Question

根据中国信息安全测评中心发布的《中国信息安全从业人员现状调研报告（2017 年度）》，我国信息安全从业人员年龄大多在 20~40 岁之间（占比 88.4%），65.9%的人员从业年限在 5 年以内，仅 15%是信息安全专业毕业。可见，信息安全从业人员相对较为年轻，信息安全行业经验较短，且绝大部分并非信息安全专业毕业的“科班生”。因此，该报告得出判断，“整体信息安全人员的职业发展都处于初步成型阶段”。

表面上看这些都是信息安全团队的劣势，但凡事皆有两面性，只要用心加以转化，劣势就可以变为优势。信息安全团队成员虽然普遍从业年限不长，存在一定的知识和技能短板，但年轻的团队处于学习和成长的旺盛期，只要推动组建学习型组织，建立合适的知识结构，形成有效的思维模式，就能推动团队快速进步。

一个好团队的建设标准，可以采用“两个离开”来衡量：

·团队成员要有能力离开，这就要求提升团队成员的知识和技能。

·团队成员不愿意离开，这就要求持续提升团队凝聚力以及团队成员的价值感和归属感。

“能力+意愿”二者的结合，必能打造一支优秀的、战斗力强的团队。其中，团队意愿建设有很大的普适性，已经有大量的书籍和文章研讨，此处不再赘述。团队能力建设具有专业特性，而金融企业信息安全团队的能力建设更是有鲜明的特点和要求，下文将重点阐述。

金融企业团队的信息安全工作涉及面广、安全保障级别高，对信息安全团队的能力建设提出了更高的要求，需要通过恰当的专业分工，一方面让每个成员各司其职，使个人职责范围内的知识和技能提升最大化，另一方面让团队成员之间优势互补，促进团队的整体效率和效能最大化。

信息安全团队能力建设，可以分为以下几个步骤：

1）确定团队工作目标，找准主要矛盾，明确团队整体职责。

2）根据资源情况、团队成员特点，将团队的整体职责进行梳理并细分为若干子团队的职责。

3）根据职责分工，确定各团队成员的知识和技能需求，再根据团队的知识和技能背景，找出差距，制订有针对性的培养提升计划。

4）掌握学习方法，实现事半功倍的效果。

以下依次说明每个步骤的实践方法。

5.5.1　确定目标，找准主要矛盾

金融企业的信息安全工作目标通常分为两部分：

·安全管理类，主要是满足监管合规性要求和防范科技工作流程中的风险。

·安全技术类，主要是通过各种各样的技术防控手段，防范攻击入侵、信息泄露等信息安全风险。

不同发展阶段的金融企业，上述目标的侧重性会不一样。与科技企业、互联网企业等“技术流派”不同的是，金融企业的安全团队往往优先满足第一类目标，因为金融企业面临的监管要求多，合规性是对外经营的基础，必须优先保障制度流程的完善及操作过程的合规。第二类目标一般先通过部署基本的安全工具（如防火墙、防病毒、IDS、WAF 等）实现技术防控，再依托第三方安全专业机构的外包资源做渗透测试、漏洞扫描和日常安全监测等。

要根据本企业的特点和信息安全工作发展阶段，抓住当前信息安全团队工作的主要矛盾，确定安全团队的关键职责和团队能力建设的重点：

·如果距监管要求的达成还有较大差距，安全团队就要先把主要精力放在合规性方面，安全技术防控方面先部署基本的技术工具，并适当利用外包资源。此时安全团队的关键职责就是构筑信息安全的底线，开展监管要求符合性分析和差距整改、信息安全管理体系建设、制度流程完善、内部安全检查等工作，将安全技术工具维护和安全外包服务作为辅助职责。

·如果信息安全管理工作已经达到一定水平，就要持续坚持信息科技合规建设不放松，同时加快培养安全技术防控能力。此时安全团队的关键职责需要兼顾管理和技术两方面，在巩固既定的安全管理长效机制的同时，逐步建立一体化、自动化、智能化的纵深防御技术体系，在安全工具和平台的新增引入和升级、安全技术策略的持续优化、安全技术服务的综合化和多样化、安全攻防的深入化等方面下大功夫。

