杨冀龙：有时不好意思说自己是“黑客”

“任何职业都可以成为黑客。你可以是一个木匠黑客。不一定是高科技。只要与技能有关，并且倾心专注于你正在做的事情，你就可能成为黑客。”——《黑客伦理与信息时代精神》

“推荐你看一本书——《无处可藏》，里面是斯诺登跟记者的对话，还有他泄露的文件，以及他对这些文件的解读，我全部看完了，也对美国干的事全部了解了，全亏了斯诺登。”当我跟杨冀龙聊起最近看的纪录片《第四公民》时，杨冀龙这样告诉我，言语和神色间透露着掩饰不住的兴奋，活脱脱就像一个“大男孩”。

但随着采访的深入，杨冀龙专业严谨的一面逐渐显露出来，他的语速很快，稍一分神就容易跟不上他的步伐。

作为中国民间著名白帽黑客团队“安全焦点”核心成员，杨冀龙被记录中国互联网发展史的畅销书《沸腾十五年》评为中国新一代黑客领军人物之一。同时，他也是知道创宇公司首席技术官和创始人之一。这是国内最早提出网站安全云监测及云防御的高新企业，自创立以来，业绩卓著。不仅服务于国家漏洞库、工信部、国家计算机病毒应急处理中心、各省市通管局、网安等国家政府机构，也为央行、中国电信、微软等各行业及机构输出安全产品及服务，得到了各大互联网管理机构、多家世界五百强企业的高度认可。2009年公司被亚洲《CIO》杂志评选为20家最有价值企业，中国地区仅有知道创宇与阿里巴巴获此殊荣。

但这对杨冀龙的团队来说，还远远不够。在他看来，国内的网络安全环境复杂又特殊，不仅需要技术层面的支撑，更需要社会化的治理，而这凭几个机构或者几个企业却是力不能及。基于这样的想法，在2012年9月，知道创宇联合腾讯、百度、金山共同创立了“安全联盟”。旨在团结越来越多的互联网厂商、硬件厂商、运营商等，建立业内统一安全标准、跨平台统一行动，以达到打击跨平台网络欺诈等关乎网民直接利益的网络黑产行为。比如，用户发现一个欺诈网站，可以通过安全联盟平台去举报，一般情况下5分钟之内被你所举报的恶意网址在被审核并认定为欺诈网站后，相关网站会被标识为风险并将标识结果同步到腾讯、百度、金山等厂商的相关产品上进行展示，其他网民随后接收到来自各平台的访问风险提示。截止到目前，安全联盟已拥有超过5亿条恶意网址数据的积累、超过100个合作伙伴，与31个厂商每日实时交换共享超过5500万条网址数据，为网民提供强有力的保护。此外，安全联盟在2013年还组建一个名为“民间万人鉴定团”的民间志愿者团队，这个团队成员里包含有学生、网络爱好者、公司白领、退休老人……他们每日利用闲暇时间义务向安全联盟提交坑蒙拐骗网站数据，截止到目前，已经有近4000人报名加入。这一举动无疑对中国网民安全意识的觉醒和提高起到了引导作用。

杨冀龙说，近几年网络安全事件频发，再加上铺天盖地的报道，“黑客”一词逐渐变得臭名昭彰。“有时不好意思说自己是‘黑客’，因为一说到‘黑客’，大家想到的就是那些为了个人利益，费尽心机窃取信息、破坏系统和秩序的人。”杨冀龙和他的团队试图通过自己的行为，重塑大众对“黑客”一词的认识。

公司，真没怎么管理过

产城：知道创宇主要是为用户提供基于云的安全服务,这跟传统安全企业有哪些不同?

杨冀龙：传统安全企业是互联网发展初期的一个产物。我的理解是类似于医疗设备商跟病人产生的对接，比如一个企业网络安全出现问题了，就类似于病人头疼了，找到医疗设备商。医疗商卖给病人体温计、血压仪、心率监测仪……病人如果肚子疼了，医疗设备商又会卖其他的仪器给他，但病人还需要学习很多的医疗知识，这就是传统安全企业的现状。我们投入了那么大人力物力，还是没有很好地解决很多安全问题，原因就在于安全模式的错位。知道创宇认为病人不该跟医疗设备商直接对接，而是应该跟服务商对接。“医院”就是很好的服务模式，病人只需要找到专家就好，使用医疗仪器的病人分摊了医疗仪器的成本，而不是说把仪器卖给一个病人。病人的投入会减少，此外由专家来指导，病人也不会盲目就医，也会减少学习的成本。我认为SaaS这种模式会是未来的主流。【SaaS是Software-as-a-Service（软件即服务）的简称，随着互联网技术的发展和应用软件的成熟，在21世纪开始兴起的一种完全创新的软件应用模式。它是一种通过Internet提供软件的模式，厂商将应用软件统一部署在自己的服务器上，客户可以根据自己实际需求，通过互联网向厂商订购所需的应用软件服务，按订购的服务多少和时间长短向厂商支付费用，并通过互联网获得厂商提供的服务。（笔者注）】我们从成立开始就致力于成为基于云的安全服务提供商。做安全服务和安全解决方案。云的方式和大数据的方式结合起来，解决方式也会更好。

