人物 | 人民银行吕毅：以变应变的信息安全
撰稿 | 蓝河
编辑 | 图图
这是一间不大的书吧，午后的阳光透过临街的落地窗洒进店铺，在浅棕的实木地板上落下阴影，有些懒洋洋的。
在临着书柜的沙发旁，我寻见了他。
面前的小桌上放着一壶茶，手里捧着一本古斯塔夫.勒庞的《乌合之众》，看似有些不协调的组合，却丝毫没有违和感。
他见我来了，合上书，微笑招呼。我走上前，抽出椅子，坐下。
这是我和吕毅的第一次见面。
有些人认识了很久，还像初次相见；有些人偶然相见，却像认识了很久，他明显属于后者。
“那么，我们开始吧。”
吕毅还记得自己和电脑的缘分，应该源自高二。那是1997年，正逢暑假，学校开办了计算机兴趣培训班，教授一些最初级的编程知识。
在那个仙剑奇侠传需要7张软盘才能考下来的年代，在那短短两个月事件里，吕毅爱上了计算机。对电脑的执着，让他在假期里殷勤地帮着培训班的老师忙里忙外、打扫卫生、开机关机，只为了能蹭上免费的第二期课程。
至于银行的这份工作，则颇有点“子承父业”的感觉。
吕毅的父亲从陕财毕业后，就一直在银行系统。所以当学理科的他拿着高考志愿单，不知道自己将来应该做什么的时候，父亲说，要不去银行吧。于是他就在陕西以高出一本线40多分的成绩，去了陕财(后来阴差阳错的在大二并入了西安交通大学)。
说来也巧，吕毅本来听了父亲的话，报的是银行管理专业，毕业以后工作方向也应该是银行业务管理。谁知正值信息化的时兴和火热，计算机知识也被纳进了金融类专业的必修课程中，因此，学校顺势将“银行管理系”更名为“计算机科学系”。
由于专业定位的偏差，导致就业方向也从上一届的银行业务部门，开始偏向了计算机。这就让吕毅从银行业务向银行计算机方向的转变埋下了伏笔。
“一步天堂，一步是另外一个天堂。”他狡黠地笑了笑。
可能也是宿命，吕毅说他刷过多遍《星际穿越》，当时这部电影的技术指导基普·索恩还没获物理学诺奖。影片中提到：“在高维空间视野下，时间是一个单独的维度，过去就是一个山谷，而未来是一个可以攀登的高峰，人的一生就是一幅清明上河图的长卷，可以观察和回退，参考楚门的世界”。
但现实情况下，时间就是一张单程票，就如《阿甘正传》里的那句名言一样：“人生就是一个巧克力盒子，你永远不知道拿到的是什么味道”，这就是薛定谔的猫。
吕毅回忆起一件记忆最深的事情：
隔壁寝室的哥们来串门，走到他面前，神神秘秘地说：“我给你看个好东西。”说罢，将U盘接到了吕毅的电脑上，要知道，U盘2000的时候还真是稀缺货。随着歌声的响起和FBI WARNING画面的出现，齐秦的那首《狼》，就这样在一个只有3兆（M）的Flash里，跃动了起来。
吕毅坐在电脑前，心情就像一匹“来自北方的狼”，久久不能平静。他震惊于为何3M的空间，竟能容纳如此巨大的力量，同时也让他确定了一件事——计算机要继续做下去。
大学生涯，吕毅担任了四年班长同时兼任学院团总支秘书长，并且加入了文学社团（说道这里，他害羞的笑了）。当然，娱乐活动也没落下，打篮球、玩游戏、逃课，全都都干过，可以说是精彩缤纷了。
2002年，吕毅以省级优秀毕业生的身份，拿到了多份offer。同年春天，人民银行信管中心公开招聘，父亲说，去北京试试吧。两个月后，吕毅收到了人总行入职通知，从此便在北京住了下来，掐指一算，16年了。
返回头看，2002年，就业环境和机会也比现在也好的多，淘宝京东还在初期，纳斯达克刚经历了第一轮.com泡沫，比特币还没出现，北京西单学区房房价不到1万，QQ主要用途是网恋，所谓商务人士都用MSN。
