關於資安人才的培育,5年前在臺灣駭客年會(HITCON)社群場主題演講上,臺灣科技大學資管系特聘教授吳宗成曾提出人手、人才、人物三種等級的區分,而在今年臺灣資安大會鴻海研究院展覽區,他在一場演講當中,以自己資安人生歷經的4個階段,帶著大家以另一種角度思考整體資安人才的角色,他的講題相當別開生面,叫做「我的資安人生:是當釘子?還是當鐵鎚?」

一般人談到釘子與鐵鎚的關係,可能會先想到前者被後者鎚打,有種無奈、受傾軋的感覺,然而,吳宗成則是回歸它們的本質與作用,以此譬喻處於不同角色的資安人彼此不可或缺,都有其重要性,他期勉大家要經常思考自己目前處於何種角色階段,持續接觸新興科技進行鍛鍊,才能跟著環境、情境、年代的變化進步,而且,不要只是成為工具的使用者,要成為智慧的創造者。

想要完成工程,釘子、鐵鎚、工匠都很重要,缺一不可

參加過大大小小的資安活動,吳宗成每年都在這些場合看到很多身懷高超技術的資安人,他都會注意哪些有哪些是很好的人才,然而他也經常在想一件事:臺灣有非常多頂尖的資安高手,每個「釘子」都非常厲害,如何能找到他們的用武之地?因此,他也問現場觀眾幾個關於釘子的簡單問題,希望大家也透過這個比喻去想想資安人才的問題。首先,我們可以思考釘子本身的功能,它們可能是用來固定、穿牆,把兩個不同材質的東西緊密結合,例如,我們可透過釘子把木板等材料結合在一起;接著,則是思考用途,想想如果我們手上有個全世界最強大的釘子,可以怎麼用?有的人會將它釘在一個特殊的牆壁上;再接下來,要去思考怎麼釘、用什麼工具幫忙釘。

此時,多數人的選擇是用鐵鎚去釘,吳宗成也特別指名在場聽講的幾位創辦資安公司的業界專家,將他們比喻成「鐵鎚」,扮演敲擊釘子(督促資安人員研究與創新)的工具角色。

接下來的情境,我們可以思考:一個好的釘子固然要搭配好的鐵鎚來敲擊,如果拿到一個全世界最好的釘子,以及一支全世界最棒的鐵鎚,下一步要怎麼釘?要釘出什麼?要釘到哪裡?

至此,吳宗成引用一首美國搖滾歌手Todd Rundgren唱的歌《The Want of a Nail》,歌詞提到:少了一根釘子可能會讓你喪失一個世界,以此呼應與延伸上述的釘子與鐵鎚的思考,提醒大家資安領域每個看似不起眼的角色,其實都有唇齒相依的密切關聯,缺少其中一個,可能就會讓你輸掉戰爭、丟失了國家與世界,而這也跟為何臺灣主張「資安就是國安」是相同的道理。

工法、手法、心法也要到位,才能充分發揮所長

關於資安人才的角色,吳宗成也透過闡述鐵鎚與工匠的比喻,突顯這類資安人才的重要。

首先是工法,在鐵鎚的使用上,我們要選擇好上手的,因為若拿到一個全世界最小的鐵鎚,並不好釘;若拿到全世界最強的鐵鎚,所用的釘子卻是一般的鐵釘,可能也不合用;若要釘脆弱的木板,我們使用鋼釘去釘,可能每次一釘下去,木板就必定會破掉。

除此之外,如果使用太重的鐵鎚,我們往往不易施力,而使用太輕的鐵鎚,可能不易發揮鐵鎚的能力,因此,吳宗成說,當你成為鐵鎚式的資安人,要注意你在那個位置適不適合。並不是每個重要的資安人都是應該在那個位置的。

接下來是手法與心法,對應到這個比喻就是指釘子該怎麼釘,而關鍵在於:要以忽急忽慢的頻率進行敲擊、扶好釘子、下手要筆直。若拿到10根釘子,10根都能垂直釘下去,那麼我們就會是好的工匠,若出現釘歪的狀況,釘子就無法發揮應有功能,我們必須要把釘子取出、重新進行以鐵鎚敲擊釘子的程序。

