解读企业需求何种安全管理人员

　　笔者经常听到一些IT高级管理人员说，要招募和留住“优秀的安全人员”是很难的。许多人哀叹这个领域中技能的缺乏，而且不能协调其所具备的技能和担任的职位。是不是真得缺乏优秀的安全人员呢?或者仅仅是技能及工作的不匹配问题呢?

　　我们着重从运作的观点和风险管理的观点来看待安全问题。这样一来，可以认为在一个公司内部需要两种类型的安全技能：战术性的安全操作和战略性的风险管理。不幸的是，许多公司并没有很好地将这两种技能分开，并且要求人们同时做两种事情。这两种技能很少在一个人身上同时发现。更糟的是，要求具备战略风险管理头脑的人来做一些操作性的安全事务，或者反过来进行，都经常会导致对工作的不满意，并最终导致辞职。

　　操作性的安全技能要求注意细节，注意方法和细节性的操作规范，还要有一种处理大量信息的能力。在一个网络中或安全操作中心(NOC/SOC)，操作者面临着海量的数据，并且需要能够快速发现任何警告或事件的根本原因，并据此作出高效的决定。再来将其与战略性的风险管理工作比较一下。一位为管理风险负责的安全专家将从战略上思考问题，他看到的是更远大的场景和问题，并将一些困难选择交付管理团队，还要平衡冲突性的要求，同时还要促进整个公司的利益。

　　这些工作要求的个性是根本不同的，但在某人无法同时完成两种任务时，人们仍感到惊奇。这种角色上的不同对于雇佣和留住人才很重要，在作出一个可管理的安全服务决定时记住这一点也是很重要的。在决定外购部分安全服务时，公司正日益重视这一点，其原因就是缺乏技能而不是减少成本。

　　在外购安全功能时，你必须要考虑当前拥有的人才类型，以及你如何最好地利用他们。如果你在操作上表现出色，那么外购SOC将不是一个好主意。如果你擅长风险管理，并想让你的安全专家从其不愿意担任的操作性角色中“解放”出来，那么外购可以给你一种重新调整重点和重新调整内部团队的方式。