百家_海叔：乙方《读你》，甲方说《其实你不懂我的心》，怎破？

撰稿 | 海叔

编辑 | 图图

作者简介

吴海民

花名“海叔”，上个世纪加入启明星辰，除了财务和行政没干过，网络安全的各个业务线都走了个遍，被冠以中国网络安全第一代产品经理。现担任启明星辰创新业务事业群总经理，继续干点探索未来的事。

有一个著名的金融企业安全群，群主是聂君，既是金融安全专家，又是十足暖男一枚。他开了一个公众号“君哥的体历”，承载他的原创作品，从生活百态到安全技术，从安全团队到安全规划建设，粉丝众多！

君哥最近写了一篇文章《金融企业安全从业者的未来》，即论述了甲方安全人员的工作分类和发展路径，又写了乙方安全公司从业人员的发展之路，非常全面，堪称安全从业者打怪升级的宝典！

海叔没有在甲方工作的经历，所以谈到甲方人员成长路径，我是没有任何资格。但在安全行业也有十八年的经历，在和甲方持续沟通中，也形成了一些甲方对乙方视角和诉求的感觉。姑且班门弄斧，成一文和一下君哥。君哥也是海叔圈圈的特邀嘉宾啊！

传统的安全行业甲方乙方是一对冤家，互相吐槽。甲方的吐槽用一首歌来概括是《其实你不懂我的心》；乙方的吐槽用一首歌来概括是《读你》，但怎么读也读不懂，其实某些时候也是厌倦了。其实，甲方乙方本是共生关系，特别期望能象金庸小说的刘正风和曲洋一样，共谱一曲《笑傲江湖曲》。

做为乙方代表，不敢对甲方非议。先从我做起，先好好研究下甲方的视角和诉求，谓之《懂你》！

安全的视角和诉求

和甲方谈安全，如果没有搞清对方的身份和关注点，那就是跑断腿也拿不到单，纯属活该！

对乙方来说，往往有所持有的是产品和技术，所以见到甲方就开始介绍，也不管对方受不受的了。碰到客气的让你讲完，自以为给甲方成功洗脑，回去就让销售备货。殊不知，甲方已经忘记了有这么一回事。

我们的甲方，也是一个有组织的团队，里面有很多角色和分工。来头大乙方厂商通常先从上到下的接触，名头小的创业公司往往自下而上的爬楼，只要把视角搞清楚了，其实谁都可以能成功！

借用的君哥的分类，甲方负责安全的有ABCD四大类角色（如果你不清楚，先关注君哥的公众号或看安在的新头条，看完文章后再看本文）。

先从A类开始说，安全管理员或安全设备管理员。A类人员在甲方通常是年轻人，也是干苦活，重复性比较高。因此，乙方的视角要从能否让A类人员苦活少一些，时间省一些角度出发。谈标准化合规性产品是可以的，但千万不能拿着“乙方产品经理通用教材”就冲上去。

你得是产品的深度用户，得提炼出你在产品使用过程中的亮点、经验，比喻说原来干一个策略配置的活要2小时，现在你能5分钟搞定，而且还是批处理!友商的产品出个报告要加工半天才敢上报，你可以让用户自定义专属报告机器生成直接上交。

如果你能做到这些，你给A类人员能多出更多的时间去学习或者谈恋爱，绝对成为你的产品强力推荐者。因此，在乙方PM眼里，一方面要不断降自己产品内部成本应对友商，同时也要降低甲方A类人员的时间成本，否则想上量纯属笑话。典型的产品是防火墙、负载均衡等盒子网关设备。

C类人员是甲方里面的安全分析人员，这些人员从A类人员成长起来，不再是单纯的考虑省事和省时间。因此，往往关注的威胁事件的准确性、漏洞的适用性。所以乙方人员不能只谈产品功能和性能了，你得说技术了！

当然光谈技术除了提升你的形象外并没有什么用，关键是展示出技术最后解决了什么场景下的什么问题。举一个IDS（IPS）例子, 你能报出一个SQL注入事件来只能说明你的产品有判断，但怎么判断出来的，你的说出原理。如果有变种，怎么应对。以及这个事件是否能够成功攻击到甲方的服务，也得有判断。其实这个时候就是一种技术型服务了。当乙方人员能服务好安全分析人员，除了能把ID(P)S、WAF、日志审计等产品卖出去，还能提供增值服务，和甲方的粘性更强了，从一个单一合同变成持续合同。

