0
不久前雷鋒網(wǎng)編輯加進(jìn)一個(gè)群，群里集合了天南海北的小哥哥，他們?cè)谌豪镩_車，吐槽，撩妹（沒有妹，假裝撩），攪基，斗圖，求助，分享干貨，討論技術(shù)啊……
別誤會(huì)，都是正經(jīng)銀。他們身上有著相似之處：都在做或曾經(jīng)做過一個(gè)人的安全部。
幾天前某阿里面試官的一條微博把這群低調(diào)之人推向了大眾，不明真相的群眾們開始發(fā)射關(guān)切目光：一個(gè)人的安全部到底是什么樣的？聽起來很慘的樣子，期間有什么美好（狗血）經(jīng)歷？
（目前此條微博已刪除）
這就來聽他們聊一聊。
黑暗哥——如果人生還有選擇，我一定做個(gè)碼農(nóng)！
黑暗哥一個(gè)人干安全部一年多了，從事的主要是安全產(chǎn)品運(yùn)維、開源安全產(chǎn)品的測(cè)試和搭建、安全應(yīng)急響應(yīng)、應(yīng)用安全測(cè)試、安全培訓(xùn)以及兼任運(yùn)維工程師。（他在這個(gè)崗位后面添加了N個(gè)感嘆號(hào)表示不滿）
期間出現(xiàn)過種種奇葩事件，比如同事找你修電腦、裝系統(tǒng)、修打印機(jī)、拉網(wǎng)線，還有人真誠地請(qǐng)教為什么電腦會(huì)卡。
“說多了都是淚，孤獨(dú)啊，我和同事沒什么共同話題，更多時(shí)間都在自己學(xué)習(xí)。”
黑暗哥考慮過跳槽嗎？
如果是有團(tuán)隊(duì)的甲方或者重視安全的甲方，他肯定愿意去的。但跳槽后待遇如何，要看對(duì)方是怎樣的公司了，很難說得清楚。據(jù)黑暗哥透露，之前有家甲方公司叫他去應(yīng)聘，對(duì)方十分滿意黑暗哥，表示公司很重視安全，不僅要大力購買安全產(chǎn)品還要做等保，要做體系建設(shè)，承諾絕不讓黑暗哥做非安全相關(guān)之事，但薪資……
“呵呵，我從薪資預(yù)算里面就知道，他們口中所謂的安全預(yù)算根本不存在，跳槽過去也是從一個(gè)坑跳到另一個(gè)坑而已，果斷放棄了！”
如何點(diǎn)評(píng)這一行？
黑暗哥借用了某大佬的一句話，架構(gòu)師的知識(shí)量，實(shí)習(xí)生的工資！雖說里面有夸張成分，但安全行業(yè)工資偏低也是不爭(zhēng)的事實(shí)?！叭绻松€有選擇，我一定做個(gè)碼農(nóng)！”
認(rèn)識(shí)BUG哥幾經(jīng)周轉(zhuǎn)，聽說我要問“一個(gè)人的安全部”這事兒，他擼起袖子說要分享一波朋友經(jīng)歷，原話是這樣的：
一個(gè)人負(fù)責(zé)整個(gè)企業(yè)或者單位的內(nèi)網(wǎng)和外網(wǎng)安全，每天都要擔(dān)心系統(tǒng)被黑客日，連看到掃描都心里一顫（但是做的時(shí)間長(zhǎng)了，基本就麻木了）。系統(tǒng)被日了，頂上去，殺馬，刪后門，打補(bǔ)丁……
同事電腦中毒了，給他殺毒重裝系統(tǒng)去（有時(shí)候真不是病毒的原因，就是因?yàn)殡娔X太老了，卡了……）。
上級(jí)單位要檢查了，做個(gè)自己都看不懂的但是領(lǐng)導(dǎo)喜歡看的安全報(bào)告交上去。
有時(shí)候還要去做運(yùn)維的活，要是單位的系統(tǒng)是廉價(jià)的開發(fā)公司做的，估計(jì)還得負(fù)責(zé)系統(tǒng)的功能微調(diào)。