有个例外，他补充到，那一年的上证指数在2000左右，和现在一样稳定。
我这十年▲▲▲耀疆总写过一篇文章，叫《我这十年》，讲的是他不得志但不辞劳苦终有所成的考研故事。而吕毅的十年，说的是一个安全人，从晦涩到成熟的旅程。
从2002年进入人行信管中心，吕毅先做了两年办公自动化系统的开发。当时他的领导是技术控和真正的大拿，可以找出来某著名国外公司产品BUG，2003年的时候就用J2EE框架开发OA系统，带着整个项目组拿下了银行科技进步奖（省部级）。
吕毅说，跟着当时的领导，他学到了“充分授权，用人不疑”。举例来说，2003，他们一起做了时任一把手行领导在人民大会堂的汇报PPT，当时那叫一紧张，，播放时手心还冒了汗，但压力和授权却对起步阶段起到了非常积极地作用。领导带给他的身教大于言传，也让他在后期工作中养成习惯：用技术讲话，不听忽悠。
2004年，因为科技口一直有工作交流的传统，技术和管理并重，所以吕毅在同年开春，被调往位于总行6楼的科技司的计划处，负责项目审核和立项的工作，也迎来了他工作中的第一次转变。
在这段时间，他主要有三处收获：
一是明显提高提高了管理能力，理清98年至当时的项目历史记录；
二是处领导给了他非常大的帮助和信任，充分授权，让他可以直接就经办项目内容参与向司领导汇报。在计划处，他学习了很多项目管理上的经验，每年的一百多个项目申报、资金审核、立项安排、任务书签订以及项目资金拨付、验收、开展项目生命周期管理，加上处领导讲原则也通人情的工作作风影响，让他有了尊重感和获得感；
三是认识了前女友（说到这里，他在我面前笑了笑），就是现在的孩子他妈。
第二次转变，是2008年北京奥运会，吕毅调回信管中心，率领8人团队负责安全，正式开始了安全的10年。
就像马斯洛的需求模型一样，信息安全也有一个能力滑动象限模型（SANS安全滑动标尺），同样也将安全水平，分成了5个阶段。吕毅加入的时候，信息安全还处于不停的累计基础防御能力的阶段，主要开展终端防病毒、补丁分发，终端CA证书等工作。
恰逢2008北京奥运会，国家安全主管部门要求所有机构都要做好安全自查。因为没有终端准入，所以安全组就只能通过人海战术扫楼，挨个办公室敲门检查，确定系统是否安装防病毒。虽然顺利完成保障，但投入收效比太低。
吕毅觉得这样不行，科技要用技术的手段进行管理。于是在次年人行防病毒改造的时候，接上了终端准入设备，变被动为主动。
由于这段时期要经常做好安全和其他部门的接洽，向上汇报，向下负责，将终端安全、病毒、补丁等信息放进去，因此，全行第一份信息安全月报就此诞生。领导觉得月报的形式挺好，这也让吕毅意识到，安全是需要汇报沟通才能体现价值的事业。
这段时间里，他觉得最快乐的事情，是带着大家一起学习，学习数据恢复，学习代码编写，甚至学习报告中的图形处理技术，学习自己上手敲命令装服务器而不是让厂商做，学习自己上机房上电上架。
在管理优化上，他也完成了轮岗，将人和事情进行解耦并将资源共享形成机制，信息不再留存在某个管理员手中，而是共享使用。
这一晃，就是两年时光。
2010年，第三次工作转变，吕毅被派往香港金融管理局（HKMA）交流安全和管理工作，在与香港同事共事的这一年里，他的视野和想法发生了巨大转变。
“工作严谨又不失人性化”，是吕毅从香港回来后最大的感触。
