CISO需要的4种技能

      职业发展专家Lee J. Kushner说，一个组织内的安全计划已经发生了新的变化。安全专业人员若想在这个职业市场中具有竞争力，需要掌握哪些技能呢？

      未来的信息安全领导者需要掌握超出安全领域之外的技能。经过几年的成熟期后，CSO（首席安全官）和CISO（首席信息安全官）日益发现他们头衔中的"首席"一词，被寄予与这些职位不同的预期，这与10年前这些头衔首次出现时有很大的不同。

      Kushner说："今天的CISO需要全面发展多种技能，以使自己能够处于与其它高级经理同样的水平。" Kushner近期在RSA主持了一次有关CISO技能和职业的介绍。

      公司现在在选择CISO时，寻找的关键技能和品质有哪些呢？Kushner告诉了我们4个最重要的技能，并给出了一些建议，帮助安全专业人员能够获得这些技术。

      与业务运营相关的技术知识

      虽然技术专业知识是CISO始终需要的东西，但Kushner认为，雄厚的技术知识依然是未来的CSIO也是CSO的基础。事实上，正是这种知识的水平将他们拉开差距，这些知识把高级信息安全领导者与只拥有物理安全背景的同行区分开，使他们的遴选过程更有吸引力。

      Kushner说："随着企业为加强自己的业务而更加依赖于技术，CISO将需要扩大和发展他们的技术能力和意识。这种知识面将是保持核心技术职能领先性（包括软件开发、基础设施、工程和运营），以及保持他们的可信度和建立信任关系的关键因素。"

      这也意味着CISO的技术能力必须扩展，他们的职责将不仅仅局限于帮助一家公司应对新的威胁和攻击。

      Kushner说："CISO必须考虑这项技术将对我们的业务产生什么影响，而不是考虑某个微件（widget）能干什么，以及它有多酷。他们应该考虑的是，如果在供应链、接入管理、移动应用或其它任何东西上这样做，将会产生怎样的影响。"

      随着业务部门开始对技术进行评估来帮助他们进行扩展，CISO必须帮助业务部门了解这些新技术带来的风险。

      Kushner说："这方面的一个例子是有关平板技术和移动设备的安全性。许多机构正在考虑这项技术是帮助销售人员提高生产力和实现业绩最大化的途径。但是CISO必须能够清楚地说出这些新技术会使业务部门面临怎样的风险，以及他们应该如何正确地使用才能确保法规遵从性和遵守行业标准与框架。"

      全新水平的业务才干

      Kushner解释说："安全人员目前面临的最大的安全问题是：过去他们利用同行的作为来衡量自己掌握的技能应当是什么的基准，现在衡量基准实际上是经理团队。"

      Kushner又说，虽然你可能是应用安全领域的专家，将你自己与一组应用安全专业人员比较只会让你局限在应用安全领域，不会让你的水平提升到管理级。

      "你必须让自己与坐在会议室中的另一些人比较。许多安全人员说：'经理会议桌旁没有我的座位。'但事实是由于没有让其它经理经历级别的人相信他们应当拥有经理级的座位。"

      Kushner建议发展技能并进行一些职业投资，帮助自己进入经理级别。另外还要了解机构的关键组成部分--不仅仅只是它的安全部门，这是使你被人注意的要素。最后还要了解机构面临哪些超出安全与风险范围的阻碍。

      "多数安全人员认为自己拥有足够的业务技能。但是安全人员定义业务技能的方式和CIO及CFO或其它C级人员定义业务技能的方式可能是两种不同的东西。"

      沟通能力--包括倾听技能

      Kushner说："为了安全项目能够被正确实施，你必须能够让每个人知道这个信息，而且每个人都必须培养某种安全意识。"

      Kushner指出在与机构中其它人沟通的第一阶段中，倾听技能可能比谈话技能更重要。他说："了解人们的想法和文化就是这样一种技能。很多人忽略了这种技能。"例如，你不会用与业务领导人交流的方式与技术运营团队进行交流。

      Kushner说："找到不同的语言，以及找到如何把你正在做的事情翻译成一种他们尊重和理解的语言十分重要。与安全领导者的有效交流意味着更广泛的知识基础。"

      领导技能--不管你是什么职位

      据Kushner说，今天所有的雇主想要从CISO或安全经理那里寻找的所有技能中，最重要的是领导技能。许多公司可能由于寻求公司中的变革而雇用一位CISO，他们需要一位能够推动安全性向新方向发展的CISO。

      Kushner说："由于信息安全以从未预料到的不同方式渗透到公司的各个角落，这种信息，以及对信息安全的设想是必须向所有人传达的信息。"他说："不仅向知道内幕的人员传达，而且还要向忽视安全性的人员传达。"即使你现在没有担任领导职位，你也可以在当前的职位上培养这种技能。Kushner说，领导技能有许多种表现形式。

      他建议："培养领导技能的前期，可以尝试在一个项目里做那个工作最积极的人。这就是领导能力。另外，部署用于解决法规遵从问题的软件包或工具也可以是成为带头人的机会。或者你可以成为具有在机构中推广安全文化想法的人。领导能力是某种不能描述的东西，但当你逐渐拥有之后，就会意识到它的存在。"