時(shí)不時(shí)會(huì)有公司里你喜歡的妹子添加微信好友，上來寒暄幾句，然后問你能不能破解QQ密碼或者盜號(hào)，她懷疑她男朋友出軌了，順便再讓你給她看看她手機(jī)和電腦里有沒有她男朋友給她發(fā)的病毒，手機(jī)桌面是她和她男朋友親親的照片，從此你就不喜歡她了……
我：你知道這么清楚？（疑惑臉）
BUG哥：別這么看我，真是的聽說，聽說。
我：好的繼續(xù)。
由于是一個(gè)人的安全部，這個(gè)部門情況好的話是一個(gè)邊緣部門中的邊緣部門，情況不好的屬于信息中心下屬的網(wǎng)絡(luò)部的運(yùn)維部的安全部。
所以綜上，一年給你部門的投入也就一臺(tái)華為的防火墻了（華為表示不關(guān)華為的事，華為不知道），運(yùn)氣好的話還能給采購一個(gè)IDS或者IPS。
要是問出了問題怎么辦？肯定你背鍋啊，你一個(gè)搞安全的，系統(tǒng)被日了，難道要去找研發(fā)么？（正確答案：是的）
要是沒出問題呢？領(lǐng)導(dǎo)會(huì)覺得你在這也沒啥用，工資就不漲了，年終獎(jiǎng)也算了，要是明年有應(yīng)屆生來上班，就把你開了得了，能省則省嘛。
好了，故事說完了，BUG哥收起小桌板，意味深長(zhǎng)地總結(jié)，有這樣的經(jīng)歷也未必不好，如果你一個(gè)人搞定了企業(yè)內(nèi)外網(wǎng)安全，滲透、運(yùn)維、工具或者設(shè)備使用熟練，條理清晰，有自己的見解，那在下家還是很受歡迎的。但如果只是去混日子，看天吃飯，靠運(yùn)氣躲開攻擊的話，可能連受到下家diss的機(jī)會(huì)都沒有……
風(fēng)哥最近心情不錯(cuò)，原因是招了一個(gè)小伙伴，終結(jié)了他一年多“光桿司令”的時(shí)光。
我：為什么之前一直沒招人??？是不好招嗎？
風(fēng)哥：（捂臉）安全沒投入，領(lǐng)導(dǎo)不給人啊。
我：那為什么現(xiàn)在給人了，是因?yàn)榍岸螘r(shí)間Facebook數(shù)據(jù)泄露給老板們敲了警鐘嗎？
風(fēng)哥：……并不是，因?yàn)槲姨崃穗x職啊。
（整段垮掉沒關(guān)系，我們重新來過。）
據(jù)風(fēng)哥說他干的事有這么幾塊：安全管理、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全、業(yè)務(wù)安全、數(shù)據(jù)安全、內(nèi)部安全（含辦公網(wǎng)）……當(dāng)然這是從安全角度，在運(yùn)維、研發(fā)同事眼里他就是掃地僧，專掃漏洞。有人覺得他管的寬，有的人覺得他管的窄。
“這也是一個(gè)人安全部的弊端吧，沒有一個(gè)高級(jí)別的人比如CSO給你說話，給你劃分職責(zé)范圍，反正一句話：我覺得跟安全相關(guān)的就是你的事，我覺得無關(guān)的就跟你沒半毛錢關(guān)系?！?/p>
更扯的是領(lǐng)導(dǎo)。公司不被黑，領(lǐng)導(dǎo)覺得安全沒事做，公司被黑了虧了一大筆，又說安全沒做好，天知道他們給領(lǐng)導(dǎo)講過多少次facebook虧了幾個(gè)億的例子，但領(lǐng)導(dǎo)不為所動(dòng)?？偨Y(jié)起來就是：沒出安全事件——要安全有什么用？出了安全事件——要安全有什么用？
