“超级CSO研修班首发，听CSO说CSO”

攻防升级，技术快速迭代，行业日益细分，产业快速扩张。 以前传说安全变得泛安全了，以前不关心安全就是关心安全了。 狭义安全成为大安全的时候，以前人们不太关注视野的极限，但现在不仅是互联网和系统，物理环境、人员意识、业务APP、法律法规遵从性、业务信息、数据隐私等都很重要 这些都是大环境的变化。

气候也在变化。 说到公司B端，产业网络催生了公司的战术变革，升级耗资空前提高了全民对个人隐私和数据安全的意识和认识，被内外夹击，公司的安全工作不再简单。 消防应急措施没有效果，需要综合对策。 攻防不充分，必须平衡风险。 局面多而复杂的话，对人的要求也会提高，以往的技术型、单一型的安全专职，必须向管理型、复合型转变。 工人呢？ 幸运的是，过去常常被诟病的是消防队和背锅侠公司基层的安全职位，可以逐渐升级，跃居高管。 简单的专业化业务也在迅速发展成为更加普遍的职业化道路。 有坏消息吗？ 啊，人才缺口大，供给远远不及诉求。

安全人才很难找到，高端安全人才更是紧缺。 嗯，有点吵，我想说这个。

在这样的大背景下，安妮投身媒体，建立和运营真正属于甲方商家的网络安全专家社区诸子云后，再次发起了具有里程碑意义的活动:超级cso研修班，cso专用传播，

我们的想法很简单，在网络安全行业急剧变化，发生巨大转变的今天，我们是一个潜在影响互联网安全市场和趋势的cso集团，建立高台，树立标杆，凝聚同伴，树立理念，树立气度。

我们希望找到越来越多的同好之士，让大家都能以cso的标准引领新的风向，做出新的贡献。 我们希望更多的公司接受并设立cso职位，让更多的人能够胜任cso职位，让cso职位真正成为公司不可缺少的。

当然，在闹事之前，我们必须弄清楚那是什么。

什么是cso？ cso有什么价值？ cso应该具备哪些技能和学识？ 为什么要做cso？ cso如何进化才能向哪里跑？

带着这些问题，安妮在媒体上拜访了一位老朋友。 他们都是典型领域的代表公司cso (或其他同等名称)，他们在百战磨练中非常有经验，他们熟悉高级互联网安全的工作道路，他们也用各自的方法无私分享，奉献给产业。

让他们教你优秀的cso吧。 告诉我一些关于cso的事情。

如何定义cso (或ciso )这个角色？

陈建: cso是公司整体安全管理结构的设计者和实践者。 cso需要根据公司的战术和it战术规划公司的安全战术，提高公司安全能力的成熟度。

蔚:我认为cso应该是一个对外安全的形象代言人。 他的一句话决定了这家公司对安全的态度。 内部是公司安全的决定者，在公司快速发展的过程中安全如何辅助业务。 为了安全，努力避免公司受到损害，监管公司也有在业务快速发展上与安全对立的需求被驳回的责任。 所以cso必须明确自己公司的安全价值观，积极推进这种安全价值观。

顾骏: cso是安全的负责人，不管他的具体职务是什么，他都必须对安全工作承担最终的责任。

黄承: cso，这个titel决定了担任这个角色的人所需的结构； 这个角色的说明和定义大部分集中在技术方面的技术规划、体系结构和管理上，所以cso这个职位bu和direct报告线是cto也是有道理的。 这是过去也是现在，但不是未来！

哥哥:最终对公司网络安全负责的人，是网络安全除了公司最高管理层之外，其他公司负责的最高角色。

李吉慧:据我所知，cso通常和cio是一体的，很少单独安排。

具体来说，就是保护企业新闻化过程中各种系统的安全，包括数据安全、互联网安全和业务安全。 例如，防止黑客攻击、数据泄露等，协调与业务部门和各技术线路的关系，关闭棺材做出定论。 并负责制定公司的安全对策和安全标准，参与外部各相关行业的活动，向高级管理层、董事会报告整体安全趋势和计划。

