首席信息安全官(CISO)通常具備技術性信息安全或IT風險背景。但條條道路通羅馬，想成為CISO也未必一定要是謝耳朵那樣的純技術宅，興趣、恒心、沖勁、終身學習等等素養也可助推非技術出身的人才成為優秀的CISO。不信可以看看心理學與哲學專業出身的杰夫·福爾茲是如何實現華麗轉身的。
杰夫·福爾茲一開始并沒有想要從事信息安全職業。他通過抓住一系列機會不斷充實自己的技術集，終是走到了現下富達國民金融公司CISO的職位上。他的心理學與哲學學位也比人們想象中對其CISO工作的助力要大。
1994年從肯特州立大學畢業后，福爾茲發現自己對技術特別感興趣，便去了一家圖像藝術公司，入職IT部門，從事技術支持工作，技術、網絡和電信系統的管理與報告撰寫都屬于他的職責范圍。
“那是家一站式服務公司，我必須身兼數職，快速學會適應各種挑戰。我還要能跟同事做技術溝通，并翻譯成容易理解的信息傳達給客戶。”
那個時候還沒有“信息安全”這種學科，因為根本就沒有什么威脅情況。“互聯網連接才剛剛經由CompuServ、AOL和撥號連接進入人們的視線。病毒還僅僅指的是自然界中需要用顯微鏡才看得到的小東西。”
1996年，福爾茲跳槽一家本地銀行，當上了局域網(LAN)管理員，主要職責是支持廣域網(WAN)和分支系統。該銀行允許他花時間取得多家廠商平臺的各種認證，緊跟業務與商業上的技術發展。
我很享受走出當前舒適區，每天學習進步一點點的感覺。在學校的時候我就知道了思想與行動的價值，那個時候起我就一直遵循“機會總是留給有準備的人”這一理念。作為第二代鷹級童子軍，該箴言對我的生活和CISO職業發展都起到了良好的作用。
時光荏苒，該銀行兼并其他銀行，成為了福布斯美國銀行百強之一的 FirstMerit Bank。直到2013年，福爾茲在該銀行任職期間經歷過很多職位，最終成為了該銀行CISO。
“能在一家讓我可以持續打造IT技術的公司工作，我覺得非常幸運。我是各種系統的管理員，防火墻、數據庫、網站和開發系統我都管過。我不停試錯，研究系統互聯的內部機制和每個系統的優勢與弱點，學到了很多東西。”
于是，福爾茲成為了某種意義上的IT全才，精通各種操作系統、編程語言、語法和程序。
“我可以構建平臺，配置并強化系統，編寫并編譯代碼，確保我負責的各種系統能安全交付。該能力一直讓我有機會向董事會和高管展示新提案，給了我與業界領袖和公司財務高管的寶貴交流機會。”
福爾茲總覺得這些機會每次都有一點點超出自己的能力范圍和舒適區。“但我努力做到不放過機會，堅持到成功為止。”
2004年左右，該銀行信息安全經理退休，福爾茲獲得了該職位。這期間，他專注自己在信息安全和業務持續性/災難恢復方面的職業發展。
“我投身進各種各樣的培訓，IT方面和管理層次上的都有。”
他參加商業領袖的研討會開拓視野，并于2007年取得了信息系統安全專家認證。之后，他晉升CISO兼高級副總裁，與同僚協作打造FirstMerit信息安全項目。
“在我CISO任期里，IT和安全景象快速發展演變成了現在的樣子。威脅態勢從相對良性和高調的‘我愛你’病毒攻擊，進化到有組織犯罪所用的隱秘Zeus惡意軟件，及民族國家支持的SCADA類基礎設施攻擊，安全也不僅僅停留在保證殺軟病毒庫定義保持更新就行了。”
2013年，福爾茲覺得自己的信息安全專家職業生涯可以更近一步了，于是轉職富達國民金融公司CISO。“富達國民金融公司(FNF)是個巨大的機會，讓我可以將這20多年來習得的技術和培訓知識付諸實踐。其母公司旗下各種各樣的業務組合，為CISO提供了獨特的機會。”
盡管技術敏銳度依然是福爾茲當前角色中不可或缺的部分，其重要性卻有所下降，取而代之的，是在許多方面提供有力遠見和指引。
我知道再提成功CISO必須具備良好寫作和口頭表達能力是老生常談，但真實情況就是這樣，想要有效開展工作并在事業上更進一步，這些能力是必備條件。作為CISO，我們必須是業務推進者，推動我們提供的價值主張——無論是以書面形式還是通過對話和行動。面對不斷涌入的情報和威脅，CISO必須快速確定怎樣評估這些東西，根據業務目標來排序和平衡所采取的行動，而且要在安全的情況下逐一實施。
福爾茲稱，他的目標就是幫助護衛任意形式與體量的信息。“談論工作的時候，我不僅喜歡談到信息安全在企業方面的作用，還會說一說個人生活中怎樣保證自己的私人信息安全。”
“今天的CISO必須具備各個方面的能力——技術上的、社交上的、心理上的、業務上的，這些能力有助培養協作共贏。因為作為CISO，我們已在執行管理上取得了一席之地，可以參與公司戰略與管理了。”
福爾茲的CISO成長之路并不那么另類。通常，CISO會有信息安全技術或IT風險背景，但通往該職位的道路千千萬——網絡安全高管獵頭公司 Alta ASSOciates 首席執行官喬伊斯·布洛卡格利亞如是說。
“向董事會匯報、帶領大型團隊、宣傳公司形象而不參與具體事務的重量級CISO也是有的。小公司來說，很多CISO依然親自動手操作，深陷技術泥潭。部門成熟度、公司文化和對信息安全的重視程度，是CISO地位的決定因素。”
京公網安備 11010502049343號