在全球各地的领导者研究如何利用区块链技术的益处时，安全问题往往是他们首要关注的问题。他们可能已经意识到区块链固有的诸多安全优势，例如密码学、不可篡改性和去中心化。但仍存在一些问题，例如：将区块链作为一个技术问题，最佳方法是什么？攻击者如何攻破区块链技术？鉴于区块链固有的安全特性，攻击者究竟如何攻破区块链？
当今的领导者必须挑战传统观念，以不同的思维方式思考，才能在区块链环境中实现尽可能高的安全水平。以下是三项关键考量，每项都包含一系列基于安全研究和其他数据的见解，以助力领导者应对这些挑战。
1. 安全不仅是技术问题，更是领导力问题
如今，大多数组织并未将网络安全视为其应有的核心领导职能。以安全记者布莱恩·克雷布斯（Brian Krebs）的非正式调查为例。他的研究对全球市值最大的100家公司的领导层网页进行了研究，发现只有5%的公司列出了任何形式的网络安全负责人。这生动地表明，大多数公司并未将网络安全视为整体业务领导团队的关键组成部分。
这也呼应了近期发布的一项为期两年的研究的主要发现之一。该研究聚焦医疗保健安全，指出其中一个主要结构性缺陷是“医疗机构的决策者对安全实践几乎没有洞察力或控制权”。这些例子有力地证明了许多安全行业从业者早已知晓的事实：过多的领导者将安全视为技术问题，而非领导力问题。
然而，市场已经发出了信号，全球各行业正开始将安全视为其应有的核心领导议题。在臭名昭著的Target数据泄露事件之后，首席执行官和首席信息官均被解雇。美国政府人事管理局（OPM）局长因其机构遭受灾难性的数据泄露而被迫辞职；索尼影业娱乐公司联合主席在其臭名昭著的数据泄露事件后同样遭遇了类似结果。
这些案例的共同点在于，这些领导者——无论在公共部门还是私营部门——在数据泄露发生之前，很可能都不会将网络安全视为其工作职责的核心。但在其各自组织内部，人们的共识是网络安全是最高层领导的责任；他们因安全失误而被追究责任。
领导者可以采取哪些措施？
⦁ 在组织内设立安全领导职位，并确保该负责人有权在必要时采取行动。该负责人需要能够有效地为组织的安全需求发声，尤其是在安全需求与组织的职能需求发生冲突时。
⦁ 自学核心安全设计原则，以便在与指定的安全负责人互动时掌握更充分的信息。这最终将使您在管理该领域时更加高效，而您最终对此负有责任。
2. 漏洞利用不仅源于攻击者的能力，也源于开发人员的失误
随着区块链技术的出现，攻击者已展现出部署新型且独特攻击技术的能力，这些技术仅与此背景相关，例如“51%攻击”——即攻击者控制区块链半数以上算力，从而可实现各种恶意目的的技术。
新闻头条可能会让您相信，我们几乎每天都在读到的重大数据泄露事件，是由技术极其娴熟的攻击者利用罕见的、此前未知的漏洞实现其险恶目的所致。这在一定程度上可能属实，但它只是整体挑战中的一小部分。
相反，领导者应认识到，最常见的漏洞利用源于未能充分理解并实施已知有效的安全措施。
例如，OWASP十大风险，即一系列漏洞的集合，其“代表了业界对网络应用程序最关键安全风险的广泛共识”，包括注入攻击、身份认证失效、安全配置错误等常见问题。
这些都是众所周知、记录详尽的问题，防御者多年来一直对此有所了解；然而，它们仍在全球各地的组织中持续造成困扰，并构成了当今领导者应当了解和关注的大部分安全漏洞。
领导者可以采取哪些措施？
⦁ 对开发人员进行安全培训。 他们无需成为年度安全盛会DEF CON上的明星人物，只需理解安全的核心原则——尤其是密码学，因其在区块链中具有核心应用价值——并掌握如何在所构建的解决方案中落实这些原则。
⦁ 认识到安全基础与新奇攻击手段同样重要，甚至更为重要。 这需要领导者转变重要的思维模式，因为与担忧未知风险不同，您对评估自身技术中攻击者（无论技能高低）可能利用常见开发失误加以攻击的方式，拥有极大的控制力。
3. 虽然攻击者确实会攻破区块链本身，但他们更常见的做法是利用区块链技术应用的配置
虽然攻击者可能会尝试攻破区块链本身（且在许多情况下确实成功），但他们更常尝试攻破区块链的部署环节。
如前所述，攻击者深知，人为失误往往会导致可被利用的漏洞在无意中被引入整个系统的设计与实施之中。此外，攻击者与其他领导者一样进行成本效益分析：他们会权衡攻击某项目标所需的投入以及可能产生的结果；然后优先选择那些能以最低投入带来最高潜在回报的攻击活动。
综合上述因素，攻击者往往更倾向于攻击实施环节，因为开发人员在部署过程中很可能无意中犯下了错误。
不妨参考一个类似的故事：不久前，我的一位朋友的储物柜遭遇了入室盗窃。他曾用一把大而昂贵的挂锁加以保护。这是一个明智的决定，因为正如区块链的构建质量至关重要一样，挂锁的构造质量也同样重要。
然而，窃贼实际上并未理会那把锁，也未因锁的构造优良而却步。相反，他们只是直接撬坏了门上安装不牢固的插销五金件。我的朋友选择了一把坚固的锁，并将其妥善安装，但他的安全仍因其周围系统的构造方式而遭到破坏。这正是区块链部署配置至关重要的原因。
领导者可以采取哪些措施？
⦁ 构建您的威胁模型，以了解谁是您潜在的对手；他们为何对利用您的系统感兴趣；他们拥有何种技能；以及他们掌握哪些资源。
⦁ 确保组织拥有必要的安全人才。您需要合适的专家来协助您履行安全使命。
⦁ 与独立的第三方安全专家合作。无论是取代还是补充您内部的人才，您都需要站在您一方的专家，他们具有独立视角，不受组织内可能存在的任何政治偏见影响，并且全身心地研究如何防范对手。
从何处着手
有效的安全领导力或许颇具挑战，但并非遥不可及。作为领导者，如果您能将安全挑战分解为其核心组成部分，便可据此制定行动计划，以解决根本问题。区块链技术在诸多方面具有革命性，但区块链与众不同这一简单事实，并不一定需要全新的安全范式。
相反，如果您能理解其中少数与众不同之处，并持续保持警惕，有效应对核心基础问题，您便能引领组织迈向光明的未来：在这一未来中，您既能充分利用这些技术所带来的诸多益处，又无需让组织不必要地暴露于不当风险之中。
