像老手一樣在RSA大會采購
責編：gltian ｜2019-03-20 11:20:52以企業安全專業人士和供應商側人員的經驗來看，做安全采購決策的時候很容易掉坑。
這個月召開的RSA大會云集700+供應商，各種營銷陷阱更是避無可避。很多人都會說，參會就是去學習和社交的，關供應商什么事？誠然，學習和結識專業人士是各種會議最有價值的部分，但聽聽新技術和新興趨勢討論也很有趣，而且逛逛展廳往往能也能有所收獲。
不過，展會套路深，如果你是帶著一顆采購的心在逛各個展位，一些簡單的守則能幫你做出更明智的決策，比如近藤麻理惠的采購指南。運用麻理惠的方法，你能像個精明的老手一樣在RSA大會上從容采購。
1. 設想你到底想要什么
有些聰明的客戶拒絕踏入大會展區，更偏愛與供應商一對一交流。這是保持專注的好辦法。至少，在進入展區前你得對自己想要的東西有個概念。如若不然，即便你原本沒想要AI用戶配置，也不確定機器學習怎么應用到暗網爬取上；只要踏入供應商展位，被他們留下了你的信息，就準備好接收滿是時髦行話的電子郵件，等著明年踩坑吧。
2. 確定是因公還是因私而買
麻理惠問：“這東西是為公司買的還是為我個人買的？” 在RSA大會上，你得問自己：“是為我的安全運營買的，還是為我的身份管理項目買的？或者，單純因為我自己想來點兒機器學習？”
3. 實際感受下你打算買的東西
買衣服要摸其質感，試穿其大小，購買安全產品也要看看適不適合自己的使用場景。每家供應商都覺得自己的產品是世界上最棒的，但如果他們告訴你自家產品適用于全部用例，那絕對是在騙你。尖端技術不適用于客戶環境的例子并不鮮見，要么規模不合適，要么單純不支持客戶的用例。
4. 無視不合身的衣服
大多數信息安全供應商都很清楚自家產品的市場定位，更成熟的供應商則善于把產品塞進給定市場。面向中小企業和面向大企業的產品天差地別。很多中小企業曾經覺得專為小公司推出的產品太低端而選擇了面向大企業的產品，結果很快就因為小團隊無法有效管理復雜系統而不堪重負。也有大企業貪圖低價而購買了簡化版產品，然后適應得萬分艱難，總是束手束腳。
5. 貨比三家
在做出采購決策前調查供應商情況太重要了。不少公司都后悔過自己的產品采購選擇。讓他們后悔的采購選擇幾乎都是在缺乏全面調查就愛上某家供應商產品功能的情況下做出的。不是每家公司企業都有資源做全面而深入的市場調查，也沒有必要每次都這么做，但至少，做決策前緩一緩，貨比三家，大體了解下市場行情。
6. 別跟朋友或家人一塊兒逛
《紐約客》指出：把購物當社交很容易滑入不謹慎的購買習慣。
即便是在信息安全領域，社交壓力對采購決策的影響也比我們意識到的大。因為供應商邀請你參加名人聚會就答應去看演示或簽下試用是不合適的。但這種事經常發生。別讓名人光環影響了你的決策。
7. 接受當前的規模
麻理惠強調只會買適合自己當前所需的東西。信息安全世界中，我們總是買了超出自己當前所需的——無論是在數量上還是在功能上。千萬別因為 “我們總會達到這個級別” 或者 “供應商的優惠太誘人了” 而買下太多的用戶數或每日流量。好供應商在你后續購買的時候還會給你初次訂閱時類似的優惠額度。如果供應商鼓動你買超出部署幾個月內所需的套餐，那就值得再斟酌斟酌了。
8. 別等特價品
都想等打折，但便宜沒好貨。長遠來看，貪便宜買下的東西往往并不能賦予你最優的性價比，只有最符合你需求的東西才是最優選擇。很多公司都遵從嚴格的購買原則：挑單價最低的 (在審了好幾頁需求之后) 。確實，公正的采購流程是公司必備，采購團隊也能為公司省下很多錢。但從長遠看，絕對低價的東西幾乎不能提供最低的總體擁有成本。
9. 別買不必要的東西
冷板凳軟件對客戶沒好處，對供應商自己也沒好處。我們都買過沒發揮全部功用的產品，很多情況下這是因為我們購買了超出公司當前成熟度的東西。比如說，如果你的安全運營中心(SOC)無法跟上你入侵檢測系統(IDS)的分揀規則，那么購買基于機器學習的異常檢測只會讓情況更糟。如果現在就沒有方便集中日志的過程，那引入下一代SIEM就與引入大麻煩無異。
或許最佳產品采購方式就是應用近藤麻理惠的方法——清除不需要的東西，或者說，“清理”生活，凡是不能愉悅身心的東西統統扔掉或不買。
同樣的方法適用于我們的安全項目。安全部門常深陷50-100種不能無縫配合的工具，需要極大的人力資源投入運營。專注整合產品集，去掉那些不能提升效率的產品，才能充分發揮現有安全產品棧的最佳效能，減輕安全部門壓力，提升公司整體效率。