技术争议失焦，安全建设亟需回归客观本位

　　去年二月那场面试，现在想起来还窝火。会议室空调在滴水，滴滴答答打在金属桌腿上，我原以为候选人会分神，结果他盯着水渍的眼神比盯我问题还专注——后来才明白，他根本没听清我在问什么。

　　那天的主题是“零信任架构落地争议”。候选人是个三十出头的架构师，简历上写“主导过某银行零信任改造”，开口就甩出一句“零信任的核心是打破边界”。我顺着问：“那传统DMZ区怎么拆？”他开始背课本：“要重新定义信任边界，基于身份而非网络位置……”我打断：“具体到银行核心系统，防火墙规则怎么改？”他卡壳了，转笔的速度突然加快，笔尖在简历上划出一道黑线。

　　这时候隔壁工位的前台在大声打电话，隐约能听见“快递放前台”的尾音。候选人突然提高音量：“其实零信任是伪命题！”我愣住——这哪是面试，这是要掀桌子啊。他接着说：“你们这些安全厂商总在制造焦虑，传统架构明明能跑，非要推新概念。”我盯着他简历上“八年安全经验”的字样，心想这八年怕不是睡过去的。

　　后来聊到漏洞管理，他突然兴奋：“我们用AI自动修复漏洞！”我问：“那误报率多少？”他支吾：“还在优化……”我翻他简历，发现“AI修复”那栏后面跟着个小括号，写着“实验阶段”。走廊飘来消毒水味，混着他身上的古龙水，熏得我头疼。我原以为他至少有点实操经验，结果全是“对齐颗粒度”“闭环”这种虚词——现在连面试官都听腻了这些，他居然还当杀手锏。

　　真正让我拍桌子的，是他对“技术争议失焦”的解读。他说：“安全圈总在争论零信任好还是传统好，其实该听老板的。”我反问：“如果老板要砍掉所有安全投入呢？”他愣住，转笔的手停在半空，笔滚到桌角，差点掉地上。我接着说：“技术争议失焦，是因为太多人把‘站队’当本事，把‘反对’当能力。零信任好不好不重要，重要的是它能不能解决实际问题——比如银行核心系统拆了DMZ后，交易延迟有没有涨，审计能不能过。”

　　说到这儿，我想起上个月见过的另一个候选人。那哥们更绝，开口就是“我们要做安全领域的特斯拉”。我问：“特斯拉的核心是电池技术，你们的核心是什么？”他答：“抓手。”我差点笑出声——现在连“抓手”都能当核心竞争力了？后来他聊到具体方案，全是“构建生态”“赋能业务”这种套话，我直接打断：“说人话。”他沉默了三秒，说：“其实我们还没想清楚。”

　　回到去年二月那场面试。候选人最后说了句让我印象深刻的话：“安全建设就该听技术专家的，老板不懂。”我摇头：“老板不懂技术，但懂业务。零信任再好，如果让业务系统停摆三小时，老板第一个砍了你。”他不服：“那技术专家就该坚持原则！”我指了指窗外：“看见那栋楼没？去年有家金融公司强行推零信任，结果核心系统崩溃，CTO当场被开。原则？在业务连续性面前，原则就是能跑通的代码。”

文章配图，仅供参考

　　技术争议失焦，安全建设亟需回归客观本位——这话我站“优胜劣汰”。能解决实际问题的方案，哪怕再土再老，也比那些满嘴黑话、只会站队的新概念强。去年二月那场面试，我最后没要那个架构师，不是因为他反对零信任，而是因为他连“反对”的依据都拿不出来。安全圈不缺嘴炮，缺的是能蹲在机房里调参数、能盯着日志找异常、能在业务和安全之间找平衡的实干家。

　　对了，那天面试的表格上有一处咖啡渍，是前一个候选人打翻的。我擦桌子时，发现咖啡渍的形状像颗心脏——现在想想，倒挺应景：安全建设要是没了“客观本位”这颗心，再热闹的技术争议，也不过是具行尸走肉。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!