Кибербезопасность для лидеров

От нуля до зрелой Security Program: дорожная карта, фреймворки, бюджет и ROI — всё, что нужно для старта.

• 1.
  От нуля до Security Program: дорожная карта90-дневный план для нового CISO — от аудита текущего состояния до работающей программы безопасности с быстрыми победами и долгосрочной стратегией
• 2.
  Security Maturity Model: оценка зрелостиКак измерить текущий уровень зрелости безопасности, используя CMM и NIST CSF Tiers, провести самооценку и понять, где вы относительно конкурентов
• 3.
  Бюджетирование и обоснование инвестиций ROIКак рассчитать бюджет безопасности, обосновать инвестиции перед CFO через ROI и TCO, и перевести технические риски на язык финансовых потерь
• 4.
  Выбор фреймворка: NIST CSF, ISO 27001, CISСравнение ключевых фреймворков безопасности — когда какой использовать, как они маппятся друг на друга, и пошаговый план внедрения
• 5.
  Разработка Security Program Plan: практикумПрактическое занятие — пишем реальный документ Security Program Plan с целями, milestone, бюджетом и метриками по шаблону

FAIR, OCTAVE, Risk Register — управление рисками на языке цифр, который понимает бизнес.

• 1.
  Методологии оценки рисков: FAIR, OCTAVEОбзор ключевых методологий оценки киберрисков — FAIR для количественного анализа, OCTAVE для оперативной оценки, NIST SP 800-30 для формального подхода
• 2.
  Идентификация и классификация активовКак построить полную инвентаризацию активов, классифицировать данные по уровням критичности и определить crown jewels организации
• 3.
  Анализ угроз и уязвимостейКак проводить threat modeling на уровне организации, использовать STRIDE для бизнес-процессов и строить программу управления уязвимостями
• 4.
  Risk Register: создание и ведениеКак построить Risk Register от первой записи до живого инструмента управления — scoring, risk appetite, treatment strategies и выбор GRC-платформы
• 5.
  Проведение Risk Assessment: практикумПрактическое занятие — полный цикл risk assessment от идентификации активов до Risk Register, treatment plan и отчёта для совета директоров

ISO 27001, SOC 2, GDPR, PCI DSS — проходим аудиты, закрываем gap-ы, строим непрерывный compliance.

• 1.
  ISO 27001: требования и внедрениеПолный гид по ISO 27001:2022 — структура стандарта, 93 контроля Annex A, timeline внедрения 6-18 месяцев, стоимость и процесс сертификации
• 2.
  SOC 2: подготовка и прохождение аудитаПолный гид по SOC 2 — различия Type I и Type II, Trust Services Criteria, сбор evidence, выбор аудитора и типичные ошибки
• 3.
  GDPR, PCI DSS и отраслевые стандартыОбзор ключевых регуляторных требований — GDPR и штрафы, PCI DSS v4.0, HIPAA, 152-ФЗ и отраслевая специфика для CISO
• 4.
  Внутренний аудит и непрерывный complianceКак организовать внутренний аудит ИБ, внедрить continuous compliance мониторинг и выбрать GRC-платформу для автоматизации
• 5.
  Gap Analysis и план устранения: практикумПрактическое занятие — проводим Gap Analysis по ISO 27001:2022, создаём remediation plan с приоритетами, бюджетом и timeline

Роли и структура команды, найм и собеседования, карьерные треки, борьба с выгоранием, org chart и hiring plan.

• 1.
  Структура security-команды: роли и функцииПравильная оргструктура security-команды определяет 80% её эффективности — выбор между централизованной, децентрализованной и гибридной моделью зависит от зрелости компании, а не от бюджета
• 2.
  Найм специалистов: что искатьЛучшие security-специалисты не ищут работу — они выбирают компании. Процесс найма должен оценивать мышление, а не коллекцию сертификатов, и продавать миссию, а не только зарплату
• 3.
  Развитие навыков и карьерные трекиИнвестиция $5K/год в развитие security-специалиста окупается в 12 раз — через удержание, повышение квалификации и снижение рисков. Без карьерного трека лучшие уходят за 18 месяцев
• 4.
  Борьба с выгоранием в security-командах65% security-специалистов испытывают выгорание, а alert fatigue приводит к пропуску 30% реальных инцидентов — это не проблема людей, а проблема системы, которую обязан исправить руководитель
• 5.
  Составление org chart и hiring plan — практикумОт стартапа с 1 security-инженером до enterprise с 50+ человек — практическое проектирование security-команды через три кейса разного масштаба с бюджетами, таймлайнами и приоритетами найма

Zero Trust и Defense in Depth, архитектурные ревью, выбор security-решений и TCO, проектирование архитектуры безопасности.

