На конкурсе надо было за три минуты рассказать про свой продукт. В зале сидели шесть настоящих CISO из настоящих компаний и просто поднимали руку: куплю или не куплю. Половина выступавших за три минуты так и не объяснила, что их продукт делает. Я разговаривал с этими же людьми отдельно — один на один они рассказывают отлично.
Значит, дело не в знании продукта.
Ниже — текстовая версия того эфира. Начал я его с вопроса залу: что у вас происходит на встречах? Пять вариантов, и участники писали номера в чат.
- Клиенты послушали, сказали «очень интересно» — и больше вы их не видите.
- Вы даёте подробные технические детали, считаете свой продукт лучшим на рынке, а заказчик отвечает: мы не поняли.
- Тяжело удерживать внимание. Вы показываете, а люди вас уже не слушают.
- Вас продавливают: «давайте сравним с конкурентами», «а у них вот так» — и вы начинаете оправдываться.
- После встречи непонятно, о чём договорились и какой следующий шаг.
В чат полетели все пять номеров.
Дальше — ошибки, из которых это вырастает. Соответствие такое:
| Что видит зал | Откуда растёт |
|---|---|
| «Очень интересно» — и пропали | Говорили о себе, а не о его ситуации |
| «Мы не поняли» | Продавали фичи вместо выгоды |
| Не удержать внимание | Экскурсия по интерфейсу без подготовки |
| Непонятно, о чём договорились | «Спасибо за внимание» вместо просьбы |
| Продавливают сравнением с конкурентами | В эфир не вошло |
На эфире до последней строки не дошли. Работа с конкурентным давлением — отдельный разговор, и он будет.
Ошибка первая: вы говорите о себе, а не о его ситуации
Кибербезопасность — тридцатая проблема в бизнесе любой компании. Заказчику нечем платить зарплату, у него налоговая и проверки, а тут приходите вы и предлагаете купить что-нибудь под названием SIEM, vulnerability management или NGFW. И он честно не понимает: что это и зачем.
В холодную предлагать покупку не работает. Сначала человека надо ввести в ситуацию.
У меня была конференция, куда я позвал своих заказчиков. Вышел руководитель европейского подразделения вендора и десять минут рассказывал, какие мы великие. Я смотрел на это с ужасом: люди слушали на английском и думали примерно одно — ты сейчас сказал, что вы заработали сто миллиардов долларов и хотите заработать ещё немного на России. Заказчик хочет услышать, как вы поможете ему.
Фреймворков, которые с этим работают, много, и все они устроены одинаково: сначала ситуация, потом проблема, потом решение. Буква S в SPIN — это тоже situation. Порядок такой:
- Ситуация. Вы и заказчик сходитесь на том, что происходит. Например: все запустили ИИ, и никто не контролирует, что сотрудники куда отправляют. С агентами та же история — агенту выдали море прав и не смотрят, что он делает, а он тем временем удаляет чужую почту и чужие документы.
- Проблема. Что именно тревожит в этой ситуации его. Говорить должен он, а не вы. Здесь помогают свежие исследования и тренды — их сейчас много, берите.
- Решение. Сначала как эта проблема решается в мире вообще, и только потом — что умеет ваша компания и чем это доказано.
Вот тут и находится трудность: переключиться и начать рассказывать, какие вы крутые, неожиданно сложно. Тем, кто у меня учится, я вообще запрещаю делать слайд о компании — чтобы они тренировались работать по фреймворку.
Но есть исключение, и оно важное. Слайд о компании нужен, когда вас не знают вовсе или когда отношения уже так себе: где-то прокололись, и теперь вы «компания ABC», которая что-то хочет предложить. Тогда объяснить, что вы не маленькие и у вас есть экспертиза, — ровно то, что требуется.
А вот молодым компаниям начинать с себя нечем. «Мы получили грант, освоили его, продукта пока нет, но мы хотим, чтобы вы побыли бета-тестером: будут падения, баги, сеть будет ложиться» — так это выглядит со стороны.
Приём: первые две минуты встречи говорите только о его рынке и его задаче. Слайд о компании — после того, как он согласился, что ситуацию вы понимаете.
Ошибка вторая: вы продаёте фичи, а не выгоду
Фичи у вас есть, они записаны в Jira. Сделать сохранение конфигурации для WAF — фича. Вы садитесь перед CISO и говорите: у нас теперь новая функция, мы сохраняем конфигурацию.
Такая функция есть в любом продукте. Что она даёт заказчику?
