CISO 的文治武功——首席信息安全官必須開(kāi)發(fā)的一些新舊技能

安全與發(fā)展的關(guān)系是根本性的關(guān)系,也是CISO必須處理好的關(guān)系。作為安全從業(yè)者,當(dāng)聽(tīng)到別人講到“安全與發(fā)展”的關(guān)系時(shí),會(huì)自然有一種聽(tīng)到“老生常談”的感覺(jué),可又回避不了這個(gè)關(guān)系。因?yàn)槠浼葴\顯,又艱深。

首席信息安全官(CISO)不一定專指一個(gè)人、一個(gè)職位,而是指在較大機(jī)構(gòu)中必須擁有的一個(gè)角色群落、一個(gè)崗位組合、一個(gè)責(zé)任執(zhí)行系統(tǒng)。這個(gè)職責(zé)可能是由一個(gè)人承擔(dān)、也可能是由一組人承擔(dān),也可能被首席信息官或首席風(fēng)險(xiǎn)官兼任,甚至因?yàn)?ldquo;一把手負(fù)責(zé)制”而被“一號(hào)位”所兼任。當(dāng)然,有一個(gè)專職的CISO來(lái)承擔(dān)則最好,而且CISO最好能夠位于組織的常務(wù)決策群體中,也就是所謂的高管。

從責(zé)任和能力角度看,CISO是一個(gè)非常綜合性的角色,并不是一個(gè)僅僅負(fù)責(zé)某方面工作的高管,更像是首席執(zhí)行官(CEO)(一號(hào)位)和首席運(yùn)營(yíng)官(COO)在安全維度上的投影和對(duì)偶拮抗。CISO就好像為機(jī)構(gòu)中所有業(yè)務(wù)領(lǐng)域都增加了一個(gè)安全維度,希望CEO和COO能夠用照鏡子和組織拮抗的態(tài)度來(lái)看待CISO。正因?yàn)閷?duì)CISO要求的這種綜合性和對(duì)偶拮抗性,迫使CISO必須具有很強(qiáng)的結(jié)構(gòu)性思維能力和系統(tǒng)性執(zhí)行能力,即所謂“文治武功”。

CISO必須是一個(gè)剛?cè)岵?jì)、南北通吃、左右正反兩手都強(qiáng)的人才,方可成就其“文治武功”。

一、CISO哲思之“不二”

CISO的哲學(xué)素養(yǎng),在一個(gè)機(jī)構(gòu)里應(yīng)當(dāng)排在前五位。

CISO所在的崗位,所擔(dān)的責(zé)任,常常表現(xiàn)為矛盾之焦點(diǎn)、角力之落點(diǎn)。為了能兼顧短期安全和長(zhǎng)期安寧,迫使CISO必須具有“剛?cè)嵯酀?jì),安全不二”哲思式思維。不管CISO自己是否意識(shí)到、是否愿意,這種思維方式都會(huì)自然或不自然地形成。

1.安全與發(fā)展的不二關(guān)系

安全與發(fā)展的關(guān)系是根本性的關(guān)系,也是CISO必須處理好的關(guān)系。作為安全從業(yè)者,當(dāng)聽(tīng)到別人講到“安全與發(fā)展”的關(guān)系時(shí),會(huì)自然有一種聽(tīng)到“老生常談”的感覺(jué),可又回避不了這個(gè)關(guān)系。因?yàn)槠浼葴\顯,又艱深。

“發(fā)展”帶給一個(gè)國(guó)家、一個(gè)機(jī)構(gòu)巨大的潛力和能力。習(xí)近平總書(shū)記多次指出,“安全是發(fā)展的前提,發(fā)展是安全的保障”。發(fā)展和安全完全是交織在一起,在數(shù)字時(shí)代更是不可或缺的關(guān)系。獨(dú)立的安全沒(méi)有直接價(jià)值,必須依附于發(fā)展而產(chǎn)生價(jià)值。但是,如果安全徹底融入發(fā)展,又會(huì)失去其獨(dú)立性從而失去應(yīng)有的價(jià)值。那么,從哲思上說(shuō),獨(dú)立(Independent)和融合集成(Integrated)是相互對(duì)立統(tǒng)一的,或者說(shuō)是“不二的”。

