2018年05月29日
任何具有相當(dāng)駕齡的人應(yīng)該都能了解交通堵塞是多么令人沮喪的事。交通堵塞可能由多種原因引起，其中包括“并道”行為。對(duì)于那些沒(méi)有及早變道，而是在最后時(shí)刻“并道”進(jìn)來(lái)的車(chē)輛，你可能也會(huì)和我一樣感到憤怒。
但是，如果我們退后一步并戰(zhàn)略性地思考這個(gè)問(wèn)題，就很難再對(duì)最后時(shí)刻的“并道”行為感到憤怒了。為什么我會(huì)這么說(shuō)呢?首先，大多數(shù)人都在與“并道”行為作斗爭(zhēng)，也就是說(shuō)，我們會(huì)利用每一條可用的道路繞過(guò)那些努力并道的人。而事實(shí)上，有證據(jù)表明，最后一刻的并道實(shí)際上是對(duì)緩解交通有利的行為。
美國(guó)明尼蘇達(dá)州交通當(dāng)局在高速公路維修路段進(jìn)行的“最后一刻再并道”的實(shí)驗(yàn)顯示，這種駕駛方式可以降低因?yàn)樾蘼窚p少車(chē)道而產(chǎn)生的交通堵塞40%。專(zhuān)家們建議的正確的駕駛方法是：所有的人都應(yīng)該在自己原來(lái)的車(chē)道上行駛，直到最后一刻再并道，這樣做的好處是兩個(gè)車(chē)道在并道前都得到了充分的使用。
但是，這種交通模式又與安全存在什么聯(lián)系呢?我認(rèn)為，這件事教會(huì)我們?cè)趯?duì)某些行為感到惱怒前，先要對(duì)它們有更為深入地了解。這就是我們可以在安全領(lǐng)域?qū)W到的東西。為什么這么說(shuō)呢?當(dāng)然，這是一個(gè)比較深刻的問(wèn)題，下面是十個(gè)“令人惱怒但同時(shí)卻有著深層原因的安全行為”。
1. 戰(zhàn)術(shù)性地專(zhuān)注
在很多場(chǎng)合中，我都曾聽(tīng)到各種不同的組織抱怨他們的安全團(tuán)隊(duì)過(guò)于專(zhuān)注戰(zhàn)術(shù)。這種情況當(dāng)然可能確實(shí)如此。但是，如果你的主要指標(biāo)中包含一周內(nèi)已觸發(fā)警報(bào)的數(shù)量，以及打開(kāi)和關(guān)閉的憑證數(shù)量，你又會(huì)否因?yàn)樗麄兣ν瓿赡慵?lì)他們完成的估量任務(wù)而再錯(cuò)誤地遷怒他們呢?
2. 滅火隊(duì)員
沒(méi)人希望自己的安全團(tuán)隊(duì)疲于奔命在應(yīng)對(duì)一個(gè)接一個(gè)的緊急情況，而沒(méi)有多余的精力專(zhuān)注其他關(guān)鍵業(yè)務(wù)。但是面對(duì)如此情境我們有時(shí)候又很難去責(zé)難安全團(tuán)隊(duì)，因?yàn)榇嬖谝恍┖侠硇枨笞屗麄儾坏貌粧侀_(kāi)其他一切問(wèn)題來(lái)應(yīng)對(duì)這些緊急情況。然后，不得不說(shuō)，很多時(shí)候，這些搞得安全團(tuán)隊(duì)精疲力盡的“緊急情況”，都是由于公司對(duì)問(wèn)題和安全團(tuán)隊(duì)的能力缺乏理解和信任而造成的。
3. 熱門(mén)事件
我們有時(shí)候會(huì)反感安全團(tuán)隊(duì)談?wù)摕衢T(mén)事件，但是說(shuō)實(shí)話(huà)，我還沒(méi)有遇到過(guò)真心享受陷入熱門(mén)事件中的安全團(tuán)隊(duì)。很多時(shí)候，談?wù)摕衢T(mén)事件對(duì)于他們來(lái)說(shuō)只是毫無(wú)選擇的事情。當(dāng)熱門(mén)事件發(fā)生時(shí)，關(guān)于“我們應(yīng)該如何應(yīng)對(duì)”、“我們是否會(huì)受此事件影響”以及“我們是否受到保護(hù)”等諸多問(wèn)題都會(huì)撲面而來(lái)，等待安全團(tuán)隊(duì)的應(yīng)答。所以說(shuō)，是我們?cè)诩?lì)他們關(guān)注熱門(mén)事件，以幫助我們應(yīng)對(duì)即將到來(lái)的緊急情況。
4. 追逐流行的細(xì)分市場(chǎng)
安全行業(yè)的很多人都在嘲笑或戲謔那些熱衷于追逐最新流行市場(chǎng)的企業(yè)。但是在嘲笑之前，先看看我們是如何鼓勵(lì)他們這些做的吧!對(duì)于初創(chuàng)企業(yè)來(lái)說(shuō)，資金和公關(guān)(PR)通常都會(huì)緊跟最新的流行市場(chǎng);而對(duì)于成熟企業(yè)來(lái)說(shuō)，客戶(hù)是否投入預(yù)算也是關(guān)注最新的流行市場(chǎng)。說(shuō)到底，追逐流行市場(chǎng)不過(guò)是為了獲取更多的關(guān)注和融資支持，以支撐企業(yè)更好地發(fā)展。
5. 寫(xiě)下密碼
每個(gè)人都喜歡嘲笑那些寫(xiě)下密碼的“愚蠢”用戶(hù)，但事實(shí)上，也許是他們應(yīng)該嘲笑我們。因?yàn)樯硖幇踩袠I(yè)，我們無(wú)法證明瘋狂復(fù)雜的密碼規(guī)則能夠改善我們各自的安全現(xiàn)狀，事實(shí)上，想要真正地改善安全現(xiàn)狀，我們可能需要徹底擺脫密碼。但是，當(dāng)我們無(wú)法為用戶(hù)提供任何行之有效的方法，來(lái)解決這種瘋狂復(fù)雜的密碼規(guī)則時(shí)，對(duì)于他們來(lái)說(shuō)，除了寫(xiě)下自己根本記不住的密碼外還能怎么做呢(你一定會(huì)說(shuō)還有密碼管理器，但是你一定也看到了很多密碼管理器存在漏洞的報(bào)道)?