例如，一直以来，写“管理办法”这件事，还是让他挺头疼的。因为很多时候他都不知道写下的东西能不能做到。管理办法中经常出现的官方用语看起来永远正确，但却总是会面临落地难得问题。
而HKMA的项目规范则摒弃了长篇大论，写得即严谨又简洁，容易落地。
回过头来，他反思道：“当我今天要求别人怎么做的时候，也要用一种让别人舒适的方式和语言，才能更被接受。”
另外，他从当时的部门老大张汉强先生（Alfred）身上，也获得了极大的启发。
Alfred长期在加拿大工作，后又在香港工作多年，极具外部视角。在做日常的项目管理以外，Alfred每周都会抽出2小时进行free talk。在这个过程中，他们探讨过金融话题，第四代语言问题，香港传统文化和国际化视角…… 所有这些围绕的点只有一个，那就是“找到事物的本源”。
每一次头脑风暴后，吕毅都会对熟悉的世界又产生了了新的认识，譬如说传统文化，譬如说对西方文化的纯粹吹捧，譬如说管理的科学。
一年后，结束了在香港的交流工作，吕毅回到北京，继续按部就班地做着救火的工作，直到一场攻击的到来。
人行信息安全觉醒的元年是什么时候，吕毅说，是2013年，具体到哪一天，他脱口而出：
“12月18日。”
那一天全行上下都觉得网速有些不正常，出奇地慢，于是网络和安全一起清查问题所在。一直熬到了凌晨，最终才明白是CC攻击。说实话包括吕毅在内，那时候的安全组，没有一个人知道CC攻击是什么。等到回头翻阅日志的时候才发现，原来这里面还有这么多的学问。他痛定思痛，对着大伙说：“来学吧。”从那天开始，吕毅带着团队四处学习：网络攻击长什么样，攻击者心里怎么想。
2014年7月，吕毅作为安全部副主任，开始了安全架构的重构的工作。
第一步，开展培训和能力提升。
信息时代，人是安全的尺度，而团队如果没有培训、交流，等同于闭门造车，夜郎自大。学如逆水行舟，不学则退，慢进亦退。吕毅利用资源，组织部门完成了全员CISP培训，而他自己也通过了CISSP（国际认证注册信息安全专家）认证。
唯一让他感到遗憾的是，本想让同事参加的渗透培训，因为工作繁忙没能实现。而他最骄傲的是，现在的团队已经具备了一定的漏洞自主挖掘能力和初步的对抗能力，并在实战演练中得到了验证。
第二步，设计安全从运维到运营的进化。
以往工作中，人们通常更关注运维层面，强调安全管理员和系统的关系。而随着技术能力的提升，仅运维层面是不够的。考虑到行里的现状，将运维资源池化并外包成为了最好的选择。
吕毅认为，工作外包但责任不能外包，另外，在他看来，安全的价值并不在于运维，而是“纽带”。
罗振宇在2018跨年演讲时曾说：中国的制造业出走，是不是意味着中国要玩完了？并不是。中国自始至终都是一个“8”，一个循环的轴心。一边把东南亚的制造业拉起来，另一边把欧美的设计拉起来，中国在中间，谁也离不开它。
而信息安全也应该扮演“纽带”的角色，一边是业务和用户需求，知道他们想要什么，逻辑是什么，另一边是厂商，了解其能力和服务。安全在中间作为枢纽进行管道疏通和转化，这也是信息安全运营价值。（安全从运维到运营进化可以参照他另外一篇文章，从运维到运营的进化）
第三步，从攻击视角建立了具备弹性的纵深防御体系。
爱尔兰共和军成员在布赖顿大酒店尝试刺杀首相撒切尔夫人未遂之后发出警告:“今天我们是不幸的，但请记住，我们仅需要一次幸运，而你们必须要总是如此幸运”。
实际上，攻防不对称特点更突出。为此，安全防护的挑战和压力从原来的专注于终端安全，扩展到涵盖边界防守、纵深防御和近身防御的三层防御体系，利用好冗余和安全特性，还要在和对手过招时掌握两个原则：
