當提到信息安全時，你會想到什么?我猜應該是技術相關的東西，例如防火墻、密碼和加密，以及它們試圖阻止的數(shù)據(jù)泄露事故和事件。畢竟，這些都是最受關注的核心安全組件，它們是這個等式的重要組成部分，但這些“解決方案”并不意味著完備的信息安全計劃。

[[272660]]

我們花錢購買產品，接受培訓課程，并對產品有衡量指標。但這都不是真正的安全問題所在。為了提高防御的有效性，企業(yè)的員工還具備特定的網(wǎng)絡安全“軟”技能。

其實很多更大的安全挑戰(zhàn)涉及沒人討論的事情：

• 薄弱的領導力，有限的支持;
• 缺乏資金支持;
• 追求中庸的企業(yè)文化;
• 用戶自己做出決定;
• 以及 技術人員難以被理解

市面上有數(shù)百甚至數(shù)千家供應商可以提供產品和服務來解決人類已知的每一項安全挑戰(zhàn)。但我們真正面對的問題是人的問題，溝通不暢、政治、權力斗爭等，在網(wǎng)絡安全方面缺乏這些技能會帶來與其他業(yè)務領域面臨的相同挑戰(zhàn)。

在安全領域，不同之處以及通常為什么事情無法完成在于，很多人對安全領域的觀念：安全是IT需要解決的問題。這導致常見問題：技術人員會突然出現(xiàn)并試圖控制安全的各個方面。通常情況下，不是由正確的人員做出安全決策，管理層又無法看到價值，用戶仍然不受支持，安全領域的惡性循環(huán)仍在繼續(xù)。

為解決現(xiàn)代信息安全挑戰(zhàn)，IT和安全專業(yè)人員應該更少關注技術問題，轉而更多關注人際問題。我認為，80%的有效信息安全計劃涉及人際技能。奇怪的是，似乎沒有人參加這種網(wǎng)絡安全技能課程。

在網(wǎng)絡安全領域，從安全有效性來看，軟技能方法比技術技能更有效。盡管人們知道這個道理，但實際來看，技術知識似乎仍勝過一切。我曾參加過國家和地區(qū)信息安全會議，其中都有會議涉及為實現(xiàn)網(wǎng)絡安全成功但安全職業(yè)以及基本軟技能。但這些會議并沒有很多人參加，遠不及威脅搜尋、加密貨幣和勒索軟件等酷炫主題會議。

我不認為信息安全技能短缺，至少在技術技能層面看是這樣。技術技能并不稀罕，這個領域有大量聰明的人可以解決技術問題。但技術問題并不是安全問題的全部，在網(wǎng)絡安全領域，真正缺乏人際、溝通和商業(yè)技能。技術專業(yè)人員需要反省自己，而不是將安全問題歸咎于管理層和用戶。這就是挑戰(zhàn)所在。

減少安全事件和數(shù)據(jù)泄露事故數(shù)量的唯一合理方法是，獲得并維持必要的支持，以支持持續(xù)安全計劃。這需要通過培養(yǎng)情商以及提高技能來實現(xiàn)，例如如何成為更好的銷售人員、提高演講技巧、促進商業(yè)中的積極關系等。

在這方面，并沒有神奇的解決方案，但我可以向你保證，答案不是更多的技術知識。而是專注于軟技能。正如在“醫(yī)療保健”行業(yè)，我們有大量聰明的醫(yī)生和大量的藥物(可能)解決我們所有的問題。然而，2型糖尿病、精神障礙和其他看似無法解決的疾病仍處于歷史最高水平。

無論是醫(yī)療保健行業(yè)還是信息安全行業(yè)，我們都會繼續(xù)遭受這種痛苦，因為這些病癥正在得到治療或被掩蓋，而不是解決根本問題。你的安全計劃不必停滯不前。你需要知道，你不一定需要更多產品，而且你不需要更多技術技能。你只需要確定你的盲點在哪里，并努力解決這些問題。這一切都取決于你。