5.5.2　梳理和细分团队职能

金融企业的信息安全团队工作目标、主要矛盾、关键职责等方向性的内容确定后，需要对团队职能开展进一步的细化，明确具体的工作任务。

1.信息安全管理职能

信息安全管理职能，即通过管理手段防范信息科技风险。主要包括：

·主要负责信息安全管理策略、制度、流程的制定和优化，确保各项信息科技监管要求在行内制度和流程中得到贯彻，即“有章可循”。

·对各种监管合规要求、制度流程的执行情况进行检查和监督，确保制度流程在日常工作中落实到位，即“有章必循”。

主要工作职责包括但不限于以下几项：

·负责信息安全整体规划设计和计划管理。组织制订符合金融企业科技规划和风险偏好的信息安全规划，确定信息安全工作的愿景、使命、价值观和发展方向，明确信息安全工作的长期和短期目标，摸查现状和目标的差距，制订具体实施路径；制订年度信息安全工作计划并组织分解任务，确保计划达成。

·负责金融领域信息科技相关监管要求的达成。负责组织落实国家监管机构及行业组织颁布的信息安全管理要求和规章制度要求，对于不符合项组织排查和整改到位；负责向监管机构、行业组织及行内职能部门等报送信息科技风险监测情况，满足监管机构对信息安全的监测要求；保持与监管机构和信息安全机构的良好沟通与联络，掌握同业信息安全管理控制的动态信息，指导内部信息安全工作；建立完善与监管机构、行业组织、重要客户的沟通联络应急机制，保持应急机制的有效性。

·负责信息安全管理体系建设及维护工作。对于需要通过或持续维护 ISO27001 认证的企业，采用 ISO27001 信息安全管理体系为标准，借鉴国际信息安全管理最佳实践经验，制定信息安全策略和方针，系统梳理企业信息安全管理存在的风险，采取有效措施防范信息安全风险，提高自身信息安全管理水平；获得由国家权威机构颁发的 ISO27001 信息安全管理体系认证证书，提升企业形象和外部认可；持续维护信息安全管理体系并每年通过国家权威机构的年审，确保风险管理机制的长期可持续性。

·负责信息科技规章制度和流程的制定和优化完善。收集整理并组织落实国家监管机构及行业组织颁布的信息安全规章制度和管理要求；将外部要求转化为内部制度和流程，建立健全科技规章制度体系，组织规章制度的制定、宣讲、评估、修订、废止等全生命周期管理；组织开展信息科技规章制度检查，检查各项制度流程的执行落实情况，评估制度流程的有效性和可操作性，适时开展制度修订或废止；负责将制度要求落实到内部管理系统中，实现制度要求的技术硬约束。

·负责外部信息安全检查的组织和配合。负责具体组织、协调、配合监管机构、行业组织等外部单位以及内部审计部门、风险管理部门、合规部门等开展的信息科技检查工作；针对监管机构现场或非现场检查、内部审计、外部审计以及风险评估发现的风险，组织落实信息安全风险整改，控制和化解风险。

·负责信息科技内部风险检查和评估。组织信息科技内部合规性检查、风险评估、整改机制的制定和落实，确保风险被主动的发现和整改，总体控制信息科技风险。

·负责组织其他部门和分支机构的信息安全工作。组织对其他部门和分支机构的信息安全现场和非现场检查和监督，确保信息安全制度和要求在全行的贯彻落实。

·负责组织信息科技突发事件的应急处置。组织信息科技突发事件和信息安全攻击事件的监控和分析，向监管部门和行内管理层报告，协调应急处理，控制突发事件带来的影响和损失。

·负责全辖安全团队建设和培训宣传。组织分支机构建立信息安全岗位，负责岗位人员的培养；负责全体员工信息安全意识教育和培训。

2.信息安全技术职能

通俗地讲，信息安全技术职能就是要通过技术措施，实现让攻击者“进不来，拿不走，打不开”的目标：

·“练内功”，致力于提高信息系统自身的健壮性和免疫力，通过制定安全技术规范，确保金融机构的信息系统遵循技术规范设计、开发和运维，减少系统运行的风险和漏洞。

·“防外贼”，在信息系统外围建立“篱笆墙”，通过设计安全技术架构，实施专门的安全技术工具，保护金融企业信息系统及系统中的数据免遭破坏或泄露。

主要工作职责包括但不限于以下几项：

·负责制订企业级的信息安全技术规划和技术架构。明确安全技术防控目标，构建覆盖物理安全、网络安全、系统安全、应用安全、数据安全、桌面安全等全方位的技术规划蓝图，确定技术架构体系；摸查安全技术建设的现状和差距，制订安全技术防控措施的实施路径。