一是打断攻击方的OODA（观察，调整，决策，行动）循环；二是攻击面的收敛和自身恢复、减少曝光（Minimize）、解除攻击（Neutralize attacks）、增加弹性（Increase resilience）、加快恢复（Accelerate recovery）。
（具体思路参见文章《从攻击视角构建弹性信息安全防御体系》链接https://mp.weixin.qq.com/s__biz=MzU1Mzg0Nzk0NQ==&mid=2247483733&idx=1&sn=049c719c1738779383143c2234df2c79&chksm=fbeddcb3cc9a55a5fe49340f4967db82a778b9f26dcefde57787ac3e573d0740b799624bf30d&mpshare=1&scene=1&srcid=1118xbqsyK1KpUGKCt6jkCLW#rd）
So far，他最开心的是一件事就是在分管领导的支持下，建立了应急协调机制。
对吕毅来说，第四次转型是在社科院读博期间，姜奇平先生的范围经济学思路和张斌先生关于金融和经济本质的思考带给他的触动。
习大大在419讲话中将人类革命划分为三个阶段：农业革命，工业革命和信息革命。而安全也面临着人身安全、工业安全到信息安全的转变，需要看清安全的本质，就像经纬一样，拉长认知范围广度对应纬度，拉长时间长度对应经度。
2014年至今，人行的网络安全对应能力成熟度从SANS的第一阶段迈向第二阶段，达到了安全手段没有明显缺失，安全事件能救火的水平。团队更是在16年的国密证书改造项目和17年的一体化终端安全项目获得了人民银行的科技进步奖。在分管领导带领下，正在开展下一代信息安全的重构工作。
吕毅虽然是做安全的，但却不忘跨界，他不仅考过信息系统项目管理师（高级），还考取了私募基金从业资格证书，所以他习惯将经济学上的一些思路，运用到安全的工作来。
他再三强调，安全是需要主动来体现价值的，这里有两个例子：
他问我，宋徽宗的“珍禽图”和梵高的“向日葵”，哪幅画更值钱？我无法回答。
事实上，“向日葵”在1987年以4000多万美元高价被拍下，而“珍禽图”，2002拍卖会上的价格，只有2000多万人民币。
究其原因，是因为80年代，财富主要集中在英语系国家，觉得“向日葵”值钱的人，手里有钱。
这个例子告诉我们，信息安全的汇报工作的目的是让掌握资源的人认识到信息安全的重要性，就像项目经理的会花70%精力用在沟通上一样：向上汇报，对结果负责，对下交代，形成合力。
不过我更喜欢第二个例子。
为什么同样是国足教练，里皮的工资是1.4亿，而高洪波只有100万？在这背后隐含的就是信息安全风险的问题。
吕毅说，就像巴甫洛夫的“心理反射效应”，为了让小狗吃东西，巴甫洛夫通过摇铃铛的方式，将其吸引了过来。渐渐地，巴甫洛夫发现，即便没有了食物，小狗还是会跑向铃铛响起的地方，同时分泌消化液。这是因为，小狗把铃铛声和食物绑定在了一起，认为有铃铛，就有食物。这就是条件反射，现实社会亦复如是。
只是因为里皮身披了太多荣誉，所以人们自然会觉得，里皮=冠军。只要他来了，中国足球就有希望，成绩就能好，这是对风险的极度厌恶原则导致的。
