Joe Sullivan在2022年底被定罪是CISO寻找导师的源动力之一。Joe Sullivan是优步(Uber)公司的前首席安全官，美国联邦地区的一家法院法官判处他三年缓刑，其罪名是在Uber公司接受美国联邦贸易委员会调查期间，隐瞒了勒索软件在2016年针对该公司进行攻击的事件。除非三年缓刑之外，Sullivan还必须完成200小时的社区服务，并支付5万美元的罚款。

去年10月，Sullivan被判妨碍美国联邦贸易委员会调查并且隐瞒这一事件，因为没有报告勒索软件攻击的网络犯罪行为。在法院判决之前，美国联邦贸易委员会在一封信中声称，Sullivan的行为导致该机构浪费了大量资源来重新展开调查，因为他没有正确披露优步公司遭遇的网络攻击事件。美国联邦贸易委员会发言人在电子邮件中表示，“这个案子中，Joe Sullivan并不是无辜地犯了错误。Sullivan被判故意向美国联邦贸易委员会隐瞒与正在进行的调查有关的重要信息。”

实际上，Sullivan并不承认此次勒索软件攻击。他表示，Uber拥有漏洞赏金计划，2016年发生的勒索攻击事件所缴纳的10万美元并不是赎金，而是漏洞赏金。但在美国联邦贸易委员会看来，Uber此前并没有高达10万元的赏金，其说辞只不过是为了掩盖Uber遭受过勒索攻击。

对此，Sullivan表示，他希望有更多的安全领导人在企业或行业的关注下变得更有权力、更有资源、更受支持。在他看来，他被处罚的案件意味着CISO的职责发生了变化，安全领导人需要同立法者合作，进一步澄清规则和责任，并最终呈现于国家的法律法规上。正因如此，当下的很多CISO社群变得愈发活跃，他们希望企业的董事会层面能够给与CISO更多的支持，并提高安全和领导层之间的透明度。

此外，由于生成式AI的火热，很多企业将其视为能够进一步提高数字化，占据市场先机的重要手段，并纷纷下场布局。但与生成式AI有关的，特别是在数据安全方面的法律法规并不完善，许多企业并没有强有力的管控措施，来保障生成式AI的安全。不仅如此，对CISO来说，生成式AI的使用意味着更多的暴露面和更复杂的风险管理，这带来的更大的挑战。

因此，CISO们开始需要进一步的学习，这不仅局限在技术，还有自身的职责。对此，CSO Online的签约作者 Christopher Burgess表示，CISO必须利用与同行接触的每一次机会来获得值得学习的知识以及建立信息，他表示，社群活动为CISO分享和获取知识提供了非常好的平台。

在RSA 2023的6月活动讨论中，Armis的 CISO Curtis Simpson讲述了一个故事。他表示，在新冠肺炎疫情最严重的时候，他参与了很多线上社群活动，并在那里分享了很多经验。近期，一个参加活动的人和Simpson取得联系，希望能够得到他的帮助。这件事情让Simpson明白，很多社群活动的影响是无法立即衡量的。对此，Simpson鼓励任何陷入困境或需要新视角的人与那些更有经验的人接触，最重要的是，不要害怕提问。

与安全社群有关的群体传播是一种常见的信息传播行为，其表现为一定数量的人按照一定的聚合方式，在一定的场所进行信息交流。群体的规模有大有小，不同的群体具有不同的特点。但不论何种群体，在传播活动中其成员都要受群体形成的规范的调节和制约，保持大致统一的行为目标和认知结构。

而在群体传播中，通常会存在一个或多个“意见领袖”，他们是群体传播中构成信息和影响的重要来源，并能够左右多数人的态度。在安全领域里，这些“意见领袖”就是导师，因为他们不仅具备消息灵通、精通时事等多方面的能力，还能为更多的CISO答疑解惑。因此，对于参与社群活动的新人或是有疑问的人来说，向这些“安全导师”寻求帮助是一个非常好的方式。

