Почему спиваются CISO?

На проходящей на этой неделе RSA Conference в первый день проводили интересный круглый стол на тему "Цифровая трансформация, обман и детокс: опрос лидеров ИБ", на котором поднималась очень интересная и очень дискуссионная тема, связанная с влиянием работы CISO на его жизнь. В прошлый года на RSA Conference был отдельный трек, посвященный роли CISO, развитию его карьеры, лайфхакам коллеги и т.п. В этом году этот трек решили начать с наболевшего и опросили известных и не очень коллег о том, как они дошли  до жизни такой. Позволю себе пересказать тезисно некоторые из прозвучавших тем.

На вопрос "Почему вы выбрали ИБ?" ответы разнились от "Я смотрел Mr.Robot"/"CSI Cyber" и "Я люблю решать головоломки" до "Был пентестером" и "Хотел заработать денег". Вот интересно, какие варианты ответов были у наших CISO? Зато ответы на второй вопрос "Как вы думаете, почему вас наняли?" были предсказуемы - регуляторика, произошедший инцидент, рекомендации совета директоров и часть стратегии развития. Как мне кажется, ровно те же самые основные причины присутствуют и на нашем рынке.

А вот дальше больше. Была приведена интересная статистика Forbes, согласно которой один из шести CISO имеет проблемы с алкоголем или спасается лекарственными препаратами, так как:

• они должны быть доступны в режиме 24/7
• 89% никогда не имели даже двухнедельного отпуска. 

Как следствие, 55% CISO удерживаются на работе менее 3 лет, а 30% - менее 2 лет. В то время как средний CFO сидит на своем месте 5 лет, а средний CEO - 8 лет.

Так как в отличие от ИТ-проект, ИБ не имеет начала и конца, то недостижимая ежегодная цель CISO "ни одного взлома, ни одной утечки" приводит к постоянному ночному кошмару и 91% CISO постоянно испытывают средний или высокий уровень стресса. 60% руководителей ИБ не могут дистанцироваться от работы и все время думают о ней; даже на отдыхе.

Отсюда и поднятая тема (которая пока не имеет никакой статистики) о последствиях работы CISO - рост самоубийств (в России и СНГ о таких случаях не слышал, но у американцев и число безопасников побольше, чем у нас на порядок будет), рост разводов (такое и у нас есть, хотя зависит ли это от работы человека?), а также рост пагубных привычек у CISO, среди которых на первое место выходит алкоголь и наркотики. У соотечественников, предположу, пока наркотики не в ходу (если не брать совсем уж молодежь), а вот алкоголь часто сопутствует работе CISO и хороший алкоголь - это привычный подарок на Новый год или 23-е февраля (а кто-то и на 30-е ноября, международный день защиты информации дарит).

После обсуждения проблем, на RSA Conference обсудили пути выхода из сложившейся ситуации. Начали с модного на Западе слова "детокс" и классического совета для всех тех, кто получил зависимость от гаджетов, - отключайтесь на время от технологий и научитесь проводить время без них. На Западе даже появляются отели, которые специально поднимают цены за то, что на их территории нет гаджетов, нет Интернета, глушится мобильная связь и человек остается один на один с природой. Такое есть и у нас, но не думаю, что кто-то готов за это платить - достаточно просто выехать за 100 км от Москвы и получить такой цифровой детокс, что единственным спасением станет алкоголь :-)

Второй совет тоже мало пока применим в России - посещение психологов и изучение всяческих психологических лайфхаков у нас не в чести. Они рассматриваются как шарлатаны, худшие, чем гомеопаты или продавцы страха от ИБ. Но на Западе изучение рекомендаций из серии "Как не сгореть на работе" - это из серии "must have" для каждого руководителя.

Горячие телефонные линии, онлайн-площадки (типа suicidepreventionlifeline.org), онлайн-психотерапевты (типа www.opencounseling.com или www.brendanhburns.com)... А также рекомендации больше спать, не есть сахар, меньше прокрастинировать, искать счастье вокруг себя, становиться приверженцем цифрового минимализма и заниматься ИБ-волонтерством. Ну просто ИБ-ЗОЖ какой-то :-)

В конце же дискуссии прозвучали следующие советы, которым должен следовать каждый уважающий себя CISO, столкнувшийся со стрессом в работе (а не столкнувшиеся должны помогать своим подчиненным):

1. На следующей неделе
• установить не менее одной цели для обычного ЗОЖ
2. В течение трех месяцев
• присоединиться к одной профессиональной организации и регулярно посещать ее встречи, а также стать ее волонтером (а вы думаете, зачем я создавал НАИБАЛ? :-)
• установить не менее одной цели цифрового детокса
• изменить хотя бы одну плохую привычку
3. В течение полугода
• выступить хотя бы на одной конференции
• прочитать не менее одной книжки о лидерстве и постановке целей
• провести самооценку руководства вашей компании в части того, как оно поддерживает психологическое и физическое здоровье своих сотрудников!

Тут грядут московские "Код ИБ. Профи" и CISO Forum. Может быть поднять на них эту тему?.. Хотя о цифровом детоксе и ИБ ЗОЖ лучше говорить точно не в Москве, а где-нибудь на Рускрипто или сочинском "Код ИБ. Профи", которые пройдут в гораздо лучше приспособленных для отдыха местах.

Всем ЗОЖ!