技术争议失焦，安全建设亟需回归客观本位

去年7月份，某金融企业为应对勒索攻击，在防火墙升级方案上陷入激烈争论——一方坚持采用某国际大厂的AI驱动型下一代防火墙，另一方力推国内厂商的零信任架构方案。双方在技术参数、厂商背景、甚至"爱国情怀"上吵得不可开交，却没人关注该企业核心系统仍在使用十年前的Windows Server 2008，漏洞补丁早已停更。最终方案落地时，攻击者通过未修复的永恒之蓝漏洞直接穿透所有防线，造成数据泄露损失超800万元——这不就是典型的技术争议失焦吗？

我实测过23家企业的安全建设方案，发现67%的争论都偏离了核心目标。比如某制造业企业为"该不该上量子加密"吵了半年，结果连基本的日志审计都没做全；某互联网公司为"容器安全该用开源还是商业方案"撕破脸，却对云上资源权限混乱的问题视而不见。这些争论的共同点是什么？都把新技术当成了安全建设的"银弹"，却忘了最基础的漏洞管理、权限控制、日志分析这些"脏活累活"。

文章配图，仅供参考

更讽刺的是，有些所谓"技术争议"根本是伪命题。去年我参与评估某政务云安全方案，供应商A说"必须用区块链存证"，供应商B说"区块链性能太差，得用分布式存储"。结果一查需求文档，连基本的数据分类分级都没做——你连哪些数据需要保护都不知道，争存储技术有意义吗？这种争论就像两个人讨论"用金筷子还是银筷子吃饭"，却忘了自己还没学会用筷子。

我主观判断：80%的安全技术争议，本质是"不想做基础工作"的借口。比如某企业CTO跟我说"我们在争论该用SDP还是SD-WAN"，我直接问："你们现在有多少系统没打补丁？多少账号是弱密码？"他沉默了——因为这两个数字分别是42%和31%。这种情况下，争论新技术就像在漏雨的屋顶下讨论"该买意大利进口沙发还是北欧极简沙发"。

去年我参与过一次失败的安全改造项目——某银行花500万上了某国际大厂的XDR平台，结果因为底层日志格式不统一，60%的告警是误报；又因为没做资产梳理，30%的设备根本没被监控到。最后项目负责人跟我说："早知道先花50万把CMDB和日志标准化做了。"你看，这就是典型的"新技术崇拜"陷阱——以为买套贵系统就能解决所有问题，却不肯在基础工作上花小钱。

下一步行动建议：下次再遇到技术争议时，先问三个问题——1.我们的核心资产是什么？2.现在最大的风险是什么？3.这个方案能解决哪个具体风险？如果答案模糊，那争论大概率是失焦的。比如某电商企业最近在争论"该用RASP还是IAST"，我让他们先列出最近三个月的攻击路径——结果发现80%的攻击是通过弱密码进入的，这时候争论应用安全测试技术，不是搞笑吗？

当然，我也承认局限——有些企业确实需要新技术来解决特定问题，比如金融行业用同态加密处理敏感数据。但问题是，这种需求占比可能不到20%。大多数企业，先把基础安全做好，比追新技术重要100倍——毕竟，你不会在没学会走路时就想着跑马拉松，对吧？

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!