对此，Burgess分享了自己的导师。他表示，Rapid7的首席科学家Raj Samani为他提供了超过17年的建议，其中，最值得重视的一个建议是寻找最值得信赖的顾问或导师。作为企业安全的最大负责人，CISO需要站在宏观角度看待企业安全或风险，而不能拘泥于局部的、日常的决策。因此，CISO拥有一个大的安全框架，其中也可以涵盖CISO信任的、正直的导师。

Samani表示，每个人都会经常质疑别人，但要注意的是，人是群居动物，需要通过合作来完成包括工作、生活等方方面面的事物。对CISO来说同样如此，保障组织安全、提高业务竞争力不是一个人的工作，CISO需要团队，也需要在团队甚至组织之外，有更多的人能够提供建议，指点方向。

Illumio的现场CTO Gary Barlet表示，安全可能是一个风险特别高、发展迅速的领域，这使得一个良好的导师社区变得非常有价值。毫无疑问，拥有导师（以及自己成为导师）是至关重要的。为了找到导师或学员，CISO和CIO可以求助于安全专业人员、组织内领导层和朋友之友的网络小组。在他看来，他职业生涯的每一个阶段都有不同的导师来指引，有时，最好的导师会自然而然地产生。

Barlet表示，他希望看到同一行业中的企业和组织领导人之间有更多的指导和分享。对于安全领导者来说，实现目标和建立安全体系需要整个组织，特别是领导层对安全的组织和理解。

Inversion6的CISO Craig Burland表示，网络安全领域的导师对个人和组织乃是行业的成熟度来说都是一个宝贵的财富。从勒索软件补救到处理顽固不化的首席财务官，经历过困境的CISO都有相当大的智慧和经验可以分享。

然而，他提醒到，导师并不是那么好找的。首先，找到一个好的导师是一个非常随机和个性化的过程。CISO与导师之间的个性必须契合，职业轨迹必须互补。其次是保密问题。CISO需要指导的许多情况都是高度保密的，而将这些分享给组织外部的导师，就意味着多了一个信息泄露源，如果这个导师居心叵测的话，那对CISO和企业都会带来巨大的影响。

相较于国外，国内的网络安全导师社群还处于快速发展阶段。目前，在任意社交平台搜索网络安全社群，都能够获得非常多有价值有内容的社群组织。其中，针对用户单位（甲方）一线工作者的安全社群，离不开诸子云（企业网络安全专家联盟）。诸子云是由安在新媒体推出的分享交流机制和互助传播平台。目前在北京、上海、广深、武汉、杭州等地设有分部或联络处，并在安在新媒体运营支持下，以个人专访、主题征文、线下活动，以及共建项目等方式进行交流和互助。诸子云通过真实、可信、可靠的强信任机制，汇聚全国网络安全圈的中坚力量，建立行业协作、同城协作、全国协作的深度协作机制，从而为网络安全行业的发展创造价值。

此外，安在新媒体联手中国网络安全审查技术与认证中心（CCRC），特别针对有志于成为未来企业CSO/CISO的更具广泛的网安业者，闪亮推出超级CSO研修班姊妹篇&精简版——未来CSO训练营。

未来CSO训练营（Future CSO），是与超级CSO研修班形成互补，具有广受众、短周期、重实务、低费用、线上线下一体、社群互动交流等特点，为有志于未来成为企业CSO/CISO/安全负责人的广大网安业者提供的特色精品培训。它不会教你写代码、挖漏洞、打比赛，也不会助你做学问、考证书、评职称，但它会让你了解真正的CSO应该关注什么、怎样思考、如何做事，会让你一览CSO从业所需养成的知识体系和进阶方法，告诉你企业网络安全日常工作中各种“疑难杂症”和“避坑妙招”，从而让你当下工作更得心应手，并为将来成为真正的CSO打下坚实的基础。