Этот вопрос я задал залу, и ответы пришли быстро: «возможность оперативного восстановления», «откатиться без простоя». Уже теплее. Полный ответ звучит так: сохранение конфигурации сокращает время восстановления после сбоя. Устройство однажды упадёт, сгорит или окажется в состоянии, из которого его проще перезалить, — и если конфигурации нет, восстановление растягивается.
У этого есть точные слова, и заказчик их знает. В business continuity planning живут два параметра — RTO и RPO, время восстановления и точка восстановления. За ними следит любой бизнес, и система информационной безопасности находится внутри BCP и DRP. Скажите «RTO», и разговор перейдёт на язык, на котором в компании уже считают деньги.
Вторая выгода той же фичи: конфигурацию можно переиспользовать. Открыли вторую площадку — и всё оборудование разворачивается из сохранённого: сканер, межсетевой экран, хостовая защита, антиспам.
Приём: к каждой фиче в вашей презентации допишите строку «и поэтому заказчик…». Если строка не дописывается, фиче на слайде не место.
Ошибка третья: экскурсия по интерфейсу
Я часто присутствую на демонстрациях, и картина обычно такая. Человек открывает интерфейс — огромный экран, сотня подписей и счётчиков разом — и говорит: смотрите, вот мы хакера поймали. А заказчик просит: давайте ещё раз.
Тема сложнее, чем кажется: в HP у меня был двухдневный курс только про демонстрацию интерфейсов. У человека в голове полочки, и перед показом их надо подготовить. Схема из трёх шагов, её учат во всех международных компаниях, где я работал: рассказать, показать, резюмировать.
Рассказать. До интерфейса вы описываете сценарий: в сети работает множество приложений — облачные сервисы вроде ChatGPT или Яндекс Диска, служебные протоколы, промышленные протоколы, — и наше устройство их видит движком разбора приложений. Вы формируете ожидание. Человек уже хочет посмотреть, какие приложения у него.
Показать. Вы открываете интерфейс: вот он, список. Заказчик подготовлен, он смотрит и считает сам. И начинает спрашивать: почему у меня Cobalt Strike в половине трафика, пойду проверю, что это за ребята. Почему у меня IPsec вместо ГОСТового шифрования.
Резюмировать. Вы возвращаетесь на слайд: мы увидели у вас четыреста приложений; среди них средство удалённого управления, которым вы не пользуетесь, но им пользуется шифровальщик; облачные сервисы, которых вы не покупали, а кто-то в них ходит. Наше устройство помогает это как минимум увидеть, а дальше — заблокировать.
Соблазн показать всё сразу огромный: в NGFW две сотни функций, и часа не хватит ни на одну треть. Я двадцать лет демонстрирую интерфейсы и до сих пор готовлюсь: выбираю, что покажу, и делаю под это слайд. Для сравнения: обучение одного инженера на стороне заказчика занимает у меня четыре часа, и только после них человек начинает писать правила и профили сам.
Приём: рассказать, показать, резюмировать. Перед демонстрацией — слайд со сценарием, после неё — слайд с выводами. Сам интерфейс между ними.
Ошибка четвёртая: страх заказчика никто не снимает
Инженеров эмпатии почти не учат — продавцов ей учат отдельно. Вопрос человека часто связан не с тем, что он хочет узнать.
Живой пример. IPS в режиме блокировки включают единицы компаний — я за все годы уговорил на это очень немногих. Остальные оставляют режим оповещения, и таких, уверен, девяносто девять процентов. Причина не техническая: «нас уволят, если мы заблокируем в нашем банке платёжный трафик». С появлением российских NGFW и IPS вопрос остался тем же — интересно, кто из них реально работает в блокировке.
Люди боятся, что ваш продукт будет работать нестабильно. Что вы продадите и исчезнете. Это надо отрабатывать, и порядок здесь обратный инженерной интуиции.
Присоединиться. Да, я знаю, что такое бывает, я сам в таких ситуациях бывал. Был в крупном банке в момент, когда экскаватор перерубил кабель и весь интернет там пропал. Каналов было три, но, к сожалению, все три шли через один колодец. Ни резервирование, ни договоры не помогли, и объясняться с бизнесом пришлось тем, кто был рядом.
Снять страх механикой. Кластер переключится, если узел упадёт. Мы заложили это архитектурно, потому что видели такое раньше.
Вести к решению. А что, если сделать так и так? Тогда вероятность сбоя будет вот такой, и минимизируем мы её вот этим. По человеку обычно видно: слушайте, такое решение меня устроит.
Чего делать нельзя: сказать «у нас всё надёжно, не переживай». Он не вернётся. Человек останется со своим страхом наедине — а страхов у него много: уволят, оштрафуют, придёт проверяющий. И разбирать их лучше один на один: в большой аудитории это почти невозможно.
