简单，常被认为是考虑不完全，或对概念想法的部分理解。但事实上，真相正好相反，简单中蕴含有某种程度的优雅。对概念或想法的简单解决方案、分类，或者呈现，需要对该概念或想法有准确而全面的掌握，这一点往往是大多数人都欠缺的。
或者，我们换种说法，过分复杂化是很容易出现的一种行为。加入过某种委员会或列席过某些会议的人太清楚了。简单，是人生中很难达到的境界。
虽然简单很好，过于简单却也会造成麻烦。在太复杂和太简单之间有微妙的平衡，很多问题的优雅解就存在其间。然而，不幸的是，我们大多数人想要准确落在其间通常不太容易。安全问题也不例外，同样受这条规则约束。
一边是过于简单，一边是过于复杂，这两种情况都太常见，一点不意外。
有时候会有这样的问题：“网络安全吗?”，“想要安全，我至少得花多少钱?”，或者，“我已经有了SIEM、IDS、防火墙、沙箱，每天都处理100000条警告消息——为嘛还得弄别的?”。不用说，对那些把职业***年华献给安全，做着策略风险最小化、管理和缓解工作的人来说，这些问题可能是非常令人沮丧的。
但另一方面，几十种技术用上，却依然没有总体的风险策略来解决操作性安全诉求的现象也很常见。换句话说，技术买来了，操作性安全问题依然大咧咧摆那儿没解决。或者，像另一个例子似的，事件响应员和分析师无序追逐一个接一个的警报，各个方向都有数据流入，没有任何办法去梳理它们。这就是所谓的操作性混乱。过于复杂也不是什么好事。
幸运的是，安全是一场马拉松，而不是短跑。我们可以预先计划，随时修正，朝着理想的目标前进。这个与保持口腔健康的案例类似。一个很有趣的现象：大多数人都会定期去看牙医做检查，有多少人会在去看牙之前临时好好刷个牙呢?反正我是会这么干的!不过，仔细想想，这行为是不是有点奇怪?因为牙医总会知道距离上一次检查期间你有没有好好保证口腔卫生嘛!无论我们有没有在临出门前刷个牙，都无法掩饰这段期间我们对牙齿卫生投入的关注。换句话说，跟安全一样口腔卫生也是场马拉松，不是几秒完事儿的短跑。
跟着***潮流走或许很有诱惑力，但从来替代不了方法性、策略性、知情的、基于风险的安全方法。虽然肯定不是完全列表，但获得此类安全能力的步骤包括：
理解公司面临的风险和威胁：跟着威胁情报走，接受高管、董事会、客户和其他关键利益相关者的指引。
将这些风险和威胁分出优先级：什么风险和威胁可能导致严重损害而需***先缓解?
根据可用的预算，调配人员、过程和技术的***组合，来解决排序后的风险和威胁：我们该怎样运用最少的资金，解决最多的安全问题?
发展正确的内容：低噪声、高保真、可靠、准确的警报，才能发现上面几步中枚举出的风险和威胁的活动指标。质量是比数量更重要的东西。这一步，与日常生产力和安全项目的整体有效性高度相关。
工作流：运营日常安全。记录各种过程和规程。持续处理事件，必要的时候执行事件响应。推动案例管理和事件归档。
与利益相关者沟通：包括度量标准和报告。确保你向公司提供的价值被很好地理解了。
回馈社区：信息共享。呈现工业事件和本地用户团体的案例研究。参与各种同业团体，自由交换信息和创意。
持续改进：警报需要关注。过程需要调整。新用例也会出现。确保安全项目随威胁态势发展，一直保持世界水平。
如您所见，这些步骤无疑是场马拉松，肯定不会是短跑。***安全公司都是有策略、有方法，精打细算的。有时候他们为了长远目标，短期内反而会稳一下，发展不那么快。他们绝对不会做的一件事，就是追逐潮流，什么***用什么。炒作跟风不是好安全项目会做的事儿。
懂行的客户知道哪些公司是临看牙医前刷牙的类型，哪些是踏踏实实搞好平时安全卫生的类型。换句话说，胡乱短程冲刺突击可能骗到一些人，但弥补不了这种行为给你的公司带来的风险。平稳渐进才能赢得最终胜利。
【本文是51CTO专栏作者李少鹏的原创文章，转载请通过安全牛(微信公众号id:gooann-sectv)获取授权】