2.安全跟隨發(fā)展的跨越腳步

隨著“數(shù)字時(shí)代”的到來(lái),數(shù)字經(jīng)濟(jì)、數(shù)字社會(huì)、數(shù)字政府、數(shù)字文化、數(shù)字文明等構(gòu)成了數(shù)字中國(guó)的發(fā)展,安全也自然跟隨著發(fā)展的這些腳步。

以前,網(wǎng)絡(luò)安全所處的領(lǐng)域相對(duì)比較狹窄。在過(guò)去20年的中國(guó)網(wǎng)絡(luò)安全產(chǎn)業(yè)發(fā)展過(guò)程中,絕大部分力量主要集中在網(wǎng)絡(luò)和系統(tǒng)層。而在數(shù)字時(shí)代,安全的空間一下子被打開(kāi),新的安全要解決數(shù)據(jù)和業(yè)務(wù)安全的難題。現(xiàn)在,數(shù)據(jù)安全和業(yè)務(wù)安全的有效舉措還非常匱乏,拖了數(shù)字化的后腿,安全工作必須跟上。

3.安全領(lǐng)域有很多既矛盾又統(tǒng)一的“不二”

在安全領(lǐng)域,有很多“不二”的矛盾統(tǒng)一體。

例如,攻擊與防御。沒(méi)有攻擊就沒(méi)有防御,有了攻擊會(huì)自然激發(fā)防御。CISO基本上完全處于防守的位置。在法律法規(guī)的限制下,CISO所在的機(jī)構(gòu)常常不能直接采用攻擊的手法來(lái)加強(qiáng)對(duì)抗,“攻擊是最好的防御”這樣的軍事對(duì)抗思想就難以踐行。但“未知攻焉知防”,一個(gè)CISO對(duì)攻與防及其關(guān)系的理解不同,決定了機(jī)構(gòu)所采取的防御風(fēng)格和安全策略也會(huì)不同。

再例如,漏洞攻防派與密碼管控派。這兩個(gè)安全派別并不像武俠小說(shuō)里的正教邪教、劍宗氣宗那么涇渭分明,但兩者側(cè)重的差異非常明顯。防病毒、入侵檢測(cè)、漏洞掃描等常被歸為漏洞攻防派,加密機(jī)、身份認(rèn)證等常被歸為密碼管控派,兩派的核心技術(shù)和基本方法確實(shí)是殊途而行的??墒牵S著安全問(wèn)題的逐漸深入和復(fù)雜化,兩個(gè)派別也開(kāi)始協(xié)同融合。就像當(dāng)前非常熱門(mén)的“零信任”理念,以身份認(rèn)證為核心,又結(jié)合攻防派所提供的風(fēng)險(xiǎn)度量,可以看成是為兩派的融合。

習(xí)近平總書(shū)記在“4·19”講話中深刻地論述了整體與割裂、動(dòng)態(tài)與靜態(tài)、開(kāi)放與封閉、相對(duì)與絕對(duì)、共同與孤立等這五方面的辯證關(guān)系。

在安全領(lǐng)域,這些多種多樣的矛盾統(tǒng)一體,都是本領(lǐng)域所原生的。面對(duì)這些矛盾,CISO必須要做到游刃有余。

4.思行合一

作為一個(gè)機(jī)構(gòu)的CISO,最矛盾的也許就是安全在“客觀成效上的相對(duì)性”與“主觀期望的絕對(duì)性”之間難以彌合的裂隙。所以,CISO僅僅埋頭努力是不夠的,還要抬頭觀察,凝神哲思,平和溝通。

二、CISO文治之“正構(gòu)”

面向商業(yè)(To B)與面向消費(fèi)(To C)之間的差別,無(wú)外乎“結(jié)構(gòu)”一詞。

設(shè)立CISO崗位的機(jī)構(gòu),往往規(guī)模不小。也就是說(shuō),CISO所承擔(dān)的基本是To B的網(wǎng)絡(luò)安全責(zé)任。ToB領(lǐng)域由多種多樣的“結(jié)構(gòu)”構(gòu)建起來(lái),同時(shí),安全又帶來(lái)了許多特殊的“結(jié)構(gòu)”。CISO必須是一個(gè)結(jié)構(gòu)性思維高手,具有結(jié)構(gòu)性戰(zhàn)略洞察力,CISO必須也是一個(gè)大戰(zhàn)略官。

