Хто такий CISO і чим він займається?

CISO (Chief Information Security Officer, директор з інформаційної безпеки) — керівник, що працює на перетині технологічного ризику й бізнес-стратегії: людина, чия робота — захищати дані й системи компанії, не гальмуючи при цьому сам бізнес. Посада вже стала стандартом у великих компаніях, але те, що конкретно входить у цю роль, кому вона підпорядковується і скільки за неї платять, помітно змінилося за останні два роки. Розповідаємо, з чого реально складається ця робота сьогодні — і де верифікована розвідувальна робота доповнює інструменти моніторингу, які CISO вже використовує.

Ключові висновки

• CISO — це керівник, відповідальний за побудову й ведення програми інформаційної безпеки компанії: стратегію, політики та операційну роботу, що захищає дані й системи від несанкціонованого доступу, збоїв і крадіжки.
• Підпорядкування зміщується вгору по організаційній структурі швидко: 42% CISO тепер підпорядковуються напряму CEO — приблизно втричі більше, ніж рік тому, — тоді як пряме підпорядкування CIO чи CTO впало з майже половини респондентів до 30% (Heidrick & Struggles, 2025/2026).
• Медіанна сукупна компенсація CISO у США сягнула 880 000 доларів у 2025 році, а окреме дослідження на вибірці 566 CISO зафіксувало зростання компенсації на 6,7% рік до року — навіть попри те, що бюджети безпеки зросли лише на 4%, найповільніший темп за п'ять років (Heidrick & Struggles; IANS Research & Artico Search, обидва 2025 рік).
• Інструменти моніторингу CISO показують, що відбувається всередині мережі. Вони не перевіряють, хто справді стоїть за постачальником, кандидатом у раду директорів чи іменем, що зʼявилося у витоку облікових даних, — і саме тут розвідувальна верифікація, а не ще одна панель моніторингу, закриває прогалину.
• Ми ставимося до зовнішньої картини ризику CISO так само, як до будь-якого питання due diligence: перевіряти твердження, а не лише моніторити його симптоми.

Чим насправді займається CISO

CISO — це керівник, відповідальний за побудову й ведення програми інформаційної безпеки компанії: стратегію, політики та операційну роботу, що захищає дані й системи від несанкціонованого доступу, збоїв і крадіжки. CISO входить до C-suite, а це означає, що робота лише наполовину технічна. Друга половина — це переклад стану безпеки мовою, зрозумілою раді директорів, CFO чи регулятору.

На практиці роль охоплює:

• Формування політики безпеки та вибір фреймворків — ISO 27001, NIST, SOC 2 — на яких будується програма
• Управління персоналом безпеки, а у великих компаніях — координацію кількох спеціалізованих команд: SOC, GRC, інженерії, threat intelligence
• Моніторинг мережевої активності й підтримання постійної видимості того, звідки найімовірніше прийде атака
• Володіння процесами реагування на інциденти й планами відновлення після збоїв, а також безпосереднє керівництво реагуванням, коли злам справді стався
• Звітування про стан безпеки компанії — точно, а не заспокійливо — за визначеною ієрархією: CIO, CTO, CEO або напряму раді директорів

Для компаній, що працюють з критичною інфраструктурою чи фінансовим сектором в Україні, цей пункт має конкретний регуляторний вимір: реагування на серйозний інцидент координується через CERT-UA — урядову команду реагування на компʼютерні надзвичайні події, що діє в структурі Держспецзв'язку відповідно до закону "Про основні засади забезпечення кібербезпеки України". Для CISO, що працює з обʼєктом критичної інфраструктури, це не абстрактний пункт у політиці, а конкретний канал ескалації, який має бути прописаний в плані реагування заздалегідь, а не винайдений під час самого інциденту.

Чому це важливо: технічна робота — це база. Що насправді відрізняє CISO, який протримався на посаді довше середнього терміну, від того, хто не протримався, — це зазвичай друга половина роботи: уміння донести реальний ризик мовою, зрозумілою нетехнічному керівнику, до того, як цей ризик стане заголовком новин.

Досвід і бекграунд, які приводять людину на цю посаду

CISO зазвичай приходять з інформаційної безпеки, ІТ, риск-менеджменту чи компʼютерних наук — хоча найсильніші кандидати дедалі частіше поєднують цю технічну базу з формальною бізнес- чи риск-менеджмент освітою, оскільки робота тепер включає рішення про ресурси й пріоритети, які є бізнес-рішеннями не менше, ніж технічними. Досвід аудиту не є обовʼязковим, але він допомагає: CISO, який сидів по інший бік комплаєнс-аудиту, зазвичай будує контролі, що реально витримують такий аудит.

