我在这个岗位上实际会做什么
这份工作的目标不是让组织感觉安全，而是弄清组织目前的真实状况，决定哪些风险可以承受、哪些必须修复，并建立一套能够证明自身有效的运营。具体来说，第一个季度我会着手三件事：一份诚实的评估，包括上一任负责人没有说出口的内容；真正会造成伤害的三项风险，用业务语言表述，并附上与您愿意投入的资金相匹配的计划；以及一套有明确决策人的事件处理流程，且至少在纸面上演练过一次。我已经写下了新任首席信息安全官在 90 天内应当交付什么，我会以此要求自己。
第一个季度之后：一套以检测和遏制而非告警数量来衡量的安全运营，一种建立在决策而非仪表盘之上的董事会关系，以及一支在我不在场时也能把工作运转起来的团队。我不会在理解问题之前购买工具，也不会在了解团队之前重组团队。
我适合什么，不适合什么
我适合那些安全几乎等同于经营资格或产品本身的组织：受监管行业、关键基础设施，以及任何拥有重要数据或面对强大对手的机构。我适合那些宁要令人不舒服的真相、也不要令人舒服的幻灯片的董事会。我适合那些愿意赋予该岗位叫停工作的权力、并提供不会被悄悄挪用的预算的首席执行官，因为没有这两样，这个头衔只是摆设。
我不适合那种向以交付功能为考核标准、且无法接触董事会的人汇报的岗位。我也不适合只想要一个挂着高管头衔的合规职能的组织。而且，我不会告诉您一切都很好。
经验从何而来
我的很多工作无法公开描述，有些甚至完全无法分享。我能说的是：我曾担任大型知名企业、初创公司、高净值个人、非政府组织，以及从市级到国家级的美国及盟国政府的专业专家。我经历过上过新闻的事件，也经历过没有上新闻的。其余的内容，我们私下保密交流。
我就此写过的文章。
如果愿意，请在我们交谈之前读一读这些。它们是这一论点的详尽版本。
相关工作。
我参与处理同样问题的其他方式。
- 制定规则、承担艰难决断的兼职首席信息安全官以兼职方式提供高级安全领导：方向、艰难的决定、董事会，以及各类问卷，日常工作则由您这边一位胜任的人负责。
- 在您用心招聘期间守住阵线的临时首席信息安全官在约定期限内对安全承担全部责任，让招聘可以用上一位好人选所需要的时间。
- 聘请一位真正建成安全运营、而不只是做幻灯片的网络安全总监由亲自做过团队所做工作的人，担任安全运营、安全工程或安全项目的总监级负责人。
- 为必须做决定的高管提供顾问，而不是为负责落实的团队为签字的人提供独立判断：该问什么，该相信什么，该决定什么，以及该向董事会说什么。