·负责组织制订和落实信息系统安全技术要求。根据监管机构、行业组织等发布的信息安全技术标准和规范，组织在行内的落实和转化；制订覆盖物理安全、网络安全、系统安全、桌面安全的信息安全基线；制订覆盖需求分析、系统设计、编码、测试、投产、运维等全生命周期的应用安全管理技术规范；通过制订规范、宣讲规范、技术评审、落实情况检查、督促整改的闭环机制，分析评估和化解现有信息系统安全技术架构和安全措施存在的问题和漏洞，确保安全基线和安全技术规范在生产运维、应用研发、科技管理等工作中有效贯彻落实。

·负责信息安全基础设施和技术工具的建设和运维。根据整体技术架构，分步骤地实施防病毒、防火墙、入侵检测、漏洞扫描、安全事件管理平台、安全情报分析、安全态势感知平台等信息安全技术措施，负责安全技术策略的建立、调优和维护，开展日常信息安全事件的应急响应和处置，防范安全攻击和入侵风险。

·负责安全漏洞检测和防护。信息系统投产前开展网络、系统、数据库、应用等各层面的漏洞扫描和风险评估，组织漏洞分析排查和修复；组织外部专业安全机构定期开展应用系统渗透性测试，有条件的组建内部渗透性测试队伍，评估漏洞风险等级并制订修复方案；针对外部披露的漏洞信息、病毒风险、威胁情报等，组织应急响应和风险防范；组建内部安全攻防队伍，制订安全事件应急预案并开展攻防演练；组织开展应用系统防病毒、防挂马、防篡改、防钓鱼、抗 DDOS 攻击等方面的安全监控和应急处置。

·负责组织开展信息系统安全等级保护工作。按照国家信息安全等级保护相关法规和标准，开展定级、备案、自查、测评及整改等工作，实现等级保护“同步规划、同步建设、同步运行”。

·负责信息安全新技术的跟踪研究。组织收集和研究同业信息安全技术及管理发展动态，研究行业信息安全技术发展趋势，提出信息安全技术和管理发展方向建议。

在准确梳理上述信息安全团队职能的基础上，根据信息安全团队人力资源、当年可以投入信息安全工作的财务资源情况，确定本企业当前形势下最关键的信息安全职能是哪几项，然后将关键职能分配至团队成员。最好至少设置安全管理和安全技术两个岗位，在信息安全团队达到一定规模后，可划分为安全管理和安全技术两个小团队，每个小团队中的成员赋予一部分的职责。

上述步骤完成后，就可以形成信息安全团队岗位职责对照表，如表 5-1 所示。

表 5-1　信息安全团队岗位职责对照表

5.5.3　建立学习框架，提升知识和技能水平

所谓“工欲善其事，必先利其器”，在明确目标和绩效指标后，就要通过持续的学习知识和锤炼技能，提升安全团队的专业能力，从而达成目标和绩效指标。

要实现高效的学习和提升，需要先构建学习的框架，然后根据框架对照发现自己的不足，并逐步弥补短板。学习框架主要包括三个方面：

·安全管理类知识和技能。

·安全技术类知识和技能。

·其他补充知识。

1.安全管理类知识和技能

安全管理类的知识和技能可以细分为以下七类。

（1）监管要求和行业组织标准

金融企业的监管要求来源和种类较多，包括国家法律法规，以及监管机构发布的制度、指引、通知、要求、风险提示等，例如《中华人民共和国网络安全法》《商用密码管理条例》等法律法规；银行业的《商业银行信息科技风险管理指引》《商业银行数据中心监管指引》等监管要求；证券业的《证券期货经营机构信息技术治理工作指引》《证券期货业信息安全保障管理办法》等监管要求。

行业组织标准，包括国家标准和行业标准。国家标准包括物理安全相关的 GB 50174—2017《数据中心设计规范》、数据安全相关的 GB/T 35273—2017《信息安全技术个人信息安全规范》、等级保护相关的 GB/T 22239—2008《信息安全技术信息系统安全等级保护基本要求》等；行业标准包括 JR/T 0068—2012《网上银行系统信息安全通用规范》、等级保护相关的 JR/T 0071—2012《金融行业信息系统信息安全等级保护实施指引》等。

监管要求和行业组织标准异常繁杂，如果全部记住既不现实也没有必要，关键是要能活学活用，这就要求做好归档并形成地图，同时，安全人员的头脑中要形成一个大致框架和索引，需要的时候知道怎样能够搜索和引用。

