Коби Сивилья CISO назначен в Checkmarx — компанию, работающую в сфере безопасности приложений. Новый директор по информационной безопасности приходит в момент, когда ИИ меняет повседневную разработку ПО и одновременно расширяет поверхность атак для команд, выпускающих код. Для российских разработчиков, CISO и руководителей инженерных подразделений это очередной сигнал: безопасность цепочки поставки и AI-инструментов перестаёт быть отдельной задачей службы ИБ.
О назначении сообщает Dark Reading. В кратком сообщении издание подчёркивает, что Сивилья обладает существенным опытом руководства в кибербезопасности и технологиях. Checkmarx не раскрывает в предоставленном материале ни детали его предыдущих ролей, ни конкретный список задач на новом посту, поэтому приписывать менеджеру готовую программу, продукты или финансовые цели было бы преждевременно.
Но сама должность CISO в компании, чья специализация связана с защитой приложений, заметно отличается от аналогичной роли в обычном бизнесе. Здесь руководитель ИБ отвечает не только за корпоративную инфраструктуру, доступы сотрудников и реакцию на инциденты. Он должен выстраивать безопасность вокруг продукта, инженерных процессов, облачной среды, зависимостей, данных клиентов и механизмов поставки обновлений. Ошибка в одном из этих контуров может оказаться проблемой не для одного внутреннего подразделения, а для множества пользователей платформы.
Назначение происходит на фоне быстрого проникновения генеративного ИИ в разработку. Ассистенты для написания кода ускоряют работу с типовыми функциями, тестами и документацией, однако за скорость приходится платить дисциплиной. Код, предложенный моделью, может содержать небезопасные паттерны, устаревшие библиотеки или некорректную обработку секретов. Ещё один риск — разработчики вставляют во внешние сервисы фрагменты внутреннего кода, конфигурации и данные, не оценив правила их обработки.
В этой логике Коби Сивилья CISO — не просто кадровая новость о замене руководителя. Она показывает, что поставщики AppSec-решений вынуждены одновременно использовать ИИ в собственных продуктах и защищать клиентов от последствий его неосторожного применения. Одного сканирования уязвимостей перед релизом для этого недостаточно: контроль требуется на этапе проектирования, в IDE, при работе с репозиторием, во время сборки и после развёртывания.
Для продуктовых и инженерных команд полезный вывод довольно приземлённый. Политику использования AI-ассистентов стоит формулировать так же конкретно, как правила доступа к продакшену: какие сервисы разрешены, какие данные нельзя передавать наружу, кто проверяет сгенерированные изменения и как фиксируются исключения. Фраза «разработчик посмотрел код» сама по себе не является контролем. Нужны автоматические проверки секретов, зависимостей и известных уязвимостей, а также понятный владелец риска.
Для бизнеса важна и организационная сторона. Если безопасность разработки остаётся задачей только CISO, она неизбежно превращается в очередь согласований и конфликт со скоростью поставки. Если же у engineering-лидов нет права и времени на исправление находок, сканеры становятся дорогим источником уведомлений. Рабочая модель связывает приоритет уязвимости с критичностью сервиса, наличием эксплойта, доступностью исправления и реальной экспозицией, а не только с оценкой в отчёте.
Рынок безопасности приложений будет всё чаще оценивать CISO по тому, насколько быстро организация умеет переводить новые практики разработки в управляемые процессы. В случае Checkmarx назначение Коби Сивильи происходит ровно в той точке, где AI-ускорение разработки сталкивается с привычным вопросом безопасности: кто и каким образом отвечает за код, который появляется быстрее, чем его успевают прочитать люди.