風(fēng)哥寫過文章，只不過寫完文章后有人留言說“兄弟以后不許寫一個(gè)人的什么什么了，上次有一篇文章叫一個(gè)人的安全部，我單位有位XXO就認(rèn)為他啥都知道了，自那以后買兩本書看看目錄就開始和我們講安全了，當(dāng)你和他講技術(shù)的時(shí)候，他給你講管理，當(dāng)你和他講管理的時(shí)候，他給你講情懷，完了，估計(jì)下周開會(huì)又要墨跡了！”。
回到風(fēng)哥提離職這事，他其實(shí)沒怎么糾結(jié)，“說白了，每個(gè)人在拿薪資的同時(shí)都想提升個(gè)人價(jià)值，如果大公司有專業(yè)團(tuán)隊(duì)我可以考慮降薪過去，但如果小公司讓我抗事背鍋從頭開始，薪資就得給高點(diǎn)。當(dāng)然還有一種情懷在里面，干的爽了多干會(huì)，干的不爽早點(diǎn)撤?！?/p>
嚯，俠客即視感。
“一個(gè)人的安全部啊，”基哥點(diǎn)了根煙，說起了行話：
日常要做的就是日站：挖漏洞，修漏洞；當(dāng)安全運(yùn)維狗：配置維護(hù)防火墻、入侵檢測(cè)、日志審計(jì)等等各類安全產(chǎn)品。做等級(jí)保護(hù)合規(guī)建設(shè)和測(cè)評(píng)等；沒預(yù)算時(shí)客串碼農(nóng)：公司沒錢采購安全產(chǎn)品，要自己搭建開源或者自己開發(fā)；薅羊毛：先（測(cè)試）薅自己公司的羊毛，再防止羊毛黨薅羊毛；吵架：與產(chǎn)品經(jīng)理吵架、與開發(fā)吵架、與運(yùn)維吵架，給我排期需求，修復(fù)漏洞；背鍋和甩鍋：鍋是必須有人背的，不是自己的鍋，要甩出去。
基哥現(xiàn)在不是一個(gè)人了，他背后站著三、四個(gè)男人，是一支小規(guī)模的安全團(tuán)隊(duì)。不過說起之前單打獨(dú)斗的經(jīng)歷他依然吐槽滿滿，“最大的困難是沒人 and 沒錢 （有一樣兒也行?。?。要是仔細(xì)說，那就多了去?！?/p>
比如什么呢？
每次迭代時(shí)產(chǎn)品經(jīng)理不給安全的需求排高優(yōu)先級(jí)開發(fā)，安全需求推不動(dòng)；
開發(fā)不按時(shí)修復(fù)漏洞，或者認(rèn)為某些漏洞沒必要修，漏洞需求推不動(dòng)；
運(yùn)維不及時(shí)修改安全配置，運(yùn)維安全推不動(dòng)；
業(yè)務(wù)、開發(fā)、運(yùn)維部門認(rèn)為：安全怎么那么多事兒，總提影響進(jìn)度要求，或者給他們找活干。
財(cái)務(wù)做預(yù)算時(shí)：沒錢。HR做Headcount時(shí)：沒招聘指標(biāo)（沒人）。
領(lǐng)導(dǎo)：要出業(yè)績(jī)，出看得見的KPI。
普通同事：你們不是黑客大神，復(fù)仇者聯(lián)盟滅霸級(jí)別的嗎？怎么還能被XXX？
此處基哥舉個(gè)栗子：某次運(yùn)營和抽獎(jiǎng)活動(dòng)后，運(yùn)營和產(chǎn)品經(jīng)理妹子找我們哭訴：又（劃重點(diǎn)：又字）被薅羊毛了，這個(gè)月的活動(dòng)預(yù)算都被薅沒了。前端見到我們一臉詭笑：聽說你們被薅羊毛了……后端見到：又被薅羊毛了？廠家一臉鄙視（被一個(gè)制造業(yè)鄙視了互聯(lián)網(wǎng)公司……）
