李维春

安信证券安全总监

这两年关于专业的分享越来越少，主要是因为前面几年被基本掏空了，虽然还在持续地学习，但是想持续产出有价值的内容是挺难的，所以也停笔了很久。最近一个阶段因为经常有人找我谈心，想寻求未来更好的职业发展，感觉有必要把自己对这个问题的思考分享出来。不一定对，但希望能够帮助大家开阔眼界。

有过一些兄弟曾经问过我，为什么愿意加入诸子云，还问我拿不拿报酬？那应该是2019年左右吧，我开始琢磨着想通过某些方式为行业做点贡献的时候，耀疆找到了我，简单聊下来，和我的想法不谋而合，于是我欣然接受。

当时那个阶段，经过前面几年的接触，形成了一个“成熟的安全市场应该由强大的甲方来引领”的认知，但是我发现整个行业的从业人员，尤其是甲方从业人员的个人能力亟待提高：我们自己真不能把锅甩给乙方，骂他们只懂卖产品，不知道帮客户解决问题。

在诸子云的这几年，我的工作重心其实一直是帮助大家开阔眼界、提升能力、拓展人脉，尤其在2019-2021年间，我帮助深圳20多位同行换了工作，心里还是蛮有成就感的。这几年有不少朋友都来跟我交流职业发展的想法，我意识到其实职业发展的问题答案中也蕴含着提升个人能力的内容，于是通过本文把一些常见问题回答一下。

■ 回答：

职业素养更重要。我在多个场合都表达过这个观点：如果把你的个人成就比喻成一串数字，数字越大代表成就越高的话，那么专业能力只是第一位数字，而职业素养决定你后面有多少个零。

这里不是说专业能力不重要，而是说如果你具备了良好的职业素养之后，你在自己的职业道路上可以走得更久、更远、更稳，你的职业发展空间将非常广大。如果你专注在专业能力的提升，忽视了职业素养的提升，你也未必能成为专业领域的专家，很大可能只是一个资深员工。纵观国内国外安全圈的大佬，都具有极佳的职业素养，也是一个例证。

■ 回答：

有如下这些，这里每一项大概都能开堂课，所以就不细讲了。

1、诚信：必须选项。如果不满足这条，其他的就不要谈了。

2、认真、主动：必须选项。认真就是“尽自己的努力把事情做到最好”，主动就是“不需要别人鞭策和激励”。如果不满足这条，其他的就不要谈了。

3、大局观：可选项。大局观就是你能站在比你高1-2级的领导岗位上看待和处理问题。不具备大局观，可能最后可以成为专家；具备良好的大局观，则可以成为领导者，拥有和调动更多的资源、做更大的事业。

4、目标管理能力：必选项。目标管理指凡事都有强烈的目标感，追求目标的达成。这里的目标指的是改变、提升、进步的效果，而不是某一类动作。

5、时间管理能力：必选项。

6、沟通管理能力：必选项。很多技术人员在沟通、表达上有短板（典型如跟同事交流滔滔不绝，跟领导汇报瑟瑟发抖），会严重制约未来的发展。这里用“沟通管理”这个词，指的是在沟通上不但要管理好自己，还要管理好别人，比如开会时候遇到跑题的人，要有意识和能力控场。

7、学习能力：必选项。这里的学习能力不但指快速学习、掌握新知识的能力，还包括愿意学习新知识、新技能的意愿，也包括愿意接纳、容忍并观察学习与自己不一致思想、行为的能力。

8、团队协作能力：必选项。

9、分析问题和解决问题的能力：必选项。

10、独立思考能力：可选项。

11、自律能力：必选项。所谓自律，就是你知道并且做到。判断一个人有没有自律能力，就看自己能不能改变并且坚持。

12、带团队的能力：可选项。如果有带团队的能力并且经历过带团队的阵痛，恭喜你，你又升级了！如果你带过团队，并且培养了至少3位具备良好职业素养的团队骨干，恭喜你，你又又升级了！

■ 回答：看行业、企业、老板。

“行业”就是要选择一个正确的行业，最好选择一个蒸蒸日上的行业，当然，有些行业可能没有那么受到国家、资本、社会的重视，但这不代表你没有前途。典型如通信行业，从业者都说这是夕阳行业，但是华为、中兴的安全人员照样可以在安全行业里面做到顶流。选择一个行业不要看现在薪水的高低，而要看是不是符合国家发展大势，符合大趋势的，国家、资本、社会肯定拼命往里面砸资源，你还怕没机会？

