发布在即!企业 AIGC 应用程度测评,3 步定制专属评估报告。抢首批测评权益>>> 了解详情
写点什么

安焦教父张迅迪:安全技术与业务管理将走向融合

  • 2015-09-06
  • 本文字数:2557 字

    阅读完需:约 8 分钟

QCon2015 北京站上,黑哥以《阉党、流氓、傻X:业务与安全》为题,痛陈了业务与安全存在的诸多矛盾,并吐槽了诸多无视安全问题强行上马业务带来的巨大风险。企业终于开始在一次次血泪教训中重视起安全建设,因此,“实践第一、案例为主”也正是本次 ArchSummit 北京站的宗旨。我们邀请到了安全焦点创始人张迅迪来倾力打造“信息安全保障最佳实践”专题论坛,以下是 InfoQ 对张迅迪的一次访谈。

InfoQ:在安全焦点的网站上有这么一句话,“为什么中国的黑客几近于无,有的只是浮躁、虚荣、作做……或许是缺乏 Free 与 Open 的环境。”在您看来,造成这种环境缺失的根源是什么?您觉得现在的环境如何?

张迅迪:首先要知道什么是黑客,或者说什么是黑客精神。黑客精神的特性是善于独立思考、喜欢自由探索;热衷解决问题、克服种种限制,黑客精神从来就是一种崇尚自由、分享的精神,是一种具有灵匠钻研的精神,还有就是一种坚守基本道德底线的精神。而为什么黑客越来越少呢,我觉得是这种精神的坚持难度。在一个只要把道德底线放低点,进入一些灰色或黑色的产业就可以收获名声 (中性的)、金钱、美女、衣食无忧、拿着坚守道德底线远不能企及的收入的时代,正统黑客当然就会越来越少了,也间接导致整个安全行业的浮躁,包括大量黑色产业的爆发。但是,幸好有一些坚持的人——坚持技术的钻研、道德的约束,坚持知识的传播与技术的分享。

随着信息安全行业近两年来的快速发展,信息安全企业最终得到了国家的重视,也让坚守黑客精神的技术人员迎来了春天,迎来了站着也能赚钱的好光景。现在的环境是企业、国家对安全重视了,各种众测、*SRC 能赚点给女友买礼物的钱了,终极的是 Defender 技术也能赚大钱 (TK 教主两次为微软提供缓解防护方法获取的奖金)。恩,环境变好了,技术人员待遇好了,可以安心的醉心于技术研究了。

InfoQ:从 2002 年到现在 XCon 作为老牌黑客技术大会已经连续召开了 14 届。江湖人称您为安焦教父,能谈谈您对黑客大会的理解吗?作为 ArchSummit 大会安全专题出品人,您怎么看待业务安全在企业发展中的作用?

张迅迪:黑客大会,或者技术大会最开始就是一次技术爱好者场下交流、必须认识分享的聚会。后来随着信息安全行业的发展、会议的增多和扩大,又成为挖掘人才、生态建设、品牌传播的渠道。不可否认的是安全技术大会推动了安全行业的发展,包括国内组织的 XCon、 Kcon 乌云阿里安全峰会 360ISC ,国外的 BlackHat DEFCon ,无一例外不是技术爱好者学习、分享,互通有无、结识好友的集聚地。

就互联网等公司而言,攻防趋势和互联网业务发展是对应的,安全一直是随着核心业务一起发展的。因为安全自身不创造价值,安全的价值必须和公司业务挂钩,来间接体现。但通过建立为业务服务的安全体系,保障业务自身的安全漏洞,大大减少了资损率和企业负面的曝光率,使得信息安全技术和业务风险管理会走向并驾齐驱的方向。也就是说,在卓越绩效企业的理念中,没有终止信息安全技术或是启动业务风险管理的“节点”,它们是二者完全融合在一起的。

InfoQ:我们看到最近两年,除了 XCon 这样的老牌安全会议,乌云峰会、KCon 黑客大会、阿里安全峰会等安全会议也不断涌现。这对推动企业信息安全建设以及推动安全行业的发展有哪些意义?

张迅迪:正如刚才提到的那样,总结起来就是起到技术的交流、分享,推动人才的发现、发掘、交互,品牌的曝光、宣传、传播及生态的建设。对安全行业有积极的意义。

InfoQ:这几年安全人才的流动比较频繁,也呈现出一些特点,比如从传统安全厂商流向 BAT、或者出国、或者创业。大牛蛙说 3Q 大战和斯诺登事件给安全行业带来了新的机会。在您看来,未来几年安全人才的流动会有哪些趋势?安全行业又会产生什么变化?

张迅迪:随着信息安全的快速发展,企业加大了业务、产品、服务等安全上的投入,而离钱最近的企业,如金融、电商、游戏,云厂商将会更关注安全,所以这些行业对安全技术人员的需求相信会更大。另外就是 BAT3 公司有着互联网公司典型的众多全新的业务模式和强大的执行力将会持续吸引安全人才加入。而纷纷投入创业大潮的今天,也有少部分安全人士加入到创业公司中去一展所长。至于传统安全行业,随着甲方市场对人才的吸引、对企业安全的冲击,包括互联网云化对传统安全产品的影响,及以关系型销售为导向的业务模式,势必需要一段艰难的转型期,来面对激烈的变革,如果不能拥抱变革,很可能会淘汰。

InfoQ:呆神在今年启动了一个“神话”安全人才颠覆计划,希望“通过这个活动,让对信息安全技术有兴趣的人提振信心,也让更多地人关注信息安全,关注信息安全人才培养,建立一个人才需求与人才输出方之间相互了解的桥梁。”但是长期以来,国内安全人才一方面是不断地向外流出、一方面供需极不平衡,您怎么看待这个问题?您对安全人才的培养有哪些认识?

