> ## Content Index > Fetch the complete content index at: https://huizhou92.com/llms.txt > Use this file to discover other available public pages before exploring further. # 【译】“安全是我们的首要任务”--这是一句废话 - URL: https://huizhou92.com/e8-af-91-e5-ae-89-e5-85-a8-e6-98-af-e6-88-91-e4-bb-ac-e7-9a-84-e9-a6-96-e8-a6-81-e4-bb-bb-e5-8a-a1-e8-bf-99-e6-98-af-e4-b8-80-e5-8f-a5-e5-ba-9f-e8-af-9d/ - Published: 2024-12-19T03:07:26.000Z - Updated: 2026-09-06T11:41:13.000Z - Description: 【译】“安全是我们的首要任务”--这是一句废话. 原文链接： "Security Is Our Top Priority" is BS 几年前，我被邀请去做一个关于软件安全的会议演讲。其实，我并没有真正被邀请，而是我的公司购买了一个包含演讲席位的赞助包，我回复了一封内部邮件，自愿参与了这个活动 🤣 无论如何。 - Author: huizhou92 - Tags: tech, 安全, #lang-zh-cn 原文链接：["Security Is Our Top Priority" is BS](https://blog.waleson.com/2024/07/security-is-our-top-priority-is-bs.html?ref=edony.ink) 几年前，我被邀请去做一个关于软件安全的会议演讲。其实，我并没有真正被邀请，而是我的公司购买了一个包含演讲席位的赞助包，我回复了一封内部邮件，自愿参与了这个活动 🤣 无论如何，在准备我的演讲过程中，我意识到了几个关于安全的重要观点，这些观点自此一直萦绕在我的心头： 1. **安全是无止境的**。你总是可以投入更多努力来提高安全性。质量和安全、员工满意度等也是如此。 2. 安全的需求与**便捷的用户体验**需求**相冲突**。增强一个方面往往会损害另一个方面。 现在，有些组织宣称“安全是我们的首要任务”。真的吗？你想要将一个没有上限的事情作为你的首要任务？我的意思是，安全是一件好事，但这听起来是不是有点太简单了？实际上，像这样的空洞营销声明可能会让我有点生气。在这篇文章中，我将帮助你理解如何解读这样的声明，以及在现实生活中如何处理安全问题。我将涵盖： - 一个哲学性的介绍 - “安全是我们的首要任务”实际上意味着什么？ - 你应该在多大程度上重视安全？ - 公司应该怎么说替代这句话？ ## 安全性与用户体验平衡的哲学思考 安全的**无限性**以及它与用户体验（UX）之间的平衡让我想起了某件事。我不得不停下来思考了一会儿，然后我想起来了。大约在我19或20岁的时候，我发现了GK Chesterton。我非常喜欢他，因为他让我意识到实际上有非常了不起的基督教思想家，而在我那种多少算是福音派的背景中，这样的人并不多。不幸的是，尽管有Chesterton的影响，但与20岁时的我希望的相反，我个人的信仰并没有坚持下去。不过，我还是从他的著作中学到了很多至今仍感激的东西。这里有一段与我们讨论的话题相关的引用： > “现代社会并不邪恶；在某些方面，现代社会太过美好了。它充满了狂野而被浪费的美德。当一个宗教体系被粉碎（正如基督教在宗教改革中被粉碎那样），被释放的不仅仅是恶习。恶习确实被释放了，它们四处游荡并造成破坏。但美德也被释放了；美德游荡得更加疯狂，美德造成的破坏更加可怕。现代社会充满了旧基督教美德的疯狂。美德之所以疯狂，是因为它们彼此孤立，独自游荡。因此，有些科学家只关心真理；而他们的真理是无情的。因此，有些人文主义者只关心怜悯；而他们的怜悯（很遗憾地说）往往是不真实的。”——GK Chesterton，《正统》，1908年 Chesterton的意思是，好的事物（美德）如果被过分追求或者脱离了其他好的事物，就可能变成坏事。这听起来似乎是显而易见的，确实如此。但是一旦你掌握了这个模式，就会发现它一直在发生。在这篇博文中，我们谈论的是那些忽视了UX的安全狂热者，但在我们的政治世界中也是如此。有些人将多样性、公平性和包容性（DEI）推行到极致，以至于将白人男性妖魔化。有些人将家庭价值观推崇到极致，让其他人感到格格不入。家庭价值观和包容性都是好东西，但如果它们被孤立对待，就可能走向极端，并在群体之间造成分裂。 因此，我们需要在所有美好的事物之间找到一个健康的平衡，不让任何一个走向极端而忽视其他。这并不容易！如果你是一个安全极端主义者，即使你还是被黑客攻击了，至少可以说你已经竭尽全力来提高安全性。另一方面，如果你在安全性和UX之间取得了平衡，并为了更好的UX而做出了一些降低安全性的决定，然后遭到了黑客攻击。你如何为自己辩护？说“现实是复杂的，我们在这种情况下决定优先考虑UX”并不是一个听起来很好的回答。