在讲师选聘方面，未来CSO训练营颇具匠心，一方面，超级CSO研修班导师，将作为未来CSO训练营的顾问团，对未来CSO训练营的课程设置、讲师选聘、答辩考核等进行指导和帮助，并灵活参与部分学习和交流活动，借此体现超级CSO研修班与未来CSO训练营双子星、姐妹花的特点。另一方面，未来CSO训练营基于这样的标准来选聘讲师：在网安业界或所在行业有较强影响力，在特定领域具有足够的从业背景和丰富的实战经验；以甲方专家（现职优秀CSO/CISO）为主，包括权威机构专家和网安业界大咖；有专业分享、著作出版、公开演讲经验和技能；百家智库、超级CSO年度评选TOP20优先。经过广泛联络、周密策划和充分准备，目前已有24位各界精英受邀加盟，成为未来CSO训练营超能讲师团成员。

每位讲师简介，参见此前安在发文：

中通快递安全专家陈圣表示，一群关注信息安全领域的从业者组合在一起，可能是一个平台比如通过诸子云集结的为数众多的甲方们，在企业安全领域进行研究和交流，并共同推动该领域的发展，行业从业者能够在这里相互交流合作，发表自己研究的成果或项目，并一起就目前当下实时的信息安全动态或事件发表观点、探讨并引发共鸣。在这一过程中，对不同的领域、行业的安全从业者而言，特别在制定安全策略或从事信息安全相关工作的提升一定是有积极作用的。

在这个所谓的信息安全甲方“学术圈”中，大家通过发表观点、发表沉淀下来的文章，或者参加研讨会议、安全峰会、线上线下闭门座谈、讲座等方式进行交流合作，每个参与人通常在行业或者企业中都有着较为扎实的技术或专业背景，彼此从事的研究和管理具有一定的实操价值和借鉴异议。不仅可以为广大安全从业者提供一个共同的平台和交流渠道，促进合作和共同进步，还能帮助彼此建立广泛的人脉和合作关系，更加容易获取想要的信息和资源，甚至是碰撞出闪亮的火花，这对行业乃至个人工作质量和效率的提升也有积极意义，个人觉得信息安全甲方“学术圈”可以说是推动行业创新和发展不可或缺的一股力量，它为从业者们提供了一个展示自我及提升自我价值的平台，也为行业提供一种检验研究成果和发现问题的机制。具体体现在以下几点：

知乎安全专家表示，高质量的网络安全社群一般是内部的，比如实习时候公司内部的钉钉群和飞书群除了公司内部。此外，包括安全论坛、安全峰会、Twitter、社交媒体、博客、Google搜索大咖、工作坊、全球安全协会、全球著名安全公司、安全专业期刊、安全杂志等都是获取网络安全相关知识和技能，结交网络安全大咖的主要渠道。此外，还有知识星球。

某科技行业工作者表示，社群对个人的价值有以下几点：

1.人脉关系

很多人想去做某件事，首先第一个怀疑的就是自己没有相应的圈子能不能做的好，而社群就很好的解决了这点：社群人员众多卧虎藏龙，很多成员不显山不漏水，但是一旦你与这类高手之间建立一种联系，你的人脉就会迅速被打开。中国上下五千年的文化历史，生意人与生意人之间都是脸熟的关系，我跟你熟就可能跟你产生交易，我跟你不熟我有业务也肯定是优先找熟人；所以要不断的跟别人提供价值，把自己的价值体现出来，这点很关键。

2.学习成长

我们很多人都喜欢大咖，喜欢听大咖的一些分享，这其实就代表一种学习成长；社群本身就是一个大课堂，里面有很多的干货、知识和技能分享，又或者是一手信息，所以一定要维护好优质社群，在里面不断的学习成长。

3.机会的寻找

社群每个人都属于卧虎藏龙的存在，而且有非常多的需求和资源；很多写手群、互联网广告群、动漫设计之类的等等，类似于这些社群每天都会产生的大量的需求和业务联系，只要我们用心去研究社群的每个人，挖掘每一个人的特点、需求和资源我们就可以寻找到相应的机会。

《哈佛商业评论》（Harvard Business Review）最近发表的一篇关于安全导师的文章中提到，“桥梁导师制”，即社会资本将不同的个人团结在一起，“以鼓励合作、理解和资源交换”有助于整体安全的发展。就像黑客组织一样，网络安全也需要一个导师社群，来帮助每一个需要帮助的CISO提供指导意见。但不能忽视的是，提供指导的导师是值得信赖和正直的人。