首先是归档。要收集齐全这些监管要求和行业组织标准并随时更新维护，指定信息安全管理团队成员承担起职责，在每次收到文件后立即集中归档保存，然后按照一定的逻辑形成监管要求文件汇编，建立知识地图。

其次是学习。信息安全人员应该从多个角度反复学习监管要求和行业组织标准，掌握其中的主要概念和要求，形成知识框架。主要的学习方法包括：

·按单个监管要求开展纵向通读，对照本企业的情况排查差距。例如，在 GB 50174—2017《数据中心设计规范》更新发布后一个月内，马上组织对照排查物理环境是否满足对应的安全要求。

·按管理领域进行横向整理。例如，网络安全领域，在法律法规、监管要求、行业组织标准中都会涉及，需要从各个文件中摘录，并经过合并、去重，整理形成网络安全相关的汇总要求。

·结合安全检查和风险评估。对照监管要求和行业组织标准，一方面检查制度转化情况，即行内制度和流程是否有对应的转化和贯彻落实；另一方面检查执行情况，即实际的操作过程和信息系统是否满足要求。通过在日常检查中不断回顾和巩固，加深对监管要求和行业组织标准的理解和应用。

（2）信息安全管理体系建设标准

现在越来越多的金融企业选择开展 ISO27001 信息安全管理体系认证。ISO27001 标准，是全球应用最广泛与典型的信息安全管理标准，为金融企业的信息安全管理体系建设提供了很好的参照指南，其理念主要是针对信息资产进行保护，对系统漏洞、黑客入侵、病毒感染等内容进行防范。

最新版的 ISO27001 标准是 2013 年修订的版本，共包括 14 个控制域、35 项控制目标和 114 项控制措施，其内容涵盖了信息安全管理和技术的方方面面，是非常完整和细致的。几乎所有想通过认证的金融企业都不会把认证当作唯一或者主要目标，ISO27001 认证的过程，只是在促进金融企业自身完善信息安全管理体系后，由权威机构对信息安全工作进行复核和认可。

ISO27001 认证的主要“实惠”是，通过认证的过程，安全团队可以快速掌握信息安全管理体系相关的理论知识，并通过全面、系统地梳理、对照、排查本企业在 14 个控制域内的安全现状，发现安全短板和漏洞，从而主动化解风险。同时，通过企业内部对安全工作的大力培训和宣传，提升全员安全意识水平。

（3）已有的制度和流程

通常，金融企业制度流程都比较规范，会形成一套涵盖业务、财务、风险、合规、科技等领域的制度体系，这些制度流程是金融企业员工日常工作所参照的依据，信息安全团队必须学习掌握其中信息科技管理和风险管理相关的内容，才能更好地把控企业对于信息科技相关的工作要求。主要包括几个层级的制度：

·企业级制度，属于全辖都需要遵守的规章制度，信息安全团队重点学习其中的风险政策、风险管理办法、保密管理办法、客户信息保护相关管理办法、业务连续性管理办法等。

·其他部门相关制度，例如，审计部门发布的审计准则、审计及整改追踪办法等，风险部门发布的风险管理、评估、监测相关工作指引，合规部门发布的法律事务相关的规章制度等。

·信息科技部门相关制度，金融企业通常都会形成涵盖科技管理、开发、测试、运维、信息安全的一整套制度体系。

对于企业级和其他部门的制度，信息安全管理团队应该有初步了解并形成一个索引，做具体工作的时候知道要遵循哪些相关要求、从哪些制度中寻找依据，同时确保科技规章制度能符合企业级制度的要求，与其他部门制度不相冲突。

对于科技规章制度，则要肩负起制定和维护的职责，自己先学习、掌握，然后组织科技条线内部的学习宣讲，之后通过检查督促执行，最后根据检查结果再检讨制度的合理性，完成制度修订，形成一个全生命周期的闭环和螺旋上升的机制。

（4）监管要求符合性分析和排查的技能

熟悉掌握监管要求，可以说是金融企业信息安全团队的“安身立命之本”。除了对本行业的信息科技监管要求做到烂熟于胸之外，信息安全团队还需要对监管要求进行转化，将其变为在企业内落地的条款，并通过监管要求和企业实际情况的对照分析，排查出本企业的差距，组织实施整改弥补差距。