6. 對(duì)事件響應(yīng)毫無(wú)準(zhǔn)備
當(dāng)嚴(yán)重事件發(fā)生時(shí)，沒(méi)人喜歡意外的震驚感和措手不及的窘迫感。但是，建立一個(gè)成熟的事件響應(yīng)能力談何容易，它不僅需要付出巨大的戰(zhàn)略努力，而且無(wú)法立即顯示出其價(jià)值(只有發(fā)生安全事件才能顯現(xiàn)價(jià)值)。如果組織只是追求立竿見(jiàn)影的戰(zhàn)術(shù)收益，而不是難顯成效的戰(zhàn)略收益，那么出現(xiàn)緊急情況時(shí)措手不及也就不難理解了。
7. 獲取“煙道式”(stovepiped)技術(shù)
我們經(jīng)常會(huì)看到，在發(fā)生嚴(yán)重安全問(wèn)題時(shí)，人們會(huì)異常期待即時(shí)解決方案(immediate solution)的出現(xiàn)。雖然我們需要確保及時(shí)處理嚴(yán)重問(wèn)題，但是我們也要確保自己不會(huì)產(chǎn)生“膝跳反射”(knee jerk)并期待獲取幾乎“一次性”的快速修復(fù)方案。我們都不希望最終得到一個(gè)在未來(lái)沒(méi)有任何作用的“一次性”解決方案，但是我們卻沒(méi)有意識(shí)到，是我們?cè)跓o(wú)意中激勵(lì)了我們的安全團(tuán)隊(duì)放置更多的“煙道式”技術(shù)。
8. 安全預(yù)算不足
每個(gè)人都喜歡大型零售連鎖店的低廉價(jià)格，但同時(shí)也喜歡抱怨其缺乏合理的售后支持。我們無(wú)法真正地融合這兩種需求。正如我們都希望我們的供應(yīng)商和提供商能夠以低廉的價(jià)格為我們提供更多價(jià)值一樣。安全是一項(xiàng)經(jīng)常/間接(overhead)費(fèi)用，當(dāng)然，我們都知道它的重要性，但是我們無(wú)法強(qiáng)求我們的供應(yīng)商和提供商都能將其作為優(yōu)先事項(xiàng)。既然如此，我們不妨根據(jù)他們自身不同的規(guī)模來(lái)具體衡量其安全預(yù)算。
9. 培訓(xùn)的團(tuán)隊(duì)成員不足
組織團(tuán)隊(duì)成員進(jìn)行專(zhuān)業(yè)培訓(xùn)需要花費(fèi)一定的資金，并且需要他們脫離工作崗位一段時(shí)間。如果我們能夠看到培訓(xùn)團(tuán)隊(duì)成員所帶來(lái)的戰(zhàn)略性意義，那么就會(huì)認(rèn)為這一切投資都是值得的。但是，如果我們僅以短期收益為目標(biāo)來(lái)激勵(lì)他們，那么培訓(xùn)成員不足也就不難理解了。
10. 協(xié)作不足
關(guān)于信息共享和協(xié)作的討論很多，但不幸的是，行動(dòng)的次數(shù)卻遠(yuǎn)少于討論的次數(shù)。造成這種情況的原因有很多，大多數(shù)組織都會(huì)鼓勵(lì)員工保持信息的私密性，以及粉飾安全計(jì)劃的真實(shí)狀態(tài)。但是，事實(shí)上，這種信息共享和協(xié)作并不可恥，相反地，它可以讓你得到進(jìn)一步完善。但前提是，你必須做出正確的鼓勵(lì)行為來(lái)獲得正確的結(jié)果。
江蘇國(guó)駿信息科技有限公司在信息網(wǎng)絡(luò)安全、運(yùn)維平臺(tái)建設(shè)、動(dòng)漫設(shè)計(jì)、軟件研發(fā)、數(shù)據(jù)中心領(lǐng)域具備十多年的行業(yè)沉淀。公司遵循信息安全整體性的IATF模型，從“人員素養(yǎng)”、“制度流程”、“技術(shù)產(chǎn)品”三個(gè)視角提供全面、可信的方案，業(yè)務(wù)涵蓋咨詢(xún)、評(píng)估、規(guī)劃、管控、建設(shè)、培訓(xùn)等。
江蘇國(guó)駿信息科技有限公司——全面可信的信息安全服務(wù)商。