产城：“互联网+”浪潮其实会给你们这种类型的企业很大机会，会有更多网络安全公司出来，跟你们一起竞争，你认为知道创宇的核心竞争力在哪里？

杨冀龙：竞争肯定会是越来越激烈。习主席也说过，“没有网络安全就没有国家安全,没有信息化就没有现代化”。国家对这块也越来越重视。作为知道创宇来说，我们专注于安全本身。我们都知道医院的核心竞争力就是医生，是专家。我们知道创宇也一样，我们的核心竞争力就是我们的技术人员。我们“白帽子”的数量在全国应该是最多，有一百多名。我们始终把人才作为第一竞争力，所以我们不怕竞争。

产城：知道创宇的人才优势比较突出，但据我了解，很多黑客基本到了30多岁就转行了，你们公司是否也是这样的情况，人员构成是怎样的？在防止人才流失和培育人才方面有什么办法？

杨冀龙：的确，我们公司还是以年轻人居多，平均年龄在23、24左右。关于防止人才流失方面，诀窍还是比较多，第一是塑造良好的文化氛围，“白帽子”他们需要的文化氛围不一样，这一点我很清楚，这是很多其他公司不能理解的。比如我们上班不打卡，比如团队成员完成一个任务其实不需要太多的物质奖励，只需要一个认可，或者是一次远程旅游。包括我们做一些封闭开发的话，也是直接进驻到旅游区。

产城：我记得你在一次演讲时，说从公司一开始你就没管理过？

杨冀龙：对，有很多人问我，你们公司怎么运作起来的，不需要管理吗？其实真没怎么管理过。在回龙观时我和赵伟一周就去不了几次，凭大家的自觉性，给个任务大家干就成了。当时我们经常组织大家爬香山，经常是周二、周三想出去就去了，然后周六、周天补个班就行了，当时很自由自在。直到后来客户说整日电话找不到人，问我们还做不做生意？我们开始规定上班时间为11点，但又有客户10点打电话也没人接，于是不得不改为10点研发部上班，然后一直延续到现在。

差距超乎想象

产城：知道创宇服务了很多政府部门和企业，根据你的观察和了解,中国政府的网络安全防护目前处于世界什么水平?

杨冀龙：网络有个特点是网络无国界，所以我们要对抗的黑客一定是最顶级水平的，所以不能跟落后国家比。从斯诺登泄漏的文件来看，中国跟美国相比还非常落后。美国2009年开启了一个爱因斯坦计划，把所有政府网站和所有网站流量集中在一起，统一地监控和防御，经费一共有400亿美金，中国政府相比投入非常少。另一个数据是，美国现在的安全投入占到IT投入的百分之四左右，中国还不到百分之一，这也表明中国有更多的上升空间，这对产业是一个利好消息。

产城：除了经费的投入之外，还有没有其他问题？

杨冀龙：第一，美国的防御模式和合作模式是比较先进的。中国政府的很多安全项目都是由研究所、院校来承接和承建。美国是直接对接企业，所有的项目都外包出来。因为中国政府比较复杂，研究所、研究院是一个庞大的机构，经常是项目内部消化、内部解决，最后就变成了政府机构有时既是需求提出方，也是制造方，甚至是验收方。这样也造成最后效果的不理想。美国政府只做一件事，就是提出需求，招标，根据标书完成情况付款。归根到底，这其实不是中国网络安全产业的问题，而是整个产业的问题。

产城：但我感觉现在中国政府项目外包的趋势已经越来越明显了。

杨冀龙：没错，这一届政府在这个点上还是做得比较到位，其实安全问题最具有前瞻性的是政府，拥有机密数据最多的也是政府，最大投入的应该是政府。如果政府的外包模式形成了，政府推动产业的决心下来了，是对这个产业最大的利好。

