如何优雅地向老板汇报安全工作 | 维庐夜话

我们现在究竟有多安全？无论甲方乙方，也不管你承认与否，这确实是个让人心生排斥但不能拒绝而且又难以回答的问题。心生排斥难以回答，背后是有原因的，安全是一件精细活，但是安全效果却无法量化，看似我们手握各种评估模型和方法，从定性到定量，有赋值法有加权法，不管是GB/T 20984的风险评估、或者是GB/T 22239的等保测评、又或者是OCTAVE的舶来方法，虽然最终能算出个系统的风险值，但你我都知道，不管是100分还是59分，我们都无法告诉别人现在究竟有多安全？我们的评估报告只能反映一堆数据，几张图表和一些趋势，此次发现了多少高危漏洞，较上月减少了多少，系统最终的风险级别是多少，当前的信息安全成熟度级别是多少，到最后评估报告依旧回答不了究竟有多安全， ………………………………