安全仪表盘中的恐惧与厌恶

最近一位同事向我求助，询问为何在仪表盘上看到一条特定的安全警报。消息显示他的数据库实例“暴露在广泛的公共IP范围内”。他不同意这一评估，因为该判断歪曲了配置背景。虽然数据库具有公共IP，但仅开放一个端口，且位于代理之后。对此测试实例的访问也仅限于“授权”IP地址范围。我解释说，这类信息是安全从业者在评估风险时希望了解的，但随后思考：“这对用户来说是合理的警报，还是只是更多噪音？”安全仪表盘何时变得像新闻一样，信息量超出我们合理承受范围，超载我们的认知能力并造成压力？

我与安全仪表盘的关系颇为复杂。尽管我理解不同团队需要快速查看需优先处理的事项，但发现的问题被广泛归类为高、中、低风险，缺乏足够的背景信息。这种方法可能造成团队间的困惑和分歧，因为这些分类通常与《维也纳道路交通标志和信号公约》保持一致：绿色表示良好，红色表示不良，黄色表示警告。问题在于，许多发现最终被标记为红色和黄色，分类取决于安全团队调整警报的效果以及组织的风险承受能力。大部分细微差别丢失了。

另一个问题是，这种数据分类不仅被视为优先级排序技术，还可能传达危险信号。作为人类，我们已经学会将仪表盘上的红色与某种程度的威胁联系起来。这或许是一些人患上交通信号灯恐惧症（fanariphobia）的原因。这是否是故意的设计选择？历史上，保护动机理论（Protection Motivation Theory, PMT）——解释人类在受威胁时如何被激励进行自我保护——已被用作网络安全领域的标准技术，以证明恐惧诉求的合理性。但如果这并不像我们想象的那样有效呢？最近一篇学术论文回顾了该领域的文献，发现关于恐惧诉求在促进自愿安全行为方面的价值存在矛盾数据。它常常适得其反，导致期望响应减少。那么什么有效？研究人员将管理理论（Stewardship Theory）确定为更有效的方法，通过员工改善安全行为。他们将其定义为“个人与组织之间的契约关系”，它“连接员工和雇主，共同努力实现共同目标，以员工与组织之间的道德承诺为特征”。

我是在建议您扔掉安全仪表盘吗？不，但我认为我们可以同意，它们提供的视图有限，可能加剧团队间的冲突。它们不应是对话的终点，而应是起点，作为一种对话工具，鼓励团队之间就风险进行协作讨论。