Нужен ли компании vCISO или хватит штатного специалиста

Вопрос «нанимать CISO в штат или взять приходящего директора по ИБ» почти всегда решается не по учебнику, а по деньгам и по масштабу компании. Но у него есть и содержательная сторона — попробую разложить её без маркетинговых аргументов в пользу vCISO как услуги.

Что вообще такое vCISO

vCISO (virtual CISO, приходящий директор по ИБ) — это специалист, который выполняет функции руководителя ИБ на абонентской основе, не будучи штатным сотрудником компании: определяет стратегию, ведёт дорожную карту, отчитывается перед руководством, координирует команду — но делает это в рамках оговорённого количества часов или дней в месяц, а не полный рабочий день.

Когда штатный CISO объективно нужен

Штатный CISO оправдан, когда выполняется хотя бы одно из условий:

• в компании уже есть команда ИБ из нескольких человек, которой нужен постоянный руководитель на месте;
• требуется ежедневное присутствие для операционных решений — например, в компании с непрерывным производством или финтехе с высокой частотой инцидентов;
• объём задач по ИБ стабильно превышает 30–40 часов в неделю на протяжении многих месяцев;
• регуляторные требования отрасли прямо предполагают наличие определённой штатной должности.

Когда vCISO — более разумный выбор

vCISO чаще выигрывает в следующих ситуациях:

• компания находится на этапе роста, где риски по ИБ уже заметны, но объём работы пока не оправдывает полную ставку;
• нужна стратегия и дорожная карта, а не ежедневное операционное управление;
• бюджет ограничен, а рынок труда для сильных CISO конкурентный — найти и удержать такого специалиста в штат может быть непросто и не быстро;
• компании нужен независимый взгляд со стороны, не завязанный на внутреннюю политику.

Как оценить, что подходит именно вам

Практический тест: посчитайте, сколько реально часов в неделю сейчас уходит на задачи ИБ-руководителя в вашей компании — не «сколько бы хотелось», а по факту. Если это стабильно меньше 15–20 часов в неделю на протяжении нескольких месяцев подряд, штатная позиция, скорее всего, будет недозагружена, и это дорогое решение по сравнению с абонементом vCISO.

Второй критерий — зрелость компании. Стартапу на 20 человек без выделенной ИБ-функции штатный CISO часто не по карману и не по масштабу задач. Производственному холдингу с несколькими сотнями сотрудников и распределённой инфраструктурой vCISO, скорее всего, будет недостаточно — там нужен человек на месте, погружённый в операционку каждый день.

vCISO — это не «дешёвая замена» штатному CISO, а отдельный формат под конкретный этап зрелости компании. Задача не в том, чтобы сэкономить, а в том, чтобы не переплачивать за неиспользуемую мощность и не оставлять ИБ без владельца.

Промежуточный вариант

Часто разумный путь — начать с vCISO, чтобы выстроить базовые процессы и дорожную карту, а затем, когда объём задач вырастет, нанять штатного специалиста и передать ему уже работающую систему вместо хаоса. Это снижает риск того, что первый штатный CISO компании потратит первые полгода на то, чтобы просто понять, что происходит.

Итог

Выбор между vCISO и штатным CISO — это вопрос не «что лучше», а «что соответствует текущему масштабу и зрелости компании». Оба формата рабочие, если выбраны осознанно, а не по инерции.