捍卫非极端立场需要勇气，因为极端主义者总是有更有力的口号。 ## “安全是我们的首要任务”实际上意味着什么？ 安全真的是无限的吗？我认为是的。实际上，银行最安全的运营方式可能是关闭他们的在线业务，购买一个大保险库，并在门外部署一支小型军队。即便如此，安全检查的强度和军队的规模也可以无限增加。然而，大多数人还是更愿意通过银行应用程序的面部识别来转账，并认为这种安全程度已经足够好。 公司真的会这么说吗？是的。比如微软的“[将安全置于一切之上](https://blogs.microsoft.com/blog/2024/05/03/prioritizing-security-above-all-else/?ref=huizhou92.com)”，AWS的“[在AWS，云安全是最高优先级](https://docs.aws.amazon.com/whitepapers/latest/aws-overview/security-and-compliance.html?ref=huizhou92.com)”，Meta的“[保护您的数据是我们的最高优先级](https://about.meta.com/actions/protecting-privacy-and-security/?ref=huizhou92.com)”，还有很多其他例子。 这听起来不错，但在实践中，这是否意味着只要有人提出以牺牲UX、消费者价格等为代价来提高安全性的想法，你就会实施？因为这似乎是它的意思。当然，答案是否定的，所以我对这些声明并不太认真，尽管我理解这给客户带来了一种温暖而模糊的感觉。我更希望组织能够坦诚和清晰，但我只能梦想在一个这样的世界里。 实际上，这些公司所表达的可能是： > “我们有一个平衡的优先级框架，我们对问题进行分类并给予每个问题加权得分。我们给UX问题分配20%，安全25%，技术债务10%，新功能20%，等等。正如你所见，风险是首要优先级，因为25%高于20%。” 或者他们可能意味着： > “安全（达到我们行业中标准水平的安全性）是我们的首要任务。一旦我们实施了足够的安全措施，我们就会专注于其他问题。” 如果你有完全诚实的安全声明的例子，比如“我们关心安全，因为我们需要你信任我们，因此它是我们的首要任务之一”，我会非常感兴趣。请在评论中分享！ ## 安全性应该做到什么程度？ 当我在2018年做那次演讲时，我还不清楚到底应该在何处划线。自那以后，我开始使用ISO 14971和ISO 27001这样的风险框架进行工作，现在我已经有了一些工具来帮助我处理这个问题。 一切始于一个评分机制：弄清楚我们需要保护的是什么，存在哪些风险，以及这些风险发生的可能性和严重程度如何。你将可能性和严重性相乘，为每个风险得出一个风险分数，然后将这些分数映射到低、中、高三个等级。 - 如果风险分数是低的，你可以安全地接受这个风险。 - 如果是中等，你应该考虑风险控制，除非有正当理由不这么做。 - 如果是高风险，你必须实施风险控制。 然后，一旦风险控制措施到位，验证它们是否真正减轻了风险，剩余风险是否现在变低或不存在。这样你就完成了。 听起来简单，但低、中、高的界限我们应该怎么划分呢？我总是把一些决策者聚在一起，给他们提供可能出错的情况的例子，然后请他们提出一个评分系统。接着询问他们愿意接受哪些类型的风险，同时考虑到如果应用了风险控制，产品或流程会是什么样子。 这个简单的评分系统包括风险矩阵、风险偏好/风险接受政策和风险清单。这是一个简单的工具，可以帮助你做出决策。 ## 我们应该怎么说？ 几十年来，全球都在以成熟的方式处理安全、质量和安全问题。让我们推广那些实际这么做的公司，而不是说这是他们的首要任务。这是一个没有意义的声明。 在我理想的世界里，公司会说：“我们维护着最先进的安全体系，因为没有客户的信任，我们作为公司就没有存在的权利。因此，这是我们工作中最重要的事情之一，我们投入了大量的精力。”这可能对大多数人来说听起来没有那么好，但这样说的公司肯定会给我留下深刻的印象。 原文连接：["Security Is Our Top Priority" is BS](https://blog.waleson.com/2024/07/security-is-our-top-priority-is-bs.html?ref=edony.ink) --- - [本文长期连接](https://huizhou92.com/e8-af-91-e5-ae-89-e5-85-a8-e6-98-af-e6-88-91-e4-bb-ac-e7-9a-84-e9-a6-96-e8-a6-81-e4-bb-bb-e5-8a-a1-e8-bf-99-e6-98-af-e4-b8-80-e5-8f-a5-e5-ba-9f-e8-af-9d) - 如果您觉得我的博客对你有帮助，请通过 [RSS](https://huizhou92.com/sitemap.xml)订阅我。 - 或者在[X](https://x.com/@piaopiaopig?ref=huizhou92.com)上关注我。 - 如果您有[Medium](https://medium.huizhou92.com/?ref=huizhou92.com)账号，能给我个关注嘛？我的文章第一时间都会发布在Medium。