因此,若就最單純的角度來看待資安人才,我們可能要去思考自己是不是一個好釘子、鐵鎚,所使用的釘子、鐵鎚是否恰當,而在搭配兩者時,我們也要設法去了解適合的用法。

簡而言之,釘子很重要,鐵鎚很重要,打釘子的人心法也很重要,談到這裡,吳宗成有感而發地表示,資安確實是良心的事業,因為我們會看到很多系統的缺陷,因此當下會面臨的選擇是去補漏洞?或是去戳那個洞?還是先戳洞再補洞?所以很多人想成為釘子,但也必須要去想想自己要成為一個怎樣的釘子。

擴大能力布局,與時俱進持續磨練,期許自己從工具的使用者成為智慧的創造者

回顧從25歲至今的40年資安人生,吳宗成區分為4個階段。在第一、二個階段是扮演釘子的角色,初期作為「鐵釘」,他在研究領域鑽研學術,從論文當中學到許多,開始教書之後,帶領很多技術能力很強的學生一起研究、幫忙學界,成為「鋼釘」;第三階段是扮演鐵鎚的角色,進行「打釘」,例如,找大家來幫忙修補程式漏洞,尋找驗證電動車資安的實驗方式;到了第四階段則是扮演工匠的角色,進行「造釘」,他在學校教書,培養資安人才,若大家在政府機關服務或一般企業,也需要這樣的能者來幫單位造釘,因為沒有釘子,我們就無法將手上的木板等材料,用釘子串接、固定在一起。

事實上,當我們從負責技術的人員演變到負責管理的人員,要思考這時候要如何成為擘畫整個架構的師傅。所以,我們必須能夠找到釘子、會打釘子,這當中,很重要的是,怎麼拿那個鐵鎚,把好的、適當的釘子釘到一個位置。

吳宗成表示,自己現在就是在造釘,告訴大家如何打釘、選鐵鎚、了解整個環境,也就是所謂的工法、手法、心法。他認為,每個人在職場都應該有自己的階段,要衡量自己到底目前是處於哪一個階段。

除了思考角色定位,吳宗成也勉勵資安人注意三件事。首先是要了解臺灣資安的能量其實很大,我們已經有很多的「釘子」,當中有鐵釘、鋼釘,釘子都很優秀,就像臺灣的工業有很多隱形冠軍廠商。同時,我們也有鐵鎚,大家會想要找適當的鐵鎚來敲釘子,尋找能夠做好支撐、介接、牢固的人,這樣的人很重要。

第二個期許是多接觸新興科技,像自駕車、無人機、5G,都有資安議題需要關注,身為釘子、鐵鎚、工匠,可以在這些領域磨練,以免生鏽、生疏。

吳宗成發現,有很多新進資安領域的人仍從資通訊(ICT)的角度來關注,他認為,應該要把OT、工業控制、人工智慧、機器學習等技術,納入持續關注的資安議題範疇,這是因為新興科技的普及,會讓資安問題變得更複雜,讓資安難度更高。

第三個則是成為智慧的創造者。吳宗成表示,有些資安問題只需用一般的釘子即可,有些可能需要用到鋼釘,甚至要以特殊的方式去釘,更重要的是,我們必須能夠「造釘」,不只是工具的使用者,而是成為智慧的創造者。

而相關的典範早有前例,像是春秋時期的魯班、墨子,分別因發明重要工具與守城器具而著稱,明代科學家宋應星撰寫的《天工開物》也提供一些啟發,我們可以從中思考如何成為好的工程人、好的釘子,以及善用工具的方法。

關於資安攻防,他建議學生研究到一定程度即可,接下來是如何找到認可的目標,創造新的事物,這樣才有辦法抵擋最新的資安威脅,跟著身處的環境與年代而進步。

 相關報導  

熱門新聞

Advertisement