“企业”就是要选择一个你认同、喜欢的企业，尤其是企业工作氛围、文化、价值观。可以通过互联网、朋友以及一些社交软件获得信息并作出判断。有的企业内斗厉害，有的企业内部团队互相有竞争，有的企业管理人性化，但对人要求并不高，尽可能选择你认同的企业。但同时要意识到，没有完美的企业，每家企业都有自己的问题和缺点，要包容这些缺点。

“老板”就是要问清楚你的汇报对象和上一级是谁，搞清楚这两个人对安全工作的重视程度、工作风格。对安全工作重视的老板，就一定会给予你足够的支持，即便没钱也会给予其他方面的支持；再有钱的单位，如果你的老板不重视安全工作，你也不会得到资源和支持。老板是论能力、论业绩，还是论关系、用人武断，一定问清楚。

以上要素如果三者居其二，基本上不要犹豫，直接去吧；如果三者居其一，建议你仔细掂量；如果一个要素都没有，薪水再高都一定不要去。经常有兄弟奔着高薪去了一家公司，待不住两年就离开了，究其根本就是没有把握好这几个要素。

曾经有人问过我，为什么这里面没有“待遇”？因为我认为只要我去了一个好岗位，我不但干活干得开心，而且好公司、好老板也一定会给予我价值相当的待遇。我曾经遇到过一个朋友的案例：他入职之后不久，曾有一个地产公司的CIO以2倍待遇邀请他过去做安全负责人，承诺给安全极大的预算投入，结果他想了半天，没想明白地产公司为什么要做信息安全，觉得行业有问题，最后决定不去。这就属于不被待遇所诱惑，坚持选择正确的“行业”。

现在很多年轻人受到了不正确的价值观引导，每次换工作或者看到一个新机会，第一个问题就是“这岗位多少钱”。说实话，我要是遇到这样的人，就会觉得严重不符合我的价值观，那我一不会招，二不会推荐。

■ 回答：

除了考察他的专业能力、工作经验，按照问题2的内容，考察他的职业素养。据此选拔、培养优秀的员工。

举个例子，如果员工A现在的沟通表达、带团队能力只有50分，专业能力70分，自律和学习能力90分；员工B现在沟通表达、带团队能力70分，专业能力80分，自律和学习能力60分。两者其他方面职业素养差不多。在这种情况下，我会选择员工A进行培养。

■ 回答：

我给不了具体回答，但是我建议以30岁、35岁、40岁、45岁为界限，规划和设计自己的职业路线。

30岁的时候，研究生毕业5年，本科毕业8年，基本上你应该是一个团队的骨干了，专业上已经有小成。30岁之前可以有一次跳槽的机会，但要选择好，平衡好工作和家庭、生小孩的问题。这个阶段要想清楚未来自己的专业特长领域。

35岁的时候，基本上你应该成为团队独挡一面的人物，在团队内部有不可替代的专业能力，最好具备带团队的经验和能力。国有企业、金融单位一般都有35岁的门槛，如果要进入这两类单位，要在35岁之前完成。有精力的，这个时候考虑横向发展。

40岁的时候，如果你想跳槽，一般人都会质疑你还干得动不？所以最好在40岁之前换工作，并且这时最好做到一定的管理级别，或有较多的大型项目负责人经历，或带过较大规模的团队，或者你就做个领域专家，并且是行业里面大概都知道的那种。这个阶段要认真准备横向发展的动作了。

45岁的时候，一般来说，这可能是你人生最后一次跳槽，所以一定要想清楚；这个阶段如果还有变化（不管是换工作还是横向切换到其他工种），大概说明你还有想法，还想努力干一阵子，但要注意平衡好工作和家庭、老人的问题。

如果不愿意在安全领域干到退休，可以横向扩展，向合规、内控、审计岗位切换，或者持续深入、做领域专家。这几年数据合规领域蓬勃发展，我觉得为很多信息安全从业人员提供了新的发展空间。

无论在哪个阶段，都要确保自己有一个良好的体魄，所以要坚持科学锻炼。无论在哪个阶段、哪家公司，都要做一个懂业务的安全从业者。

■ 回答：

1、适当做些投资，关注网络安全投资，无论一级市场还是二级市场，无论股票还是其他投资渠道，通过投资让财富增值。

2、坚持科学锻炼，保证身体健康。

3、高效利用和管理自己的时间，坚持学习、坚持读书和思考。

4、结交优秀的人，向优秀的人学习；少参加低价值的社交活动。

5、不断提升自我，至少在某个方面形成个人优势和个人特色。