安全的最大挑戰是不清楚安全的價值。
業務可以用銷售額和用戶數量來衡量；運維可以用穩定性指標來衡量，比如故障數；R&D可以通過漏洞數量、服務器數量、可擴展性和專利來衡量。
但是很難體現企業內部的數據安全和基本的攻防效果。
數據安全和基礎安全面臨的問題往往是事件。很有可能妳什麽都不做，但是壹年都不會有問題。
也許妳花了很多心血和金錢，但還是有很多問題。
所以我們很難用單壹的事件指標來衡量數據安全好不好，這也是很多安全行業從業者不夠努力的原因。
他們也很難向老板解釋為什麽花了這筆錢，但他們仍然不能保證什麽都不會發生。
時間長了，衍生出兩個行業陋習:
第壹，不敢讓老板知道有問題。
很多公司完成滲透測試後都把報告鎖在抽屜裏，也有壹些外部報道的事件，有些很嚴重，但只要老板不知道，就會偷偷處理掉，粉飾太平。
第二，沒有人願意承擔責任。
很多安全廠商只對所售設備的功能負責，對效果不負責，因為他們實際上不能承擔責任，所以到最後，沒人負責。
許多客戶認為，如果他們購買設備和服務，什麽都不會發生，他們可以給他們的老板壹份工作。
這其實是兩碼事，因為大家都在賭運氣，再也沒有人負責安全了。
二、企業安全的黑暗森林法則
黑暗森林法則非常適合企業安全:壹旦暴露在公眾面前，黑客會對妳非常感興趣，會發現妳的很多問題。
比如世界杯期間，彩票網站被嚴重攻擊；在熱錢湧入P2P小貸行業期間，整個P2P小貸行業被攻擊的頻率非常高。
現在熱錢湧入直播，享受單車，可以預期這個行業很快會經歷黑客的洗禮。
很難知道黑客什麽時候會來拜訪妳。如果妳還沒出過安全問題，說明妳的生意還不夠大。
那麽，讓我們回到最根本的問題，如何衡量企業數據安全和基礎攻防的效果？
三、企業安全的兩個核心指標
企業數據安全最終關註的是數據安全，壹是不被攻擊者竊取，二是不中斷業務。
所以做企業安全，最終要對這兩個結果負責。
我們不能保證永遠不會發生安全事故，但我們應該保證企業的整個安全風險在足夠長的時間緯度內趨於收斂。
事實上，我們也觀察到，隨著企業業務的拓展，原本小概率的安全事件逐漸成為常態。
對於安全效果，有兩個關鍵的核心指標，壹是漏洞數量，二是安全事件數量。
從長期來看，這兩個指標應該會趨於壹致。這也是安全團隊或CSO的責任。
四、如何證明這兩個指標是可靠有效的？
作為壹個CSO，我做了很多事情，花了很多錢，希望漏洞和安全事件的數量逐漸收斂。
但是安全事件的數量和運氣有關(包括黑暗森林法則)，漏洞的數量是基於發現能力。如果發現能力弱，漏洞數量說明不了什麽問題。
所以有必要找壹把標準的尺子作為度量。
目前，似乎最有效的檢查手段是通過公共測試服務和外部安全信息收集。
比如各大公司設立的應急中心(SRC)。通過向安全社區尋求幫助，向白帽子提供有償獎勵，讓他們從外部提交漏洞。
通過這種方式發現的漏洞的數量和質量可能是傳統滲透測試的幾十倍。白帽蜂擁而至，正好模擬了實際網絡中的攻擊場景。
我們要做的是保證公測本身的安全，並長期有效地運營這種社區關系。
基於這種公開測試的思想，有三個指標可以衡量企業安全能力的強度和效果:
首先是通過公開測試和SRC獲得的對外報告的漏洞數量；
第二是我們安全體系中感知系統感知到的漏洞和攻擊的數量與前面的指標是壹壹對應的；
第三是我們的安全體系中防禦系統能夠有效防禦的漏洞和攻擊的數量分別對應前兩個指標。
通過這三個指標的逐步趨同，可以有效地指導我們所有的安全工作。