张迅迪:多年从事安全技术的人不外乎有做黑产的、被国外的环境薪资条件 (薪资现在不一定是重点了) 等吸引到国外安全公司服务、被互联网公司大量招聘及传统安全公司坚持的路子。这使得老的人才不断流失,而国内高校、培训机构又不能培养出新的适合企业使用的人才,造成了供需的不平衡。而随着新兴行业云的崛起,云安全领域的不断投入,会导致专业性实用性的人才更缺失。

根据估计,每年高校培养的信息安全专业毕业生不足一万人。由于培养以概念、理论为主,缺乏实践的操作,及对信息安全领域技术迭代快速更新的特性追随和把握,使得与企业急需的实用性人才落差较大。通过信息安全上升为国家一级学科,企业与高校参与合作度的提升,各种攻防平台的培养和各种 CTF 的人才选拔,应该能在将来看到一大批安全人才填补现在的空缺。

另外对于安全人才的培养,别忘了培养独立、自我的思考,交流和分享的精神以及道德底线的约束。

InfoQ:谈过安全会议、安全人才培养,接下里我想请您谈谈安全理论建设。国内高质量的安全书籍除了早年安焦的《网络渗透技术》,新书貌似只有《白帽子讲 Web 安全》和《Web 前端黑客技术揭秘》了。您本人在著书立说方面有没有什么计划?

张迅迪:积累不够,没有著书计划:)。


给 InfoQ 中文站投稿或者参与内容翻译工作,请邮件至 editors@cn.infoq.com 。也欢迎大家通过新浪微博( @InfoQ @丁晓昀),微信(微信号: InfoQChina )关注我们,并与我们的编辑和其他读者朋友交流(欢迎加入 InfoQ 读者交流群)。

2015-09-06 02:442043
用户头像

发布了 64 篇内容, 共 22.4 次阅读, 收获喜欢 11 次。

关注

评论

发布
暂无评论
发现更多内容

Java 代理使用与原理

Yangjing

cglib JDK代理 代理原理

理查德·斯托曼:为了自由,我决定写一个GNU操作系统(下)

开源青年

开源 开源青年 开源文化 人物志

模块一:课后作业

黄先生

架构实战营

人人矿场帮助用户轻松获取算力

DT极客

K8S行业调研报告出炉:混合云、边缘计算走向主流

Rancher

Java 并发基础(三):再谈 CountDownLatch

看山

Java并发

Java 并发基础(四):再谈 CyclicBarrier

看山

Java并发

KAIFA 的「AMI 智能计量系统解决方案」出海记 | 精选案例

亚马逊云科技 (Amazon Web Services)

开源软件运动|网景公司|大教堂与集市

开源青年

开源 开源青年 开源文化 人物志

架构实战营第一模块命题作业

Vic

架构实战营

优雅编程:JavaScript代码优化常见的3个小技巧

devpoint

map reduce 空值运算符 filter 扩展运算符

Spark数据倾斜解决方案实战(一)

小舰

4月日更

亚马逊云科技发布中国业务战略!

亚马逊云科技 (Amazon Web Services)

大数据计算时数据倾斜问题及解决方案

五分钟学大数据

大数据 4月日更

crudapi零代码开发平台应用场景和成功案例

crudapi

RESTful API sdk crud crudapi

理查德·斯托曼:我能发起“自由软件”运动全靠那台打印机(上)

开源青年

开源 #人物志 开源青年 开源文化

架构实战营第一模块课程总结

Vic

架构实战营

deno + Vite 会碰撞出什么样的火花呢?

Viktor

deno vite

中文文档持续迭代,内容更丰富,入口更简明!

Rancher

Amazon SageMaker Debugger 推出模型分析功能啦 | 新服务上线

亚马逊云科技 (Amazon Web Services)

社交出海,应如何突破安全与合规困局? | 精选案例

亚马逊云科技 (Amazon Web Services)

模块1

Chris Cheng

架构实战营

全面升级! 星环科技基础软件再升级 赋能数字中国建设

星环科技

Java 并发基础(二):主线程等待子线程结束

看山

Java并发

架构实战营模块一作业

En wei

架构实战营

通过校企合作,我们打造了一个培养应用型人才的“梦工场” | 精选案例

亚马逊云科技 (Amazon Web Services)

NoCode 实战 | 零代码应用开发,轻松搞定任务跟踪管理难题(下)

亚马逊云科技 (Amazon Web Services)

iOS 面试策略之代码考查到offer的比较和选择

iOSer

ios 面试

快速学一遍vue的状态管理模式 -- Vuex

空城机

JavaScript Vue 大前端 4月日更 vuex

架构实战营-M01H

赤色闪电

架构实战营

亚马逊云科技大中华区企业业务拓展总经理凌琦:云计算赋能芯片设计和制造

亚马逊云科技 (Amazon Web Services)

安焦教父张迅迪:安全技术与业务管理将走向融合_安全_魏星_InfoQ精选文章