• 1.
  Zero Trust Architecture: принципы и внедрениеZero Trust — не продукт и не технология, а архитектурная философия. NIST SP 800-207 определяет 7 принципов, а внедрение занимает 2-5 лет. Компании, начавшие с Quick Wins (MFA + microsegmentation), снижают ущерб от breach на 43%
• 2.
  Defense in Depth: многоуровневая защитаНи один уровень защиты не является непроницаемым — Defense in Depth создаёт 6-7 слоёв, каждый из которых замедляет атакующего и даёт время на обнаружение. Правильный security stack — это не максимум инструментов, а оптимальное покрытие каждого слоя
• 3.
  Security Architecture Review ProcessSecurity review на стадии дизайна обходится в 100 раз дешевле, чем исправление уязвимости в продакшене. Формализованный процесс архитектурного review — обязательный gate для любого значимого изменения в системе
• 4.
  Оценка и выбор security-решенийНеправильный выбор security-вендора стоит компании 2-3x от стоимости лицензии — в скрытых затратах на интеграцию, переобучение и замену. Структурированный RFI/RFP процесс снижает риск ошибки на 70%
• 5.
  Проектирование архитектуры безопасности — практикумПрактическое проектирование security-архитектуры для средней компании — от threat landscape assessment через выбор инструментов до создания архитектурной диаграммы и roadmap внедрения

TPRM: оценка и tiering вендоров, security-анкеты, контракты и DPA, мониторинг third-party рисков.

• 1.
  Оценка рисков поставщиков (TPRM)62% утечек данных связаны с третьими сторонами, а средняя компания работает с 5,800+ вендорами. Third-Party Risk Management — не опциональный процесс, а необходимость, требующая risk tiering, due diligence и continuous monitoring
• 2.
  Security Questionnaires и due diligenceСтандартизированные вопросники (SIG, CAIQ) сокращают время оценки вендора на 60%, но только при правильном анализе ответов. 45% вендоров приукрашивают ответы — проверка evidence обязательна
• 3.
  Контрактные требования безопасности: SLA, DPAКонтракт без security-клауз — это пустое обещание. DPA (Data Processing Agreement), SLA на уведомление об инциденте, right to audit и breach notification — обязательные элементы любого контракта с вендором, обрабатывающим данные
• 4.
  Мониторинг third-party рисковОднократная оценка вендора устаревает через 3-6 месяцев — continuous monitoring через SecurityScorecard/BitSight обнаруживает деградацию security posture вендора в реальном времени. Fourth-party risk (вендоры ваших вендоров) — следующий рубеж TPRM
• 5.
  Проведение vendor assessment — практикумПрактическое проведение полного vendor risk assessment от A до Z — risk tiering, questionnaire, evidence review, scoring, risk report и contract review на реалистичном кейсе SaaS-вендора

KPI, KRI и метрики на языке бизнеса, презентации для Board of Directors, отчётность и обоснование инициатив.

• 1.
  Язык бизнеса для CISO: KPI и метрикиCISO, который говорит на языке технологий, остаётся техническим менеджером. CISO, который говорит на языке бизнеса — становится стратегическим лидером. Security-метрики должны переводиться в доллары, проценты риска и бизнес-импакт, иначе бюджет уйдёт конкурентам за ресурсы.
• 2.
  Презентация рисков для Board of DirectorsBoard of Directors не хочет слышать про CVE и zero-day — они хотят знать, сколько компания потеряет и какова вероятность. Успешная Board-презентация переводит кибер-риски в язык бизнес-решений: heatmap рисков, долларовый импакт и чёткие рекомендации с вариантами.
• 3.
  Reporting и дашборды для руководстваОтчёт CISO для руководства — это не дамп из SIEM. Это стратегический документ, который рассказывает историю: где мы были, где мы сейчас, куда идём и что нужно для успеха. Лучшие CISO используют storytelling с данными, а не data dump без контекста.
• 4.
  Обоснование security-инициативКаждый доллар security-бюджета конкурирует с маркетингом, R&D и sales за ресурсы компании. Чтобы получить бюджет, CISO должен строить business case: квантифицировать риск через FAIR, показать ROI, привязать security к revenue и стратегическим целям. Без business case — без бюджета.
• 5.
  Подготовка Board Presentation: практикумПрактическое занятие: вы создаёте полноценную Board-презентацию из 10 слайдов для квартального отчёта CISO. От executive summary до budget request — каждый слайд с реальными данными, FAIR-анализом и тремя вариантами решения. Финал — симуляция Q&A с Board.