Приём: присоединиться, снять страх механикой, вести к решению. Три шага, и ни один нельзя пропустить.
Человек слушает вас со своей болью внутри
Двадцать лет я говорю в анонсе, что будет запись. Двадцать лет говорю это в начале эфира. И двадцать лет ровно в середине выступления кто-нибудь спрашивает: а будет ли запись?
Я перестал этому удивляться, потому что это и есть психология в чистом виде. Человек вроде слушает вас, но внутри у него своя забота: у меня самого через час выступление, а презентация не готова. Или я плохо знаю материал и сейчас это вскроется — обычный эффект самозванца, который лечится только опытом.
Отсюда практический вывод: на любой вопрос, который вам кажется странным или уже отвеченным, отвечайте спокойно и по существу. Он задан не вам, а собственной тревоге.
Ошибка пятая: вы говорите не на его языке
Этой ошибки не было в анонсе эфира — я вспомнил о ней по ходу, и зря, потому что встречается она чаще остальных.
Мы любим ввернуть умное слово. Сколько человек в зале знает, что такое LACP? А чем SNMP отличается от STP? Если заказчик не понял слово, он перестаёт вас слушать и уходит гуглить, что это было.
Перед встречей выясните, кто перед вами: степень зрелости как айтишника и как безопасника. Дальше говорите словами, которые он знает. Когда мы только начинали защищать Kubernetes, это была катастрофа: приходишь к безопасникам, а слова «Kubernetes» почти никто не знает. Приходилось объяснять, что это такое и зачем его защищать.
Я прихожу с чем-то новым постоянно — NGFW, XDR, когда-то SIEM и ArcSight, когда слова SOC не понимал никто, — поэтому мои выступления давно превратились в обучение. Термин я ввожу так, чтобы никого не обидеть: «напомню, LACP нужен, чтобы несколько интерфейсов работали одним агрегированным каналом».
Приём: вводите термин формулой «напомню, что…». Она не обижает того, кто знает, и спасает того, кто не знает.
Ошибка шестая: «спасибо за внимание»
Люди пишут этот замечательный слайд — а у встречи была цель. Нужно подвести итоги и попросить аудиторию о конкретном действии: подойдите к стенду, я расскажу остальное. Задайте вопрос. Это называется critical reason to act, и без него всё рассыпается.
Почему так делают инженеры, понятно: мы закончили, дальше нам неинтересно. А надо наоборот — вовлечься: ребята, я выступил, теперь я хочу, чтобы вы пошли и защитили свою компанию.
Вопрос здесь к вам: важно ли вам ваше выступление? Компания заплатила за участие, вам платят зарплату. Пришли люди, которые увидели название «как защитить АСУ ТП», — и вы рассказали им, что её надо защищать. Они и так это знали.
Отдельная разновидность той же ошибки — follow-up, которого заказчик не ждал. Ему присылают опросник на сто, а то и пятьсот вопросов. Это как получить мокрой тряпкой по лицу. Половину вопросов можно было задать на встрече, где вы только что были; часть заполнить самому; а по остальным — помочь, потому что заказчик сам не всегда знает, сколько у него чего.
Дальше происходит вот что. Через месяц спрашиваешь коллег: была же отличная встреча, заказчику очень захотелось продукт, что дальше? — «Да он опросник ещё не заполнил». Через неделю он его уже не заполнит. Здесь надо поднимать красный флаг и говорить прямо: тут ничего не работает.
Приём: назовите вслух одно действие, о котором просите, и сделайте его маленьким. «Подойдите на стенд», «пришлите схему сети», «назначим пилот на две недели» — а не «свяжемся».
Бонусом из зала: как говорить с руководством
Вопрос пришёл такой: решение закрывает риски и упрощает разбор инцидентов, но руководству неинтересно. Ответ в самом вопросе — крупных инцидентов не было, и загораться нечем.
Лучшее выступление на эту тему я слышал у Алексея Волкова: он выступал в Казани и рассказывал, как пережил в «Северстали» четырёх разных генеральных директоров. Типажи совершенно разные. Есть владелец, для которого кибербезопасность — сила компании. Есть владелец, который говорит: бог с ними, с хакерами, — и таких переубеждает только собственный инцидент, как это вышло у СДЭКа.
Вывод отсюда простой: типаж руководителя выясняется до разговора, а не во время. С тем, для кого безопасность — сила компании, говорят про развитие. С тем, кто в неё не верит, — про деньги и про то, что уже случилось у соседей.
