1、数据泄露

针对个人数据和隐私信息的安全防范，主动权并不掌握在用户手中。绝大部分防范工作依赖平台的信息安全水平，例如用户信息的采集范围、传输方式、存储方式和处理流程，以及针对数据泄露事件的侦测、预警和追溯。

那么，企业需要具备哪些资质才可以采集、挖掘、输出哪些数据？谁可以拥有哪些数据的使用权限？针对这些关键尺度，如果相关法规和政策不够完善，那么数据量越大、维度越丰富、流动性越强，普通公民所面临的安全威胁就越直接。

2、IoT安全

由于在技术标准的生命周期早期没有充分考虑信息安全问题，加之产品技术和产业的高度碎片化，导致与IoT设备相关的安全问题数量庞大，而且对于已知问题也做不到统一处理。如果技术标准和碎片化的问题得不到解决，随着物联网的普及，安全问题对大家日常生活的影响也将逐渐放大。

3、勒索软件

由于虚拟数字货币的匿名属性，比特币被广泛应用于黑色产业。勒索软件也正是因此打通了整个勒索链条中犯罪风险最高的支付环节，在巨大利益的驱使下构建起完善的生态系统。“勒索软件即服务（RaaS）”的出现，使毫无研发经验的人可以轻易发起勒索攻击，这也是导致勒索事件呈爆炸式发展的原因之一。

4、DDoS攻击

DDoS攻击具有攻击者成本极低而防守方成本高昂的特性，而且历史悠久、花样百出。攻击者不断创新以提高DDoS的攻击效率，由于5G的兴起和IoT设备数量的增加，未来DDoS攻击可能会更加突出。

水、电、金融、军事等关键基础设施的传统边界将进一步扩展到5G世界中的其他领域，同时5G的高速连接也将为对抗洪泛式DDoS攻击带来新的挑战。

5、AI技术

除了上述几类安全问题外，信息安全技术与AI技术的结合也将逐步成为趋势。

一方面，与简单、机械的自动化系统相比，AI技术更适合处理相对抽象的“模糊识别”类问题，攻防双方借助AI技术都可显著提升效率。另一方面，AI系统自身也存在安全问题，会直接影响系统的可用性。

以正在成为研究热点的AI对抗攻击为例，攻击者在目标检测系统中可针对系统模型热点来逃避检测，针对面部识别系统的缺陷可伪造身份，针对自动驾驶、语音控制系统可实施欺骗控制等等。信息安全的战火已经烧到了AI领域，随着AI技术的广泛应用，安全问题会日益凸显。

所以，我对人才的首先定义，他肯定是为国为民的。再次，他的专业素质肯定要高。所以结合这两点，为国为民的、技术高强的人才能被称为人才。

但是，我们的教育体系，那些高校，80%的名牌大学毕业出来的人都出国去了，在那边拿了绿卡留在那里。这些以全国资源培养出来的大学生们，他们有没有为国为民呢？我觉得没有，他们只是为了自己的工作履历也好，个人对金钱的诉求也好，跑去了国外。我们国家20年的培养付出的努力，就这样付诸东流。

这就是我们对人才的定义问题，即使培养出再高技能、再高学历的人，如果不能为国家所用，不能为人民所用，都是没有用的。

人才的成长主要还是在于自学。要培养自己的自学能力，有很多人都在问我要怎么样去学习网络安全。现在的网络安全环境是很好，但他们学习的途径却相对比较少了。

像大学的话，他一般通过打CTF比赛，如果自学的话一般通过Web渗透这一块入门。但这两块，其实在整个渗透流程里面，是很皮毛的一个方向了。比如现在的CTF，它更多的就是一种烧脑游戏，很难贴近实战，我在公众号里把CTF称之为花拳绣腿，或者叫套路。

我这个人江湖气息比较重一点。比如Web渗透的话，它主要是在渗透流程中去撕开一个口子，但在撕开口子之后，后面还涉及到非常多的东西，比如怎么隐藏自己、怎么提权、怎么横向渗透、怎么找到核心数据或者找到你想要的东西……所以Web渗透只是一个刚刚的入门而已。

像现在的教育也好培训也好，都是比较浅显的。对安全培训，我认为应该鼓励多做一些安全防御类的培训，不能老是靠渗透来吸引眼球。

关于网络攻防演练，我们要多向美国这样攻防演练的鼻祖好好学习，首先在级别上、重视程度上就要向他们看齐。美国、北约等进行的网络安全攻防演练，关键在于通过模拟网络遭到攻击的情况，锻炼和建设情报共享、应急反应处置、协同作战的能力，并重点锻炼的是跨军方、政府、企业之间应对信息战的协作能力。

中国最近两年开始举行的攻防演练还只停留在部级层面，更多的是流于套路形式，没有实质的建设起相关的跨部门协作机制。应马上提高该类活动的等级，并联合军队、政府、企业各方都参与进来，真正去学习到美国网络安全攻防演练的精髓。

3、很高兴的向大家汇报，网络安全专业已经成为了大学应届毕业生的最高薪资专业，且稳居第一。网络安全人才奇缺，我和很多独角兽公司的安全主管一起聊天时，他们最常和我提起的就是：帮我介绍几个技术人才吧。我看在坐的有一些就是大学生，我诚挚邀请同学们加入网络安全行业。

4、我将网络安全人才分为战略、战术、战斗人才三个不同的层次。从全局来看，我国的战略管理人才是非常智慧和强大的，而战斗人才的能力也是全球领先的，无论是漏洞挖掘还是攻防对抗单点技术都非常非常的强大，当然这方面人才的数量也还有待提高。

我觉得最缺的是战术人才。网络安全，特别是攻防技术不是一拳一脚，而是一个长期的具有谋略属性的事情，单项技术或单个漏洞是攻防的基础，但如何组合，如何使用，长期有效，最大化效果就是战术层需要考虑的。我建议大家可以往这个方向多研究多发展。

典型的，在甲方公司，安全的投入和感知取决于公司上层对其的认知，如何利用事件(无论是安全事件还是监管事件)获取资源、资金、人头，如何了解业务，提炼业务风险，让安全为业务部门感受到价值，就是你需要掌握的向上管理能力，是你的安全能否在你公司能做大做强的基础。至于横向推动能力，是安全策略和解决方案能否真正大范围落地的保障，就不展开讲了。

所以，如果年轻人不小心从事了安全行业，告诉你，这将是一个比较辛苦的工作，是一个活到老学到老的行业，要做到极致，要保持一辈子极大的兴趣爱好和坚持。

我记得TK曾在一个视频里提过：“HDmore，一个拥有比特币数量全球第二的有钱人，还保持着一年在 Github 上 contribution 3000多的付出”。想一想，不是爱好，光为钱应是坚持不下去的。

• 提供侵入、非法控制计算机信息系统程序、工具罪；
• 非法利用信息网络罪；
• 帮助信息网络犯罪活动罪。