因此，监管要求符合性分析和排查，是信息安全团队必备和常用的技能。监管要求符合性分析，分为以下两个层次：

第一个层次是企业内部制度是否符合监管要求。每收到一个新的监管要求，需要对其中的每一个条款逐个吃透、理解，然后分析该条款可以有行内哪一份规章制度的哪一个条款来对应。如果没有任何一条制度能达成监管要求，则需要对制度进行补充完善。这一个层次的分析成果就是对照排查结果，以及制度、发文通知等证明材料。

第二个层次是企业内的执行情况是否符合监管要求和制度规定。这就需要针对监管要求，摸查企业内部工作流程的执行情况，搜集执行的记录、日志和证据材料，判断执行过程和结果是否符合监管要求和制度规定。这一个层次的分析成果就是对照排查结果，以及日常执行的记录、项目文档、系统日志等证明材料。

经过上面两个层次的现状分析和差距对比，得出每一项监管要求的差距项分析结果，然后对存在差距的项目，确定整改要求和整改责任机构，由责任机构制订并落实整改方案、整改计划、责任人和计划完成整改时间，并定期反馈整改进展。

监管要求符合性分析工作的输出成果和过程跟踪，可以用一个表格表示，如表 5-2 所示。

表 5-2　监管要求符合性分析对照表示例

（5）信息安全风险检查技能

信息安全风险检查，是信息安全团队的主要工作之一。掌握一定的检查技能，有助于主动发现深层次的风险隐患，有计划性地推动落实整改，实现将风险“扼杀在摇篮中”的目的。

信息安全风险检查，是指通过调研访谈、资料查验、现场核查和穿行测试等方法，评估当前信息安全管理和技术控制的合规性、充分性和有效性，发现存在的信息安全风险，针对发现的风险提出整改要求并监督实施的风险防范及控制过程。信息安全风险检查，检查只是手段，“以查促防”“以查促改”才是最终目的。

信息安全风险检查分为自查、现场检查、非现场检查、飞行检查等多种方式：

·自查方式，由被检查对象自行组成检查组，按照预先制订的检查方案开展信息安全检查，鼓励被检查机构主动充分揭示自身存在的风险隐患，形成“主动揭示风险，主动落实风控措施”的机制。

·现场检查方式，由信息安全团队牵头组建检查小组，制订检查方案和时间安排，在预定的时间范围内进驻被检查单位，按照检查方案开展信息安全风险检查。

·非现场检查方式，由被检查对象提供文档、影像资料、配置文件等证明材料，信息安全团队牵头组建检查小组针对证明材料进行核验，通过材料比对、数据分析、电话访谈等方式，核查事实、发现问题。

·飞行检查方式，属于现场检查中的一类，但与普通现场检查的区别是不提前制订计划，不提前通知，而是突然派出检查组直达被检查对象现场“突袭”检查。检查内容同样覆盖所有的检查列表，目的是检验被检查对象日常信息科技工作情况以及应对突发性检查的能力。

信息安全风险检查过程包括检查准备、检查实施、检查报告、后续整改、总结分析五个阶段。

·检查准备阶段：包括组织成立检查组、制订检查实施方案、明确检查时间安排、通知被检查单位等工作。检查方案中最重要的是信息安全风险检查列表，其中明确了检查项目、检查依据、检查标准、检查方法、抽样要求、发现风险情况、风险级别等，该表涵盖了检查的重点内容，根据监管要求、企业内部制度流程、历年检查情况等每年进行更新、完善并发布。

·检查实施阶段：检查人员通过访谈、调查问卷、现场查验和穿行测试等检查方法，了解被检查对象的信息安全现状，分析信息安全管理和技术控制的合规性、充分性和有效性，识别存在的信息安全风险及隐患，评估发现的信息安全风险等级及影响。

·检查报告阶段：检查实施完成后，检查人员应总结信息安全风险检查情况，向被检查对象的负责人说明检查过程中发现的问题和风险，指出违规情况和风险隐患可能造成的影响，提出明确的整改要求，向被检查单位发出书面的检查报告，对于重大信息安全责任事件予以通报。

·后续整改阶段：被检查对象须根据检查报告组织制订信息安全风险检查整改计划，落实整改工作，同时要求被检查对象按月、按季汇报整改进展。

·总结分析阶段：信息安全团队定期召开专题信息安全风险防控交流会，组织被检查对象总结分析检查发现的风险隐患，剖析风险形成原因，研究防控措施，更好地推动整改和长效机制建立。