产城：2015年6月，第十二届全国人大常委会第十五次会议初次审议了《中华人民共和国网络安全法（草案）》，7月6日起在中国人大网上全文公布，并向社会公开征求意见。这是否也是政府释放出的强有力信号，你怎么看待这个事件？

杨冀龙：对，这个是很大的利好，以前没落实责任主体，安全问题出现了也没有惩罚措施。我们业内经常说一句话，“安全说起来重要，做起来次要，再看预算砍掉。”但新的安全法里KPI（关键绩效指标）已经跟网络安全挂钩了，草案涉及网络安全战略、运行安全、信息安全、监测预警、法律责任等方面，关乎每一个网民的切身利益与安全。草案中的一些显著条款包括国家实行网络安全等级保护制度、网络运营者应当加强对用户个人信息、隐私和商业秘密的保护等。如果企业泄露了服务客户的信息，那企业也要追加责任的。这跟以前就不一样了，以前的法律是滞后的。比如用户在网站注册了一个信息，但网站被黑客入侵了，用户因为信息的泄露感到很愤怒，网站也感觉自己无辜。但新的《网络安全法》规定了，作为为互联网提供安全服务的服务商，必须承担为你服务的企业和个人保护隐私的义务，如果你做不到，那你要整改甚至面临罚款。我认为《网络安全法》能够得到立法和执行的话，那将开启整个信息安全产业的元年。

产城：那在人才方面呢，我感觉这方面也非常缺乏。早期看过一个报道，说中国实力顶尖的高级黑客不足百名，是这样吗？

杨冀龙：没错，现在很多高校也推出了信息安全专业，但这个专业有个问题，只触动了密码学的部分，这其实只是网络安全的分支，只能说刚刚起步，但今年有个利好，把网络安全作为一级学科。这样经过3-5年的培养，应该会逐渐补足这个短板。

“黑客”成了一个复杂词汇

产城：你刚提到了斯诺登，你认为这个事件对中国网络安全行业的安全思路有没有一些新的启示?

杨冀龙：这是个非常好的事情，最大的功劳证明了美国是如何先进。以前很多人都不相信，现在才知道差距远远大于我们的想象，这也促使了我们国家增大在网络安全上的投入；第二是披露了美国的网络安全监测体系，有助于梳理我们自己的体系；第三，披露了美国政府和美国企业如何共同发展和推动，比如美国如何用安全投资基金帮助自己的企业发展，中国这块是欠缺的，也在学习。最重要的还是让我们意识到了问题，给了我们参考的线索。

产城：作为一名安全行业从业人员，你怎么看待“黑客”这个词？

杨冀龙：从“黑客”最早的定义来看，是对技术有狂热兴趣并投入大量时间和精力钻研的人，这里面也比较好玩。比如我把一个技术琢磨得很透的时候，就可以绕过这个技术去做一些事情，看了《乔布斯传》的人就知道，乔布斯早期就成功绕过电话计费系统免费打全球电话，其实这就是“黑客”行为。他当时是为了证明自己，为了好玩。但这后面也有问题，如果绕过限制之后，就涉及到利益了，后面很多人就不怎么研究技术了，因为他可以通过其他渠道把技术采过来，他只研究怎么获取利益了，后来这帮人也叫“黑客”，但玷污了最早“黑客”的定义。

产城：就是“黑帽子”吗？现在大众最接受的也是这种定义。

杨冀龙：对，其实是把这个词汇作了根本性的重塑，有时我出去都不好意思说我自己是“黑客”。再有一个，“黑客”也分等级。第一种是会用枪支

的人，可以随便在地上捡一把枪就开始扫射，其实在我们看来水平很初级；第二种就是会制造武器的人，能编辑黑客程序；第三种是研究原理的人，这种更难，要看破很多技术才能做到，黑客最粗略地分就是这三个等级。从另外一个纬度上来讲，都是拿枪拿武器的，有目的之分，有人为了个人利益，有人为了国家利益，有人为了保障人民生命财产安全，所以又有“白帽子”、“红帽子”、“黑帽子”之分，最后“黑客”就变成了一个复杂的词汇。

产城：那你所理解的“黑客”精神是什么样的？

杨冀龙：我还是认同“黑客”最初最原始的定义，有点类似现在说的“极客”，就是对技术有狂热兴趣并执着追求的人。