CSO怎么做(11)2018年系列收尾兼回答几个问题

围观次数:5,106 views

这个“CSO怎么做”的系列,到这一章算是收个尾。原定还有2、3个话题没有写,有几个原因:(1)原定的信息安全人员能力树,君哥已经写了,我就不赘述了;(2)关于一些靠谱的信息安全工具、平台推荐、以及踩过的坑,但是这些内容似乎拿来交流分享比较好,毕竟我的经历还是有限,不可能把所有的坑都踩一遍,所以想先收集一下同行的分享,再做分享。

在前面几章内容发布之后,陆续收到一些读者反馈,有些问题是有共性的,所以作为收尾篇章,共同回答一下。

  1. IT团队和安全团队之间的关系应该是怎样的?

先回答问题:互相合作、相互监管。

如果安全团队在组织架构上属于IT的大团队,那么安全团队的职能定义取决于老板的想法、以及CSO的运作,本质上我认为依然应该包括“合作+监管”的属性。这种情况下,强烈建议不能只从IT技术下手,因为实质上无法用技术控制所有的风险。

如果安全团队与IT团队在组织架构、汇报关系上是分开的,那么就是典型的“又合作、又监管”的关系。安全团队应该比IT团队多一些审计、检查的特权,但是安全团队的操作也应该受到老板或者IT团队的监管;从组织行为学来说,一个不受监管的组织最后一定会走样,所以必须受到约束或监管。

 

  1. 业务安全怎么做

做起来很简单,也很难:充分理解业务,做业务的朋友,在帮助业务解决难题的过程中解决安全问题。当然,如前所述,“业务安全”的含义各人理解都不一样。

如何理解业务?1快速学习业务知识,听懂业务部门说的话;2看流程文件;3到现场去实地查看、体验、深入分析业务需求和场景;4和业务部门的人做朋友、找铁杆,互相掏心窝子;5把自己当做业务的人、当成老板,琢磨既做好业务、又做好安全的措施;6把措施落实到位,达成双赢的目标。

无论团队大小,CSO都必须是一个既懂安全、又懂业务的专业人士。业务安全的底线是业务不出大事,高标准就是保障和提升业务的竞争力。

 

  1. 如何处理信息安全与效率、用户体验之间的冲突

在2018年以前,我都坚定地持有这个观点:“信息安全与效率总是冲突、矛盾的”。随着与同行交流的深入,我觉得现在需要修正一下:“在资源和能力不够的前提下,信息安全与效率总是冲突、矛盾的。”这句话里面,有时候“用户体验”≈“效率”,虽然这两个词的内涵差别很大。

回答这个问题的思路是,看资源和能力吧。互联网公司的产品其实往往能兼具用户体验和安全性,背后还是有强大的能力和资源支撑的。一般公司资源不够能力补,能力不够资源补。如果资源和能力都不够,只要态度认真、多琢磨、多交流学习,应该也是可以补足能力短板的。

 

  1. 为什么说现在很多安全工具没有适应科技创新型企业的需求?

有很多原因。这里仅举几个场景,我就没见过安全厂家这十年来有过显著进步。

在研发环境下,研发电脑存有高度保密的代码,而这台电脑又必须开放USB接口与外部的调试、烧录设备(比如手机、单片机、FPGA板、示波器)连接,有时候还得开放Massive Storage功能。研发电脑有时候还得是Linux操作系统。这种场景下,如何既保护代码,又支持通过USB接口调试、烧录工作正常开展?物理安全隔离还真的不是每家公司都能用。

前述章节提到的“以人为中心的行为和内容监控平台”,我至今没看到有一个厂家是照这个思路做的,都在做网络安全的攻防对抗检测、感知和展示。对于防泄密为主的科技创新型企业来说,这似乎并不是主要需求,用起来也有诸多掣肘的地方。

当需要保护文件的机密性,往往又希望让文件在公司内部流转,通过信息流转提高经营效益。常用的各种DLP技术已经逐渐可以做到识别“文档”,而科技创新型企业里面的涉密文件除了文档,还有各种包含涉密信息的文件、信息类型需要识别,比如音视频、图片、设计类图纸、特殊格式代码、工艺、电路设计图等等。以我所见,并未见到特别好的技术和方案。相信很多甲方都被加密软件坑过。

 

  1. CSO还应该具备哪些素质、能力?

前面的章节中已经提到了CSO的4个核心工作,完成这些工作就需要一些核心素质、能力。

最近发生的一些事情,让我发现有一个能力挺重要的:尽可能一次说清楚自己的需求和目的,这其实属于一种高效沟通能力。我经常遇到有人来问我:“认不认识某某公司的人?”“你们有没有遇到过这个问题?”“你们用过这个工具没有?”这就属于典型的“没有说清楚自己的需求”。正确的说法应该是:“我发现了某个公司的某个系统的一个安全漏洞,请问应该通报给谁?”“我们的业务场景是这样这样的,在实现过程中遇到了那样那样的问题,我们经过排查发现123,但还是解决不了、现象是怎样怎样的,请问有没有什么解决思路或方法可以指导一下?”“我们打算在工具A和工具B中做采购选择,但是不知道实施中可能遇到什么坑,想多了解一下、帮助我们决策,以及实施过程中做好充分的风险应对”。瞧,这样是不是高效很多?CSO不但自己应该具备这样的能力,还应该训练自己的团队成员也具备这样的能力。

 

  1. 为什么写这个系列

我一直在琢磨这几个问题:信息安全市场到底是甲方引领,还是乙方引领驱动?为什么国内很多安全产品、长期以来没有适应国内科技创新型企业的需求?

最后我的结论是这样的:1、市场应该由甲方的需求引领,由乙方的产品和服务驱动,形成良性循环。我看了一些美国安全市场的分析材料,感觉上应该是这种结构才比较良性;2、科技创新型企业的需求长期以来得不到重视,主要因素就是甲方的安全能力还不够成熟。一个成熟的安全团队应该对风险和问题有准确的认知,能够根据企业战略和现状提出正确的需求,以专业能力和恰当的性价比原则来选择产品和服务,以专注目标、不搞事的态度建设团队;如果科技创新型企业的CSO都能做到这个地步,就可以构建成熟、正确的甲方市场导向,甲方的需求和呼声才能得到重视。我甚至认为CSO们还应该形成合力,共同推动在信息安全、个人信息保护、商业秘密保护上的立法、执法进步,与有关部门共同建立一个更加可信的社会环境,让信息安全工作在一个“可信”状态下运转,而不是在持续地与“不可信任的人与环境”对抗。

这就是我写这个系列的初衷。因此我把自己过往的经验总结、分享出来,希望和各位CSO交流、共同快速成长。我的经验和认知不一定都对,所以特别希望看到更多、更有趣也更加有效的讨论和交流。华南的一些科技创新型企业CSO已经组了个群,有兴趣加入的可以跟我邮件联系。目前,我们的想法是(1)欢迎从事科技创新型企业信息安全工作的CSO、业务骨干加入,我们也会逐步纳入乙方和第三方安全人士,共同为科技创新型企业的经营保驾护航;(2)我们对科技创新型企业的定义是“以技术秘密或技术类知识产权为核心生产力、核心竞争力的企业,且其业务经营模式不主要依赖互联网”,诸如高科技企业、研发型企业、生产制造型企业等都属于这个范围,其他行业的我们也热烈欢迎。

 

最后,我的联系方式是truebasic#outlook.com。之前由于我的失误,在已发布的文章中,联系方式都写成了@hotmail.com。对此给各位造成的困扰,说声对不起。

发表评论

电子邮件地址不会被公开。 必填项已用*标注

广告赞助