[BST: За кулисами ИБ] — Выпуск №5: «Кому прилетит за реализованный риск? Жёсткий разбор от CISO»

Инцидент случился. Кто виноват — и главное, кто реально ответит? CISO с 15-летним стажем Александр Васин без корпоративной воды разбирает: как выглядит карта ответственности после взлома, почему «риск принят» — не индульгенция и как юридически защититься, когда тебя хотят сделать громоотводом.

Ведущий: Беляев Дмитрий
CISO | ИБ-блогер
ТОП-100 лидеров ИТ (GlobalCIO)
ТОП-25 директоров по кибербезопасности России (Ассоциация менеджеров и «Коммерсантъ»)
CISO года (сообщество «Сайберус» и «КиберДом»)
«Кибергерой года» (премия «Время инноваций»)

Гость: Васин Александр

У нас в гостях — Александр Васин. Это тот самый человек, с которым хочется оказаться в одном окопе в момент инцидента. 15 лет в информационной безопасности — он прошёл путь от технического специалиста до уровня CISO, работал как в крупных корпоративных структурах, так и как независимый консультант-предприниматель.

Александр — практик из тех, кто не просто знает, как должно быть по книге, но и понимает, как это работает в реальности: когда нет времени, бюджета и политической воли. Он видел, как за инцидент отвечал не тот, кто должен был. Он документировал отказы от своих рекомендаций. И он знает цену слова «риск принят».

Его суперсила — умение превращать юридическую и регуляторную неопределённость в чёткий алгоритм действий для CISO. Он научит тебя не быть громоотводом бизнеса, а быть защищённым профессионалом.

Временные метки:
00:00:00 — Вступление: знакомство с Александром Васиным — CISO с 15 годами в ИБ
00:01:25 — Тема выпуска: кто виноват после инцидента и кто несёт реальную ответственность?
00:03:44 — Инцидент произошёл: что отвечают CISO и почему конкретного виновного не бывает
00:05:36 — Реальная карта ответственности после взлома: CISO, CTO, CEO или рядовой сотрудник?
00:07:29 — CISO отвечает за процесс, а не за каждого сотрудника — в чём разница?
00:08:54 — Уголовная ответственность за инцидент ИБ в России: реальность или страшилка?
00:10:21 — Реальный кейс: кто реально ответил в ЦОДе, когда всё сгорело из-за перегрузки
00:13:23 — Был ли CISO громоотводом? Как понять, что тебя подставляют
00:15:25 — Что такое реализованный риск с точки зрения закона и здравого смысла
00:16:40 — Почему в России риски никто не умеет считать — и как это выглядит на практике
00:19:25 — Анекдот про динозавра и вероятность: как реально оценивают риски
00:23:37 — Риск: минимизировать, митигировать или принять — что выбрать?
00:24:23 — Реальный кейс: принятый риск, новогодняя ночь и попытка взлома через BruteForce
00:29:55 — Руководство говорит «работайте» и не подписывает документ о принятии риска
00:34:29 — Почему подход «либо да, либо нет» в реальной жизни не работает
00:39:34 — Кто должен подписывать документ о принятии риска: CISO, CEO или комитет?
00:40:47 — Кейс: CEO отодвинул бумагу и ничего не подписал — что делать CISO?
00:44:35 — CISO просил бюджет, ему отказали, произошёл взлом, уволили — это законно?
00:47:27 — Как документировать отказы от рекомендаций: алгоритм защиты через трекер задач
00:50:17 — Блиц-игра: 10 жёстких вопросов — только «да» или «нет»