1.安全三要素、產(chǎn)業(yè)四頂點(diǎn)

CISO作為一個(gè)防守方總指揮,不能只看攻防關(guān)系;CISO作為甲方的重要決策者,也不能僅僅看產(chǎn)業(yè)中的甲乙方關(guān)系。具體的安全問(wèn)題總是符合安全三要素的結(jié)構(gòu)關(guān)系——被保護(hù)的業(yè)務(wù)、要危害業(yè)務(wù)的威脅、要保護(hù)業(yè)務(wù)對(duì)抗威脅的防衛(wèi)措施等三方面。而具體到產(chǎn)業(yè)結(jié)構(gòu)中,則必然離不開(kāi)第三方監(jiān)管的結(jié)構(gòu)性介入。CISO要面對(duì)的產(chǎn)業(yè)結(jié)構(gòu)就是一個(gè)四頂點(diǎn)結(jié)構(gòu):甲方(CISO所在的需求方、防御方),乙方(供給方、服務(wù)方),丙方(監(jiān)管方),丁方(威脅方、攻擊方)。CISO要策劃和推進(jìn)一個(gè)事情,如果缺乏對(duì)四頂點(diǎn)中任何一方的考量,最終都會(huì)遇到問(wèn)題。

2345截圖20211028093243.png

圖網(wǎng)絡(luò)安全產(chǎn)業(yè)四頂點(diǎn)結(jié)構(gòu)

2.模型即結(jié)構(gòu),結(jié)構(gòu)決定了斷代

網(wǎng)絡(luò)安全新產(chǎn)品新技術(shù)常常以下一代(NextGeneration,NG)的名目出現(xiàn)。拋開(kāi)概念,什么才是真正的NG?只有基于對(duì)安全的創(chuàng)新的結(jié)構(gòu)性認(rèn)識(shí),基于新的模型,才能稱為NG。

例如,現(xiàn)在常說(shuō)的傳統(tǒng)網(wǎng)絡(luò)安全產(chǎn)品防火墻、入侵檢測(cè)、防病毒等,歸根結(jié)底是為了解決“網(wǎng)絡(luò)和系統(tǒng)層”的安全問(wèn)題,基于網(wǎng)絡(luò)安全域劃分,主要部署在安全域邊界位置。而很多新的安全技術(shù)和方法,其實(shí)是基于一些新的安全層次結(jié)構(gòu)認(rèn)識(shí),將保護(hù)對(duì)象分為網(wǎng)絡(luò)系統(tǒng)層、軟件定義網(wǎng)絡(luò)(Software Defined Network,SD)層、身份訪問(wèn)層、數(shù)據(jù)層。各個(gè)層次對(duì)應(yīng)了不同的安全措施,分別對(duì)應(yīng)傳統(tǒng)的網(wǎng)絡(luò)安全域措施、以安全訪問(wèn)服務(wù)邊緣模型(SASE)為代表的SD層網(wǎng)絡(luò)安全重構(gòu)措施、以零信任為代表的身份訪問(wèn)措施、以隱私保護(hù)和數(shù)據(jù)安全監(jiān)管等為代表的新數(shù)據(jù)安全問(wèn)題等。

在SD層網(wǎng)絡(luò),所對(duì)應(yīng)的圖論問(wèn)題是“網(wǎng)”,而在身份訪問(wèn)層所對(duì)應(yīng)的圖論問(wèn)題是“二分圖”問(wèn)題。不同的模型,不同的結(jié)構(gòu)性認(rèn)識(shí),會(huì)帶來(lái)不同的適應(yīng)性算法和解決方案。

CISO就是要不斷反省現(xiàn)有的結(jié)構(gòu)性認(rèn)識(shí),洞察新的結(jié)構(gòu)性視角,發(fā)掘新的結(jié)構(gòu)性通路。不管是層次結(jié)構(gòu)、內(nèi)外結(jié)構(gòu)、鏈?zhǔn)浇Y(jié)構(gòu)、網(wǎng)狀結(jié)構(gòu),總的來(lái)說(shuō),維度越高,對(duì)事物的認(rèn)識(shí)就越深刻。當(dāng)然,維度越高,也就越難理解,也越難實(shí)用。