當(dāng)然，這都過去了，現(xiàn)在有了小團(tuán)隊(duì)的基哥舒心多了。在他看來大多企業(yè)的安全工作與企業(yè)核心業(yè)務(wù)的距離比較遠(yuǎn)，除了業(yè)務(wù)風(fēng)控崗位和業(yè)務(wù)距離近一些，業(yè)務(wù)安全直接影響收益和利潤，其他安全崗位被認(rèn)為是后臺(tái)保障工作，所以，沒有業(yè)務(wù)風(fēng)控的安全團(tuán)隊(duì)，通常人比較少（4人以下），有業(yè)務(wù)風(fēng)控的團(tuán)隊(duì)（業(yè)務(wù)需要才有），通常人在4人以上，投入的預(yù)算高一些，這時(shí)能做的事情就比較多了，也容易出安全業(yè)績(jī)。
“互聯(lián)網(wǎng)大廠的安全團(tuán)隊(duì)少說都30+人、50+人了，很多安全系統(tǒng)也都是自己開發(fā)，人多錢多的時(shí)候，安全工作相對(duì)會(huì)順暢很多?！?/p>
77——你之所以看不見黑暗，是因?yàn)橛腥似疵阉鼡踉谀憧床灰姷牡胤健?/span>
一年前77師傅干的還是一個(gè)人的安全部，一年后他換了公司身邊出現(xiàn)了不少并肩作戰(zhàn)的伙伴。
77師傅寫過不少文章，寫文章后也認(rèn)識(shí)了不少一個(gè)人做安全工作的小伙伴，其中更多的是在金融公司工作，涉及到等保等需求公司會(huì)招聘安全相關(guān)崗位。在互聯(lián)網(wǎng)中小型公司中，有安全崗位的真的不多，更多的業(yè)務(wù)都往云上進(jìn)行遷移通過云廠商的安全服務(wù)進(jìn)行安全防護(hù)，在業(yè)務(wù)沒有碰到大規(guī)模黑產(chǎn)/黑客攻擊導(dǎo)致?lián)p失錢的情況下，很少會(huì)有公司對(duì)安全開始重視。
而根據(jù)他以前的經(jīng)驗(yàn)，很多初創(chuàng)公司因?yàn)榇a的不嚴(yán)謹(jǐn)存在越權(quán)、跨站、注入等高危漏洞被攻擊者利用造成了無法挽回的損失導(dǎo)致公司無法繼續(xù)運(yùn)營。
另外在發(fā)現(xiàn)漏洞后的修復(fù)流程中，公司業(yè)務(wù)快速迭代新功能的緊急發(fā)布總會(huì)存在一些安全隱患，中小公司很少會(huì)有PMO這樣的崗位對(duì)項(xiàng)目進(jìn)度進(jìn)行跟進(jìn)排期，一般都是個(gè)人和對(duì)方業(yè)務(wù)溝通告知漏洞詳情和修復(fù)建議，碰到關(guān)系好的開發(fā)可以讓他排期盡快修復(fù)，當(dāng)然也會(huì)碰到比較耿直的開發(fā)。
比如77師傅之前就遇到過一個(gè)開發(fā)，寫了一個(gè)公網(wǎng)訪問的一個(gè)網(wǎng)站，在做數(shù)據(jù)庫交互的時(shí)候沒有用框架自帶的過濾用的是SQL拼接的方式導(dǎo)致了SQL注入的存在，當(dāng)時(shí)判定優(yōu)先級(jí)為最高需要馬上修復(fù)，但是這哥們對(duì)這個(gè)并不在意給出的修復(fù)時(shí)間是一個(gè)星期以后，經(jīng)過一頓操作將修復(fù)日期調(diào)整成了當(dāng)日。（具體怎么操作的可以問問77師傅。）