刘新凯: cso是一个综合作用，不仅要实现以前流传下来的技术上的各种防护目标，还需要关注组织的快速发展目标，通过安全工作支撑组织的快速发展。

谭晓生:是对新闻安全、互联网空间安全甚至业务安全负有首要责任的高级管理层，一般是对组织的首要负责人、董事会负责，但对企业技术负责人( cto )、运营负责人(

王彬:由于这个角色需要对公司整体的安全负责，并且有积极承担相关风险的意愿，所以我认为有必要协助公司持续安全地开展业务。

张嵩)融合大安全、隐私保护、数字风险管理等行业专业的公司(组织)领导者。 在稍微成熟一点的公司里，应该是高级管理者，甚至是高可达集团副总裁级别的公司级别的角色。

cso的功能和价值点是什么？

陈建: cso需要在公司内认真进行管理层意识教育，努力展现公司安全团队的价值。 另外，cso还应该与业务部门的领导进行信息表达和协调，得到业务部门的认可。

蔚:我们知道安全是绝对没有的。 通过专业技能和经验寻找一个点。 这一点是在公司的安全风险和安全投资的最佳比。 这是cso最大的价值。 你的价值低到必须处理所有的安全问题，把时间和金钱投入到所有的问题上来处理也不值得你。 不，找出不同期间业务形态的最佳比。

顾骏:对组织负责人来说，cso是眼睛，帮助负责人看到看不见的问题； 对组织各部门来说，cso是摄像头，对协助各部门发现安全隐患的组织内部安全人员来说，cso是责任的承担者，该背负的、不该背负的都要背负； 对组织内所有人来说，cso是推动者，对让员工认同新闻安全理念的攻击者来说，cso是防护的指挥官，必须全面考虑防护的各个环节。

黄承: cso的业务责任依赖于所属公司的业务导向，也就是业务快速发展所需的高度一致和一致性高的一致。 虽然这是个难点，但我们必须冷静地认识到，如果没有这个目标的实现，就没有上述的未来。

公司的业务文案可能各不相同，但并非没有共性。业务连续性、公司竞争力、公司作为公民的社会义务是普遍的单位业务目标。 如果把这些目标翻译成安全相关的语言，我们cso有安全的整体方针，并且有主体战略，这是所有安全活动的开始。

不怕承担越来越多的业务运营相关责任是cso成为公司高级管理层核心人员的必由之路。

合格的cso是公司综合竞争力维持良好水平的主要因素之一。

哥哥:直接参与本公司网络安全相关业务的快速发展决策。 确保网络安全战术符合我们的整体业务战术和新闻科技风险管理战略。 建立网络安全队伍，确保网络安全管理和技术措施比较有效，提高网络安全人才队伍的专业技能，履行管理层赋予的网络安全管理职责。

价值在于参与业务的快速发展，承担互联网安全职责，做出互联网安全决策，组建团队，落实互联网安全各项业务。

李吉慧:

1 )明确互联网安全的目标和愿景与公司的战术一致，获得足够的资源以确保安全战略得到更有效的执行。

2 )制定和执行安全策略、安全标准、准则和执行步骤，以持续处理安全问题。

三)全面安全问题影响分解和保护方案，指导相关部门完全落实安全要求和法律方面的问题。

四)向董事会、高级管理层报告安全状况和风险的事情，必要时根据风险和威胁的变化尽快调整战略。

五)进一步完善容灾、业务连续性战略，确保企业新闻化过程中生产安全稳定性符合快速发展的系统架构。

刘新凯:随着全球对新闻安全关注度的增加，国家和领域的法律法规越来越严格，新闻安全已经成为各组织的重要业务，cso的定位也从网络安全，成为公司风生水起、领域业务竞争的关键。 因此，对cso来说，从网络安全防御到业务安全优化，功能都在改变着业务安全竞争力的提升方向。