3.時(shí)間維度,一直是一個(gè)結(jié)構(gòu)性難題

升維,是對(duì)CISO的要求。而時(shí)間維度,可能是最難的一個(gè)維度,而且是一個(gè)躲不掉省不掉的維度。

CISO必須主導(dǎo)機(jī)構(gòu)的網(wǎng)絡(luò)安全規(guī)劃。而網(wǎng)絡(luò)安全規(guī)劃必然會(huì)與機(jī)構(gòu)的數(shù)字化規(guī)劃(或信息化規(guī)劃)緊密相關(guān),又會(huì)與機(jī)構(gòu)的風(fēng)險(xiǎn)管控規(guī)劃、安全生產(chǎn)規(guī)劃等規(guī)劃交織在一起。時(shí)間維度,對(duì)于每個(gè)規(guī)劃都是難題。

時(shí)間維度,在To C領(lǐng)域,常常與統(tǒng)計(jì)學(xué)密切相關(guān)。而在To B領(lǐng)域,更多的是來(lái)自更具結(jié)構(gòu)性而難于從統(tǒng)計(jì)學(xué)出發(fā)的因果分析、行為推演。

對(duì)此,CISO倒也不用畏懼。這方面也許能零星地用到貝葉斯算法,但更多的是需要“解平面幾何題的素質(zhì)”,需要博弈論的訓(xùn)練。如果能有一個(gè)圈子進(jìn)行交流,再加上實(shí)踐中的錘煉,CISO們會(huì)很快成為博弈高手。

4.高階意向性與高級(jí)博弈

羅賓·鄧巴的幾本著作深刻地提到了人類所具有的“高階意向性”。一個(gè)人感受一個(gè)事物,是零階意向性;一個(gè)人想自己或另一個(gè)人怎么想,就是一階意向性;一個(gè)人能想另一個(gè)人在想另一個(gè)人的感受,這就是二階意向性,依次類推。成人一般都能達(dá)到五階意向性。更高階的意向性往往意味著更高的智商和情商,也意味著更強(qiáng)大的感染力和影響力。這既體現(xiàn)在博弈對(duì)抗中,也能反應(yīng)在領(lǐng)導(dǎo)管理中,以及各種政治、經(jīng)濟(jì)、社會(huì)關(guān)系場(chǎng)景中。

CISO要能夠在更高階的意向性水平上經(jīng)略自己的工作,包括組織安排與威脅方的復(fù)雜對(duì)抗;協(xié)調(diào)與業(yè)務(wù)部門(mén)的融洽關(guān)系;平衡多個(gè)乙方的供應(yīng)商關(guān)系管理(VRM);適度地達(dá)成監(jiān)管方的合規(guī)要求。在這些關(guān)系中,更高階的意向性,能讓CISO更加智慧地、更妥當(dāng)?shù)靥幹谩?/p>

如果從結(jié)構(gòu)的角度描述“意向性的遞進(jìn)”,這已經(jīng)超越了維度上的提升,而是類似遞歸和嵌套那樣的迭代式復(fù)雜結(jié)構(gòu)。

CISO要想錘煉自己的高階意向性博弈能力,業(yè)界剛剛興起的“掛圖作戰(zhàn)”推演是不錯(cuò)的模式。

5.理解力與情報(bào)體系

高階意向性的情商、對(duì)抗中精彩的博弈,都要以盡量正確的理解力為前提。說(shuō)得直白些,就是CISO必須建立支撐工作職責(zé)的情報(bào)體系。

有些情報(bào)體系是有關(guān)攻防的,例如業(yè)界常說(shuō)的威脅情報(bào)體系。在網(wǎng)絡(luò)安全的平臺(tái)化系統(tǒng)中,有很多情報(bào)類系統(tǒng),例如,威脅情報(bào)體系是為了獲得“非地利”的敵方情報(bào),態(tài)勢(shì)感知系統(tǒng)是為了獲得我方“地利”環(huán)境的綜合情報(bào),網(wǎng)絡(luò)空間測(cè)繪是建立情報(bào)體系的“底圖”資源等。

有些情報(bào)體系是關(guān)于產(chǎn)業(yè)的,例如業(yè)界廠商調(diào)研、國(guó)家和主管機(jī)構(gòu)的法律法規(guī)整理與研究等。有些情報(bào)體系是關(guān)于技術(shù)發(fā)展趨勢(shì)的跟蹤,有些是IT大趨勢(shì)、經(jīng)濟(jì)大趨勢(shì)、國(guó)際大形勢(shì)的觀察。

