区分手段和目标，解决问题，为结果负责

=Start=

缘由：

这篇文章应该会是个大杂烩，是我在看某篇文章的评论时想到了之前看到的一些文章，并结合自己的一些观察和体验进行的整理，方便后面回顾和参考。

正文：

参考解答：

因为原始的摘抄和记录比较散乱，不是本人很难看清楚这其中的关系以及个人的想法究竟在哪，后面有时间再简单梳理一下，不知道会不会好一点？

先求生存，再谋发展

求生存
- 先能兜底，不出大事，出了大事尽量能定位溯源，有人有规范有基础
- 然后稳住，出事能及时检测定位溯源，有工具
- 再提高，提高检测精度、时效，有平台有运营
谋发展
- 能力足够，当业务有需求找过来的时候，可以支撑业务
- 能力有溢出，主动思考业务潜在需求，可以助力业务
提供价值
有人的捧个人场，有钱的捧个钱场，反正就是要能产生价值（比如情绪价值在很多时候会更有用）

区分手段和目标，为结果负责

由【网安创业的核心竞争力是成本控制】一文评论中的「贴身服务」说法有感：

企业招聘/维护安全团队的初衷或者说目标是不出或少出安全事件，以及出了安全事件之后能有专业的人来解决这类问题。

所以安全人员的价值也就在于此——为企业解决/处理安全问题，但并不意味着你可以为了安全或者说打着安全的旗号对业务各种说no，这个也不能弄那个也不能弄，弄了就不安全了。

老板请你来是为了解决问题的——为业务保驾护航，为了业务发展的安全。这里的重点或者说核心在于业务的发展，如果安全对于业务的发展没有助力或者发生安全事件对于业务的发展并没有阻力，那安全不要也罢。安全做的好，能对业务产生正面影响，助力业务发展；安全做的称职，在不过多影响正常业务的情况下保证不出大的安全问题，控制小的安全问题的影响，解决安全问题于无形，支撑业务发展；安全做的不及格，可能会影响业务的发展，不管是因为出了安全问题处理不当导致影响业务，还是因为有些安全红线问题没有坚守导致业务越界被处罚，反正就是出了问题没有解决，基本的结果指标没有达到。

先有发展，再有安全，其次才有可能有安全的发展。

职业欠钱谈安全运营

自研或者采购一些安全产品，引入一些安全解决方案，只是手段，真正的诉求是解决我们的安全风险。

参考游戏运营的角色，我将安全运营定义为：“为了实现安全目标，提出安全解决构想、验证效果、分析问题、诊断问题、协调资源解决问题并持续迭代优化的过程”。

这里最重要的是解决问题，那么一切影响目标达成的因素，都是运营的职责。

企业多数情况下是为产出付费，而不是为知识付费。

花钱雇佣一个安全工程师，而工程师仅仅沉浸在自己做出东西的愉悦感里，并不能为公司减少安全风险，这是一个很尴尬的局面。

就好像有人雇佣了一个保镖，武艺高强，但是小混混上来欺负主人的时候，保镖无动于衷，主人天天被欺负，主人应该为这个保镖付费么？

因此，企业花钱雇佣安全工程师的目标是要解决问题，而解决问题绝不仅仅是把一个安全产品买回来、把一个东西做出来就结束的事情。

在大的公司，解决问题的需求很强烈，安全技术、安全管理、安全开发等角色都具备的前提下，老板发现某一些安全问题总是无法收敛，最终，引入一类新的角色，对问题进行分析、诊断，发现症结后，协调资源，终于实现了目标。自此，安全运营工程师就出现在了世人的面前。

甲方不是为技术买单，而是为解决问题付费

我也是投资人，我当年初看网络安全行业，觉得这是一个高科技行业，技术驱动，需求明确政策支持，一片大好，但理解不了为什么整个行业都是增收不增利，怪圈。后面逐步理解，我其实被技术的高级感给迷惑了，网络安全公司本质都在做咨询公司的活，应该按照咨询公司的运营方式，才能玩下去。重新定义产品，重新定义项目。