风险检查工作的输出成果和过程跟踪，可以用一个表格表示，如表 5-3 所示。

表 5-3　风险检查记录表示例

（6）信息安全风险监测技能

信息科技风险监测，指金融企业针对信息科技活动中的重点风险领域，选取关键风险指标，持续开展风险监测、动态跟踪风险趋势、前瞻研判风险态势并及时采取控制措施的过程。

信息科技风险监测采取以下步骤开展：

1）选取监测指标。根据各领域的管理要求选取可计量的信息科技风险监测指标，以综合反映本企业信息科技风险水平及风险管控能力。指标的选取，应该能够反映企业信息科技风险水平和控制效果，能够涵盖本企业信息科技风险存在的主要环节，反映信息科技各环节工作的风险状况。根据指标性质设置不同的监测频率，可以按月、按季、按年收集。对于每一个指标，要设置合理的阈值，超过阈值范围则说明风险状况需要引起重视，需要分析原因并采取应对措施。

2）数据采集。信息科技风险监测指标由信息科技基础运行数据经采集、加工、计算形成，有系统自动采集的指标，也有人工采集的指标。信息科技部门应保障指标数据的全面性、真实性和准确性，指标数据应当具备可验证、可追溯的数据来源。

3）指标应用。应根据指标监测和分析结果，针对异常情况统筹制订风险应对策略，并具体实施执行。对于监测发现的重大风险，应及时将风险信息和相关应对处置方案报送高级管理层。

4）指标维护。应根据监管要求、信息科技发展状况、风险监测结果、风险关注重点等情况，定期（至少每年一次）进行维护及更新，在发生重大科技变更或其他必要事项时，也应进行指标维护及更新。

风险监测工作的输出成果和过程跟踪，可以用一个表格表示，如表 5-4 所示。

表 5-4　风险监测记录表示例

（7）应对内外部审计和检查的技能

金融企业信息科技部门经常需要接受外部的安全审计、风险评估、检查等工作。监管机构、公安机关、外部审计公司、内部审计部门、风险管理部门、合规部门等，都是信息科技检查的组织者和执行者。

金融企业信息科技部门通常会安排信息安全团队负责迎检工作。此时的信息安全团队摇身一变，由经常检查别人的角色，切换为被检查对象的总协调人。为了保障检查工作的顺利进行，特别需要注意以下几点：

·换位思考，提前预演。在接到检查、审计等通知前，信息安全团队要尽可能先创造机会在内部做一次检查的“演练”，也就是说，将自己代入检查人的角色，按照通知中的检查范围、检查内容，模拟检查方法，先来一次内部检查，对于发现的问题马上组织整改工作。

·资料提交必须真实、完整、准确。信息安全团队要整体把控资料的内容，正式对外提交前对资料进行预审，确保资料来源的真实性和可追溯性，而且要确保资料与检查清单上的要求一一对应，不要“张冠李戴”，也不能有理解的偏差和信息的遗漏。

·要安排合适的人，说合适的话。要预先安排好被访谈的人员，包括负责总协调的唯一接口人和专业领域内的其他责任人。接口人要全面掌握企业的内部信息，有较强的沟通协调能力，能快速反应，灵活调配资源。其他人员要在专业能力上能应对检查内容，沟通方法上能掌握分寸。信息安全团队可以提前做一次迎检培训，讲述迎检的注意事项。要特别注意的是，回答问题时，牢记“问什么答什么”，绝不能答非所问，天马行空地想到什么说什么。

2.安全技术类知识和技能

安全技术类的知识和技能涉及面非常广泛，包罗万象。对于金融企业来说，重点需要掌握以下几方面的安全技术：

·物理环境安全。对于数据中心的访问控制技术、监控、风火水电、消防、温湿度等，了解一些基本的技术参数要求，在检查时会对比知道怎样属于安全范围内即可，无须深入掌握太多技术细节。

·网络安全。网络安全技术比较复杂，往往是攻击的突破口，如果能够掌握基本原理和主要的安全相关技术，对于安全防控大有帮助。主要包括网络设备身份认证措施、网络隔离技术、网络区域划分的规则、网络边界安全、网络访问控制的配置、网络端口控制、网络安全审计日志等。对于关键的安全设备之一—防火墙的原理和配置最好也能有所了解。

