人物 |天成金融何卓：管理风险，掌控人生

有技术不怕没饭吃

在2005年的时候，刚刚经历完高考的小镇青年何卓，面临着人生当中极为重要的选择之一，那就是挑选专业。

何卓不是个典型的理科生，不然高考物理也不会只填了选择题。

他更偏好历史和地理，平日也喜欢浏览经济与金融方面的书籍。

不过呢，母亲跟他讲，男生要是去读文科方面的专业，或许不太容易找到工作，还是去学工科或者理科吧，去掌握一门技术在手里，将来哪怕情况再糟糕，也能够凭借一门手艺来获取生计。

何卓回忆起，从小学开始，自己就常常在隔壁网吧，一直待到母亲来唤，在那里捣鼓计算机度过了日日夜夜，之后何卓下定决心，填报了计算机科学与技术专业。

2005年，是中国互联网具有关键意义的一年，在这一年，网民数量突破了一亿，中国一下子成为了在互联网领域仅次于美国的大国。何卓赶上了这股浪潮，他与大量新鲜且纷杂的知识初次相遇，当时他还不知道未来能通向何方，自己的出路究竟在哪里。

那段时候，计算机专业的那些同学，其中百分之七十到八十，都挑选去从事软件开发这项工作，然而何卓却不情愿稀里糊涂地跟着众人走，在许许多多的选修课里面，他察觉到了一门有意思但却不怎么受欢迎的课程，那就是“黑客技术”。

何卓清晰地存有记忆，那时给他们讲课的是一位具备独立实验机房的女博士，她告知学生们，这门课程对软件开发有着极大的助益，原因在于软件除去常规的质量检测之外，还有一个极为关键的环节，那便是借助安全测评去排查高风险的安全漏洞。

每当到了该上课之际，实验室当中的实机操作，都令何卓心生起澎湃的心情，这还成了他触碰“安全”的首个步骤。

2009年，何卓大学毕业以后，投奔了身处上海的兄长，兄长那时已然在某IT公司从事网络运维方面的工作，然而何卓却未曾想过和兄长进入同一领域，他鼓足了劲，一心只想着投身安全行业，于是他所收到的第一份offer，是在乙方产品公司做售后技术支撑。

何卓讲，他于安全行业历经十年起伏，其中一半时间，都投身于技术工作。最初几年，与之接触最为频繁的客户，是甲方的网络或者运维部门。他察觉，甲方公司的这些团队大多规模较小，需求也都聚焦于防火墙、入侵检测以及防病毒网关方面，这使他认识到，自己所从事的行业，在当时属于非主流行业。

然而，这没办法成为何卓放弃的依据。鲁迅先生讲过：“世上原本没有路，走的人多了，便转化为路。”不管是设备维护，还是技术配置，亦或是漏洞扫描，又或者是提供方案支持，何卓都努力做到最佳，慢慢地，他在技术管理方面就拥有了些特别的心得。

他曾负责某银行项目，一次就购置了上百台安全设备，如此庞大的设备数量，若想让一人进行管理维护，简直如同痴人说梦，由于考虑到团队成员技术存在差异，会给管理带来新挑战，所以何卓决定迈出关键一步，即规范技术层面的标准规范以及基线配置 。

颇具能力的团队被召集齐全，面临着大量设备挡在前面的尴尬困境模样，何卓并没有慌慌张张地把人员安排下去。他心里明白，要是让十个人去进行设备配置，那就会存在十套配置基线，要是一旦出现因为配置不合适而引发的故障状况，排除故障简直好比登天一样困难。所以何卓觉得，只要基线配置的规范是统一的，哪怕仅仅去了一两个人，那也具备“一个人就如同一支军队”那般的战斗力，要是有问题出现，也都能够追究到具体的点上，要么能够精准地实施打击，要么能够对规范进行修正 。

此标准化的配置管理，可调动每一位团队成员，还能让统一的步调具备传承的意义。何卓笑表达德信竞技，这一管理方案的产生，也源于自身对未来的某些担忧，IT技术更新换代速度极快，伴随年龄的增加，精力向来不够用，压力也会随之出现，故而在他的人生规划里，从技术转型是势在必行的决断。