说网安是高科技是有点唬人，本质只是计算机相关应用技术的衍生行业。从业多年越来越觉得网安和安保非常像，客户真正需要的应该是贴身服务，而不是产品(客户真正需要的是效果，而不是产品)。

确实如此，甲方不是为技术买单，而是为解决问题付费

国外咨询公司的做法就是用别人的产品来做定制化服务，安全是建一堵墙，安全产品就像一块块大小不一的石头，不可能买一堆产品来堆上就严丝合缝，需要服务作为混凝土来粘合和填补缝隙让墙更坚实。

在中国不说严丝合缝了，很可能拼不到一起去，买一堆石头就是一堆石头

与其把钱给网安不如把钱给公关

抛开国产化不谈，目前堆人的局面破不了，还不如买国外品牌产品降低研发成本，自己做贴身增值服务，反正用户是不懂怎么用好产品的。

在一个整体市场规模不大，且预算进一步萎缩的网络安全市场的今天，真实的市场收入是可预见的。故而推演过来，如果抢不了别人的蛋糕，那成本控制就是核心竞争力。

很多大肉，都是运营商/云厂商/数通厂商在上游就直接消化了，剩下的才流入网安这个红的不能再红的红海市场

软件产品和服务本来就是大量服务沉淀形成的模式和工具，这也是为什么网安产品散碎的原因。要解决的问题本身就在细碎的场景中；点上的问题，需要深刻的专业能力；想实现整体更优，需要对点状能力的架构能力。导致网安行业的格局一定是大量基于点状能力的散碎团队，支撑起少数几家有生态架构能力的公司。

安全公司把自己定位成合规市场还是技术市场，如果是合规市场就没必要吹泡沫吹概念，如果是技术市场就不要从成本出发。我觉得做好自己的定位最重要。

网安创业的核心竞争力是成本控制

网络安全行业在国内目前的环境是一个国家高度重视但是收入比较低的市场，总结下来可以说是：“需求旺盛，技术原始，要求顶天，预算很低”。

网络安全行业在国内是一个看上去很重要、理论上高科技、实际上没有钱、且很原始、企业间还互相不对付的状态。

网络安全很重要——没有网络安全就没有国家安全。在万物互联的时代，安全应该是基础——网络安全不仅关乎国家、社会、城市、基础设施，更与个人的生活密切相关。
理论上高科技——漏洞挖掘、工具开发、渗透测试等其实还是有很高的技术含量的，尤其是漏洞挖掘需要对系统底层相关原理非常了解才能挖到好的漏洞，想要开发出好用的工具也需要极强的工程能力，有效的渗透测试对人员/团队的各方面要求也都是极高的。
实际上没有钱——随着常态化hw带来的冲击感紧迫性降低、大环境的降本增效、以及投资市场输血能力断崖式地萎缩，绝大部分的网络安全企业都感受遭遇了滑铁卢。
很原始——靠关系靠销售靠堆人，能力不够人数来凑
企业间还互相不对付——国外公司的安全产品可以通过较为完善的API进行互联互通，形成1+1>2的效果，但国内的安全产品不说严丝合缝了，很可能拼不到一起去，大小不一形状各异
……

市场环境有周期性，网络安全技术是一项满足国家安全的基础能力要求，未来不可能没有，但是要等。今年FOFA的订阅付费情况还是让我有了一些底气的，另外监管的一些项目也让我们找到了方向。用产品说话，用高性价比的产品来保障我们的网络安全，养活自己，养好奋斗者贡献者。

在一个整体市场规模不大，且预算进一步萎缩的网络安全市场的今天，真实的市场收入是可预见的，推演过来，成本控制才是核心竞争力。只有活过今天才能有未来，剩者为王。

一个人只应为商品的使用体验付费

位置决定想法，屁股决定脑袋；人教人不会，事教人一遍就会；听说百遍，不如亲历一遍。

在加拿大这段时间，我对自己之前的消费习惯有了些反省，具体而言，就是我越发觉得，一个人只应为商品的使用体验付费，而不必为自己的消费观念付费。

温哥华的消费相当高，路边店里一份平平无奇的黄焖鸡饭，加上配料和小费，总价能到150元人民币左右，我在这边随便逛个超市，买点日用品，结账刷卡时就直咂牙花子，仿佛被人从大腿根上拧下了一把肉，这种高消费的环境孕育出当地一种二手货文化，花低价买别人用过的旧物是稀松平常的一件事，只要能过心理上那关，就能省下一大笔钱。