·系统安全。主要熟悉操作系统、数据库、中间件等系统软件的安全配置基线，以便通过配置基线的核查比对，发现风险隐患。

·应用安全。主要掌握访问控制和身份验证，以及数据保密性、完整性、可用性等方面的安全技术标准和要求，能够在技术方案评审和投产上线后的安全检查中发挥作用。

·数据安全。主要掌握个人信息的范围，了解数据脱敏技术，以便核查确认个人信息全生命周期保护措施是否完善。了解数据备份原理和技术，以便检查数据备份策略是否有效、数据是否具备恢复能力等。

·终端安全。主要掌握终端安全相关的工具软件的原理，例如域控、终端准入软件、文档安全产品、数据防泄漏等终端安全保护技术，以便在终端安全策略制定和安全检查中发挥作用。

·开发安全。熟悉 SDL 等开发生命周期中需要遵循的安全技术标准，熟悉需求分析、设计、编码、测试、投产前安全扫描等各阶段的安全基线，以便参与技术评审和检查应用开发中的安全措施是否充分和有效。

·运维安全。熟悉生产运维管理全流程中的风险点，以及堡垒机和系统日志审计、数据库日志审计、应用日志审计等审计工具的使用。

·安全防护工具。防病毒软件、IDS/IPS、WAF、漏洞扫描工具等的熟练维护、事件处置和策略优化。

·渗透测试。了解渗透测试相关的技术、常用工具软件等，以及各类漏洞的原理、攻防方式、漏洞防护策略等。

·安全新技术。包括安全态势感知、安全大数据分析、威胁情报、人工智能等。

·新技术安全。包括移动互联、云计算、大数据、区块链、人工智能等金融科技新技术的风险、安全防范措施和安全防护工具。

3.其他补充知识

要做好安全工作，还需要一些补充知识：

·掌握一些业务方面的知识，包括业务相关且涉及科技系统支持的监管要求，主要的业务逻辑，业务风险控制要求等，以利于技术方案的评审和安全要求在应用系统中的落地实现。

·掌握沟通、协调和关系处理的软技能。详见 5.8 节“安全团队与其他团队的关系处理”。

5.5.4　掌握学习方法，实现事半功倍的效果

所有的知识和技能，虽然都有变与不变的部分，但是永远不变的是“变化”。因此信息安全团队必须不停地刷新自己的知识和技能框架，调整学习重点，保持与新技术、新理论的同步，方可在不断变化的环境中，始终保持合规性和对风险的有效控制，以及保持对攻击的免疫能力。

由于信息安全相关知识和技能包罗万象、日新月异，掌握一定的学习方法就显得至关重要。

1.安全管理类知识的学习方法

安全管理类工作虽然繁杂，但“万变不离其宗”，要先把监管要求和规章制度等规矩吃透，然后发现本企业在执行方面的风险和短板，最后完成整改和化解风险。参照读书时“先把书读厚、再把书读薄”的法则，安全管理类工作也需要经历“读薄—读厚—再读薄”这样的循环。

（1）“把书读薄”

金融企业面临的监管要求、行业标准层出不穷，行内的制度也通常是以百为单位的数量，要全部记住这些“规矩”基本不太可能。因此需要：

第一步，建立基本原则。分清楚什么样的规矩必须全文吃透，什么样的规矩掌握梗概即可，什么样的规矩只需掌握其中的关键条款。

第二步，区分精读和粗读。对上面第一种情况精读，第二种情况粗读，第三种情况部分粗读、部分精读。

第三步，形成“知识地图”。把规矩中的要点摘记下来，在头脑中形成一张“知识地图”，或者利用一些“脑图”工具实现记录，需要用到的时候可以在“知识地图”中快速检索。这样就实现了“读薄”的效果。

下面举一个银行业监管要求的事例，说明“读薄”的方法。

第一步，建立基本原则。银行业监管要求中关于信息科技风险管理的要求必须全文吃透，因为是信息科技风险管理的纲领性文件，例如《商业银行信息科技风险管理指引》《银行业金融机构外包风险管理指引》等；关于整体风险控制的文件需要掌握梗概，因为信息科技风险是其中的重要组成部分，可能各个条款都与信息科技风险有关联，例如《商业银行内部控制指引》《银行业金融机构全面风险管理指引》《商业银行操作风险管理指引》等；关于业务风险控制的文件只需要掌握关键条款，因为其中大部分管理对象是业务操作，与信息科技风险管理相关的条款通常不多，例如《网络借贷资金存管业务指引》《商业银行委托贷款管理办法》等。

