笔者在两年前曾写过一篇《攻击面管理策略梳理》文章，在刚刚出版的新书《企业信息安全建设之道》中，也用攻击面管理作为技术篇的第一章。但经过大量交流和思考，感觉讨论的还不够充分，所以就有了本文。本文不再从具体方法上讨论安全 策略管理需要如何做，而是在思路上，再次探讨安全策略管理工作的必要性。