поставок, непрерывности бизнес-операций, защищённости выпускаемых продуктов. Этот рост обязанностей создаёт новые возможности карьерного роста и даже новые руководящие позиции, такие как Chief Trust Officer и Chief Digital Officer.

Значительно увеличивается количество CISO, должность которых является одной из высших в компании и взаимодействующих с советами директоров. CISO, имеющие доступ к руководству, обладают большим стратегическим влиянием и видимостью — 47% из них взаимодействуют с советом директоров ежемесячно или ежеквартально. Впрочем, этот показатель отличается для бизнесов разного размера и, парадоксально, он ниже для относительно небольших компаний.

IANS выделяет три разновидности CISO — Стратегические, Функциональные и Тактические — в зависимости от круга их задач и уровня доступа к руководству. Стратегические CISO, обладающие высоким уровнем влияния и регулярным взаимодействием с советом директоров, хвастают сообщают о более высокой удовлетворённости работой и в полтора раза большей компенсацией.

Практические советы
На основании вышесказанного авторы дают несколько советов для CISO, стремящихся к развитию, росту профессиональных компетенций и доходов:
Лучше доступ к руководству. CISO следует стремиться чаще общаться с топ-менеджментом, выстраивая доверительные отношения с членами совета директоров и участвуя в стратегических бизнес-дискуссиях. При этом важно работать над восприятием CISO как стратегического партнёра, а не просто технического консультанта. Это включает в себя согласование стратегий безопасности с бизнес-целями и практически полезный вклад в обсуждения бизнес-рисков.

Новые сферы влияния. Карьерный рост вместо выгорания авторы увязывают c ролями, которые объединяют безопасность с ИТ, цифровой трансформацией, внедрением ИИ или управлением рисками. В зависимости от того, чем занимается организация, перспективными «следующими должностями» для CISO названы Chief Trust Officer, Chief Product Officer и Chief Risk Officer.

Для тех, кому интересно, во сколько раз больше можно получать, совмещая роли CIO и CISO, во вложении — полная версия отчёта с многочисленными диаграммами. 😊

#советы #CISO @П2Т

📌 ИБ для гендира

От CISO ожидают, что он будет обучать свой совет директоров вопросам безопасности и при этом говорить на языке бизнеса — переводить ИБ в понятные метрики и ставить вопросы в привычном руководству ключе. Но к этому обсуждению можно подойти и с другой стороны. Как руководство должно общаться со своим CISO и о чём его спрашивать?

Нидерландский Cyber Security Council, состоящий из экспертов-практиков, научных работников и тех самых директоров, выпустил для руководителей и владельцев бизнеса полезную методичку, целиком посвященную высокоуровневым, вообще не техническим вопросам ИБ. Она охватывает вопросы от построения киберустойчивости и управления киберрисками до личной ответственности менеджмента и полезных, информативных для C-level метрик безопасности.

Небольшой спойлер из оглавления:
🟢почему это вообще важно (и как связано с общими бизнес-рисками);
🟢чем отличаются кибербезопасность и киберустойчивость, и почему нельзя ограничиваться вопросами комплаенса;
🟢какие вопросы должен задавать руководитель компании;
🟢как приоритизировать работы по снижению рисков;
🟢эффективная организация управления ИБ;
🟢юридические и регуляторные аспекты;
🟢киберриски за пределами вашей организации (подрядчики, клиенты, партнеры);
🟢особая программа ИБ-тренингов для высшего руководства.

Важные «но» — руководство есть только на английском и голландском, а весь регуляторный ландшафт описан для ЕС и Нидерландов. Тем не менее, все общие принципы полностью применимы и в России.

#советы #CISO @П2Т

🔎 Постквантовый Интернет: вы находитесь здесь

Cloudflare опубликовали монструозный обзор (как раз на все длинные выходные) под названием State of the post-quantum Internet in 2025. В нём охвачены все актуальные вопросы про ПКШ — от текущего статуса научных разработок в квантовых вычислениях до конкретных оценок затрат памяти и CPU при вычислении ЭЦП с разными постквантовыми алгоритмами. Затронут и регуляторный аспект, правда с акцентом на США и другие англоязычные страны.

Основная новость в статье — более половины трафика живых людей, который проходит через Cloudflare, защищено постквантовыми алгоритмами согласования ключа. Среди серверов на топ-100k доменов, уже 39% поддерживают ПКШ, хотя всего полгода назад было 28%.

А заканчивается обзор достаточно простой рекомендацией — постквантовое согласование ключей в инфраструктуре надо внедрять уже сейчас, а вот сертификаты на базе ПКШ пока к внедрению не готовы из-за зоопарка стандартов и высоких вычислительных расходов. Тем не менее, нужно готовить инфраструктуру к их внедрению, используя актуальные версии ПО, автоматизируя управление сертификатами и поддерживая конфигурации серверов, которые способны работать одновременно как с доквантовыми, так и постквантовыми сертификатами в зависимости от поддержки на стороне клиента.

#CISO @П2Т