24 Мая, 2019

О том, как безопасники низвергли себя в пучину забвения

Дмитрий Дудко

Как вы знаете, я очень люблю безопасность и людей, которые ее обеспечивают. В самом широком смысле слова. Я с уважением отношусь к врачам и пожарным, и даже к работникам газовой службы. Именно благодаря их работе, мы можем уютненько потрындеть в интернетике или на какой-нибудь конференции. И я очень горд, что имею какое-то касательство к общему безмятежному благополучию. Информационная безопасность – без сомнения важная и набирающая обороты сфера. Тем прискорбней та роль, которую мы себе отвели. Мы забились в самый дальний угол, и не отсвечиваем. Этому способствовало много факторов, но давайте поговорим о том, что на виду. О названии.

Многие евангелисты нашей отрасли любят сравнивать нас с западом. Говорят, все там лучше, давайте сдадим кучу тестов по американской нормативке, и называться вы будете CISO. Это так модно и звучит круто. У нас даже конференции появились ( CISO FORUM ), и всеми это воспринято как данность. Но давайте взглянем немного вглубь, к истокам.

Если обратиться к зарубежной экономической литературе, то можно там часто увидеть аббревиатуры: CEO, COO, CFO. Крутые слова, звучащие в точности по ТБС . Немного не понятно, то ли дело милые для нашего слуха: генеральный директор, главный инженер, главный бухгалтер, зав. складом. Но нас сделали падкими все «иностранческое», поэтому все эти CEO, CIO, CTO, CKO и т.д. активно стали распространятся. Они везде – в статьях, на визитках, конференциях. Ты кто? Я CEO клининговой компании. Матерь божья, ты бригадир! Не стесняйся этого!

Но пойдем дальше. В начале необходимо понять, что нельзя переносить организационную иерархию в нашу бизнес-среду. Вернее, некорректно проводить параллели и говорить CEO — это генеральный директор. Тем более, абсурдно расшифровывается аббревиатура CIO, как директор IT, начальник IT. Причем, не всегда корректно проводить параллели не только между CEO и генеральным директором, но и CEO американской и английской компании (там можно встретить Managing Director), не говоря уже о Европейских компаниях. Остановимся на американской терминалогии.

Сразу хочется сказать, что строгих правил по поводу того, как кого называть «ТАМ» нет. Вы можете как угодно назвать себя и своих подчиненных. Этим американцы близки к нам. Но если они близки нам, так в чем же основное, «критическое» отличие, не позволяющее проводить параллели. Давайте кратко пройдемся.

Во-первых: для них акционеры — это куда больше, чем для нас. И если на территории постсоветского пространства акционер — это не только не звучит гордо, а в некоторых случаях звучит как пустой звук, то у них ситуация кардинально противоположная. Вы не просто претендуете на часть прибыли от хозяйственной деятельности, но вы еще имеете полное право участвовать в управлении предприятием, через конкретные механизмы. У нас же, как правило, «хозяин» один и руководит как захочет и при помощи кого он захочет.

Во-вторых: акценты и приоритеты в самой компании расставлены несколько иначе. Так, например, частенько у нас можно встретить главного бухгалтера, как второго человека после руководителя. И шутка типа:

«Если Ваш бухгалтер платит все налоги, то пусть получает зарплату в налоговой»

оказывается на злобу дня. На западе давно разделили понятие бухгалтерия и финансы, учет и менеджмент.

В то время как информация и человеческий капитал на Западе стали действительно основным бизнес-преимуществом, у нас эти понятия стали только объектом пристального внимания авторов статей. Как перевести Chief Knowledge Officer (CKO)? Причем проблема не в переводе, а в адаптации и понимании. Как бы вы его не перевели, этой должности не всегда есть место на наших предприятиях. А если и найти, то результат от деятельности это человека (отдела) вряд ли принесет ощутимые плоды.

Проще говоря, мы еще не доросли до уровня CEO. Мы находимся на этапе формирования общемировой бизнес-культуры в наших условиях, но растем мы намного быстрее, потому что мы видим, куда нам расти, и видим, из истории, как это не следует делать.

Теперь от затянувшегося вступления перейдем к непосредственно к должностям и аббревиатурам.