Сертифікації, які реально важать при найманні:

• CISA (Certified Information Systems Auditor) або CISM (Certified Information Security Manager) — обидві від ISACA
• CISSP (Certified Information Systems Security Professional) — від ISC2

Жодна з них не замінює навичку, яку найважче підтвердити сертифікатом: залишатися спокійним і рішучим, поки інцидент ще розгортається, з неповною інформацією і радою директорів, що чекає на відповідь.

Звідки взялася ця роль

Роль молодша, ніж здається більшості людей. Citicorp створив цю посаду у 1995 році й найняв Стіва Каца — це була пряма відповідь на спробу шахрайства на 10 мільйонів доларів роком раніше, коли хакери вивели з банку приблизно 400 000 доларів, перш ніж схему зупинили. Ця історія походження досі формує роль три десятиліття по тому: CISO існує тому, що конкретний, дорогий збій показав — безпеці потрібен названий виконавчий власник, а не розмита відповідальність, розкидана по всьому ІТ.

Базові обовʼязки — управління, політики, моніторинг — нікуди не зникли. Змінилося те, з ким ще CISO тепер має працювати. Сучасний CISO реально витрачає час на переклад між технічними командами, керівниками, що не розділяють їхнього словника, і дедалі частіше — зовнішніми розслідувачами й аудиторами, яким потрібно зрозуміти, що компанія насправді знає про власну вразливість.

Кому підпорядковується CISO — і чому це змінюється

Підпорядкування змінюється швидко, і напрямок — у бік більшої близькості до топ-менеджменту, а не меншої. Глобальне дослідження Heidrick & Struggles 2025/2026 року — 371 респондент у США та Європі — показало, що 42% CISO тепер підпорядковуються напряму CEO, приблизно втричі більше, ніж у попередньому дослідженні. Пряме підпорядкування CIO чи CTO, колись типовий шлях, впало з майже половини респондентів до лише 30%. Доступ до ради директорів зріс паралельно: за попереднім дослідженням Heidrick, три з пʼяти CISO вже презентували повній раді директорів, а майже чотири з пʼяти — окремому комітету ради.

В Україні є свій, окремий регуляторний драйвер для формалізації саме такої відповідальної ролі — щоправда, поки що для іншого сегмента ринку. Постанова НБУ №143, що набула чинності 13 грудня 2025 року, вимагає від небанківських фінансових установ — страхових компаній, кредитних спілок, фінансових компаній, ломбардів — призначити відповідальну особу за кібербезпеку, яка розробляє внутрішні політики, моніторить інциденти й погоджує зміни в ІТ-системах; повне виконання вимог має відбутися до 13 грудня 2026 року. Банки підпадають під окрему постанову НБУ №99. Це — інший шлях до тієї ж мети, що й тренд на пряме підпорядкування CEO у Heidrick & Struggles: регулятор прямо вимагає названого відповідального власника ризику, а не розмитої відповідальності всередині ІТ-департаменту.

Чому це важливо: CISO, який підпорядковується через CIO, на практиці відповідає перед людиною, чиї власні пріоритети — безперебійність роботи систем, швидкість поставки, вартість — можуть суперечити пріоритетам безпеки. CISO, що підпорядковується CEO чи раді директорів, отримує пряму відповідальність за розмову про ризик — а це підвищує ціну помилки у фактах з першого разу, а не з другого.

Скільки заробляють CISO і чому компенсація продовжує зростати

Оплата праці CISO зросла різко, і два незалежні дослідження 2025 року показують це з різних кутів. Heidrick & Struggles зафіксували медіанну сукупну компенсацію CISO у США на рівні 880 000 доларів у 2025 році (у середньому — 1,447 млн доларів), причому верхній квартиль керує командами від 100 людей і бюджетами понад 50 млн доларів; частка акцій у загальній компенсації зростає, особливо на найвищому рівні. IANS Research та Artico Search, опитавши 566 CISO у США та Канаді, зафіксували зростання загальної компенсації на 6,7% рік до року — попри те, що бюджети безпеки зросли лише на 4%, найповільніший темп за пʼять років. Оплата сильно відрізняється за галуззю: IANS назвали середню компенсацію в технологічному секторі на рівні 844 000 доларів, а у фінансових послугах — 744 000 доларів.

Обидва дослідження охоплюють лише ринок США та Європи; окремого порівнюваного за методологією дослідження зарплат CISO в Україні ми не знайшли, і український ринок компенсацій для цієї ролі суттєво відрізняється за масштабом. Наводимо ці цифри як орієнтир глобального тренду, а не як пряму оцінку українського ринку.