在企業(yè)管理領(lǐng)域,有“五看三定”等多種方法論,可以學(xué)習(xí)和借鑒。數(shù)據(jù)搜集、情報(bào)提煉分析、態(tài)勢(shì)會(huì)商等工作,既可以幫助CISO把握大勢(shì),還可以為機(jī)構(gòu)“一號(hào)位”提供有力的戰(zhàn)略支撐,將個(gè)人理解力,變成“To B的機(jī)構(gòu)理解力”。

6.結(jié)構(gòu)性設(shè)計(jì)

CISO必須是一個(gè)架構(gòu)師。

CISO不能把自己定位于一個(gè)江湖俠客。很多企業(yè)的高管喜歡自稱“技術(shù)架構(gòu)師”,稱自己是“產(chǎn)品經(jīng)理”,覺(jué)得“自降身份”是一個(gè)很酷的事情。這是不合適的。

CISO必須是一個(gè)組織架構(gòu)師、一個(gè)機(jī)構(gòu)架構(gòu)師,要配合CEO、COO等其他組織架構(gòu)師一起,讓To B的組織行動(dòng)起來(lái),而不是全部自己親力親為,僅僅讓自己動(dòng)起來(lái)。

CISO要學(xué)會(huì)設(shè)計(jì),要通過(guò)制度設(shè)計(jì)、組織結(jié)構(gòu)設(shè)計(jì)、流程規(guī)范設(shè)計(jì)、關(guān)鍵技術(shù)引進(jìn)和推進(jìn)、行為動(dòng)力動(dòng)機(jī)安排、合規(guī)限制審查等,構(gòu)建或改變一個(gè)機(jī)構(gòu)的結(jié)構(gòu),讓機(jī)構(gòu)動(dòng)起來(lái)。沖鋒陷陣有時(shí)也是必須的,在一些關(guān)鍵戰(zhàn)役和行動(dòng)中,也缺不了CISO的利刃和重錘。不過(guò),短暫的過(guò)癮,應(yīng)當(dāng)僅僅是在運(yùn)籌帷幄謀劃下的偶爾為之。

總之,CISO應(yīng)當(dāng)是一個(gè)“北向”高人。

三、CISO武功之“奇動(dòng)”

就像在軍事、搏擊對(duì)抗、證券交易等領(lǐng)域一樣,在網(wǎng)絡(luò)安全領(lǐng)域,要的是贏家,而不是專家。

這里的武功并不是指要像一個(gè)俠客一樣上陣動(dòng)刀動(dòng)槍,而是指謀劃推進(jìn)取得大范圍的、甚至全局性的功績(jī)。

直白地說(shuō),一個(gè)CISO必須要有政績(jī),而且最好是“戰(zhàn)功”。

1.這是最好的時(shí)代,也是最難的時(shí)代

現(xiàn)在的網(wǎng)絡(luò)安全領(lǐng)域,早已跨越了僅僅關(guān)注合規(guī)的階段,比對(duì)等級(jí)保護(hù)條文的簡(jiǎn)單合規(guī)已成過(guò)去。等級(jí)保護(hù)2.0已經(jīng)出臺(tái),合規(guī)要求愈發(fā)提高,而且具有了更強(qiáng)的適應(yīng)性和針對(duì)性。2021年,“十四五”規(guī)劃發(fā)布,“兩法一條例”(《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》)和《網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定》陸續(xù)發(fā)布,再加上前幾年出臺(tái)的《網(wǎng)絡(luò)安全法》《密碼法》等,網(wǎng)絡(luò)安全工作已經(jīng)在一個(gè)多維多級(jí)的綜合性合規(guī)體系的強(qiáng)管控之下,也處在多方面的政策推動(dòng)中。

另外,除了各種合規(guī)要求,對(duì)安全成效也有了越來(lái)越多的具體考驗(yàn)舉措。國(guó)家級(jí)、省部級(jí)等各級(jí)別的網(wǎng)絡(luò)安全演習(xí)、安全測(cè)試、各類競(jìng)賽等舉措,已經(jīng)能夠?qū)W(wǎng)絡(luò)安全的真實(shí)能力和外在效果進(jìn)行逼真的檢驗(yàn)。國(guó)際格局日趨復(fù)雜和環(huán)境日益緊張,再加上國(guó)內(nèi)涉網(wǎng)有組織犯罪等真實(shí)威脅,讓網(wǎng)絡(luò)安全從業(yè)者每時(shí)每刻都接受著真實(shí)的考驗(yàn)。

