如果把时间拉回到刚刚进入大学校园，刘歆轶怎么也不会想到，海运工程专业的自己不仅没有远征大海，反而一路辗转，最终在网络安全行业扎根。从事网安行业近三十年，他从一名基础工程师成长为企业安全负责人，期间的艰难与收获几乎同等。
回顾过去，他的成长经历是许多非网络安全专业背景人士在网络安全领域奋斗的真实写照，从 IT 领域的初学者到网络安全领域的资深专家，刘歆轶的 30 年职业生涯，见证了网络安全行业的从「三件套走天下到智能化、纵深化防护体系」的变迁，并始终保持「从工作中学习，在学习中持续总结，不断挑战自己不足」的习惯，始终保持着对未来不懈探索的热情。
30 年前，高考结束的刘歆轶在填报志愿时，「稀里糊涂」的选择了时下就业相对不错的海运工程专业。彼时正值九十年代初，国内的大学逐步开设了计算机课，很多大学生怀着好奇、探索的心境，穿着白大褂，套着鞋套跑向计算机机房学习、了解、探索计算机技术，刘歆轶也是其中的一员。在计算机课堂上展现了过人的天赋后，刘歆轶又迷上了计算机游戏，为了能有更多接触计算机的时间，他开始帮助周围电脑房（那时候还没有网络，所以还没有「网吧」一词）管理主机，安装软件，甚至搭建内部网络，这也为以后走向网络安全行业埋下了一颗种子。大四毕业前，刘歆轶登上一艘远洋货轮开启了为时半年的实习时间，船上局促、枯燥、一成不变的生活，让对未来事务充满好奇的他非常不适应。经过一番激烈的心理斗争后，刘歆轶下定决心转行，回到自己向往的计算机方向。谈到此事，刘歆轶坦然表示，对他而言，跨界不仅是一次非常大的职业生涯冒险，更是人生中一个重要的转折点。起初，刘歆轶加入了一家高校企业成为一名 IT工程师，主要负责计算机和网络维护工作。在这家公司里，刘歆轶沉浸在知识的海洋中，不断提高自身工作能力，随着自身技术不断精进，他决定离开家乡，到上海这个国际大都市去闯荡一番。在朋友的帮助下，刘歆轶很快加入了一家台湾知名的网络设备厂商，主要负责 IT 运维工作。正当一切看似平稳地推进时，一场突如其来的安全事故打破了原有平静的工作节奏。由于公司的研发权限策略上的缺陷，致使未经授权的人员访问了重要客户的源代码，被客户审计发现后向公司提起巨额索赔并要求立即整改，最终导致公司高达数百万美元的损失。面对这一前所未有的挑战，刘歆轶作为公司IT负责人临危受命，组织团队进行研发管控策略升级，同时部署了先进的虚拟化+瘦终端管控机制，并引入 Clear Case 软件配置管理系统，最大程度的阻止了后续潜在的数据泄露风险，避免了更大的资金损失。此次「安全事故」也让刘歆轶与网络安全行业建立了「缘分」，在后续工作中，他开始认真认识、了解、思考 IT 安全的重要性和紧迫性，为日后投身于网络安全领域埋下了伏笔。在这家台湾企业工作了几年后，为进一步了解大型制造业信息化的建设过程，刘歆轶加入了一家世界500强日本企业在中国的分公司，并担任信息技术部门主管。在这里，刘歆轶第一次接触到公司总部推行的BS7799（ ISO27001前身） 信息安全管理体系，作为中国分公司的接口人，刘歆轶承担起了BS7799标准的组织、搭建和推广工作，这让他能够用更加体系化的视角来看待信息安全管理工作。经过一段时间的磨练，刘歆轶不仅巩固了其所在企业 IT 系统安全基石，也提升了企业应对各类信息安全挑战的能力，确保业务运作的平稳与数据安全。对于自身而言，这段从零到一建设安全体系的经验让他真正踏入了安全的大门，完成了从「海员」——IT工程师——信息安全从业者的华丽转身。此后几年，刘歆轶先后在海克斯康、盛大游戏等多个公司担任 IT 经理，也经历了不同行业从野蛮生长到体系化管理、合规化运行的变化。从IT视角切入，也让他对安全有了更深刻地理解：安全不是孤立存在，也不是设备堆砌，是要根据业务和信息化的实际发展情况来动态调整和建设。在海克斯康，刘歆轶从零开始搭建了国内IT及安全框架，以满足与集团总部的信息系统及安全架构的同步需求，同时也为海克斯康引入了ISO 27001信息安全管理体系。彼时国内的安全建设还处于比较初级的阶段，大多数公司的安全设备只有老三样，而海克斯康的27001体系建设工作让他站在更高的角度，比绝大多数网安人先一步了解到什么是安全管理体系，以及如何从零至一地建设企业安全体系。而在盛大游戏，刘歆轶主要负责公司内部 IT 和安全的日常运维工作，作为纳斯达克上市公司，盛大游戏需要面临更多的合规要求。在这里刘歆轶进一步完善了自己对企业安全和合规的认知，对于安全技术和产品的理解也有了相应的积累。也许每个安全负责人的安全之路各不相同，但分析其经历却又殊途同归，既有主持企业信息安全整体建设的经验，也有在日常安全运维中的实战过程，两者缺一不可。尽管刘歆轶的转型之路不是那么典型，但IT与安全混合在一起，却也给了他更深刻的视角与更贴近企业发展的安全风格。随着互联网+持续发展，上云成为很多企业的必要选择，因此很多内部应用系统、软件逐渐演变成 SaaS 模式。