Чому це важливо: компенсація, що зростає швидше за бюджет, — це сигнал, а не просто цифра. Ради директорів платять більше людині, відповідальній за ризик безпеки, водночас даючи їй порівняно менше нових грошей на зниження цього ризику — а це підвищує вагу питання, як вичавити реальну цінність із кожного вже виділеного долара, включно з тими частинами програми безпеки, які взагалі не показуються на жодній внутрішній панелі моніторингу.

CISO проти інших ролей у C-suite

CISO проти CIO. CIO відповідає за весь технологічний стек компанії й за те, як він служить бізнесу. CISO відповідає лише за одну частину цього — за захист від загроз — і дедалі частіше виступає перевіркою рішень, які команда CIO приймає заради швидкості чи вартості.

CISO проти CTO. CTO будує й розвиває технології, на яких працює бізнес. CISO вирішує, що безпечно будувати поверх них, і проводить перевірки — аудити, пентести, перегляди доступу — які підтверджують, що це справді безпечно.

CISO проти CPO. Робота Chief Privacy Officer — регуляторна: переконатися, що обробка даних відповідає закону про приватність. Робота CISO — операційна: переконатися, що системи, які зберігають ці дані, взагалі неможливо зламати. Ці дві ролі дедалі більше змушені координуватися, оскільки збій приватності і збій безпеки часто є одним і тим самим інцидентом, описаним з двох різних кутів.

CISO проти vCISO. Віртуальний CISO виконує ту саму стратегічну функцію в статусі консультанта, а не штатного співробітника — поширений варіант для середніх компаній, яким потрібне експертне рішення без повної C-suite вартості. Компроміс — доступність: vCISO зазвичай розподіляє час між кількома клієнтами, і це має значення, якщо інцидент трапляється саме того дня, коли він не дивиться на ваше середовище.

Навіщо компаніям насправді потрібен CISO

Основна цінність CISO проста: людина, достатньо старша за посадою, щоб компроміси з безпеки реально виконувалися, і достатньо технічна, щоб знати, які компроміси важливі. На практиці це означає управління інформаційними активами компанії, обґрунтовану віддачу від витрат на безпеку, відстеження ландшафту загроз, що змінюється швидше за будь-який статичний документ політики, і підтримання відповідності стандартам, які реально перевіряють клієнти, регулятори та страховики.

Чого роль дедалі більше не може зробити самотужки — це перевірити все, за що вона відповідає. Внутрішні інструменти CISO — SIEM-платформи, EDR, сканери вразливостей — побудовані для моніторингу власного середовища компанії. Вони не бачать, чи не приховує структура власності нового постачальника недекларований конфлікт інтересів, чи має кандидат у раду директорів історію негативних згадок, яка ще не спливла, чи вже циркулюють облікові дані співробітників на форумі в даркнеті, який компанія ніколи не перевіряла. Це окрема дисципліна — розвідувальна верифікація, а не моніторинг, — і саме тут наша власна робота як розвідувальної фірми стоїть поруч з наявною програмою безпеки CISO, а не конкурує з нею.

На що звертати увагу при найманні CISO

Компанії, що наймають CISO, зазвичай перевіряють глибину одразу за кількома вимірами: практичний досвід управління інформаційними активами, володіння фреймворками data governance і комплаєнсу, здатність перекласти роботу з безпеки в бізнес-цінність, яку профінансує рада директорів, і витримку вести команду крізь активний інцидент, а не лише планувати його на папері.

Індикатори, які варто перевіряти на співбесіді, а не лише в резюме:

• Конкретний, перевірюваний інцидент, яким кандидат керував особисто — а не узагальнене твердження про "досвід реагування на інциденти"
• Прямі відповіді про те, що саме не спрацювало під час минулого зламу, а не лише про те, що команда зробила потім
• Знайомство з комплаєнс-фреймворками, які реально застосовують саме ваша галузь і ваші регулятори
• Докази того, що кандидат захищав запит на бюджет безпеки перед CFO чи радою директорів, а не лише витрачав уже затверджений бюджет

Крок, який компанії регулярно пропускають: перевірка бекграунду самого кандидата з тією ж ретельністю, яку компанія застосувала б до постачальника чи обʼєкта поглинання. Твердження в резюме кандидата на CISO — попередні результати реагування на інциденти, сертифікації, обсяг попередньої ролі — це саме той тип тверджень, які виграють від незалежної перевірки кандидата перед наймом, а не лише перевірки рекомендацій, з огляду на те, скільки повноважень і доступу ця роль отримує з першого дня.

Що не показує панель моніторингу безпеки CISO

Інструменти внутрішнього моніторингу добре відповідають на одне питання: що відбувається всередині нашого власного середовища прямо зараз? На інше, складніше питання вони відповідають значно гірше: чого ми ще не знаємо про людей, постачальників і контрагентів, від яких залежить наша компанія?