但是要知道，并不是你看见了1000只黑天鹅，就能认定这个世界上所有的天鹅都是黑的。就像2013诺奖获得者尤金法玛的假设，在一个强有效市场下，任何过往的业绩不能证明未来的投资结果，更何况信息安全是典型的负面黑天鹅事件。
话说回来，传统以为“高收益”往往伴随着“高风险”，但其实，“低风险”也同样可以创造“高收益”。
再举个例子，在某个大门打开的金库里，存放着大量的钱财，谁都可以进去，把钱拿走。但金库里同样摆放着一颗炸弹，谁也不知道炸弹会在什么时候因为什么机制以什么样的方式触发。因此，所有人都在围观，却没人敢进去。
这时来了个人，闲庭信步走进去，拿着钱大摇大摆地走了出来。大家都问他为何如此大胆，他却说，“因为自己早就知道这个炸弹是定时的，不到时间一定不会爆炸，所以才毫无顾虑”。
这其实就是在掌握足够多信息的情况下，把风险降到最低，却仍然可以获得“高收益”的情景。
在信息安全工作中，有人认为防守是面，攻击是点，故而攻强守弱，实则不然。吕毅说，按照黄晟的纵深塔防思路，防守方应充分利用主场优势，创造信息不对称，限定攻击区域，混淆攻击响应，通过安全手段的综合利用，将被动转化为主动，这才是信息安全的下半场。参见《宋徽宗pk梵高，浅谈信息安全价值及落地》。
写在最后：他眼中的安全世界
吕毅时常会想，到底是因为做安全而爱安全还是爱安全而做安全，其实他自己也分不清。
问到怎么看信息安全，吕毅提到了三点：
一是踏实干活，遵循邓公三论：猫论，摸论，不讨论。白猫黑猫，抓住老鼠就是好猫。好多事情也是摸着石头过河，不要期待一蹴而就。而工作中，有些事情讨论不清楚，就不要讨论了，做下去就好，习大大都说了，允许年轻人犯错。
二是不住于相，凡所有相，皆是虚妄。所谓五蕴皆空，亦指万物皆变，如果用不变的心态来应对变化，势必会带来痛苦。过去，不可得，未来，不可得，活在当下，努力并且随缘就好。信息安全的变，就变在技术，就变在形态，而不变的是攻防，是对抗，抓住了牛鼻子，以初心应万变。
三是创造信息安全的同心圆。阳关底下没有新鲜事，信息安全就是人和技术的组合，还要因势利导。
现在社会的矛盾已经从对物质生活的需求转化到高质量发展，信息安全也是如此。从基础层的从无到有，转化为系统层架构转变，提供更高质量的服务，从业务导向，源于业务，依托业务发展，服务于业务，伴随业务发展实现信息安全从活着向活的好的转变。
随着上云和大数据的进程，人工智能和移动互联网的发展，如果安全技术不进行调整和改进，仍然用原来的技术方式寻古守旧，很快会被社会淘汰。从王东岳先生的递弱代偿（过度冗余）到凯文凯利的“创造性失灵”，不能站在安全说安全，应该跳出安全话安全，信息安全的问题，借用周其仁教授引用犹太谚语：“永远逆流而上，难做的事情容易做成，因为竞争少”。
最后，他提到，在科技上，人们更倾向于高估未来，而低估现在。我们现在处于一个加速变化的时代，而安全人就在一旁默默守护，以变应变，同呼吸，共命运。
我是蓝河，蓝溪阁第一小剑客，叶不羞的小跟班，科技媒体的小学生，你们的小天使。我不善交际，如果不介意的话，可以加微信号guoduo1992120碰碰运气。
「推荐阅读」
网络安全新媒体联盟，由聚焦网安行业的包括安在、E安全、Freebuf、看雪论坛、数说安全、安全村、网安视界、游侠安全网、一本黑等在内的新媒体或自媒体共同发起成立，同时有《中国信息安全》顾问支持，是非营利非实体性质的新媒体联络协调和合作互助机制。
”人物 ∣ 热点∣ 互动 ∣ 传播
投稿及商务合作请在后台回复关键字即可