职业与人生的拐点

2014年，成为何卓人生里重大拐点之时，他于信息安全行业积累的工作经验已满五年，领导遂建议他去考取一个国际行业认可度极高的认证，即CISSP（国际信息系统安全专家）。

何卓因对考试流程并非十分了解，故而报了个培训班，还整理了一批参考书，打算好好加以学习一番。当进行查看时，他惊奇地察觉到，那时CISSP CBK所规定的十个知识领域，他仅仅擅长其中的两三个，诸如法律法规、软件安全、代码审计等这些方面，他完全是实实在在的门外汉 。

那些知识，超出了何卓往昔于厂商里熟知的工作界限，在获取认证之际，他察觉安全知识的领域比他先前了解的广阔许多，原本他预想中的自身，或许会成为一名资深网络或系统安全工程师，专心于安全运维，对各类设备和系统颇为精通。然而安全知识域超乎想象的广度为他带来了全新的想法——为何我不可以选择涵盖整体，把控全局呢？

何卓于工作里获取经验，多数情形下领导所交代之事，皆是结果导向的。遇上较为繁杂困难的状况，就算你身为安全行业某一领域的专家，妄图从单一角度去解决亦是无法做到的；唯有拥有宏观的视觉效果，融合多方面的知识内容，规避拥有显著的短板之处，才算是最佳途径。

从确定了发展方向以后，何卓顺着自己的心意，迈进了一家专业的IT风险咨询公司。停留在咨询公司的两年时间里，除了持续完善管理方面的知识，他深切体会到技术出身的优势之处，好多咨询顾问先前没有深入接触过技术，在跟懂技术的客户访谈时，常常沟通不到关键要点上。然而具备技术背景的何卓不但与客户沟通顺利，而且能和一线的技术人员达成共鸣，偶尔遇到技术型的领导，也总是能够相谈甚欢。

于具体实施咨询项目进程里，部分甲方对ISO27000存有诸多误解，老是觉得仅是做出一套制度规范文档予以交付，面对这般甲方，何卓会告知他们：制作文档很是便利，我径直撰写完交给你们去修改便可，但我觉得这般并无实际落地价值。我前来，在于解决问题，我们坐下交流，问题你尽管抛出。在此进程中，何卓的沟通能力历经反复磨练，对安全整体的理解亦显著提升。

转型自某技术之后，何卓矢志不渝地选定于金融范畴之内从事安全相关事务，他讲，这是鉴于金融行业关于安全方面的重视程度根本没法与其它相比。

在以往非金融领域的工作经历里，他有过不止一回看到那种大量大量购买设备，然而却搁置在仓库，如同堆砌积木般摆放着的公司；他还曾接过一个项目，该项目中一天有效的工作时长不足一小时，客户休息的时间甚至比上班的时间还要长。何卓不想在这样的工作当中抱着得过且过的态度，他喜爱挑战以及实现自身价值。

正是在这一年，何卓挖掘出了，他人生当中最为关键紧要的兴趣，那便是德州扑克 。

中国人大都爱打牌，何卓也不例外。

记忆起始之时起，他便同扑克游戏建立了紧密纽带关系如当时流行的竞技类棋牌游戏一般，都给予年少的何卓极为显著的欢乐，何卓承认，他自幼对具备竞技性质的事物满怀浓厚兴趣，不管是学习还是游戏，均可使他体会到其中的紧张刺激之感。

他在某次跟外企团队合作的项目里头，碰到了一位架构师，那位架构师特别痴迷德州扑克。这位朋友跟何卓讲，德州扑克在金融投资与创投领域里头极为流行，尤其对锤炼本身风险管理能力颇为有益，在那些做安全工作的人而言，也是一桩休闲与提升两者都不耽误的超棒游戏。

何卓在朋友带领下，轻松踏入门槛，这片全新天地，让过往扑克游戏在他眼中黯然失色。何卓讲，德州扑克要求参与者有数学、逻辑、心理学三方面能力，不但要求对资金、风险进行高精度管理，还要求参与者有“强心脏”，无惧心理对抗。