谭晓生:

cso的作用

组织新闻安全小组、业务安全小组的组建；

制定和执行组织的安全政策

负责企业安全战略的宣传

负责安全事务的应对和处置

负责与新闻安全管理部门的信息表达

组织、领导和安全生态系统的良性互动

负责董事会、企业管理层和业务的快速发展和安全方面的信息表达和协调。

cso价值点

以最低的价格，保障企业业务运行的安全到可以接受的程度

在安全性和快速发展之间取得平衡，提出建议草案，得到董事会和管理层的支持。

王彬: cso/ciso需要判断企业整体的安全风险，制定新闻安全标准和落地相应的管理措施，保证业务持续性快速发展。

价值点在于观察风险的宏观视野，专家的经验也是核心价值，如果出现问题，可以在第一时间做出正确的判断，带领团队取得想要的结果。

张嵩:在健全治理机制的公司中，cso应该涵盖了全部功能，主要是互联网安全(包括攻防对抗、运营、安全基础设施等)、项目建设安全)、开发流程、工具、安全 数据安全和隐私保护、治理、风险管理和合规性、意识和教育、供应链安全管理、内部控制和人员操作风险管理、业务安全风险管理

首要价值是在公司风险管理的大框架下，在公司风险偏好内管理安全风险。 组织安全管理和风险管理机制的建立、支持的基础架构、工程平台、工具链、运营流程等。

cso应该具备什么样的知识和技能？

陈建: cso除了具备安全专业行业的广泛知识外，还需要涉猎管理行业、产品行业、财务行业的知识和经验。

蔚:具备坚实的基础、安全技术基础。 不能浮在表面。 光靠理论基础常常找不到问题的根源。

一定领域的影响很大，可以以公司的安全价值观为窗口让更多的人了解，吸引越来越多的人才。

如果抱着探索和了解的欲望，不断学习同行和其他新技术，很多问题可能没有答案，但那样的日常知识有助于快速找到处理问题的方法。

有一定的安全体系理论基础，有实际的公司体系建设经验，不是有iso gb提出各自的要求和观点。

顾骏: cso必须理解安全。 cso不一定了解具体的安全技术手段，也可能不一定写攻击代码。 但是，一定要有对安全的一定高度认识，确定安全工作目标，了解安全工作现状，了解安全工作问题，推动问题处理的能力，cso应该是可以理解的领导者。 cso必须了解管理，善于与上级表达信息，为获取各种资源而努力； 必须善于与各部门进行信息表达，不断得罪各部门，同时要得到各部门的支持，要善于与各分公司进行信息表达，提出管理要求，同时帮助处理问题； 要善于和下属表达信息，要保持技术，发挥他们的积极性。 要善于利用奖赏和惩罚，无论奖赏和惩罚如何，都必须以推进工作为最终目标。

黄承: cso的知识和技能不是单一的可量化指标，综合能力评价可能比较合适。 cso首先是策划人，然后是组织者，然后是执行指导和监督人，最后是评价和改进的促进者； 不可或缺，否则需要补充措施。

哥哥:提升管理、战术计划、目标管理、绩效和激励、信息表达、冲突管理。

李吉慧: cso的知识和技能来自此前的经验，例如从事软件工程师、架构师、或新闻安全、风险管理等相关工作。 您可能来自特定的功能性业务部门，例如自己参与安全管理、风险和合规任务的经验。 此外，要参与影响APP、基础架构和外部威胁的安全计划和措施，还需要新闻安全技能和实践经验。 另外，还需要与领域的供应商、信息界、学术界建立亲密的联系等。

除此之外，cso还需要参与保障具体技术力量和业务轨迹资质、公司战术执行的全过程，得到内部相关组织的支持和信任。

刘新凯:简单来说，技术和管理能力必须两手拥有，才能保证新闻安全保障工作和业务价值的扩大两方面的价值。

谭晓生:公司战术规划能力； 互联网安全知识团队管理知识； 宣传技能； 项目管理知识。

王彬:能力必须比较全面。 例如，需要风险管理能力，最好有财务知识储备。 当然，专业技能也是不可缺少的。

张嵩:作为高级管理者，cso的核心能力是掌握对安全的前瞻性和方向感，受组织水平的影响很大，具备高层、横向的信息表达能力和驱动力； 建立和管理高效能团队，迅速吸收国际行业领导者实践，具备在组织内变革的责任、意志和使命感，有能力提供组织层面的价值和服务，改变自古流传的安全文化，建立积极的安全行为。 就具体的安全技术知识体系而言，框架多，科技快速发展速度也很快，这就要求这一级管理人员在视野和落地细节上达到平衡。

