令人恼怒的十个安全悖论

任何驾驶经验丰富的人都应该知道交通堵塞有多令人沮丧。交通堵塞可能是由多种原因引起的，包括“并道”行为。对于那些没有尽快改变道路的人，而是在***时刻“并道”你可能和我一样生气。

然而，如果我们退后一步，战略性地思考这个问题，就很难再这样做了***时刻的“并道”行为很生气。我为什么要这么说？首先，大多数人都在和解“并道”行为斗争，也就是说，我们会用每一条可用的道路绕过那些努力并行的人。事实上，有证据表明，***并道实际上是一种有利于缓解交通的行为。

美国明尼苏达州交通当局在高速公路维修路段进行的“***一刻再并道”的实验显示，这种驾驶方式可以降低因为修路减少车道而产生的交通堵塞40%。专家们建议的正确的驾驶 *** 是：所有的人都应该在自己原来的车道上行驶，直到***这样做的好处是，两条车道在并道前得到了充分的利用。

然而，这种交通模式与安全有什么关系呢？在我看来，这件事教会了我们在对某些行为感到愤怒之前对它们有更深入的了解。这就是我们在安全领域可以学到的。你为什么这么说？当然，这是一个更深刻的问题，以下是十个“安全行为令人恼火，但同时也有深层原因”。

1. 战术专注

在很多情况下，我听到不同的组织抱怨他们的安全团队过于专注于战术。当然，这可能是真的。然而，如果你的主要指标包括一周内触发报警的数量，以及打开和关闭的凭证数量，你会因为他们试图完成你鼓励他们完成的估计任务而愤怒他们吗？

2. 灭火队员

没有人希望他们的安全团队厌倦了一个接一个地处理紧急情况，而没有多余的精力专注于其他关键业务。但面对这种情况，我们有时很难责怪安全团队，因为有一些合理的需求，他们必须抛开所有其他问题来处理这些紧急情况。然后，我不得不说，很多时候，这些安全团队都很累“紧急情况”，由于缺乏对问题和安全团队能力的理解和信任。

3. 热门事件

我们有时讨厌安全团队谈论热门事件，但说实话，我还没有遇到过真正享受热门事件的安全团队。大多数时候，谈论热门事件对他们来说只是别无选择。当热门事件发生时，关于“如何应对？”、“我们是否会受此事件影响”以及“我们是否受到保护”等待许多问题，等待安全团队的回应。因此，我们正在鼓励他们关注热门事件，以帮助我们应对即将到来的紧急情况。

4. 追逐流行的细分市场

许多安全行业的人都在嘲笑或戏谑那些热衷于追求的人***流行市场的企业。但在嘲笑之前，让我们看看我们是如何鼓励他们这样做的！对于初创企业，资本和公共关系(PR)通常会紧跟***流行市场；对于成熟企业来说，客户是否投资预算也很受关注***流行市场。归根结底，追求流行市场只是为了获得更多的关注和融资支持，以支持企业更好的发展。

5. 写下密码

每个人都喜欢嘲笑那些写密码的人“愚蠢”用户，但事实上，也许他们应该嘲笑我们。因为在安全行业，我们无法证明疯狂复杂的密码规则可以改善我们各自的安全状况。事实上，如果我们想真正改善安全状况，我们可能需要完全删除密码。然而，当我们不能为用户提供任何有效的 *** 来解决这个疯狂而复杂的密码规则时，他们除了写下他们不记得的密码外还能做什么（你会说有密码管理器，但你也必须看到很多关于密码管理器漏洞的报道）

6. 没有准备好回应事件

当严重事件发生时，没有人喜欢意想不到的震惊和意想不到的尴尬。然而，建立一个成熟的事件响应能力并不容易。它不仅需要巨大的战略努力，而且不能立即显示其价值（只有安全事件才能显示其价值）。如果组织只追求即时的战术收入，而不是难以取得成果的战略收入，那么在紧急情况下就不难理解。

7. 获取“烟道式”(stovepiped)技术

我们经常看到，当出现严重的安全问题时，人们会期待即时的解决方案(immediate solution)的出现。虽然我们需要确保及时处理严重问题，但是我们也要确保自己不会产生“膝跳反射”(knee jerk)期待几乎获得“一次性”快速修复方案。我们都不想在未来得到一个没有效果的“一次性”解决方案，但我们没有意识到我们无意中激励我们的安全团队放置更多“烟道式”技术。

8. 安全预算不足

每个人都喜欢大型零售连锁店的低价，但他们也喜欢抱怨缺乏合理的售后支持。我们不能真正整合这两种需求。正如我们都希望我们的供应商和供应商能以低价为我们提供更多的价值一样。安全是一种常见的/间接的(overhead)成本，当然，我们都知道它的重要性，但我们不能强迫我们的供应商和供应商优先考虑它。在这种情况下，我们不妨根据自己的不同规模来衡量其安全预算。

9. 培训团队成员不足

组织团队成员进行专业培训需要一定的资金，他们需要一段时间才能离开工作岗位。如果我们能看到培训团队成员的战略意义，我们会认为所有这些投资都是值得的。然而，如果我们只激励他们短期收入，就不难理解培训成员的不足。

10. 协作不足

关于信息共享和协作的讨论很多，但不幸的是，行动的次数却远少于讨论的次数。造成这种情况的原因有很多，大多数组织都会鼓励员工保持信息的私密性，以及粉饰安全计划的真实状态。但是，事实上，这种信息共享和协作并不可耻，相反地，它可以让你得到进一步完善。但前提是，你必须做出正确的鼓励行为来获得正确的结果。

【本文是51CTO专栏作者“”李少鹏“”请通过安全牛(微信微信官方账号)转载原创文章id:gooann-sectv）获取授权】

戳这里，看作者更好的文章