信息安全未来的空间还是很大的

现在信息安全管理已经超越了环境和职业健康安全管理，与质量管理并驾齐驱了，所以未来信息安全的空间还很大（认证证书数量差距巨大），并不像现在很多人说的信息安全已死，可能这群人并没有真正了解信息安全，都没有看到信息安全的全貌。信息安全管理的复杂程度其实是超过质量管理的，可以看看现在企业配备的质量人员的队伍有多庞大，在自动化程度高的制造企业，可能质量部门的人员都要超过制造人员了，所以说现在的信息安全皮毛都没做到。

信息安全没有死，只是层次被拉低了而已。

在整理27000族标准时，正好看到ISO/IEC 27014 信息安全治理这个标准，虽然现在很多人把信息安全治理挂在嘴上，可能都没有对其真正理解。以前我还在想为什么要有信息安全治理和信息安全管理，为什么要区分？其实信息安全治理层次比信息安全管理更高，信息安全治理已经上升到实体（组织）的战略层面，主要关注方向和监督，解决实体（组织）信息安全与实体（组织）其他治理领域的协调和整合，以及他们之间的冲突等。就目前情况而言，在今天中国，能上升到来谈信息安全治理的企业，可能找到一两家就算不错了，信息安全管理层次可能就是大部分企业的天花板了。在该标准“条款7，实体（组织）治理和信息安全治理”中提到，实体（组织）有很多治理领域，包括信息安全，信息技术（IT），健康和安全，质量，以及财务。可以看到上面提到的几个领域，今天的情况是在组织中其他几个领域人员配置都要远远超过信息安全人员配置了，今天很多人到处都说信息安全已死，我想如果把信息安全仅仅当作弄产品卖产品，忽悠毕业生去搞护网渗透，把信息安全当作风口当作A股，那么就拉低了信息安全的层次，别说到信息安全治理层次，就是信息安全管理的层次也没有达到，如果这样来看信息安全，那么的确已经死了。