点击蓝字关注我 2025-10-11 08:45 上海
安小圈
🛡️ **技术防护的局限性不容忽视**：文章指出，尽管现代企业部署了大量的安全工具，但数据泄露事件的平均成本仍在上升。这表明技术投入的增加并未带来风险的等比例下降。技术防护的局限性体现在其被动响应特性（难以应对零日漏洞）、无法技术化人为因素（如点击钓鱼链接、恶意泄露）以及复杂性带来的新风险（如配置错误）。
👔 **管理是信息安全的核心症结**：文章深入分析了管理层面的挑战，包括信息安全部门的边缘化、缺乏决策权和资源调配能力导致的“安全孤岛”现象；员工安全意识薄弱，技术再先进也难以弥补人为弱点；以及制度停留在纸面，缺乏有效执行监督机制。这些都指向了管理问题的核心。
🏛️ **建立安全治理体系是关键**：文章提出，有效的信息安全建设需要建立完善的治理体系。这包括董事会层面的安全监督，将信息安全纳入企业风险管理；建立跨部门的安全协调机制，确保安全要求融入业务流程；以及明确的安全责任矩阵，将安全责任落实到每个岗位，实现全员参与。
🌱 **构建持续的安全文化至关重要**：文章强调，安全文化的建设是一个长期过程，需要持续投入。这包括管理层的领导力示范，用行动证明安全的重要性；持续的安全教育，通过模拟演练和案例分析提高员工意识；以及建立正向激励机制，表彰安全意识强的员工，使安全成为企业文化的一部分。
⚙️ **技术与管理的平衡是艺术**：文章认为，技术必须在正确的管理框架下才能发挥最大价值。优秀的安全管理应做到技术选型的业务对齐，选择与业务流程契合且易于管理的技术；持续的技术优化，评估技术有效性并淘汰冗余组件；以及人技结合的防护策略，将技术、人员培训和流程管理有机结合，形成多维度防护。
点击蓝字关注我 2025-10-11 08:45 上海
安小圈
在我担任CISO的这些年里，我见过太多企业花费数百万购买最先进的安全设备，却依然在一次简单的社会工程学攻击中全盘皆输。最让我印象深刻的是，某家拥有完备技术防护体系的金融机构，最终败在了一个钓鱼邮件上——不是因为技术检测失效，而是因为员工缺乏安全意识，管理层对安全培训重视不够。
这个现象让我开始深入思考一个根本性问题：信息安全的本质到底是什么？
从技术角度看，现代企业的安全防护已经相当完善。防火墙、入侵检测系统、终端保护、数据加密、身份认证——这些技术组件构成了多层防护体系。根据Gartner的调研数据，企业平均部署了45-60种不同的安全工具，全球网络安全支出在2023年达到1880亿美元。
然而，IBM的《2023年数据泄露成本报告》显示，数据泄露事件的平均成本仍然高达445万美元，比前一年增长了15%。这个矛盾的现象说明了什么？技术投入的增加并没有带来安全风险的等比例下降。
技术防护的局限性主要体现在几个方面：
被动响应特性：大多数安全技术都是基于已知威胁特征进行防护，面对零日漏洞和新型攻击手法时，技术防护往往滞后。攻击者总是在寻找新的突破点，而防护者永远处于追赶状态。
人为因素无法技术化：技术可以检测恶意代码，但无法阻止员工点击钓鱼链接；技术可以加密数据，但无法防止授权用户的恶意泄露；技术可以监控网络流量，但无法识别社会工程学攻击中的心理操纵。
复杂性带来的新风险：安全技术栈越复杂，配置错误的可能性就越大。据CISA的统计，约30%的安全事件源于配置错误，而非技术缺陷。
当我们把视角从技术转向管理时，会发现信息安全面临的真正挑战：
在很多企业中，信息安全部门往往被边缘化，缺乏足够的决策权和资源调配能力。安全团队可能发现了风险，但无法推动业务部门进行整改；可能提出了安全建议，但在成本压力下被管理层否决。
这种组织架构问题导致了"安全孤岛"现象。IT部门关注技术实现，业务部门关注效率和成本，而安全部门的声音往往被淹没在部门利益的博弈中。
根据Proofpoint的《2023年人为因素报告》，83%的企业在过去一年中遭受了成功的邮件攻击，其中90%以上都涉及人为因素。这个数据清楚地表明，技术再先进，如果员工缺乏安全意识，整个防护体系就存在致命弱点。
安全文化的建设需要从管理层开始，自上而下地推动。如果CEO和高管团队不重视安全，不在日常工作中体现安全优先的理念，员工就很难形成安全意识。
很多企业都有完善的安全制度，但缺乏有效的执行监督机制。制度停留在纸面上，没有转化为员工的日常行为规范。这种情况下，再好的技术防护也无法发挥应有的作用。
