渗透测试 vs 漏洞扫描：区别在哪里？

借 Merrick Bank 起诉 Savvis 为 CardSystems 出具 Visa CISP 合规认证（该泄露事件波及约 4000 万张支付卡、罚款 1600 万美元）一事，NetSPI 强调审计师只应是时点性独立评审者而非安全体系设计者，靠审计驱动的安全投入在过审后往往消退，组织应在完全就绪后再接受审计。

观点文章：面对复杂的信息安全领域，从业者常被迫在自身知识范围之外应对需求，转而采购“标准化”技术产品充当万能解——这种对技术的过度依赖反而制造了虚假的安全感。

一提度量指标，多数安全从业者就皱眉，但它是任何成熟度级别的安全项目都不可或缺的部分。作者将指标分为三类：投入类（培训时长、补丁耗时）、结果类（距上次泄露天数、未修复漏洞数）、环境类（已知漏洞与系统数量），并用漏洞老化趋势说明如何向上级证明安全投入的价值。

疏于管理的测试服务器和遗留系统往往脱离资产管理视野，成为攻击者的理想突破口。作者给出了资产发现、登记与归属认定的落地步骤。

安全应贯穿整个开发生命周期，而非上线前的最后一次检查。作者勾勒了软件安全保证计划的应有组成，以及落地时绕不开的预算现实。

PCI-SSC 社区会议的三大主题：推动「安全高于合规」的理念、对基于风险方法的谨慎态度，以及与 NIST、FISMA 等法规标准的日趋趋同。