正文
罗马不是一天建成的，当然金字塔和长城也不是。我从做完那份工业网络设计图后，就开始留意到网络不安全会给工厂带来多大的损失，接着就去探索补救措施。这大概是个说得过去的理由，至少比起说因为喜欢心理学而关注到信息安全而更让人容易信服。但终究还是绕不开心理学，因为人是一切风险的来源，那攻击者自然会想出各种办法去专门利用人的弱点，从而开发出不少好用的工具来。
兴趣是最好的老师，因为这是由内而外生发出来的向往和投入，是自驱力的一种来源。如果追根溯源，我从小学六年级接触到电脑，初中才知道那东西叫计算机，并且觉得会五笔输入的人就已经自带光环了。拿到自己第一台二手的笔记本电脑，没有网络，光单机就能玩通宵，用自带的视频编辑器做很古板的视频，没想过世界上还有Adobe十八件套这种东西。高中真的开始接触编程了，Visual Basic, 真的很Basic. 当年想不通为什么要写计算器，现在明白了，就是用来“弹”的。
计算机科学是数学的分支，每门专业课几乎都会提到，但如今那些挂在高数上的人技术能力并不差，因为使用计算机和推动计算机发展是天差地别的。选择这个专业纯粹是兴趣，虽然在义务教育阶段甚至高中都只是可以随便取消和代替的副课。然而选择语数外理化生作为专业读大学的同学大概是没有的。但我也喜欢语文，主要是研究语言文字写作。这些年也笔耕不缀，在诗歌与纪实文学之间徘徊探索，甚至研究一种叫做代码诗的东西。
前戏挺足。我的前一份工作是大学毕业后的第一份工作，做了完整的51个月。上一家公司是家中央企业，在其领域全球排行前十。我的工作是全栈开发，主要使用Java相关技术栈和工具链，虽然当初面试我表明C#的经验稍多一点。不过现在都不重要了，所有编程语言只是形式的不同，内在的哲学其实大同，昨天刚学了个词，叫触类旁通。
我很喜欢喝进杯咖啡写几行代码出来的感觉，但如果局限于CRUD总是会觉得枯燥，还好不总是局限于此。但我依然像只好奇猫一样，到处寻找学习的机会。我给儿子起名叫Seeker的本意，也是希望他可以拥有探索的精神、能力与智慧。这也是一切事务的第一步，包括数据分析和渗透测试，当然也包括职业转型。过往的一切都成了未来的预备，当初看似索然无味的事情其实是走上下一个台阶的基础。
去年我花了小半年业余时间学习CISSP的内容，八个领域的内容丰富而又庞杂。有一部分是大学时候的计算机基础理论，有一部分同时也在信息安全工程师的考试范畴，还有一部分是参与大学生创新创业大赛准备材料时接触的商业相关的方法论，当然也少不了在四年多研发工作中的积累的经验，甚至会有管理心理学。
知识是无尽的，且不都是有用的。但不要抱着实用主义的心态去摄入，因为这样不仅很快就会疲倦和懈怠，而且会产生畏难情绪和恐惧心理。
在那个浪漫的五月，我儿子如期而至，只是比预产期晚了一分钟。奶粉和尿不湿成了推动我加速职业发展的重要外因。新的应付账款出现后，必须有相应的预算，如果原本就是收支平衡的状态，就必须增加收入。七月二日晚上，我决定考个证书当敲门砖，立马联系了向老师。一个月后，我通过了三场考试，拿到了四张证书。那几个独自学习的夜晚，感觉如同备战高考一样。GDPR, DPIA, PbD, DPO职责, 数据处理原则, 数据主体权利...