77師傅把安全工程師們收到一個(gè)通用漏洞的心情比做產(chǎn)房外等待的丈夫，要盡快確認(rèn)公司是否在使用這個(gè)服務(wù)，這個(gè)服務(wù)是否可以對(duì)外訪問，如何修復(fù)漏洞，補(bǔ)丁是否支持熱更新，灰度發(fā)布方案是怎么樣的，如何做到回滾等等，晚一秒被攻擊的可能性就會(huì)增加，每次修復(fù)都是在于時(shí)間賽跑。
同樣的，發(fā)現(xiàn)漏洞會(huì)盡快聯(lián)系對(duì)應(yīng)開發(fā)組織修復(fù)，提供修復(fù)建議在修復(fù)完成后進(jìn)行再次測(cè)試等等。
說到最后，77師傅真誠說道，“如果公司有安全從業(yè)者請(qǐng)善待他們。你之所以看不見黑暗，是因?yàn)橛腥似疵阉鼡踉谀憧床灰姷牡胤?，向所有做安全的好同志致敬。?/p>
前幾天微博有一個(gè)女生投稿，內(nèi)容是求助網(wǎng)友怎樣說服肌肉猛男（友）不用熊貓頭像，反差太大了。不少網(wǎng)友對(duì)這位投稿博主進(jìn)行了diss，用熊貓頭像怎么了，誰還不能買個(gè)萌。
熊貓哥在群里是萌寶，頂著熊貓頭像公然撩漢是他，有理有據(jù)給群友出謀劃策也是他。
在我問出問題后，熊貓哥一臉壞笑，“是不是收到很多群友們的瘋狂吐槽？”
我：是是是，你有什么要吐槽的嗎？
熊貓哥：不，我是來和你說為什么大家這么吐槽的。
以下是熊貓哥一本正經(jīng)的回答：
IT治理的目的是使IT與組織業(yè)務(wù)有效融合，其出發(fā)點(diǎn)首先是組織的發(fā)展戰(zhàn)略，以組織發(fā)展戰(zhàn)略為起點(diǎn)，遵循組織的風(fēng)險(xiǎn)與內(nèi)控體系，制定相應(yīng)的IT建設(shè)運(yùn)行的管理機(jī)制。IT治理的關(guān)鍵要素涵蓋IT組織、IT戰(zhàn)略、IT架構(gòu)、IT基礎(chǔ)設(shè)施、業(yè)務(wù)需求、IT投資、信息安全等。說白了一套強(qiáng)壯的IT管理制度和完全對(duì)應(yīng)的制度落地才是一個(gè)IT部門的核心競(jìng)爭(zhēng)力。
現(xiàn)在很多公司招聘的管理層完全不懂IT治理，很多都是經(jīng)驗(yàn)多一點(diǎn)，簡(jiǎn)歷好看的程序員，一旦從控制代碼到控制一整個(gè)IT部門，他們的能力就捉襟見肘。信息安全十分依賴一套健康的IT體系，才能穩(wěn)步的推進(jìn)工作，不管是運(yùn)維安全，代碼審計(jì)安全，以及內(nèi)部安全控制等等。
正因?yàn)槿绱?，群里的甲方工程師各種吐槽的本質(zhì)原因是因?yàn)镮T部門的基礎(chǔ)沒有扎實(shí)。
所以為了開展工作，甲方安全工程師在權(quán)力結(jié)構(gòu)不對(duì)等的情況下，在建設(shè)IT部門的基礎(chǔ)性架構(gòu)，在完成技術(shù)建設(shè)后再開展安全工作。
這就是為什么甲方安全工程師往往要多得罪人，被人嫌棄多管閑事。
領(lǐng)導(dǎo)層不懂IT治理（我懷疑他們連IT治理是啥都不知道），就會(huì)覺得安全工程師不務(wù)正業(yè)，為什么做這么多和安全無關(guān)的事情。
現(xiàn)在甲方信息安全工程師面臨的本質(zhì)矛盾是IT建設(shè)基礎(chǔ)不扎實(shí)甚至沒有，甲方安全工程師為了完成職業(yè)目標(biāo)，必須越權(quán)額外完成工作，導(dǎo)致職場(chǎng)人際關(guān)系和職業(yè)發(fā)展目標(biāo)雙輸。
