Voice of the CISO: риск уже внутри рабочих процессов, не на периметре
Шестой ежегодный отчёт Proofpoint «Voice of the CISO» сводит ответы 1600 руководителей ИБ. Патрик Джойс, Global Resident CISO компании, в колонке для The Hacker News формулирует так: центр риска сместился внутрь рабочих процессов, а не остался на границе сети. Это обзор исследования, не инструкция «как внедрить продукт Proofpoint».
Цифры, которые стоит разобрать, а не повесить на слайд
78 процентов CISO считают генеративный ИИ серьёзным риском для данных. 79 процентов называют человеческий фактор главной уязвимостью. 85 процентов чувствуют давление совета директоров, 77 — считают ожидания чрезмерными. 93 процента связывают уход сотрудника с материальным ущербом: доступы, переписка, черновики, которые уезжают вместе с человеком.
Цифра про «уход» важнее лозунга про инсайдера. Увольнение — штатный процесс: отзыв ролей, почта, мессенджеры, личные ИИ-агенты, которые уже подключены к корпоративным системам. Если этот процесс не закрыт, материальный ущерб появляется без «злого умысла». Смежный контур — сторонние ИИ-агенты вне SSO.
Что из этого следует для совета, не для вендора
Давление совета само по себе не зрелость. Если совет ждёт «нулевой риск за квартал», CISO либо рисует зелёные индикаторы, либо тратит год на объяснение, почему индикаторы врут. Полезный разговор: какие три процесса уже трогают чувствительные данные через ИИ и людей, и какой из них можно измерить за 90 дней.
Человеческий фактор в отчёте — не «проведите тренинг». Это доступ уволенного, пересылка в личный чат, вставка регламента в сторонний агент. Тренинг без отзыва ролей и без учёта ИИ-инструментов цифру 79 процентов не сдвигает.
Где это в модели зрелости
Давление совета и уход сотрудников — организационная структура и доступ. Карта — на странице зрелости.
Как проверить
Возьмите три увольнения за квартал. Засеките часы от заявления до отзыва почты, VPN, облака, личных ИИ-агентов и общих документов. Если агент остаётся после последнего дня — цифра 93 процента уже про вас, без новой атаки.
На ближайший комитет вынесите не «мы против ИИ», а список процессов, где GenAI уже трогает данные, и один пилот ограничения. Как говорить с руководством про риск, а не про инструменты, — в направлении организационной структуры.
Источники
- The Hacker News / Patrick Joyce. The Sixth Voice of the CISO Data Shows Cyber Risk Has Moved Inside the Workflow. URL: https://thehackernews.com/2026/10/the-sixth-voice-of-ciso-data-shows.html.