具有这种针对全局的风险管理能力，并非短时间就能练就，故而有人讲，德州扑克入门较为轻松，然而要精通却极为困难，不过何卓始终愈挫愈勇，绝不会因困难而停止前进脚步，虽说他在各类比赛当中取得了不错的成绩，可是他表明：打牌不单单是为了获取盈利，更在于享受跟高手较量竞技的乐趣。自我提升，把握全局、考量整体风险的能力随之递增，并且对他的工作以及生活产生了诸多益处。

2016年，何卓带领的团队入职甜橙金融/翼支付，当时该团队主要负责IT风险管理工作，同时还负责IT审计工作，领导觉得他所做之事与安全结合得更为紧密，不禁思考能否做到1+1>2，进而主张把IT安全团队跟IT风险管理团队合并，如此便有了现在的安全管理团队。

何卓时常关注行业内的监管趋势和调研报告，因为他所负责的团队侧重合规管理，安全工作的首要驱动力源自合规要求。他讲，假如地基不稳固，上面便很难牢固，整个系统也将会漏洞百出，安全建设事实上犹如搭建一个网络，是要从底层一层一层逐步累积的。自己所在的团队处在部门承上启下的位置，既要承接各类合规要求给出指导性的框架，又要提出解决方案，如此才能确保其他团队能够积极配合并落实下去，他这么表示。

何卓跟我讲，德州扑克从本质上来说是一种博弈游戏，这里面存在一个理论，称作“GTO策略”，它的意思是“博弈论最优策略”，属于一种纳什平衡状况下的基准策略，其主要目标是促使玩家懂得重视游戏的范围平衡性。并且，这样的策略，和安全工作极为相似如同出自同一辙。

他列举了一个有关互联网营销活动的实例，业务部门投入大量营销资源，目的在于拉动活跃度促进新用户增长，以此吸引用户参与。此时安全部门的任务极为关键，然而绝对不能运用格杀勿论的安全规则，不然在剔除机器人以及恶意羊毛党的同时，还会将大部分合理合法借助规则的正常用户筛选掉。不考量业务发展的安全就如同在普通居民家门口安装了银行的金库门，不但浪费资源，纠正错误过了头，而且还会对业务的正常稳定发展造成影响。

风险管理，与德州扑克很是高度一致，何卓觉得，当前，除掉众人普遍认可的一道防线信息安全除外，身为IT风险的二道防线以及身为最后一道防线的IT审计也存在，这跟当下大众所理解的基础安全工作不一样，它属于组织层面的纵深防御，是治理层面的权力制衡，是从更高且更宏观的风险管理层面去看待，仅仅做眼前的事情是不行的，原因在于安全战略服务于IT战略，而IT战略又服务于公司战略，越往上去看，考虑得就会越发周全， 问号。

技术、知识和大局观

回头去看往昔，何卓内心满是感慨，从十年前仅仅局限于小范围的网络通信安全领域，直至当今的“大安全”范畴，该行业的发展速率极为迅速，使人根本无法想象将来会是怎样的情形。在与众多面试者接触的进程当中，何卓碰到大量并非科班出身的安全行业从业者，这切实让他体会到安全行业和以往不一样的热度，正是甲方与乙方共同发挥的作用，推动了行业的飞速发展。

曾有年轻的小伙伴前来询问他，身为一名安全管理岗人员，需要具备怎样的能力，才能够使得业务部门积极配合安全问题的整改，对此何卓给出了意见，那便是要全面学习进而成为一名解决方案架构师，要具备业务、技术以及项目管理能力，要能够快速、全面且透彻地理解业务需求，要从繁杂纷乱的业务需求以及安全问题现象之中抽丝剥茧，要提炼并设计出解决方案，要能帮助业务和技术将想法、问题、需求落地成为一个可以执行实施的项目。

何卓觉得，那些进入安全行业的新人员，不但得有全面的知识储备，而且要有一定技术基础，不然之后做的事会流于表面，无法落到实处，如此当然没法有效管控安全风险 。

知识面广博，可确保从业者知晓安全价值所处之地，树立整体观念，对安全投入产出比起到决定作用，毕竟不会有人为价值仅一百元之物给予一千元保障。一旦有意识地去接触技术，积累经验，那么未来不管是朝着攻防领域的白帽子方向，还是朝着厂商产品、研究咨询方向发展，皆能游刃有余。

