人物 ｜绿盟科技曹嘉：做管理就是做服务

撰稿 | 贾贾
编辑 | 图图

2001年的“红色代码”让曹嘉知道了有一个行业叫网络安全，也知道了有一家企业叫做绿盟科技。

2017年5月12日，Wannacry爆发的时候，他已经是绿盟科技安全服务部的总监，从首个客户处提取样本，到形成产品检测能力，编制完成可落地的处置手册，团队花了接近40个小时。“如果周一上班之前，没有完善的处置手册和技术方案，客户的业务会瞬间瘫痪，这将是灾难性的时刻。40个小时的窗口时间尽管已经是安全行业的普遍甚至优良成绩，但未来，这一时间窗口需要逐步缩短”。曹嘉充分意识到了这是演进的方向，“除了安全能力的进步，未来在大型安全企业内部，要实现众多能力中心的拉通，实现后台到前场的拉通，实现全国地域范围内的客户情报、事件处置等能力的拉通，安全服务需要致力于打造柔性的“能力中台”和“知识总线”，通过能力中台的运营实现全方位的能力拉通，让关键角色之间的对接和沟通时间缩到最短；利用知识总线做好知识各部门同步，确保团队具备相同的知识底座。

当安全服务进入2.0时代

在2020天府国际网络安全高峰论坛上，曹嘉提出，在新基建的安全建设进程中，需要在顶层设计阶段即纳入对四块“安全基石”的考虑：攻防对抗能力、数据安全与隐私保护、产业融合以及人的因素。这四块基石成为了保障“新基建”稳定发展的前提条件，也将安全提到了一个全新的高度。

说出这番话的曹嘉，胸膛里是充满底气的：绿盟科技自2018年开始，已在国内7座区域性中心城市开展城市网络安全运营中心建设工作，初步形成重点落子、全局辐射的快速发展态势。而2020年，绿盟科技成立的二十年整，又发布了安全服务体系 2.0，重新定义了安全服务的模块和流程。

2.0体系脱胎于绿盟科技早期的“5-3-9-3”模型，核心则是基于运营体系和知识体系，它把以往标准化的工序再次解构重组，让安全服务与产品、营销之间产生了新的化学反应。曹嘉说，促成这套体系的关键点，是团队的结构化。

信息安全行业以及绿盟科技安全服务时间轴

（2000 -2020 年）

曹嘉告诉笔者，现在2.0的从建立到启动，未来将持续的运营优化，基于安全服务的各类高频场景，逐步固化。安全服务是高度知识密集型的业务，即便是功能完善的安全产品，脱离安全知识也很难用好，无论是攻防对抗还是咨询设计，仅仅靠个人的能力做服务是不够的。他把团队比作一个能力模型，客户希望的是一个万能模板；但从行业的角度看，其中的“长板”人才是最管用的：在安全语境中，凑十个臭皮匠也顶不了一个诸葛亮。只有在同一套知识语境下，让各领域拔尖的人才形成有机的合作，最终才可能达成客户的期望值。

“目前绿盟科技的人才结构，是以专业人才+CSO式的顾问型管理者为方向的培养方式，最终绿盟科技培养出来的安全人才，应该是业界认同的岗位角色，而不是只能适配一家公司的“螺丝钉”。”谈及会不会担心团队被甲方挖走，曹嘉一派轻松地笑了，“有团队就会被别人挖走，这促使安全服务的业务管理者时刻思考人才梯队的建设和人才的职业发展，解决好这个问题，人员的职业发展和企业的商业诉求才会殊途同归。”

绿盟科技安全服务人才发展路线图

搬好每一块砖，主动选择每一次挑战

“其实我被绿盟拒绝过一次，因为那时我还不够格。”

曹嘉讲出这句话时云淡风轻：刚毕业那会他进了一家做系统集成的外企，离职后第一次给绿盟投递简历，但被拒绝了。第二份工作是在外企，在外人眼里可谓是无限风光，但他怎么都不适应。他说，这种不适本质上来源于无法学习和无法融入企业文化，在他看来，怀抱求知欲望的年轻人不应止步于此。

这次失败没有让他打起退堂鼓，2005年，他再次尝试，如愿进入了心目中排行首位的绿盟科技，成为了一名培训师。当时的绿盟科技还没能成立专业的培训团队，曹嘉只能尽他所能将眼前所见的知识全部吸收，把工程、服务和售前的大体系学习了个遍。

有言道：“没有无用的知识，只有还没派上用场的知识。”扎实的功底，让转做咨询的曹嘉很顺利地将技术经验应用在管理上。2013年，他前往西安分公司任西北五省的技术总监。宰相出州郡，两年半的时间内，曹嘉对公司的整体业务运作了解的非常深入和细致，也站得更高，看得更远了。

曹嘉和团队聊过，他曾经以为自己会在一个岗位上干一辈子，因为永远看不到满分的终点；但当他成为一个管理者之后，他才发现自己必须什么都会干，而且什么都需要做好。职业生涯的发展会一直存在选择，这时候只要记住，永远选择有挑战的“Hard”模式就好了。

安全服务存在鲜明的生命周期。决策者需要在恰当的时间点意识到，这个业务在什么周期内会进入到高峰期，又会因为什么进入到低潮期。因为一旦有高端需求的场景业务出现，所有可以工序化的服务，最终一定会变得低端化。这种趋势是由市场决定的：服务的优势其实是创造更大的价值，用更低成本和更高效率，打破现有的营收和增长天花板。

曹嘉表示，绿盟科技现在的主要服务服务分为两部分：专业服务和基础服务。专业服务就是比拼核心竞争力，在核心技术上如何实现突破是决定性因素；而基础服务更像是则是成熟、高频、常态的服务工作，要求很具体很扎实，但是市场定价确实也存在相对偏低的现状。因此如何带动团队，实现在专业服务能力上的能力提升，打响绿盟安全服务的品牌，同时在基础服务上提升效率和标准化程度，降低边际成本，这就是安全服务团队管理的关键话题。

