网络安全顾问 · 雅加达
安全是一种习惯，不是一道关卡。
我帮助团队在不停下脚步的同时，让软件保持安全。好的安全是安静的。它活在人们的工作方式里，而不是最后的一道检查点。
- 15+年构建并守护软件
- 4场公开演讲（2023 年以来）
- 2023OpenText 东南亚最佳售前顾问
你是谁？
一个成为安全顾问的开发者，从没忘记前半句。2010 年我写 Oracle 模块，2011 年我为跑步赛事搭了一个报名平台，至今仍在运营；此后的大部分年月，我都在印度尼西亚和日本的电信运营商、政府部委和企业里，帮助他们守护自己构建的东西。
我住在雅加达，用印尼语和英语工作。如今我在 OpenText 负责东南亚安全销售的技术一侧，遇到有意思的问题时也接独立项目。
你相信什么？
安全是一种习惯。由此引出四件事。
你能为我做什么？
通常是四件事中的一件，常常是两件一起。我会尽早告诉你需要哪一件，以及你是否真的需要我。
- 让交付安全
- 把安全放进流水线：威胁建模、代码与依赖扫描、密钥与策略检查，每个团队都有一位安全倡导者。业界称之为 DevSecOps 与应用安全。
- 保护数据
- 找到敏感数据，分类，加密，并守住测试副本。对照印度尼西亚《个人数据保护法》（UU PDP）及邻国法律。
- 监视与响应
- 日志、检测与自动响应，让已知攻击在发生时就被看见。面向电信与企业的 SOC 路线图。
- 决定谁能进来
- 单点登录、多因素认证、特权访问，让对的人到达对的系统，其他人不能。
过程是怎样的？
先看，再计划，然后一次只改一件事，并守住它。五个动词，永远按这个顺序。
看
检测面向互联网的部分、内部网络和应用，把每个发现按对业务的代价排序。
比
把现状对照 OWASP DSOMM、NIST、ISO 27001 等框架，让每个差距都有名字和负责人。
计划
按风险和依赖把工作排成阶段。每个阶段都有明确的出口和要达到的数字。
改变
一项控制先试点，再自动运行，然后才成为每次发布的规则。团队不停发布。
守住
指标、审计和定期回顾，让习惯在最初的成果之后依然诚实。
你做过什么？
六个故事。客户需要保密时，隐去名字，留下事实。
2025十二个月从零建成 DevSecOps
四个可度量的阶段。安全从上线前的人工检查，搬进了每一次提交和每一次构建。
2026安全态势项目
五个阶段、九根支柱。一个让领导层知道先从哪里动手，并能证明进展的项目。
2021 年至今数据保护与 PDPA 合规准备
逐国梳理规则以符合 PDPA，以及一套以数据为中心、打开了新市场的方法。
2019 年至 2021 年印度尼西亚与日本的电信安全
六个月内 NIST 合规度提高 30% 以上，一份 SOC 路线图，以及接入 SIEM 的自研工具。
2022 年至 2023 年政府门户与安全的 SDLC
一个在偏远地区慢速网络下也能用的全国门户，随后把安全嵌入部委写软件的方式。
2011 年至今体育赛事报名平台
报名、支付、参赛包和计时，为每秒超过一百万次请求的峰值而建。
你在哪里讲过？
2023 年以来四场演讲，讲的都是同一个想法：安全是内建的，不是事后拧上去的。
- Hackpoint Community Webinar，线上
Securing the Software Development Lifecycle by design
让安全成为软件制作方式的一部分，而不是事后的一步，风险下降，速度不减。
- DevOpsDays Jakarta
Securing DevOps: data privacy and protection in continuous deployment
默认什么都不信任。数据在传输、使用和存储中，每一次都被验证和加密。
- Forum Digital BUMN (Fordigi)，雅加达
Embark on a secure and resilient application SDLC
面对应用层和供应链攻击的端到端应用安全。
- Indonesia Data Security Symposium，雅加达
Pioneering data-centric protection
印度尼西亚《个人数据保护法》对组织的要求，以及现代工具与框架如何帮助达成。