到了B类人员，情况就完全不同了。B类人员的视角已经抽离了产品和技术，偏重在管理和内控。乙方的单纯产品技术人员就不要出马了，得是做过安全服务、安全规划和人员管理，最好有CISSP等相关证书加持或等保、分保专家。不然，好不容易约到的交流机会，就废了。B类人员考虑的是业务和人的协同，法规和现状的差异，自己往往会分阶段的实施。乙方人员的作用是当好他的参谋，帮助B类人员在其内部顺利推行其计划，规避风险和矛盾。

当然，如果乙方的人员同时在甲方呆过有类似项目成功经验，那完全可以从参谋变成导师，指导他怎么立项、做预算、汇报。能做到这样，待遇和上两种状况完全不同，典型的表现是B类人员会请你吃饭、洗桑拿:)

D类人员君哥在文章中都没怎么谈，我这里也不献丑了。乙方的一般人员也别想了，得是你的大BOSS或者副总裁级别的人去解读D类人员的视角，说不定是资本角度、供应链角度或者生态圈角度。

换个角度看安全

因为君哥文章中说的甲方指的是甲方负责安全的团队，所以上面海叔也是按照这个对象来展开论述。然而，在甲方，并不是只有安全团队的人才能做安全的事，如果乙方被这个束缚住了，那么你在这个甲方的项目也就到了天花板，持续深挖也是限度的。

即使是甲方的首席安全官（CISO），某种程度也是首席“背锅侠”。在甲方，比这个职位高还有一系列O。相对于安全团队，财务、HR、核心业务部门也比安全部门一把手实权更多。所以，这个时候，你得换个视角看安全、说安全。这些非安全部门理解的安全也不是我们现在通常说的网络安全。

举几个例子：

l HR心目中的安全是人员的稳定性，绝非某台电脑被病毒破坏。因此，如果你的安全产品（上网行为管理或邮件网关）解决的是员工会不会大面积离职，核心骨干会不会被对手挖走，这产品会被HR总监直接批条子给IT，马上买。

l 财务人员心目中的安全是在发财报前会不会提前泄漏出去。那么你的DLP如果能够帮助财务给自动识别财报信息，并且给文件加上锁，传阅给受限人员可看，看后还有记录或阅后即焚。恭喜你，甲方的CFO就是你的财神爷。

l 核心业务部门更是如此，如果你解决的是在黄金促销期间能把羊毛党全部识别并进行限制，让核心业务部门的业绩直接飞跃，那业务部门老大拔根毛就比乙方的大腿还粗。

其实安全服务对象对应的就是甲方人员的价值排序。安全不好量化，但价值可以量化。和不同的甲方角色，谈的价值不同，你所获得回报亦不同。所以乙方不要抱怨，甲方给出了十几万的安全单子，乙方还要屁颠屁颠、拼死拼活的抢半天。因为，在相对公平的市场环境下，是乙方对安全的本质理解出了问题，是你的思维出了问题，是你的能力出了问题！上天已经赏了你用安全技术吃饭，能抢到十几万已经比保安待遇好多了！

安全也是一种公益

上面说了一番话，一方面求一些乙方同仁不要打我，另一方面也希望有追求的乙方也别盲目膨胀。安全能够挣到钱，但绝对不能成为顶级富豪。如同海叔给投资人说的：安全产业不是直上直下的直梯，而是始终向上的分段扶梯（当然，有些商场为了让客人停留时间变长，特意把从一楼上二楼的扶梯和从二楼到三楼扶梯搞的好远好远）。从投资人角度，投资安全产业也是资产配置的一种安全做法！因为，安全说到底还有潜在的公益属性。

在精神层面，安全产业要服务于的是公众的安全感。比如说反欺诈、防钓鱼等等，就如同这两天热映的电影《我不是药神》，救命的事就别玩暴利吧。

所以，搞安全的人，一定要有爱心，有自觉做公益的觉悟！越是大的安全厂商，越不能偏离初心！