在此前提之上，深刻知悉监管合规规定，明白业务需求，立足解决方案，给到业务方便利。唯有如此，方可使他人避免误解安全，鉴于找出问题的目的并非故意阻碍业务发展，而是意在保障业务安全平稳地运行。

何卓与我讲起一段自己“初生牛犊不怕虎”的往事。

他初入咨询行业之际，曾承担某银行的 IT 审计项目。他临时替代自家上司，引领审计部门同各部门负责人交流审计发现问题确认会议 。

那时，何卓未曾在同一时间接触过数量如此之多的处于高级别的领导，难免心中产生不安，期望会议可以顺利开展。只是，令他没有想到的是，由于查出了一个实际存在着的问题，在会上，各方针对是否如实进行上报还是采取淡化处理该问题的方式，展开了针锋相对的争论，险些就不欢而散了。

何卓仔细地剖析了状况，觉得这一问题既然已然客观存在并且已经被发觉，采取淡化手段必定会致使不痛不痒的汇报情形出现，进而会对整个项目的质量产生影响。他毫不犹豫地做出决定，承受着压力跟各部门负责人交流问题存在的风险。在经过多轮反复之后，原本的问题得到了缓解，然而紧接着又有新的问题冒了出来。何卓必须要确认所有问题，第二天才能够向行长进行汇报。

何卓深切明白时间进度紧迫到了极点，绝对不可以演变成拉锯战。先是让各方对于审计工作该有的认识达成一致，针对风险问题进行点对点的沟通，给出臻于完善的解决方案，达成各个击破的目的。与此同时，他在夜间把问题从点汇聚成面，从更高的风险视角去进行总结。这样一种清晰的点面结合方式让行长信服了，他们对所提出的问题予以认可，心甘情愿承担风险。

紧接着到来的审计项目总结会上，监事长对审计工作组所提出的审计发现以及建议予以了高度认可，要求各个部门务必要积极去落实审计发现问题的整改工作，对于其他补充建议不予接受。在发生的突发状况以及有限的时间范围之内，得益于平日里知识、技术方面的用心积累。何卓依靠其分析全局风险的能力，在处于重压的情况下坚持做出了实事求是的相应决定，这一决定最终获得了客户的认可，进而成功解决了潜在的风险隐患。最后还有标点符号。

在此一场战役当中，何卓在安全战略方面的思路进一步得到扩展，同时在治理层面的思路也进一步扩展，对于当时正处于转型时期的他来讲，这是一种极大的鼓励。

尾声：人生游戏，游戏人生

所有的人的起始点都是同样的，然而在成长的历程当中在速度方面却并非是会保持一致的，何卓持有这样的一种观点，追根溯源来说，其关键之处在于复盘的能力方面 。

自向朋友那儿学习，转而自己去实践，接着再给他人传授经验，何卓历经了数不清的针对德州扑克实施的复盘总结。每一回下注之际的思考有无基于全局？这给之后的牌局带去了哪些影响？每一个选择皆会引发蝴蝶效应，决策，同样是这般 。

对管理类工作而言，要是没去深入思索问题的根源，那每天的工作内容便会被“救火”所填满，在追根溯源完毕之后，就能统一规范标准，凭借自动化的配置管理来避免低级错误。

访谈结束时，我笑说，这可真是德州扑克改变人生的经典案例。

听到这话，何卓同样笑了，他讲道，能够使兴趣为工作予以助力，这真是再好不过的情形了，自身由于性格的缘故，要是对一种事物生出了兴致，就会格外执着，这本身属于一种易于冲动的特性，然而借助德州扑克的实践，他磨炼了自控力，还学会降低期望值，接纳牌局以及生活里的正常起伏，因为倘若将人生放长远去看，一局牌、一件事，都仅仅是自己生涯之中，极为微小的一个点 。

那一份从容，令我久久难忘。