比如，我表哥家地下室有套沙发，宽敞柔软，无论坐卧都相当舒适，一次，我无意中问这套沙发多少钱，我表哥说1加元，还没一瓶矿泉水贵，我问怎么可能，我表哥说，当时他在网上看见有户人家要换新沙发，正愁旧沙发没地方搁，于是就在网上发了篇文章问谁能帮忙把这套旧沙发拉走，转手费给1加元就行，我表哥住的不远，正好缺台沙发，就直接拉回家了。

说实话，这套沙发打理一番后，干净舒适，甚至都看不出有多旧，如果说它当初是从家具城买来的新货，只怕也没人怀疑，坐在那沙发上我就想，自己要是在北京，若遇上同样的情况，会花一块钱去别人家里收一台旧沙发吗？只怕不会，原因出在观念层面，我不喜欢别人剩下的东西，但若是不影响使用，买别人剩下的东西又怎么了？

一个人在没有经济压力时，不会去主动思考这个问题。

说到买别人剩下的东西，我想起之前在国内认识的一位老板，是做尾货生意的，所谓的尾货就是商家在经营过程中，因为尺码、颜色和流行趋势等原因没卖出去而剩下的商品，怎么处理这些商品是个难题，挂出去没人买，放仓库里占地又费钱，还得雇人管理，成本受不了，于是就有人专门做这种尾货生意，他们以回收价买下商家仓库里剩下的货品，再加一点钱卖出去，售价极低，有时甚至能低到原价的三折甚至两折。

我之前对尾货生意很不屑，说这都是别人挑剩下的货，谁要？那位老板就笑，说这些年尾货生意好的很，而且越来越好，首先就在于这些尾货在质量品质上和店面出售的现货没有任何差别，只是因为一些随机因素没卖出去而已，第二就在于价格极低，原价上千的羽绒服在他的店里才300多，这些尾货由于价格太低，只能在微店里低调着卖，否则会给原商家添麻烦，我说这羽绒服都是旧款，老板又笑，说现在挣钱多难啊，大家买杯咖啡都选那不到10块钱的，谁还在意一件2折买来的羽绒服是不是新款？

后来我想了想也是，现货和尾货在物理层面上其实没有差别，人们在现货上多花出的那笔钱其实是在为自己的观念买单，然而，钱越来越难挣，原来的观念已然支付不起了，我盘算着若是以后衣食日用都选择尾货，生活成本能压缩到原先的三分之一。

虽然我哥的二手沙发和老板的尾货羽绒服都是别人剩下的东西，但随着收入的下降，这些东西将愈发契合人们生活的实际，甚至成为一种新的理所当然。

正所谓屁股决定脑袋，被高消费的生活教训一顿后，我越看手里血淋淋的账单，就越觉得屁股下这1块钱的沙发坐着舒服，尾货店里的羽绒服暖心。

参考链接：

凯哥：不要把手段当目标（大厂故事举例）
https://mp.weixin.qq.com/s/oLUEIIC63SsxhwC9Sjm_nQ

混迹职场，区分“目标”与“手段”，才能够行稳致远
https://mp.weixin.qq.com/s/RYVGCpwYxwuzmn342ybiJA

揭秘美团：如何兼顾业务的快速增长和长期价值
https://mp.weixin.qq.com/s/4ehSjaupxl_HuynXVOyldQ

网安创业的核心竞争力是成本控制
https://mp.weixin.qq.com/s/Er6J3tJ4L6QyyT2wFBWtdA

我理解的安全运营
https://zhuanlan.zhihu.com/p/39467201

关于默认安全的讨论 | 总第228周
https://mp.weixin.qq.com/s/VEIACkcPcWBJz2awNig0lQ

=END=

19 1 月, 2024

Docker

KnowledgeBase, Life

Security, think, 以终为始, 企业安全, 安全运营, 消费理念, 网络安全, 解决问题, 贴身服务, 逆向工作法