cso需要的知识和技能是什么？

(龚)技术系的提高)请更加关注你曾经受益的人和社团。

影响很大:多参加一些议题宣传，逻辑清晰，思维敏捷，表达新的观点新的思想，可能不完全正确，但这样能交到很多想和你交流的朋友。

知识积累:永远不要相信这是最好的答案。 怀疑是使自己进步的原动力。 保持学习状态，不要只做迷信考证。 有时候某人的意见和复印件会给你启发，比一堆证书还大。

安全理论体系的提升:不要照搬照抄别人的体系，而要搞清楚最根本的内涵，从小到大，了解背后的目的，从小到大实践。

顾骏:对cso来说，书本知识很重要。 至少要读一点安全管理的书，把自己包装成专家，和同行有共同语言。 各安全官员应该很好奇。 必须关心周围的各种事件。 既要注意与安全相关的事件，也要注意看起来与安全无关的事件。 cso也必须是充满好奇心的人。 不论好坏，都有分解分解的习性。 实践经验也很重要，截断经验会产生智慧。 很多经验来自于自己和别人的血的教训。 评价cso是否称职的标准之一是看他在紧急解决组织安全问题时的能力，看他能在多长时间内提出紧急方案，协调执行多少控制措施，在多长时间内执行措施。

黄承:了解和实现1、2、3，投入越来越多的精力熟悉业务和运营； 简单来说，就是on job study。

哥哥:实践、训练、看书。

李吉慧:自学、论坛、交流、加热情。

刘新凯:理论学习、实践经验、领域内交流。

谭晓生:读书，参悟； 参加培训班； 同行交流； 实践训练。

王彬:自主学习，与人交流，安全生态。 另外，积极参加组织的各种在线活动和培训班是很好地获取知识和技能的方法，更综合、直观，比其他形式更有效。

张嵩: cso必须是一个高效快捷的学员。 有助于明确焦点中心目标和时间的新闻来源应该得到考虑，而不是限制渠道。 这是高效学习者的基本素质，而不是每一个cso的基本素质。

谁最容易升级到cso？

陈建:公司安全主管很可能从专业技能晋升为cso，其他风险投资业、it运营业、甚至财务部门的人也有机会走cso这条路。 因为cso的核心技能是风险管理。

蔚:安全系统建设负责人、风控负责人、安全经理。

顾骏: cso以前的经验越多越好。 安全工作通常涵盖组织的各个方面，有时cso比组织的负责人管理得更广泛。 如果经历了各种各样的职场，就能和所有人拥有共同的语言，更好地把握安全业务的方向。 如果cso只有新闻安全的工作经历，如果只从安全的角度看问题，则可能无法全面考虑。

黄承:认识的高度是建立结构的基础条件，不完全取决于能否成为cso，但成为什么样的cso与这个关系密切，因为你不是在用一个身体在战斗。

哥哥:以结果为导向，轮换。

李吉慧:对业务连续性规划、审计、风险管理等管理者新闻技术和新闻安全有深入了解的管理者。

刘新凯:具有安全技术背景的管理者，符合现阶段cso的高度路径。

谭晓生:新闻安全总监，新闻安全专家。

王彬:具有良好背景的安全人员、风控负责人、it负责人、审计负责人、内控负责人都是cso候选人。

张嵩:组织层面影响较大，具有推动力，知道公司风险管理和内部控制的核心逻辑(特别安全技术专家很难快速发展到cso层面)。

cso职业生涯快速发展的后续可能是什么？

陈建: cso的可能路线将朝着cro或cio的方向走。 如果创业了，可以试试首席执行官。

蔚:安全专业投资高级顾问、首席技术官、技战术顾问。

黄承: cto或coo，或者&hellip； .企业家？ 对于有cso经验的人来说，复刻是后续职业快速发展的几个选择中最容易的方法之一，coo是最大的挑战，创业者是小的、个人的狂热选择。

哥哥: cro、ceo、企业家。

李吉慧:向cio快速发展，或者战术投资者。

谭晓生:首席执行官，首席执行官。

张嵩:他兼任风险行业不断扩大的cso、安全行业的公司科技或风险管理干部、安全产业企业的干部、安全投资行业。