Однажды на свадьбе я сидел рядом с владельцем фармацевтической компании и, конечно, завёл свою тему. Он ответил: мне плевать. Зашифруют — у меня есть студент, он переустановит везде Windows. Украдут данные — украдут список дистрибьюторов, он и так известен.
Если вас наняли отвечать за безопасность, первый вопрос должен быть: какого результата вы от меня хотите? Если нужна галочка для комплаенса — решайте, готовы ли вы быть человеком для галочки: айтишники это поймут раньше вас и помогать не станут.
А когда дело доходит до денег, разговор простой. Руководитель обычно готов назвать сумму, которую он согласен терять. Дальше вы говорите: ты сейчас теряешь миллиард на том, что у тебя периодически останавливается производство и срываются договоры. Я готов этот миллиард сэкономить, и мне на это нужно пятьсот миллионов. Человек, отвечающий за бизнес, считает: пятьсот меньше миллиарда.
И приносите не одно решение, а несколько вариантов — руководители чаще всего «красные» по DISC, а такие любят выбирать. Хорошо, если вы ещё и разбираетесь в процессах компании: лучший безопасник ближе к операционному директору, чем к инженеру.
Пять вопросов перед следующей встречей
Список ошибок сам по себе ничего не меняет. Работает другое — короткая проверка до встречи, а не после. Пять вопросов, на которые у вас должен быть ответ, прежде чем вы откроете ноутбук:
- Кто будет в комнате и что эти люди знают? Насколько они зрелы как айтишники и как безопасники. От ответа зависит каждое слово, которое вы произнесёте.
- В какой ситуации они живут прямо сейчас? Не какой у вас продукт, а что у них происходит и какими словами они сами об этом говорят.
- Чего они боятся? Не «какие у них риски», а что случится лично с человеком, если ваше решение однажды ошибётся.
- Какие три вещи я покажу? Три, а не двадцать. Под каждую — слайд, который объясняет, что сейчас будет на экране.
- О чём я попрошу в конце? Одно конкретное действие, которое человек может сделать в тот же день.
Если хоть на один вопрос ответа нет, встречу вы проведёте, а результат получите случайный.
Что сделать сегодня
Сядьте и своими словами запишите главное из прочитанного. Мы смотрим десятки роликов и не помним из них ничего — ни советов про здоровье, ни инструкций. Заказчик устроен так же: если вы не были яркими на встрече, у него сегодня ещё три вендора, а через неделю он не вспомнит, о чём говорили вы.
И раз уж весь этот текст про то, что в конце надо о чём-то попросить, — прошу. Напишите это резюме и пришлите мне: denis@batrankov.ru или в Telegram @ngksiva. Мне интересно, что из статьи доходит до практики, а вам такое письмо закрепит прочитанное лучше второго прочтения. Это займёт десять минут и ничего не стоит.
Дальше это надо тренировать. Я веду такие тренинги десять лет, сейчас примерно раз в месяц-полтора. Раньше брал десять человек, теперь восемь: на тренинге люди выступают по-настоящему, мы разбираем, что пошло не так, готовим встречу заново и выступаем ещё раз. Это работа с мышечной памятью — в критической ситуации мы не поднимаемся до уровня своих ожиданий, а падаем до уровня своей подготовки.
Ближайший открытый тренинг по продажам ИТ- и ИБ-решений — 11 ноября в Москве, восемь мест, на вашем реальном материале. С этой же программой приезжаю и в компании: корпоративный день на ваших демонстрациях и вашей воронке.
Частые вопросы
Это про продавцов или про инженеров
Про инженеров, пресейлов и архитекторов. Продавцам часть этих навыков прививают на тренингах, техническим специалистам — почти никогда, хотя именно они проводят большую часть встреч с заказчиком.
Разве честный технический ответ может навредить
Навредить может не ответ, а промах мимо вопроса. «У нас всё надёжно» — правда, но человек спрашивал не о надёжности, а о том, что будет лично с ним, если продукт ошибётся. Пока страх не назван и не снят, техническая правота решения не меняет.
Слайд о компании — всё-таки можно или нельзя
Можно, когда вас не знают или отношения испорчены: там он и объясняет, почему с вами стоит иметь дело. Во всех остальных случаях он крадёт начало встречи, которое принадлежит заказчику.
Что делать, если заказчик не заполняет опросник после встречи
Не ждать месяц. Через неделю молчания поднимайте красный флаг внутри команды: сделка не движется. И проверьте сам опросник — если в нём сто вопросов, половину из которых можно было задать на встрече, заказчик не тянет время, а просто не станет его открывать.
Где посмотреть запись целиком
Плеер стоит в начале статьи, запись открыта без регистрации. Анонсы следующих эфиров приходят в канал «Топ Кибербезопасности».