在熊貓哥把這段話同樣發(fā)到群里后，群友紛紛開始了“商業(yè)吹捧”……
群友甲：熊貓大哥的立場(chǎng)很有高度??；
群友乙：我把這話轉(zhuǎn)發(fā)給我們IT總經(jīng)理，他一臉尷尬又不失禮貌地微笑；
群友丙：貓哥這是站在信息化角度詮釋；
群友?。海ㄏ氩怀隹淠愕脑挘蔷桶l(fā)幾個(gè)表情包吧）
……
P神——其實(shí)沒什么特別之處
和P神聊天之前我先詢問了群友為什么送他這么一個(gè)稱呼，他表示沒什么特殊含義，不過是自己昵稱首字母是P而已，但據(jù)我觀察很可能和他熱衷于P圖有關(guān)，畢竟我親眼見證了他曬戒指也用美圖秀秀P了一波手毛……
P神曾在一家電商從事過將近半年的甲方安全工作。按照他的經(jīng)驗(yàn)，有安全需求的公司，要么自己被黑過，要么是企業(yè)發(fā)展到一定規(guī)模需要這樣一個(gè)角色。而一個(gè)人的安全部這一角色，通常依附在運(yùn)維部門下面或者是QA質(zhì)量測(cè)試下面，你的領(lǐng)導(dǎo)可能是質(zhì)量測(cè)試的老大、運(yùn)維部門的某個(gè)小leader或者是運(yùn)維總監(jiān)，少數(shù)會(huì)直接將工作匯報(bào)到CTO那里，從這點(diǎn)就可以看出安全在公司中的位置。
而安全工作要順利推進(jìn)是需要話語權(quán)的，需要一定的安全預(yù)算，因?yàn)榘踩ぷ鞒３Ｊ窃诎l(fā)現(xiàn)別人的問題，從點(diǎn)（一個(gè)漏洞）到面（系統(tǒng)網(wǎng)絡(luò)架構(gòu)業(yè)務(wù)風(fēng)險(xiǎn)）的風(fēng)險(xiǎn)發(fā)現(xiàn)和治理多數(shù)情況下是與人打交道，大家往往因?yàn)楦鞣N原因會(huì)有不同的抵觸情緒，職場(chǎng)的溝通協(xié)調(diào)能力是一方面，而有制度和權(quán)利的保證會(huì)讓工作有理有據(jù)的順利開展。否則這些工作定義了一個(gè)人的安全部是自顧自嗨，慢慢就會(huì)缺乏認(rèn)同，沒有成就感，失去積極性，變成一條咸魚。
你在的部門和領(lǐng)導(dǎo)決定了安全的角色可以做什么，什么可以做的更好，什么事情想做而做不了，什么事情讓你感到壓抑。
但這些都是因人而異，一個(gè)人能夠在甲方經(jīng)歷安全廣度上的磨練，如果自己也懂得思考，并在公司有價(jià)值和聲音的體現(xiàn)，以及在安全的某一方面有深度能力，完全可以跳到合適的甲方組建自己的安全團(tuán)隊(duì)或跳到已有安全團(tuán)隊(duì)的互聯(lián)網(wǎng)明星企業(yè)。但當(dāng)自己的想法和行動(dòng)力被不懂安全的人束縛時(shí)就會(huì)回憶乙方的團(tuán)隊(duì)氛圍……
實(shí)際上在P神看來，一個(gè)人的安全部的經(jīng)歷沒什么特別之處，閃光的地方更多在于你做出的成績(jī)和積累或?qū)θψ拥呢暙I(xiàn)。
夜深了，吐槽星人們都開始潛水搬磚，明天起來又是一個(gè)人的安全部，誰也不知道會(huì)出現(xiàn)什么雞飛狗跳的事情……
文章為雷鋒網(wǎng)宅客頻道原創(chuàng)，歡迎關(guān)注雷鋒網(wǎng)宅客頻道（微信公眾號(hào)：letshome）
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
