Почему хороший ИБ-специалист неудобен

В каждой компании рано или поздно появляется человек, который говорит «нельзя», «давайте подумаем» и «а что будет, если…». Он портит дедлайны, задаёт лишние вопросы и мешает «просто взять и запустить». Его называют параноиком, тормозом, формалистом. И если он действительно хорош — его считают неудобным.
Это статья о том, почему хороший специалист по информационной безопасности (ИБ) почти неизбежно становится источником дискомфорта для бизнеса, команды и руководства. И почему это не баг, а признак профессионализма.


1. Он ломает иллюзию безопасности
Большинство организаций живут в комфортной иллюзии: «нас не взломают», «мы слишком маленькие», «у нас уже стоит антивирус», «это никому не нужно». Хороший ИБ-специалист эту иллюзию разрушает.
Он приносит факты:

• реальные сценарии атак;
• примеры инцидентов у похожих компаний;
• цифры ущерба;
• неудобные вопросы про резервные копии, доступы и логи.

Людям неприятно узнавать, что их система хрупкая, процессы дырявые, а привычный комфорт держится на честном слове. Проще считать ИБ-специалиста паникёром, чем признать реальность.


2. Он мешает «быстро сделать»
Бизнес любит скорость. Запустить быстрее конкурентов, выкатить фичу вчера, закрыть квартал сегодня. Хороший ИБ-специалист по определению стоит поперёк этого потока.
Он говорит:

• «давайте сначала определим модель угроз»;
• «нужно ограничить доступы»;
• «без шифрования это плохая идея»;
• «этот подрядчик — риск».

С точки зрения команды это выглядит как торможение. С точки зрения ИБ — как минимизация будущих потерь. Но будущие потери абстрактны, а текущие дедлайны — вполне реальные. Поэтому ИБ кажется неудобным.


3. Он не верит на слово
Хороший ИБ-специалист не доверяет:

• устным договорённостям;
• «мы потом поправим»;
• «у нас так всегда работало»;
• «да кто туда полезет».

Он просит:

• документы;
• схемы;
• подтверждения;
• логи;
• тесты.

Это раздражает. Особенно опытных сотрудников, которые привыкли, что им верят. Но ИБ — это не про доверие, а про проверяемость. Там, где всё держится на словах, рано или поздно происходит инцидент.


4. Он говорит на языке рисков, а не удобства
Хороший ИБ-специалист мыслит категориями:

• вероятность × ущерб;
• сценарии компрометации;
• цепочки атак;
• точки отказа.

Команда же думает категориями:

• «удобно»;
• «быстро»;
• «дёшево»;
• «как обычно».

Когда ИБ говорит: «Это критический риск», а бизнес отвечает: «Но так же удобнее», возникает конфликт мировоззрений. ИБ-специалист не может закрыть на это глаза, не потеряв профессиональную идентичность.


5. Он отвечает за то, что случится, а не за то, что видно
Работу разработчика, администратора или менеджера видно: фичи, отчёты, аптайм, показатели. Хорошая ИБ незаметна. Если всё сделано правильно — ничего не происходит.
Парадокс в том, что ИБ-специалиста начинают ценить:

• после взлома;
• после утечки;
• после штрафов;
• после репутационного ущерба.

До этого момента он кажется человеком, который «ничего не делает, только запрещает».


6. Он неудобен, потому что думает о худшем
Хороший ИБ-специалист постоянно моделирует негативные сценарии:

• «а если сотрудник уволится?»
• «а если украдут ноутбук?»
• «а если доступы утекут?»
• «а если резервные копии не восстановятся?»

Это психологически тяжело для окружающих. Никто не любит человека, который регулярно напоминает о неприятном будущем. Но именно это и есть работа ИБ.


7. Он идёт против культуры «авось»
Во многих компаниях безопасность строится по принципу:

• «пока не случилось — не трогаем»;
• «авось пронесёт»;
• «потом разберёмся».

Хороший ИБ-специалист — антагонист этой культуры. Он предлагает системность, дисциплину и профилактику. А это требует усилий, изменений и отказа от привычек.


8. Почему это хорошо
Если ИБ-специалист удобен:

• он соглашается со всеми;
• он не мешает процессам;
• он не задаёт сложных вопросов;
• он не конфликтует.

Скорее всего, он плохой специалист.
Хороший ИБ:

• создаёт управляемый дискомфорт;
• снижает вероятность катастроф;
• защищает бизнес от самого себя;
• думает наперёд.

9. Реальные инциденты, которые начинались с «да ладно, и так сойдёт»
Чтобы ИБ не выглядела абстрактной теорией, полезно вспомнить реальные случаи, где «неудобные» требования могли бы предотвратить катастрофу.
Утечка через тестовый сервер
В одной крупной компании тестовый сервер с копией боевой базы был выложен в интернет без аутентификации. Причина простая: «временно», «для подрядчика», «потом закроем».
ИБ настаивал:

• не выносить реальные данные в тест;
• закрыть доступ по IP;
• включить аутентификацию.

Его не послушали — слишком долго, неудобно, мешает работе. В результате база клиентов оказалась в открытом доступе, инцидент дошёл до регулятора, компания получила штраф и репутационный удар. Виноватым формально оказался администратор, но по факту — культура игнорирования ИБ.


Фишинг и компрометация почты руководства
Сценарий, повторяющийся из года в год: письмо «от банка» или «от партнёра», ввод пароля на поддельной странице, отсутствие MFA.
ИБ предлагал:

• включить двухфакторную аутентификацию;
• обучить сотрудников;
• настроить фильтрацию почты.

Ответ был стандартный: «Слишком сложно для пользователей», «Руководству неудобно», «Никогда такого не было».
Итог — взломанная почта финансового директора, подмена реквизитов в переписке и перевод денег мошенникам. Потери — миллионы. MFA включили на следующий день.


Увольнение сотрудника и «забытые» доступы
Сотрудник ушёл из компании, но его доступы:

• к VPN;
• к облаку;
• к внутренним системам

не были отозваны. ИБ давно говорил о централизованном управлении доступами и процессе offboarding, но «кадры не сообщили», «руками потом закроем».
Через несколько месяцев учётка была использована для кражи данных. Формально — инсайдерская атака, фактически — провал процесса. ИБ снова оказался тем, кто «знал, но мешал».


Отсутствие резервных копий, которые реально работают
Резервные копии «были». Скрипты запускались. Галочка стояла. Проверок восстановления — не было.
Когда произошёл ransomware-инцидент, выяснилось:

• бэкапы повреждены;
• часть данных не сохранялась;
• восстановление невозможно.

ИБ годами просил тестировать восстановление и изолировать резервные копии. Это считали избыточным. Цена — остановка бизнеса на несколько дней.


Подрядчик как точка входа
В одной компании подрядчику выдали расширенные доступы «чтобы не дёргать по мелочам». Ограничения считались бюрократией.
Компрометация подрядчика привела к проникновению во внутреннюю сеть заказчика. ИБ предупреждал о принципе минимальных привилегий и сегментации, но его предложения откладывались.
Инцидент стоил дороже, чем все меры, которые казались «неудобными».


Вместо вывода
Хороший специалист по информационной безопасности — это не «внутренний враг» и не «параноик». Это человек, который добровольно берёт на себя роль носителя плохих новостей.
Его неудобство — плата за устойчивость. Его скепсис — инвестиция в будущее. Его конфликты — признак того, что безопасность действительно существует, а не просто записана в регламентах.
Если вам неудобно с ИБ-специалистом — возможно, он делает всё правильно.