写给安全体系需要重建、而不是再加一层的组织

为必须转型、而不只是扩张的安全职能提供转型领导

安全转型通常由某件痛苦的事引发：一次数据泄露、一次未通过的审计、一次使资产规模翻倍的收购、一个新的监管机构，或是董事会终于问出了没人能回答的问题。人们很容易用一百项举措组成的计划来回应。我领导过这类变革，成功走出来的组织，做的事情更少，但顺序正确，并且在转型期间保持现有运营不中断。

我会如何领导这场变革

第一，弄清您手上有什么。要的不是一个成熟度评分，而是一幅诚实的图景：哪些能被检测到，哪些有响应，哪些有人负责，哪些只是想当然。大多数转型之所以失败，是因为它建立在被描述出来的体系之上，而不是实际存在的体系之上。

第二，修复让其他一切成为可能的基础。包括身份、资产可见性、遥测和决策权。这些一旦有问题，建在上面的一切都无法正常运转，而它们通常都有问题。

第三，先改变运营模式，再改变工具。谁负责每项能力，工作如何流转，衡量什么，业务可以期待什么。在这些尚未确定之前购买的工具，会按旧模式配置，然后不得不重做。

第四，团队。转型会改变工作岗位。人们需要知道自己的岗位会变成什么样，谁会留下，以及现在怎样才算做得好。如果处理不当，知识就会在这个环节流失。

全程：保持业务运转。转型期间发生的那起事件，将决定转型能否存续。响应能力要受到保护、免受变革冲击，而不是被牺牲。

一个运营模式清晰的安全职能，一套更精简、更易理解的工具体系，有实际意义的衡量指标，董事会用得上的治理，以及一支清楚其运作方式的团队。同时，一路上如实说明哪些问题是被接受而没有被修复的，使最终状态是一项决定，而不是一个意外。

这项工作资深、有时限，而且艰难。它适用于领导层已经决定必须变革、并愿意出资和支持的情形。如果它只是授予某人的一个头衔，却期待此人利用业余时间既运营现有职能、又完成转型，它就行不通；如果每项变革都需要委员会点头，它同样行不通。

三十年的安全领导经验，在从初创公司到政府的各类组织中，领导过贯穿事件、收购和监管变化的转型。大部分细节受保密协议约束。能在这里说的，我都说了。

如果愿意，请在我们交谈之前读一读这些。它们是这一论点的详尽版本。