十年信息安全管理，两年真技术，八年假管理

 写在前面的话       

        算起来，我进入信息安全行业已有十年之久了，还清楚的记得刚作为信息安全工程师的兴奋，满怀希望义无反顾投身于安全行业，对这个行业以及自己的未来充满希望。一转眼十年光阴，我经常把“十年饮冰，难凉一腔热血”作为对自己过去十年的调侃，也暗自提醒自己就算行业的潮水已退，我一定不是裸泳的那个人。

        我现在已经是奔四的人了，经常扪心自问 “这十年，我如何证明我没有虚度光阴呢？”。于是，我把这句话在饭桌上抛给了朋友，朋友说“这十年你没工资吗？有工资就不算虚度吧”，我又问了我爱人同样的问题，她的回答大同小异“这十年工资都按时上交，不算虚度，而且能覆盖家庭开销”，怎么说呢？都在回答正确的废话。于是，我把这个问题抛给了启蒙恩师，他的回答是“要看你经历了什么、留下了什么、将来还能做什么”。

        对的，只有“经历”才能留下什么，只有“留下”了确定价值的东西才能指引未来的不确定。

 我从哪里开始呢？

        十年青春，奉献给信息安全行业，一直从事甲方一线的信息安全管理工作，走过国企、互联网大厂、民营企业，从网络安全、数据安全、安全合规一直到现在很火的人工智能安全，我那些年吵过的架、做过的汇报、读过的标准，是时候沉淀一下、总结一下了。这既是对我十年信息安全管理工作的思考，也希望能指导我未来十年工作方向。

        那就以ISO/IEC27001为引，串联我整个的沉淀吧，当年就是这个标准把我“骗”进了信息安全管理的领域，我希望能够结合自身的工作经历、感悟来解释每个条款。

        我的昵称是“小木话安全”，争取做到每周更新，立 flag 为证！