Crisis management на уровне организации: роль руководства, регуляторы и медиа, BCP/DR, кризисные учения.

• 1.
  Crisis Management FrameworkКризис — это не большой инцидент. Кризис — это событие, угрожающее существованию бизнеса. Incident Response работает на техническом уровне, Crisis Management — на уровне организации: CEO, Legal, PR, Board, регуляторы. Без Crisis Management Framework компания паникует. С ним — действует по плану.
• 2.
  Роль руководства в крупных инцидентахВ первые 72 часа после breach решения CEO, CISO, Legal и PR определяют, потеряет компания $5M или $50M. Роль каждого руководителя жёстко определена: CISO управляет техникой, Legal защищает привилегии, PR контролирует нарратив, CEO принимает стратегические решения. Реальные кейсы показывают цену ошибок.
• 3.
  Коммуникация с регуляторами и медиаGDPR — 72 часа, SEC — 4 рабочих дня, 152-ФЗ — 24 часа. Пропустили дедлайн — штраф может удвоиться. Сказали лишнее прессе — class-action lawsuit. Медиа-коммуникация в кризисе — это не PR, это юридическая операция. Каждое слово проверяется breach counsel, каждый канал контролируется.
• 4.
  Business Continuity и Disaster RecoveryRTO и RPO — это не технические метрики, это бизнес-решения стоимостью в миллионы. Когда CEO спрашивает 'через сколько мы снова работаем?' — ответ определяется не IT-командой, а Business Impact Analysis. BCP/DRP для руководителя — это страховой полис: дорого не иметь, дешевле, чем потерять бизнес.
• 5.
  Проведение кризисных учений: практикумПрактическое занятие: вы проводите полноценные кризисные учения (tabletop exercise) по сценарию ransomware-атаки на финтех-компанию. Ролевая игра с CMT, decision points каждые 15 минут, инъекции неожиданных событий, after-action review с метриками. Это максимально приближенная к реальности тренировка.

Культура безопасности, Security Awareness Program, стратегия на 1-3 года и адаптация к emerging threats.

• 1.
  Формирование культуры безопасностиТехнологии останавливают 95% атак. Оставшиеся 5% проходят через людей — и именно они вызывают 68% breach'ей (Verizon DBIR 2025). Культура безопасности — это не тренинг раз в год, а системное изменение поведения. Security Champions, gamification, позитивное reinforcement работают. Наказания — нет.
• 2.
  Security Awareness Program: дизайн и метрикиSecurity Awareness Program — это не ежегодный compliance-тренинг на 45 минут. Это непрерывная программа с microlearning, phishing-симуляциями, targeted training по ролям и метриками, которые доказывают ROI. Лучшие программы снижают click rate с 15% до 1.5% за 12 месяцев — и экономят миллионы.
• 3.
  Стратегическое планирование на 1-3 годаCISO без стратегии — пожарный, который тушит то, что горит. CISO со стратегией — архитектор, который строит устойчивую защиту. Security strategy на 1-3 года включает: vision, OKRs, technology roadmap, talent plan и budget forecast. Всё привязано к бизнес-стратегии компании.
• 4.
  Emerging Threats и адаптация стратегииСтратегия, написанная на 3 года без механизма адаптации, устаревает за 6 месяцев. AI-powered атаки, quantum computing, supply chain compromise, deepfakes — ландшафт угроз меняется быстрее, чем бюджетные циклы. CISO должен встроить scenario planning и adaptive strategy в ДНК security-программы.
• 5.
  Разработка Security Strategy Document: практикумПрактическое занятие: вы создаёте полноценный 3-year Security Strategy Document для NovaPay. От executive summary до budget forecast — каждый раздел с реальными данными, OKRs, technology roadmap, talent plan и governance model. Финальный deliverable — документ, готовый для представления Board.