CSO人物 | 欧建军：我愿做安全行业里永远的侠客

7月26日的下午，我们来到受访者欧建军的工作地点，是家外企，所以你总能看到楼里的人拿着文件，脚步匆匆。楼下日料店里也会瞥见有人小口酌饮，礼貌而沉默地品味美食。或是咖啡铺前两人聊聊琐事。他们喜欢工作的紧张感，也享受着生活、珍惜这种快节奏工作下忙里偷闲的欢愉感，在这里从事安全工作的欧建军亦是如此。

和之前受访中CSO一贯的严肃严谨的说话方式不同，他介绍完自己的英文名James后就兴奋地讲起刚旅行回来的经历：“骑马，滑草，住蒙古包…我在北方呆了4年第一次去大草原，那里的视野很开阔，很喜欢。”谈笑风生，生活里他热爱自由，而在工作中他评价自己“像一个大侠”就更是少见了。

因为他敢于和领导针对安全问题叫板。

当有些事你只能去争取，我就会和其他公司和领导去争，做不好我就会给他们压力，因为事在人为，你要把权力握在自己手中，很多事才可以得以推行。

的确，信息安全在汽车行业的挑战让他不得不这么做。汽车行业的信息安全业务包括在三个方面–研发、制造和销售。因为汽车行业是制造业的皇冠，一切高精尖的技术都想应用在汽车里，比如最近很火的无人驾驶、AI等高科技的项目都会应用。之前的车子就像一部诺基亚手机，你只需要想油门刹车，和外界没有联系，而现在推行的车联网技术让汽车更像是智能手机，如今的工业4.0趋势在很多汽车行业已经实现了。同样在制造方面，依靠系统和机器人完成，在工厂中基本都是机械手臂，人只是在系统中设置好了参数监控过程和结果。无论是研发中高科技的应用还是在制造过程中高度使用一些工业控制系统来实现自动化，这样高精端的技术给安全事业带来的挑战无疑更大，所以他不得不争取领导更多的重视，他相信事在人为。 

（欧建军／受访者供图）

“就像网络安全法出来之后，我就赶紧借这个机会去找领导签署了一份网络安全承诺书。”当所有人都沉浸在这份法律出台的喜悦中，他没有囿于原地而还是选择持续给领导传达信息和压力，真正抓住这次机会去完成实践推行这份法律的落地。他也幽默地调侃“我就是喜欢搞事。”其实这是一种能力，他善于抓住每一个机会然后发挥作用。比如一次政府检查工作，他就借此事件告诉领导这是需要被重视的，我们还有哪些问题，努力推动安全事业哪怕只是一小步“永远不要等着它成熟，而是你做了什么事推进它的成熟。”他在招聘安全人才的时候一定会问这个问题：“你觉得信息安全的成功有哪些因素？”他们都回答，领导的重视，但当你在追问为了领导的重视你做了什么？他们便缄默不语。但如果下一次应聘的是欧建军本人，这个问题相信他可以满分做答。

来到这家公司两年，他将公司的信息安全工作从无到有地有序开展起来：

当时我15年来到这里，没有人有安全观，我们经常被审出有问题，从安全管理到技术到管控都有问题但我们只针对一个问题去改，没有人有全局观，也没有体系和框架。

意识到这些之后，James就开始从管理和技术两方面梳理和建立整个安全体系架构，建立信息安全组织，包括顶层的信息安全委员会以及工作层面的信息安全小组，对员工进行一些安全意识的培训，同时尽可能把自己的组织架构和汇报机制建立起来。而在技术方面安全运维、数据安全、安全加固这些也是推动安全意识、安全手段落地的重要环节。在他的努力下公司成立了一个风险管理委员会，这个成员包含了公司的两位老总和母公司的CFO，借助这个会议，他们努力把信息安全作为其中的一个定期的项目，通过汇报问题和想做的事情从而得到领导的支持，得到这个层次的领导支持在公司推行就很容易了。说到这里，他讲到：

对我来说影响最大的是我们两位CIO, 我认为他们是非常开明民主的,他们会支持你认为要做的事情，也会给预算，很幸运遇到他们吧。”有时候幸运是努力的附属品。

在这家公司努力了两年后的现在，他开始将信息安全工作扩展到其他部门，比如HR，采购等而不仅仅是IT部门，整个组织架构和全局的安全观在慢慢形成，但这种意识的提高绝不仅仅在于管理的成果，他创新性地提出在安全文化的建立行成中技术的至关重要性，这是在其他管理者中很少听到的观点。“其实这是两个方向，重技术还是重管理，而我认为你要通过一些技术手段拿到一些有用的信息以后，你才会推动这个管理。”比如他提到的数据防泄漏方案—DLP，这种系统可以清楚地看到数据是通过谁、以哪种方式泄露的。这样就可以问责到人，进行相应的惩罚，惩罚就会引起重视，人们就不会轻易的再去做这种数据泄露的事情。有很多公司就是通过DLP真正地把数据安全的事情抓起来了。

 这就是技术带来的变化，在你技术薄弱的时候你就想办法把技术抓上去，等技术建设好了，你再去抓管理。之前我也天天在推什么安全日、安全周、全国巡演到各个公司宣传，来到这个公司我觉得这样做的效果并不好，还是要先发现问题并解决问题，这样的安全培训才是有效的。

当技术和管理都到了成熟的阶段，一个公司自然会形成一种安全的气场。

坚定和勇敢是他工作时的标签，自由幽默是他谈话的方式。他一直在打破我对安全人员的刻板印象。同时他也总把问题和困难讲的很轻，他说“我十分热爱我的行业，我对信息安全很感兴趣”，

这是我主动选择的，04年IT行业的ERP是最火的，我也做过这个行业，当时认为时代的发展趋势数据安全对一个公司是至关重要的，就选择了它虽然当时很冷门，但现在我在这个行业10多年了，大部分在世界五百强工作，我觉得我的工作是有价值的，我坚信。

想起他谈到工作的价值，他也很坚定地说这难以让外人理解，但对工作的热爱他似乎更在意自身的建设和认同感而非别人的赞扬，他说“我觉得自己像一个侠客，我领导说我更像警察，我说对，我就是警察，这个安全的底线我永远也不会松口和放手。”

Via: freebuf