68% специалистов по информационной безопасности и IT говорят, что их работа стала сложнее, чем два года назад. На этом фоне фракционные CISO из экзотики для стартапов превращаются в понятную модель найма: бизнесу по-прежнему нужна экспертиза по кибербезопасности, но держать дорогого руководителя ИБ в штате готовы уже не все.
Об этом сообщает Dark Reading со ссылкой на исследование ISSA International и аналитической компании Omdia. По данным опроса, 55% респондентов заметили рост сложности и объема работы, а еще 52% говорят, что сами киберугрозы стали более давящими и труднее управляемыми. Иными словами, у ИБ-команд плохие новости сразу по двум фронтам: атак больше, а технологический ландшафт стал менее предсказуемым.
Особенно сильно ситуацию усложнил ИИ. Причем не только в привычном жанре «злоумышленники тоже автоматизируются», но и внутри самих компаний. Практический директор по кибербезопасности Omdia Мелинда Маркс сравнивает нынешнюю волну с ранним этапом облачной миграции: бизнес-подразделения включают новые инструменты, не всегда вовлекая службу безопасности в обсуждение архитектуры, рисков и контроля. Для CISO это довольно неприятный сценарий. Когда команда ИБ не видит, какие сервисы уже используются, какими настройками они управляются и где лежат данные, реагировать на инциденты и выстраивать защиту приходится почти вслепую. И если в облаке это уже проходили, то теперь похожая история повторяется на скорости, которую задают генеративные модели и внутренние пилоты по автоматизации.
На этом фоне неудивительно, что часть руководителей ИБ начинает выходить из штатных ролей. Бывший президент ISSA Шон Мюррей, который сейчас сам работает как фракционный CISO, описывает знакомую многим картину: 50-, 60-, а иногда и 70-часовая рабочая неделя, постоянная необходимость спорить с бизнесом о рисках и хроническая нехватка поддержки для выполнения собственной миссии. По его словам, все больше CISO выбирают консультационный формат и идут туда, где к их рекомендациям готовы прислушиваться. В цифрах это уже видно. Доля компаний с full-time CISO снизилась до 63% против 76% в 2024 году. Использование фракционных CISO, наоборот, выросло до 15% против 6% двумя годами ранее.
Любопытно, что тема личной ответственности, которая несколько лет держала рынок в напряжении после громких дел вокруг руководителей ИБ в Uber и SolarWinds, больше не выглядит главным стресс-фактором. По данным исследования, в топ причин давления она уже не попала. На первое место вышли более приземленные вещи: скорость изменений, растущий объем задач и необходимость поддерживать безопасность новых IT-инициатив, прежде всего связанных с ИИ. Для отрасли это важный сдвиг. Раньше многие обсуждали, не превратится ли роль CISO в токсичную управленческую позицию из-за регуляторных и юридических рисков. Сейчас картина иная: роль не исчезает, она просто становится тяжелее операционно и дробится по формату занятости.
При этом сам ИИ для команд безопасности не только источник хаоса, но и потенциальный инструмент разгрузки. 37% опрошенных уже используют AI-решения для задач кибербезопасности, еще 46% только планируют это делать. Наиболее популярные сценарии довольно прагматичны: автоматизированные оценки защищенности и тестирование ПО, предиктивный анализ рисков, а также обнаружение угроз. Это показательно. Рынок, похоже, устал от разговоров про «магический SOC на нейросетях» и возвращается к более полезной логике: отдать машине рутину, аналитику и часть мониторинга, а людей высвободить под принятие решений и коммуникацию с бизнесом. Проблема лишь в том, что внедрение таких инструментов само по себе требует зрелых процессов, внятных политик и людей, которые понимают, где автоматизация помогает, а где добавляет новую поверхность атаки.
Для русскоязычной IT-аудитории в этой истории есть сразу несколько практических выводов. Для разработчиков и продуктовых команд сигнал простой: если вы запускаете AI-функции, внутренние ассистенты или интеграции с внешними моделями без раннего разговора с ИБ, вы не ускоряете релиз, а перекладываете стоимость решения на следующий квартал, когда придется разбираться с доступами, логированием, утечками и соответствием требованиям заказчиков. Для IT-директоров и фаундеров новость в том, что фракционные CISO могут стать рабочим компромиссом между «нам нужен сильный человек по безопасности» и «полную ставку мы сейчас не потянем». Особенно это актуально для среднего и малого бизнеса, который все чаще вынужден доказывать свою кибергигиену страховым компаниям, клиентам и партнерам.
Именно этот спрос Мюррей считает одной из главных причин роста консультационной модели. Средние и небольшие компании все чаще должны подтверждать зрелость процессов ИБ, в том числе из-за требований киберстрахования. А для этого нужен не просто администратор средств защиты, а человек, который умеет разговаривать с бизнесом, аудиторами и страховщиками на одном языке. CISO Atlantic Union Bank Алекс Хаттон смотрит на ситуацию схожим образом: по его оценке, спрос на стратегические советы по безопасности растет, а фракционные CISO позволяют распределить стоимость такой экспертизы между компаниями, которым нужен высокий уровень компетенций, но не обязательно постоянное присутствие топ-менеджера в штате.
В результате рынок ИБ все меньше похож на старую схему, где зрелость компании измерялась наличием одного штатного CISO с бесконечным списком обязанностей. Вероятнее, ближайшие годы пройдут под знаком более гибких моделей: фракционные CISO, виртуальные ИБ-лидеры, узкие консультанты по AI governance и небольшие команды, которые опираются на автоматизацию сильнее, чем раньше. Вопрос уже не в том, нужен ли бизнесу руководитель по безопасности. Вопрос в другом: сколько компаний успеют перестроить эту роль раньше, чем перегрузка и хаотичное внедрение ИИ окончательно сделают ее должностью на выгорание.