度量指标：安全标尺（二）——定义指标

一提度量指标，多数安全从业者就皱眉，但它是任何成熟度级别的安全项目都不可或缺的部分。作者将指标分为三类：投入类（培训时长、补丁耗时）、结果类（距上次泄露天数、未修复漏洞数）、环境类（已知漏洞与系统数量），并用漏洞老化趋势说明如何向上级证明安全投入的价值。

NetSPI 在 Secure360 大会上讲述企业漏洞管理的体系化建设，指出真正主动管理漏洞的组织寥寥无几，并随文发布白皮书，概述四阶段落地方案。

借 Merrick Bank 起诉 Savvis 为 CardSystems 出具 Visa CISP 合规认证（该泄露事件波及约 4000 万张支付卡、罚款 1600 万美元）一事，NetSPI 强调审计师只应是时点性独立评审者而非安全体系设计者，靠审计驱动的安全投入在过审后往往消退，组织应在完全就绪后再接受审计。

渗透测试是在授权与约定范围内、限时进行的模拟攻击，伦理黑客像真实攻击者一样串联漏洞并提升权限，以证明可被利用的真实风险，而非罗列理论问题。文章引用 NIST SP 800-115 的定义，对比渗透测试与自动化扫描及真实攻击的差异，并说明交付成果、合规审计驱动与测试频率。

与其频繁更换渗透测试供应商追逐“新鲜视角”，不如与可信伙伴长期合作：熟悉环境带来更高效率、历史漏洞趋势数据与更深入的风险洞察，平台化资产也便于验证整改成效。

渗透测试通过模拟真实攻击发现可利用弱点，漏洞扫描则自动化识别已知问题。本文对比两者的价值与局限，建议企业将渗透测试与定期漏洞扫描结合，构建更完整的安全验证与合规策略。