這個(gè)時(shí)代,為真有能力、真有謀略、真有組織執(zhí)行力的CISO提供了最好的發(fā)揮空間。當(dāng)然,想要做好CISO,也確實(shí)越來(lái)越難。

2.選擇、推進(jìn)和驗(yàn)證

現(xiàn)在擺在CISO面前的可做事情可謂林林總總?,F(xiàn)在,并不需要CISO挖空心思去想什么奇思妙計(jì),去找什么“暗度陳倉(cāng)”“空城計(jì)”之類的冒險(xiǎn)通路和取巧之道?,F(xiàn)在需要CISO做的,是擴(kuò)大一定范圍的溝通,聽(tīng)取丙方的要求、聽(tīng)取乙方的各種方案、觀察丁方的威脅,廣納善言。然后,在眾多的方案中,歸類分析,加以選擇,排列優(yōu)先級(jí),將方案落實(shí)為一個(gè)一個(gè)的工程和項(xiàng)目、落實(shí)為一個(gè)一個(gè)日常運(yùn)維執(zhí)行的流程和制度。

在選擇之后,就是驅(qū)動(dòng)機(jī)構(gòu)內(nèi)部的執(zhí)行體系(不僅僅是CISO自己下屬的體系,而是所有相關(guān)體系),推進(jìn)這些工程和項(xiàng)目,落實(shí)這些流程和制度。

在推進(jìn)的各個(gè)階段,還要安排相應(yīng)的機(jī)制進(jìn)行成果驗(yàn)收和效果驗(yàn)證。成果常常是項(xiàng)目計(jì)劃中定義的目標(biāo)度量,而效果則是在機(jī)構(gòu)整體防御體系中的真實(shí)作用。

3.以正合,以奇勝

CISO必須要胸懷總體,眼前時(shí)刻要有一個(gè)大藍(lán)圖,而且還要用體系和組織來(lái)執(zhí)行。組織保障、人才保障、預(yù)算和財(cái)務(wù)保障、環(huán)境資源保障、技術(shù)和裝備保障等都非常必要,CISO應(yīng)當(dāng)是一個(gè)“八爪魚(yú)”一樣的韌性推手。

不過(guò),在照顧整體體系化的同時(shí),要想上新臺(tái)階,一定要有特別的推進(jìn)動(dòng)力,也要選擇一個(gè)不平庸的突破點(diǎn)作為抓手。這個(gè)抓手當(dāng)然要抓向“戰(zhàn)功”。合規(guī)自然是最趁手最常見(jiàn)的抓手,最容易將外部壓力轉(zhuǎn)變?yōu)閮?nèi)部動(dòng)力。

4.不平庸的抓手:閉環(huán)驗(yàn)證

在前面說(shuō)到的選擇、推進(jìn)、驗(yàn)證這三環(huán)節(jié)中,最難的是驗(yàn)證。特別是網(wǎng)絡(luò)安全領(lǐng)域,常說(shuō)的一句話是沒(méi)有百分之百的安全,不負(fù)責(zé)任者會(huì)用不容置疑的相對(duì)安全性,來(lái)回避絕對(duì)的目標(biāo)達(dá)成。雖然大家認(rèn)同沒(méi)有百分之百的安全,但是能否說(shuō)清楚是到99.9%,還是66.6%?即使難于準(zhǔn)確地定量評(píng)估,那么能否做到盡量清晰地定性表達(dá)?

建立多維度、高覆蓋度的閉環(huán)驗(yàn)證體系,對(duì)CISO的工作能夠獲得機(jī)構(gòu)的長(zhǎng)期認(rèn)可,得到持續(xù)的支持,至關(guān)重要。

叔本華說(shuō),幸福是虛幻的,但痛苦是真實(shí)的。換句話說(shuō),幸福很難用正向的描述做確定性的表達(dá),只有負(fù)向的描述具有確定性。