安全服务是企业文化的代代传承

在曹嘉眼中，安全服务是企业业务能力和服务意识对外输出的一类业务形态，和产品一样，最终是企业文化的一种折射，公司如何定位安全服务背后创造的价值，最终都会影响安全服务业务在客户侧的落点。如果用四个字概括绿盟科技的安全服务，那就是“文化传承”。

这在科技互联网行业内听起来很是浪漫：以身作则的领导、管理者和导师从不说些教条的语言，他们只行动，用作风展示这个企业的根骨——作为企业对外形象中显性的部分，安全服务和企业的文化氛围可谓是相辅相成的。

曹嘉坦言，绿盟科技内不存在“只派活不管理”的上级，一个简单的客户需求，一般企业能解决好这些安全专业问题就不容易了，但绿盟科技还会多想一步，把客户、员工和自身企业放在一起去看，管理者会分析这个需求和客户诉求以及服务交付者的匹配关系，从能力、经验甚至是工作习惯的交付分别匹配，高匹配度的需求排期一直是绿盟资源管理的重要部分，内部管这个计划成为“大沙盘”，也只有对资源匹配做到沙盘式部署，才能在有限的资源下，最大化的达成客户期望和企业内部管理的要求。

为了让更多的年轻人成为能称得上专业的技术人才，现在绿盟科技设立了涵盖各方安全知识基础知识的“星学院”、“云课堂”、网络安全培训学院、绿盟科技大学等多个学习平台，并且还在持续构建更加实战化的演练靶场，已经通过安全服务2.0的持续运营模式，将项目成果快速赋能至服务人员，如果说安全服务1.0的核心价值是能力，安全服务2.0的核心价值就是围绕知识的可运营。

曹嘉眼中的绿盟科技，是一个对技术、创新拥有永远追求和尊重的安全企业，公司秉承尊重专业能力的文化，敢于接受和兼容各细分领域的技术专家的意见，不奉行“官大一级说了算”，毕竟一个行政上级的视野是全局和广阔的，但是也不能完全依靠行政管理者具备全面的安全能力和经验，这时候专家们的意见就至关重要了。

“我会告诉他们，我做结论的分析过程有哪些权重取舍，这样他们也会理解我的处境，相互尊重，这样的氛围才能让年轻人也敢说、敢做，认同绿盟科技的文化，在这里扎根。”

热爱，就是将一件事重复二十年

曹嘉与安在创始人张耀疆的缘分，始于2002年的《聚焦黑客》一书。

为了正统地学习CISSP，刚刚毕业的曹嘉找遍了当时互联网上所有的资料，终于在“安全焦点”网站上，找到了当时张耀疆发布的影印版PDF。后来二人见面一谈，发现果然如神交许久，再次感叹服务、咨询和管理有太多地方是共通的。

一个好的管理者为了弥补欠缺，还是要掌握一定咨询服务的办法。因为服务有很多部分不是纯技术的，反倒是一种角色的转变，心态的变化，把知识、经验和能力转化成服务，让客户感知、享受到服务，是特别重要的。而面对服务体验与管理的融合，如何考虑周围的岗位，让他们感知到你的存在，了解你的观点，甚至是你的不足。“做咨询是我做管理最正确的选择和成长基石。”

谈到绿盟科技安全服务的未来发展方向，曹嘉表示，“延续安全服务2.0的规划，还有很多路要走，安全服务的1.0我们走了接近20年，也基本由绿盟定义了安全服务，2.0的成熟度还差不少，不过可能会有两个变化。”

一是体系化的运营会是关键，首先是体系化：以攻防对抗为例，安全公司需要通过所研究的成果报告，提供给客户更加体系化的建议，这样安全服务的对话层级才会提升到企业安全的必要层面，随着安全在企业在企业治理中的要求和定位逐步显性化，面向企业的安全服务输出物就应该呈现出体系化的结构；其次是运营，安全服务的核心价值就是知识、经验和能力，而运营就是将上述三者沉淀再赋能的过程，当然这个赋能对象也是广义的，可以是内部员工、也可以是客户、甚至是合作伙伴。如果一个体系化的运营模式，能够结合自身的核心技术能力延展至客户的业务，甚至与客户的场景相结合，即完成了和客户的能力共建。

二是一定要设立度量标准，服务即应该有明确的SLA，而目前的服务，提供SLA的少之又少，因此客户就将服务质量承诺变向转变为了对于人的基本要求，而如果说专业服务能力以体系化运营为保障，以此来确保服务具有核心价值；那么基础服务就需要足够的标准化和可度量化，否则，“千人千面”的服务将无法确保基础服务这类高频服务达成客户的预期，就不可避免陷入价格和资质竞争的红海，从而伤害整个市场。

言罢，曹嘉又笑了。他说，有人认为，安全服务就是管理一些做安全服务的人以及写各类的报告，其实他一直理解安全服务是对客户安全期望和厂商能力价值最大化的实现。如果展望这个目标，安全服务这个20年前就存在的业务形态还有很多路要走，多发布一个漏洞，多发布一个体系框架，都不足以让客户感知到安全厂商的服务能力和价值。

“我们启动了虎贲一期的计划，就是为了培养出更多专业安全服务人才，不管是应急响应、红队/蓝队，甚至是未来安全行业的CSO，如果说绿盟是个安全行业的黄埔军校，那么我们还是任重道远，通过安全能力输出达成客户安全期望，并对行业一起打造绿盟对于安全的价值观和人才观，将是绿盟安全服务始终致力的方向。”