有效的信息安全建设需要建立完善的治理体系，明确安全责任的分工和协调机制。这包括：
董事会层面的安全监督：将信息安全纳入企业风险管理体系，定期评估安全风险对业务的影响，确保安全投入与业务价值的平衡。
跨部门的安全协调机制：建立安全委员会，由各业务部门的负责人参与，确保安全要求能够融入业务流程，而不是游离于业务之外。
明确的安全责任矩阵：每个岗位都应该有明确的安全责任，安全不只是安全部门的事情，而是全员的责任。
安全文化的建设是一个长期过程，需要持续的投入和强化：
领导力示范：管理层必须在日常工作中体现安全优先的理念，用行动证明安全的重要性。
持续的安全教育：不是一年一次的安全培训，而是融入日常工作的安全教育，通过模拟演练、案例分析等方式提高员工的安全意识。
正向激励机制：建立安全行为的激励机制，表彰安全意识强的员工，让安全成为企业文化的一部分。
技术需要流程来支撑，流程需要管理来保障：
风险评估流程：建立定期的风险评估机制，识别新的威胁和脆弱性，及时调整安全策略。
事件响应流程：制定详细的安全事件响应预案，明确各个角色的职责，定期进行演练和优化。
变更管理流程：任何系统变更都应该进行安全评估，确保新的业务需求不会引入新的安全风险。
这并不意味着技术不重要，而是说技术必须在正确的管理框架下才能发挥最大价值。优秀的安全管理应该做到：
技术选型的业务对齐：选择安全技术时，不仅要考虑技术先进性，更要考虑与业务流程的契合度和管理的可操作性。
持续的技术优化：建立技术效果评估机制，定期检查安全工具的有效性，及时淘汰冗余和低效的技术组件。
人技结合的防护策略：将技术防护与人员培训、流程管理有机结合，形成多维度的安全防护体系。
在我的实践中，最有效的安全建设往往遵循"管理先行，技术跟进"的原则：
首先建立清晰的安全目标和策略，然后选择合适的技术手段来实现这些目标。这样既避免了为了技术而技术的盲目投入，也确保了技术投入的针对性和有效性。
同时，要建立持续改进的机制。安全威胁在不断演变，管理策略和技术手段也需要相应调整。这需要建立学习型的安全组织，能够快速适应新的威胁环境。
信息安全的本质是风险管理，而风险管理本身就是一个管理问题。技术只是管理的工具和手段，真正决定安全效果的是组织的管理能力、安全文化和执行力。
只有认识到这一点，我们才能跳出技术思维的局限，从更高的维度来规划和建设企业的信息安全体系，真正实现安全与业务的协调发展。
【内容来源：信息安全动态】
中国联通DNS故障敲响警钟：DNS安全刻不容缓
2025HVV【技战法】丨0Day漏洞专项篇
护网—2025｜严守视频会议“安全门”，谨防信息泄露“一瞬间”
疑似国内护网红队攻击样本被捕获并深度分析
蓝队快速识别隐藏恶意文件的 20个文件特征及查找方法总结【新！】CNNVD通报微软多个安全漏洞
2025-07-11 HW情报分享
【HVV】护网—2025 | 网警公布适用《网络数据安全管理条例》典型案例
微软紧急修复高危蠕虫级RCE漏洞，威胁全网Windows系统
【HVV】护网系列 威胁情报共享7.8
【HVV】护网系列 威胁情报共享7.7
25HVV最新0day更新，各单位自查...
【HW】8个因护网被开除的网安人
HW应急溯源：50个高级命令实战指南
震惊全球！中国团队攻破RSA加密！RSA加密告急？
突发！小红书惊现后门......
2025年“净网”“护网”专项工作部署会在京召开，看看都说了哪些与你我相关的关键内容？
护网在即，企业还有什么新思路可以应对吗？
HW必备：50个应急响应常用命令速查手册二（实战收藏）
【干货】2024 攻防演练 · 期间 | 需关注的高危漏洞清单
攻防演练在即，10个物理安全问题不容忽视
红队视角！2024 | 国家级攻防演练100+必修高危漏洞合集(可下载)
【攻防演练】中钓鱼全流程梳理
攻防演练在即：如何开展网络安全应急响应
【2025】常见的网络安全服务大全（汇总详解）
AI 安全 |《人工智能安全标准体系(V1.0)》(征求意见稿)，附下载
AI辅助创作，多种专业模板，深度分析，高质量内容生成。从观点提取到深度思考，FishAI为您提供全方位的创作支持。新版本引入自定义参数，让您的创作更加个性化和精准。
鱼阅，AI 时代的下一个智能信息助手，助你摆脱信息焦虑