Директор по информационной безопасности

Кто такой Director of Information Security

Director of InfoSec — руководитель функции информационной безопасности компании. Он определяет, как защищены продукты, инфраструктура, данные пользователей и деньги, и отвечает за то, чтобы эти меры работали на практике, а не только существовали в документах. В рисковых вертикалях эта роль критична: атаки на аккаунты игроков, взломы платёжных шлюзовПлатёжный шлюзПлатёжный шлюз (payment gateway) — техническое звено, которое принимает платёжные данные с сайта или приложения и передаёт их на обработку эквайеру или процессингу, возвращая результат транзакции., утечки баз KYCKYCПроверка личности клиента: документы, адрес, иногда селфи.-данных и мошенничество с трафиком напрямую бьют по выручке, лицензии и банковским партнёрствам.

Роль нужна потому, что в гемблинге, крипте, финтехе и нутреНутраНутра (nutraceuticals) — товары для здоровья и БАДы, которые продаются в перфоманс-маркетинге через арбитраж трафика и партнёрские программы. безопасность одновременно является требованием регулятора, условием работы с платёжными провайдерами и процессорами и фактором доверия пользователей. Один серьёзный инцидент может привести к блокировке платёжных каналов или отзыву лицензии, поэтому компании выделяют отдельного руководителя, который переводит безопасность на уровень бизнес-решений.

По структуре Director of InfoSec обычно подчиняется CTO или CEO, а в зрелых компаниях может входить в комитет по рискам. Под его управлением находятся команды security engineering, security operations (SOC или дежурная команда), application security, GRC (управление рисками и соответствием) и иногда антифрод в части безопасности. Он работает в связке с CTO, юристами, комплаенсомКомплаенсКомплаенс (compliance) — соблюдение законов, регуляторных требований и внутренних правил компании: проверки клиентов, борьба с отмыванием денег, защита данных и рекламные ограничения., финансами и руководителями продуктов.

Обязанности

• Разрабатывает и утверждает стратегию и программу информационной безопасности на горизонт 1–3 года с бюджетом и дорожной картой.
• Отвечает за защиту продуктов, инфраструктуры и данных: доступы, шифрование, сегментация сети, управление секретами и ключами.
• Организует мониторинг и реагирование на инциденты: SOC, процессы эскалации, плейбуки, учения и постмортемы.
• Управляет программой работы с уязвимостями: пентесты, bug bounty, приоритизация и контроль сроков устранения.
• Выстраивает безопасность разработки (AppSec, DevSecOps): требования к коду, проверки в CI/CD, обучение разработчиков.
• Обеспечивает соответствие требованиям регулятора, стандартам платёжных систем и партнёров, включая подготовку к аудитам и ответы на опросники безопасности.
• Защищает платёжные и клиентские данные: контроль доступа к KYC-базам, антифрод-связка, защита от账户 takeover и бот-атак.
• Согласовывает риски с бизнесом: оценивает новые продукты, интеграции и вендоров до запуска, ведёт реестр рисков.
• Управляет взаимодействием при инцидентах с внешними сторонами: регулятором, банками, правоохранительными органами и страховой компанией.
• Формирует и ведёт команду, распределяет бюджет и отчитывается перед советом директоров или топ-менеджментом.

Как оценивают работу: KPI

• Количество и критичность инцидентов безопасности, время обнаружения и время реакции
• Доля критичных уязвимостей, устранённых в согласованный срок
• Результаты внешних аудитов и пентестов: количество открытых находок по уровням критичности
• Выполнение плана безопасности и дорожной карты в срок
• Соответствие требованиям регулятора и платёжных партнёров без замечаний, влияющих на работу
• Покрытие безопасностью продуктов и систем (доля систем под мониторингом и с назначенным владельцем)
• Количество блокировок или задержек запусков продуктов из-за вопросов безопасности (чем меньше, тем лучше при качественном процессе)

Особенности по вертикалям

Грейды: чем отличается уровень

Как стать Director of Information Security

Обычно в эту роль приходят не сразу: путь начинается с позиций специалиста по безопасности (пентестерПентестПентест — санкционированная имитация атаки на систему, сеть или приложение, которая помогает найти уязвимости до того, как ими воспользуются злоумышленники., аналитик SOC, инженер по безопасности, специалист AppSec или GRC-аналитик). Полезен опыт в системном администрировании, разработке или сетевой инфраструктуре, потому что без понимания того, как устроены системы, управлять их защитой сложно. Для рисковых вертикалей важно знать специфику: платёжные потоки, KYC и AMLAMLПравила и проверки против отмывания денег.-требования, антифрод, работу с регулятором.

Дальше рост идёт через лидерские роли: руководитель направления (security lead, team lead SOC или AppSec), затем head of security в продуктовой компании. Важны не только технические навыки, но и умение писать политики, готовить отчёты для руководства, вести бюджет и переговоры. Многие переходят из банковской или платёжной безопасности, поскольку там уже выстроены регуляторные процессы.

Для изучения полезно разобраться со стандартами (ISO/IEC 27001, NIST, OWASP, PCI DSSPCI DSSPCI DSS — стандарт безопасности данных индустрии платежных карт, обязательный по договорам с банками и платежными системами для всех, кто хранит, обрабатывает или передает данные карт.), с принципами управления рисками и с тем, как устроены инциденты в реальных компаниях: подготовка плейбуков, учения, работа с регулятором. Практический опыт реагирования на инциденты и участие в аудитах дают больше, чем сертификаты сами по себе.

Куда расти дальше: Chief Information Security Officer (CISO), Head of Security, Head of Risk and Security, VP of Engineering (с фокусом на безопасность), Chief Technology Officer (CTO)

Термины, которые нужно знать

• KYC
• AML
• PCI DSS
• SOC
• SIEM
• penetration testing
• bug bounty
• Чарджбэк
• account takeover
• GRC

Частые вопросы