Чому це важливо: CISO, який лише моніторить, пропускає саме ті ризики, що не торкаються власної мережі, доки не стає запізно, — недекларований конфлікт інтересів, скомпрометований постачальник, найм керівника, чий бекграунд не витримує перевірки. Наша власна робота з аналітики ризиків і ширша практика управління цифровими ризиками існують саме для того, щоб закривати цю прогалину — перевіряючи те, що панель моніторингу апріорі не здатна побачити. Там, де кіберризик перетинається зі ширшими відносинами з постачальником, ми зазвичай проводимо цю роботу разом із перевіркою третіх сторін, оскільки два питання — чи безпечний цей постачальник і чи є він тим, за кого себе видає — зазвичай потребують відповіді разом.

Часті запитання

Чим CISO займається щодня?

Щоденна робота залежить від розміру компанії, але константи такі: перегляд стану безпеки й відкритих інцидентів, управління командою безпеки та її пріоритетами, участь у рішеннях інших керівників, що торкаються ризику (новий постачальник, поглинання, запуск продукту), і звітування про статус вгору по ієрархії — CIO, CTO, CEO чи раді директорів, залежно від структури компанії.

Чи CISO — це те саме, що CTO чи CIO?

Ні. CIO керує загальною технологічною стратегією й операціями компанії. CTO будує й розвиває технологічні продукти та інфраструктуру. Мандат CISO вужчий і конкретніший: захищати те, що будують і запускають CIO та CTO, від загроз безпеці, і приймати компроміси, які роблять цей захист реальним, а не декларативним.

Яка різниця між CISO і vCISO?

CISO — штатний співробітник; віртуальний CISO (vCISO) виконує ту саму стратегічну функцію як зовнішній консультант, зазвичай розподіляючи час між кількома клієнтськими компаніями. Це поширений спосіб для середніх компаній отримати старший рівень експертизи з безпеки без повної C-suite зарплати — ціною того, що ця експертиза не приділяє їм повної уваги.

Скільки заробляє CISO?

Медіанна сукупна компенсація CISO у США сягнула 880 000 доларів у 2025 році, із середнім показником 1,447 млн доларів з урахуванням акцій (Heidrick & Struggles, 371 CISO). Окреме дослідження на вибірці 566 CISO у США та Канаді зафіксувало зростання загальної компенсації на 6,7% рік до року у 2025-му, із суттєвою різницею за галуззю — 844 000 доларів у технологічному секторі й 744 000 доларів у фінансових послугах (IANS Research & Artico Search). Порівнюваних даних для українського ринку немає — обидва дослідження охоплюють лише США та Європу.

Кому підпорядковується CISO?

Історично більшість CISO підпорядковувалися CIO чи CTO. Це швидко змінюється: за даними дослідження Heidrick & Struggles 2025/2026 року, 42% тепер підпорядковуються напряму CEO, тоді як пряме підпорядкування CIO чи CTO впало до 30% респондентів. В Україні є окремий регуляторний драйвер для того самого — Постанова НБУ №143 вимагає від небанківських фінустанов призначити відповідальну особу за кібербезпеку до грудня 2026 року.

Які сертифікації потрібні CISO?

Немає єдиного обовʼязкового сертифіката, але CISA і CISM (обидві від ISACA) та CISSP (від ISC2) — це сертифікації, які реально важать при найманні, поряд із доведеним досвідом керівництва крізь реальні інциденти, а не лише наявністю паперового підтвердження.

Хто був першим CISO?

Стів Кац, найнятий Citicorp у 1995 році після спроби шахрайства на 10 мільйонів доларів роком раніше, коли хакери вивели з банку приблизно 400 000 доларів, перш ніж схему зупинили. Роль створили саме тому, що цей інцидент показав: безпеці потрібен один названий виконавчий власник.

Чи кожній компанії потрібен штатний CISO?

Не обовʼязково. Менші компанії часто використовують vCISO, щоб отримати еквівалентну стратегічну експертизу без повної штатної вартості. Що дійсно потрібно будь-якій компанії, яка обробляє значущі дані чи має реальну регуляторну експозицію, — це чітка, старша за рівнем відповідальність за рішення з безпеки, незалежно від того, чи виконує її штатна, віртуальна чи спільна позиція.

Як зовнішня верифікація вписується в роботу CISO?

Поруч із нею, а не замість неї. Внутрішні інструменти CISO добре моніторять власне середовище компанії. Вони не можуть перевірити реальну структуру власності постачальника, підтвердити бекграунд кандидата в раду директорів чи перевірити даркнет на предмет того, що облікові дані компанії вже там засвітилися. Ця верифікаційна робота — окрема дисципліна, відмінна від моніторингу безпеки, і саме тут розвідувальна методологія доповнює наявну програму CISO, а не дублює її.

‍