如何自上而下建立一支成功的安全团队？

Dropbox公司首席安全官Patrick Heim谈一位强大的行业领导者需要哪些素质、独特的网络安全个性以及为何成功企业必须拥有明确的价值取向。

Vincent Liu(以下简称VL): 安全领域缺乏强大的领导体系，而且目前还没有专门的培训课题来解决这个问题。您打算为新任领导者们提出哪些建议呢?

Patrick Heim(以下简称PH):坚实的技术基础非常重要。那些在技术方面较为欠缺的从业人员往往会被新一代更具技术才能的安全领导者所取代。当然，面对董事会或者高层管理团队的交流能力也不容忽视。在这种情况下，单纯宣称一切安好并不足以涵盖安全领导者的全部角色定位。作为职能预期，大家需要进行自我批判并不断寻求进一步改善安全水平的机遇。但同样需要强调的是，大家又不能太过挑剔，团队获得的成功必须得到应有的肯定。这是一种非常重要的心理素养，因为安全就像是一台永不会停止的跑步机。我们可以庆祝胜利，但同时也得展望未来。因此，考虑风险的当前发展态势、未来可能出现的新型威胁以及如何加以应对将成为安全领导者终生追求的答案。

VL: 作为这一领域中的顶尖从业者，您自主选择了自己的职位。那么在领导Dropbox公司的过程中，您认为管理者应当拥有哪些素养?

PH:我对于领导者给整个企业造成的影响很感兴趣。当初造访Dropbox并刚刚接触其企业文化与员工时，我就有一种非常强烈的感觉，即这家公司的领导层做出了正确的决定。而直到投身于Dropbox之后，我才逐渐了解到个中缘由。从企业文化的角度讲，这家公司专注于在不破坏企业价值取向*的前提下尽可能吸纳精英人才。

VL:您是否在安全领域中遇到过所谓的个性差异?对于一位刚刚开始接触安全管理工作的领导者来讲……追求个性会不会有些古怪?

PH:是的，我们确实有些古怪。这种古怪因素往往存在于我们对于安全专业人才匮乏的讨论当中。为了保持安全团队的健康发展，有时候我们必须要排除其它一些必要前提来任用一位个性很强的员工——因为也许只有他们才能真正带来颠覆性的成效。

VL: 那您在何种情况下才会决定雇用一位个性强烈的员工?

PH:这取决于当前企业环境。很多个性强烈的员工都拥有非常突出的工作能力。如何能够有效发挥这种能力，那么安全企业也将变得非常强大。不过对于那些规模庞大而且运营体系较为成熟的安全企业来说，这类人才往往很难融入现有业务流程。大家当然可以顶住压力将他们吸纳进来，但却未必能够帮助他们找到在招惹麻烦之外的确切能力发挥空间。在这种环境下，个性较强的员工可能会变得不安，甚至不愿长时间在大型企业工作。此外，我们还需要考虑此类员工可能给团队造成的影响。如果个别员工拥有教练般的心态，那么当然能够激发其他人参与工作的积极性。然而如果个别员工的个性太过鲜明，那么有可能威胁到其他人，或者导致自身变得心情沮丧。

VL:那么您在建立安全团队的过程当中，学习到了哪些招聘经验?

PH:我也曾经在招聘过程中做出一些太过冒险的举动，有时候甚至会事与愿违。在此期间，我了解到——这其实更多应该算是一种领导技能——我们必须能够快速解决紧张情绪并坚定决心。采取鲜明的应对态度与立场，下辖团队就会感受到自己的领导者正在背后支持着他们。一位优秀的安全领导者需要引导自己手下的经理，帮助他们了解到责骂与训斥并不是一种具备可持续性的管理策略。寻求双赢解决方案，帮助大家保持轻松愉快的工作情绪同时推进业务持续发展，这才是最理想的管理效果。

VL: 那您是如何在Dropbox公司建立自己的安全团队的?

PH:我们将安全部门划分为两大组成部分。其一为安全工程技术区划，另一个则为信任与安全区划。我们希望能够将拥有相近技能组合的员工归为一类。安全工程技术团队由开发人员与具备较高技术类技能储备的员工组成，其主要任务在于接触更多运维元素以及工程技术工作。而信任与安全团队作为另一大组成部分则主要处理合规性、风险管理、实现业务驱动发展战略、协调整体项目以及评估实际效果等工作。

VL:业界认为您是一位云安全方面的管理专家。为什么这一定位拥有显著价值?

PH:每个人都有自己的工作目标。而整体环境下的敏捷性水平往往会成为区别成功与失败的分水岭。当我们拥有一支由才华横溢的安全工程师建立的卓越团队时，敏捷性有时候甚至能够按小时进行衡量。云技术正是凭借着自身敏捷性才能够成为游戏规则的改变者。相关供应商能够快速介入、改变、发展并完成任何必要的客户数据保障举措。云服务厂商的安全水平更高。如果我们无法成为一名出色的数据管理者，则必将与合规性要求发生抵触;而如果我们无法帮助客户保障其信息安全，他们则会转而选择其它厂商。

Dropbox公司信任与安全团队负责人Patrick Heim

相关注解：

*为什么企业需要明确的价值取向:价值取向代表着一种积极、正面且令人愉悦的选择思路。如果能够将企业价值主张与睿智而谦虚的人才相结合，我们将能够构建起一整套出色的业务环境。

个人资料: Patrick于2015年1月正式加入Dropbox公司，而在此之前他已经积累到超过20年的信息安全与技术从业经验。在进入Dropbox之前，Patrick曾经在Salesforce.com公司担任首席信任官，并曾在Kaiser Permanente以及McKesson公司出任首席安全官。Patrick曾建立过多家安全初创企业，且目前仍身为Cylance公司董事会成员。