安全也類似。很難用正向的描述來(lái)確定地表達(dá)安全程度,但是可以用“抵御了什么樣的攻擊”“補(bǔ)了什么漏洞”“處置了什么危機(jī)事件”等負(fù)向的描述來(lái)雕琢出安全的輪廓。這就要靠網(wǎng)絡(luò)安全的閉環(huán)驗(yàn)證。而且,不同的驗(yàn)證可以由不同的責(zé)任人負(fù)責(zé)。

在現(xiàn)有的條件下,有很多閉環(huán)驗(yàn)證體系都值得考慮,優(yōu)先建立。例如,將滲透測(cè)試改變?yōu)楣袈窂降母采w度驗(yàn)證、網(wǎng)絡(luò)區(qū)域性閉環(huán)驗(yàn)證、關(guān)鍵業(yè)務(wù)系統(tǒng)閉環(huán)驗(yàn)證、諸如病毒蠕蟲(chóng)木馬類威脅類型的閉環(huán)驗(yàn)證、高對(duì)抗意識(shí)下的閉環(huán)驗(yàn)證(如重要演習(xí))、常態(tài)安全意識(shí)和告警的閉環(huán)驗(yàn)證(如進(jìn)行非告知性外部測(cè)試)、極限環(huán)境下安全效能驗(yàn)證(一般在網(wǎng)絡(luò)靶場(chǎng)中進(jìn)行)等。

根據(jù)前文提到的網(wǎng)絡(luò)安全產(chǎn)業(yè)的四頂點(diǎn)模型,因?yàn)槎》绞俏覀兊膶?duì)手,不會(huì)在產(chǎn)業(yè)中配合我們。所以,我們要為敵對(duì)的丁方找一個(gè)替身,就是建立一個(gè)體系化的測(cè)試者,構(gòu)建多維度的閉環(huán)驗(yàn)證體系。

據(jù)估算,CISO至少應(yīng)當(dāng)拿出整體安全預(yù)算的10%以上來(lái)逐步構(gòu)建和完善閉環(huán)驗(yàn)證體系。

5.抓手:底線工程

CISO不是要找到最優(yōu)解,而是要找最不壞的解。

CISO必須能夠理性面對(duì)最壞情況,承認(rèn)沒(méi)有百分之百的安全,不回避那百分之零點(diǎn)零幾的概率。在常規(guī)安全視野之外,確實(shí)有超低概率的黑天鵝、有藏得很深的缺陷和失誤等。用常規(guī)安全手段,往往會(huì)得不償失。這就要求CISO必須有底線思維。

習(xí)近平總書(shū)記十分重視底線思維。堅(jiān)持底線思維,要求我們凡事從壞處準(zhǔn)備,努力爭(zhēng)取最好的結(jié)果;堅(jiān)持底線思維是我們黨治國(guó)理政的重要思想方法、工作方法、領(lǐng)導(dǎo)方法;堅(jiān)持底線思維,不僅是面對(duì)當(dāng)前波詭云譎的國(guó)際形勢(shì)的工作需要,而且是有效應(yīng)對(duì)各種風(fēng)險(xiǎn)挑戰(zhàn)的根本方法。

在CISO的安全工作中,必須要有一定比例的工作,是在底線思維指導(dǎo)下的“底線工程”。例如,一個(gè)最典型的工程形式,就是數(shù)據(jù)安全領(lǐng)域的防勒索數(shù)據(jù)備份工程?,F(xiàn)在的勒索攻擊者已經(jīng)學(xué)會(huì)了先攻擊受害者的備份系統(tǒng),然后再破壞和鎖定生產(chǎn)系統(tǒng)來(lái)實(shí)施勒索,那么防勒索備份工程就要考慮到這種高階攻擊。

據(jù)估算,CISO至少應(yīng)當(dāng)拿出整體安全預(yù)算的10%以上來(lái)盡快夯實(shí)基本的底線工程。

總之,CISO應(yīng)當(dāng)是一個(gè)信息安全全局指揮的帥。

以上對(duì)CISO的描述和要求,只是一家之言,也是我對(duì)CISO的理想標(biāo)準(zhǔn),希望可以為CISO們提供參考。但CISO們也不用執(zhí)著于此,要結(jié)合組織的實(shí)際情況和自身能力,做自己心中那個(gè)真正的CISO,最終達(dá)到CISO的文治武功之“大成”境界。

THEEND

最新評(píng)論(評(píng)論僅代表用戶觀點(diǎn))

更多
暫無(wú)評(píng)論