Board of Directors — совет директоров, избираемый акционерами. Это контур управления компанией акционерами.

Chairman of the Board — Председатель совета директоров, избираемый из числа совета.

President — это не должность, а скорее титул, своего рода лицо компании. Им может быть прямой потомок основателя фирмы, в данный момент не имеющей реальной власти. Хотя опять же оговорюсь, что разделение полномочий между должностями меняется от компании к компании.

Данный уровень управления называется С-level, поскольку все названия должностей начинаются «Chief», то есть главный.

CEO (Chief Executive Officer) – должность, назначаемая советом директоров (если компания public companies). CEO может быть, как приглашенным со «стороны», так и быть избранным из числа сотрудников компании. CEO осуществляет полное управление компанией и несет полную ответственность. Если компанию уличат в незаконных действиях «сядет» именно CEO. CEO может быть по совместительству, как и председателем совета директоров, так и Президентом. Совмещение всех трех должностей говорит о неограниченной власти руководителя.

CFO (Chief Financial Officer) — должностное лицо ответственное за финансы корпорации. Как правило, находится в подчинении CEO. Не редкость, когда CFO выбирается из числа совета директоров. Может называться как Treasurer (казначей) или Finance Director.

COO (Chief Operating Officer) — должностное лицо ответственное за текущую деятельность предприятия. Инструменты оперативного менеджмента полностью находятся в распоряжении COO.

CIO (Chief Information Officer) — это корпоративный чиновник высшего уровня, ответственный за информацию. (Трактовка CIO, как IT директора – это нонсенс. Если у Вас сломался компьютер, то обращаться к CIO вы можете с таким же успехом, как и к главному бухгалтеру). CIO находится в подчинении CFO или CEO. В западной иерархии CIO близок CKO. Это вызвано тем, что роль информации, в последнее время, становится главенствующей. Привет нам всем, мы уже 20 лет бьемся, чтобы это донести.

CTO (Chief Technical or Technology Officer) — роль данной должности меняется от специфики работы компании. В технологичных компаниях может подчиняться непосредственно CEO, в нетехнологичных подчиняется CIO. В компьютерных компаниях может быть представлен в лице CIO.

CKO (Сhief Knowledge Officer) — топ-менеджер ответственный за максимизацию ценности компании, достигаемой через знания. Ответственный за нематериальные активы (ноу-хау, патенты). В общем, все, что связано с интеллектуальным капиталом, находится в поле управления CKO.

Роль остальных понятна из их названия, поэтому просто расшифруем аббревиатуры:

  • CMO (Chief Marketing Officer)
  • CAO (Chief Analytics Officer)
  • CCO (Chief Communications Officer)
  • CDO (Chief Data Officer)
  • CNO (Chief Networking Officer)
  • CPO (Chief Process Officer)
  • CSO (Chief Security Officer)
  • CSO (Chief Strategy Officer)
  • CRO (Chief Risk Officer)
  • CCO (Chief Credit Officer)
  • CLO (Chief Legal Officer)

Как видим, никаких CISO тут нет. CISO – это менеджер следующей ступени, после С-level. Зачастую CISO подчинен CIO, что однозначно говорит о том, как «ТАМ» видят решение вопроса кому должно подчиняться ИБ. При чем это довольно незначительная часть, занимающаяся безопасностью информации, обрабатываемой автоматизированным способом. Небольшой отдельчик – обновляющий антивирусы. Что уж говорить – «как вы лодку назовете, так она и поплывет».

Такая же петрушка с CIO. CIO — это не главный админ. CIO – это человек достигающий целей компании, с помощью ИТ-технологий. У нас же этим словом называют кого угодно от эникейщика до реально решающих ИТ-директоров.

https://whatis.techtarget.com/reference/Roles-and-responsibilities-guide-What-does-a-CIO-do

В заключение хотелось бы сказать, что не надо слепо и бездумно копировать запад. В нашей современной среде безопасник находится на грани сфер CIO, CRO, CSO и CLO. А пока мы загоняем себя в рамки чуждой терминологии, мы все дальше будем от понимания нас бизнесом. Все вам хорошего.