正因为如此，IT 系统的一些日常运维，甚至一些平台中间件都逐步转移到了云端，企业内部IT 岗位的发展前途越来越「模糊」，甚至最后可能完全被供应商替代。讲到这里，刘歆轶还开了一个玩笑，「当时所在的 IT 经理群里，很多IT同行都感觉前途未卜，嚷嚷着要转行，与其被云供应商抢掉工作，还不如回老家开个面包房呐」。意识到这一变化，刘歆轶又想起此前经历过的「安全事故」，开始认真衡量未来社会信息技术和信息安全的发展前景。最终，刘歆轶认定「随着整个社会信息化的深入，信息安全、数据安全和网络安全一定会成为信息化数字化的重要支撑，未来安全行业一定是社会乃至国家发展的重要一环」。恰逢此时，盛大游戏从美国退市，开始转型收缩，刘歆轶从盛大游戏离职后，将更多的时间和精力投入到了信息安全领域。在之后的一段时间内，他先后考取了PMP、CISA、CISSP、ISO27001LA 等一系列专业证书，十多年的IT实践经验再加上扎实的理论知识，使得刘歆轶的能力又提升了一个台阶。然而，下定决心准备踏入安全行业的他并未直接去应聘信息安全岗位，而是选择做一名「安全布道者」，与一些国内知名的培训机构合作，以信息安全讲师的身份开启了网络安全教育之旅。提及这段「安全布道者」的工作经历时，刘歆轶脸上又泛起了笑容。「因为刚刚进入这个领域，我对国内安全行业的现状知之甚少，而作为培训讲师则可以广泛地接触到业内人士，跟甲乙双方都能快速地建立连接，可以说是了解一个行业的捷径。」刘歆轶对于自己切入安全行业的角度还是颇为满意。不过，单纯的理论学习很快就暴露出弊端：当今网络环境复杂多变，安全技术日新月异，课堂上的知识更新缓慢，难以应对真实场景。意识到这些之后，刘歆轶再次决定走出舒适圈，加入了一家第三方咨询机构，作为一名咨询顾问，走进安全工作的最前线，为企业提供安全战略规划和具体的解决方案，并协助企业一步步将其实现。期间，刘歆轶接触了金融、能源、智能制造等多个行业的各类型企业，切身体会到网络安全在国内市场的迅猛发展，主要客户也从最初的外资、金融、政府、互联网等行业逐渐渗透到全社会各个领域，网络安全的重要性日益凸显。和众多客户的交流过程中，刘歆轶敏锐地洞察到制造业的智能化转型是未来的必然趋势，这不仅仅是一场技术革命，更是一次产业格局的深度重塑。作为拥有多年制造业工作背景的资深安全专家，刘歆轶深刻理解到信息安全不再仅仅是企业的附属需求，而是成为推动企业稳健发展、构筑核心竞争力的关键要素。抱着这样的使命，刘歆轶在 2020 加入上海非夕机器人科技有限公司（以下简称非夕机器人），担任信息安全总监一职。非夕机器人是一家高科技初创企业，入职之后，刘歆轶先与公司高级管理层进行了深入交流，了解到公司面临最主要的风险就是研发数据的安全管控问题，而公司当前的安全能力还处于比较初级的状态。有着不少从零到一安全建设经验的他并没有着急，首先是对企业整体安全状况做了一个详细的摸底，然后对重点领域进行风险评估，依照行业最佳实践建立安全蓝图并规划实施路线，从企业安全战略制订，到组织人员建设，再到管理制度流程设计等等一系列组合拳，为非夕的安全管理体系打下了坚实的基础。针对公司面临的外界网络威胁及内部数据泄露风险，刘歆轶与IT部门配合，完善了网络安全防御体系和监控审计机制，建立起安全事件应急响应预案，构建出一个动态、灵活且具有前瞻性的安全防御系统。历经不同行业，刘歆轶在不同阶段经历甲方与乙方的双重角色，使得他对网络安全的理解更加全面且深刻。在乙方角色中，刘歆轶更多的是服务于一个项目，作为咨询顾问参与多家银行、证券、期货公司的安全体系搭建工作。这段经历不仅让他积累了丰富的实战经验，还对不同行业的安全需求有了深入理解。作为甲方，他更侧重于长期的战略规划，从全局出发，构建符合企业未来发展方向的安全防御体系，学会如何平衡安全与业务的关系，如何在确保安全的前提下，促进企业业务的健康、快速、稳健发展。不同的视角，不同的经验，也造就了一个不一样的刘歆轶。网络安全技术飞速发展、网络安全环境日益恶劣，迫切需要大量具备网络安全技术、沉稳，拥有持续学习能力的网络安全人才。当问及年轻人应该抱着怎样的学习心态参与到网络安全行业中去时，「兴趣」、「习惯」、「始终学习」三个词语被刘歆轶多次提及。他认为，网络安全知识体系迭代速度非常快，基本上一到两年就会出现新的概念和技术。因此，有一颗永不满足、永远好奇的心非常关键，不断投入到新的技术学习中去，然后再通过实际工作进行检验，循环往复，这是他近30年来在职场上不断攀升的秘诀。笔者看来，刘歆轶的故事是无数网络安全从业者的缩影，也是对所有追求卓越、热爱挑战的个人的最好注脚。但无论身处何种行业，在追逐技术巅峰、实现自我价值的过程中，想要取得长远进步就要有热爱，有对知识的渴望和对未来的憧憬。PS：刘歆轶正式入驻FreeBuf知识大陆「播客」频道啦，他具有二十年以上大型跨国企业信息化及信息安全规划、建设经验，将与大家分享当下热门网络安全技术实践心得。扫描二维码，听听刘歆轶分享「制造业安全负责人如何平衡业务和安全的关系?」
还没有评论，来说两句吧...