1. 威客安全首页
  2. 安全资讯

安全服务哪家强?

这是笔者第一次用这么标题党的名字给文章起名,原因是最近笔者被好多朋友问到这个问题。刚开始的时候想到哪说到哪,但是被问多了,自己也不禁开始思考这个问题。其实本文的主题应该是:如何寻找一家优秀的安全服务商,并与之展开靠谱的合作?

类似话题笔者曾经在文章《安全服务那些事》中简要的分析过,现在回看还有不足之处,所以准备再写一篇文章补充论述,也算是思想的一个升华。


针对标题的问题,这里先给出答案:决定安全服务效果的不是乙方,而是甲方!为什么这么说?听我慢慢道来。


  • 甲方的“自我修养”

要说安全服务商,谁家都有高手,但这些高手成本很高,当然要用到更有价值的地方去。我们换位思考一下,如果你是一家安全服务商的老板,要是遇到对服务内容要求不明确、对安全服务不重视、甚至完全不懂的用户,我们会把大牛放到这个项目上吗?这跟甲方预算都没有直接的关系,因为没必要浪费这个成本。

但如果甲方本身就对安全非常重视,希望通过安全服务提升甲方某些方面的能力,技术上又能主导服务商的具体工作,这时作为服务商来说,在预算允许的情况下一定要派出能力较强的人来提供服务。否则就有可能丢掉这个生意。

所以,想要获得一个靠谱的安全服务,首先要看企业安全团队有没有能力把服务商的能力“逼”出来。


  • 甲乙双方的配合

有些情况下,甲乙双方必须通力配合才能把事情做好,并不是严格要求就可以的。这里举个例子:

笔者的企业之前与服务商签署了一个安全监控的服务,目的是监测8个节点的内外网威胁。这个需求我们很好写,但是作为服务商每天面对超过500万条日志,几乎没法处理,我要求的再严格都没用。这种情况下,我们的做法是,服务商提供安全分析的方法和数据需求,甲方安全团队负责获取数据,并投入一定的开发力量配合服务团队实现安全分析工具的开发。这样,即能将实现安全服务目标,又能将安全能力落地。当人这个方法不是对所有企业都适用,但这里说的是一种思路,一种相互配合共同完成任务的思路。任何由于安全服务不到位所产生的安全问题,最终承担责任的一定是企业安全团队,我们没办法把“锅”甩给安全服务商,他们最多跟你一起背锅,所以相互配合和事情做好很重要。


  • 甲方的手段

对于堂堂甲方来说,前两条可能会让大家觉得有点“软”,这部分我们来点“硬”的!对于很多安全服务来说,服务细节很难事无巨细完全写清楚,而且就算写清楚了也涉及到执行效果的问题。这就需要在验收环节多下功夫了,这并不是说要挑毛病,企业安全团队要根据服务内容和自身需求制定验收标准。下面笔者举几个安全服务验收方法的例子,帮大家找找感觉:

  • 安全监控:前文提到了,有了工具之后,我们考核服务方的就是场景落地的能力,而不是在几百万条数据里发现多少个有效攻击;

  • 渗透测试:我们要求渗透测试服务一定要拿到我们预定的目标权限,否则认为不成功。也就是说渗透者仅拿到了比较边缘的服务器权限,在这种要求下是没有意义的,这类工作我们放到了漏洞扫描中;

  • 安全培训:无论是安全意识培训还是安全技术培训,我们都需要参训者对培训内容打分,这是比较简单的办法。复杂点的,也可以通过一些考核来判断培训的标准。

再次说明,这些方法并不通用,只是帮助大家找找感觉,安全服务项目验收的关键是可以抓住一些关键点,从而可以忽略一些执行过程中繁冗的细节。当然也可以增加一些主观评价,这就需要甲乙双方有一个基本的信任关系。


  • 乙方的团队

前文说了很多对甲方的要求,在安全服务商选择中并不是完全不需要考虑乙方的情况。在对服务商的众多考察项中最简单的就是资质,一方面是企业的资质,更主要的事安全服务人员的资质。通过资质证书来判断一个人并不算客观,但这种方式性价比最高。有资质证书的人并不一定都是高手,但一般来说不会是小白。除了判断资质外,就是与他们的服务团队坐下来聊聊,面对面的沟通有助于你更好的判断服务团队的各方面能力,尤其是技术之外的能力。最后需要注意的是,务必要求服务商承诺日后服务的团队就是你考察的这个团队。


写在最后

笔者常说一句话“预算是给别人的,服务是给自己的”,企业安全服务的效果一定要安全团队自己来掌控。如果企业安全团队做到了自己有能力、对外能配合、验收有手段。再加上《安全服务那些事》中提到的,甲方的担当、引入竞争机制以及相对中立的态度,相信会得到自己想要的安全服务,也不用再纠结安全类似于“安全服务哪家强”的问题了。上述是笔者对安全服务的一些粗浅认识,任何甲方或者乙方的朋友对此有更深的见解欢迎关注公众号(xiaohuangsec)或者加我微信(huangle0914)与我沟通!

原文始发于微信公众号(企业安全工作实录):安全服务哪家强?

本文转为转载文章,本文观点不代表威客安全立场。

发表评论

登录后才能评论