那是我第一次完整地读完了一部法律。我对法律产生了浓厚的兴趣，当听完一整套罗老师的刑法系统课程后，原先坚若磐石固若金汤的计算机逻辑体系和思维模式开始动摇，加入了法律思维后进行重构。接着听了民法、刑诉、民诉、行政法、理论法、三国法、商经法。好巧，也是分为八门学科。当然，这不是必要的，甚至是“无用”的。但我发现法律的底层逻辑和计算机太像了！比如，它们都试图用抽象的方式涵盖全集，再用对抽象的实现去刻画细节。再比如，它们都用分层的思想，对权力进行控制。如此等等，不胜枚举。
话说回来。隐私的本质是人的权利，属于人权的一部分。而隐私保护，就是让人的隐私权得以实现。权利实现的前提是主体拥有权利。权利实现的基础是主体行使权利。而企业要做的，就是剩下的部分：保障用户合法的权利的得到满足。权利实现归根结底有一个请求与回应的关系。权利是“可以”要，权利实现是给了，并且按时给了、给对了、给够了。
“风能进，雨能进，国王不能进。”人们住茅草屋的时候，隐私权就体现在这个“不能”上了。而现如今，网络空间使人们可以跨越时间和地区的限制，在其中遨游畅玩。一方面没人会听“能与不能”的要求，一方面人们似乎忘了自己还可以说“不能”。身边的人们都是一副无所谓的态度，问及时又会表现出无能为力的样子。从众心理对大众的影响深远，尤其是关于负向和恶化的事情，也算是熵增原理的跨领域应用。
在网络空间中，一切人、事、物以数字形式出现。人的身份、行为、健康、财富等等全都有对应的数据。网络让这些数据可以传播得更快更远更广，不加限制的传播带来的危害和损失也就更大。有没有想到访问控制？这正是信息安全的基础思想和技术。
隐私保护工作的三个层面。第一，让人们知道自己拥有隐私权。第二，让人们敢于行使隐私权。第三，让人们的隐私权请求得到合理满足。将人权交还人手，让人归向自由。不再被无限制的营销电话和垃圾短信所骚扰，不再为被冒充身份而恼怒，不再为财产损失而绝望…… 其中最难的，是第一项。这应是长期持续的安全与隐私计划所关注的。
在生活中，自我介绍是建立关系的第一步。当然不只是那段姓甚名谁家住何方的词句，还有初次见面形象气质与言谈举止的展现，后者可能更加重要。当然对方可能还会问一些问题来稍加深入的了解你，要答得到位、精准、清晰。不要说太多过去的经验和炫耀自己的证书，因为会显得很无知。如果这是在面试，对方更想了解你有什么能力。
我的第一个岗位因为英语的缘故没有通过，这些年的英语依然不能支撑口语交流的需要是个不小的遗憾。第二次是八月底开始面试，那时尚觉心有戚戚。一共五轮，前四轮聊隐私相关的方方面面，最后一轮聊企业文化和薪酬福利。国庆节后收到了offer，第二天提了离职，《个保法》生效当天履新。
上一家公司非常传统而又保守，在管理和技术都能看得出来。但这并没有阻止他成为一家优秀的企业，获得诸多荣誉。新公司非常拥抱变化，原先觉得三五年有点老旧，现在三五个月就可能已经过时废弃了。上一家公司固定时间上下班，打卡考勤。新公司弹性工作，积攒势能，张弛有度。诸多不同，还需亲身体会。没有什么对错好坏，适合的就是对的好的。适应变化也是一种能力。
当然，我们仍然在招人，就是胡润2021年独角兽第一那家。
有了孩子，换了房子，换了工作，也参与了一些安全活动，留下一些印记。一开始是收到了《网络安全的40个智慧洞见·2020》，安全意识一章收录了我的文章《安全意识培养与心理安全建设》。参与了安在与中国电信联合举办的“网安星播客· 2021网络安全前沿技术直播大赛”，演讲题目是《个人信息保护概览》。当然还参加了诸子云甲方安全社群的线下沙龙，当时还在老东家。
从8月开始加入了“诸子笔会”，为了鞭策自己每个月交付一篇文章，进而督促自己持续思考、有所沉淀。八月，数据安全职责浅析；九月，安全团队与现场学习能力；十月，星星之火，可以燎原——深远长久的网络安全宣传；十一月，供应链安全之人件风险。不知不觉也攒了四篇文章了。说实话，有了孩子后生活节奏还是有波动，阅读和写作的时间都被压缩了。
这两个月，参与了OWASP的《GO语言安全编码实践指南》的翻译项目，主要负责“加密”和“数据保护”两部分。也算是为学习GO语言做准备了。