第二步，区分精读和粗读。例如对于《商业银行信息科技风险管理指引》，首先清楚其中涉及信息科技治理、风险管理、审计、信息安全、开发测试、生产运维、业务连续性、外包等八个关键的风险领域，然后针对每个领域，逐个吃透其中每个条款的内容，同步思考为何要提这样的风险控制要求、实际上怎样操作才算满足要求等，这就是精读。对于《银行业金融机构全面风险管理指引》，了解信息科技风险是其中的重要组成部分，指引中规定了风险治理架构、风险管理策略、风险偏好和风险限额、内部控制和审计等各方面的风险要求，重点了解信息科技部门需要参与其中每年一次的风险管理策略回顾、风险评估等工作，并建设完善的风险管理信息系统和信息科技基础设施等，这就是粗读。

第三步，形成“知识地图”。银行业金融机构信息科技风险管理工作涉及面虽广，但是都脱离不了《商业银行信息科技风险管理指引》“八大领域”的框架范畴，因此可以首先以“八大领域”为“知识地图”第一层的主干框架，然后将其他监管要求合并进来。例如，将《银行业金融机构外包风险管理指引》中的主要内容合并到“八大领域”中的“外包管理”领域，将《商业银行数据中心监管指引》中的主要内容合并到“八大领域”中的“信息安全管理”领域（具体说，是其中的“物理安全”子领域）等。以此类推，就可以建立起信息风险管理的监管要求“知识地图”。行内制度也可以参照执行。

（2）“把书读厚”

主要方法就是结合本企业的实际，理解和分析监管要求在本企业的应用落地情况。常见的一种方式是，对照“知识地图”中各领域的要求，逐条分析本企业的制度是否对监管要求进行了转化，以及实际操作流程是否严格执行了监管要求和制度规定。这样就可以将监管要求中的概要描述，转化为企业内细化的规定和流程控制，既可以实现对监管要求更深入、更全面、更细致的理解，又可以使企业流程更加标准化、规范化、精细化。

（3）“把书再次读薄”

主要方法就是在发现本企业与监管要求之间的“缺口”后，分析归纳出主要整改方向和整改要点，把主要的精力和资源放到解决这些问题上，制订整改计划，将短板补齐，逐步让“缺口”越来越小，需要关注的重点也就越来越少。

2.安全技术类知识的学习方法

安全技术方面，涉及的领域非常广泛，各种技术类书籍、文章或者工具使用指南可以说是“汗牛充栋”，这里不讲具体技术内容，只讲所有技术学习共性的“套路”。

这个套路用几句话概括，就是学习的四个境界：“不知道不知道”“知道不知道”“知道知道”“不知道知道”。

第一步，从“不知道不知道”进化到“知道不知道”。要有“空杯心态”，不停地发现自己的短板，知道自己该学什么。针对自己工作的重点，分析自己在哪方面的技术存在差距，然后针对差距列出学习清单，针对清单上的内容逐项确定自己需要学习掌握的程度—精通、熟悉还是了解即可。根据工作需要去学习，会比为了学习而学习的效果好很多。

第二步，从“知道不知道”坚持到“知道知道”。要保持对技术学习的强烈意愿和兴趣，坚持不懈地努力，根据清单逐项学习掌握技术要点，第一，摸清技术防控的风险本质和目的；第二，搞清安全技术的原理和内涵；第三，掌握具体的操作方法。做完这三条后，基本上就心中有数了。在互联网时代，只要有心，学习的途径非常多。可以参考的做法是，先通过百度或知乎等网站粗略了解该技术想解决的主要问题和大概原理，再买三本以上的专业书籍阅读理解（一本精读，两本辅助补充），然后找相关的厂商交流如何实践，三个做法可以交叉或者循环进行。

第三步，从“知道知道”潜移默化为“不知道知道”。这个过程的关键在于将外部知识内化为自己的知识，并能够熟练运用。第一，要在实际工作中尽可能多地加以运用；第二，要日常多做深度思考，养成总结、分析、回顾、检讨的习惯；第三，在适当情况下写成文章并与大家分享，强迫使自己的思维趋向结构化。长此以往，就像最厉害的武侠大师一样，能够做到“心中有剑，手中无剑”，即在需要应用知识的时候，形成一种“习惯性输出”，无须临时深度思考，就能手到擒来，运用自如。

经历过上述三步以后，就进入一个新的“不知道不知道—知道不知道—知道知道—不知道知道”的循环，个人的技术水平，也将螺旋上升。