文章总结： 文章分析了2026年网络安全市场趋势，指出FUD策略失效，CISO更关注价值验证与投资回报率。安全采购从概念验证转向业务赋能。初创企业面临组织惯性挑战，仅比现有方案更好不足以成交，需提供十倍效能或解决全新问题。CISO需在预算压力下聚焦基础建设，行业竞争加剧要求厂商明确核心定位。 综合评分： 89 文章分类： 安全建设,网络安全,解决方案,安全运营
迈向 2026 年：安全创始人与CISO的挑战与机遇
走狗是狗哥
安在
2026年1月14日 19:19 上海
每年的最后一篇文章往往最难写，总觉得它该比平时更有深度、更睿智、更具洞察力。
好消息是，我终于摆脱了这些自我强加的期待；但坏消息是，这篇文章终究还是带有几分反思的意味。
这已然成为一种传统：一年前（天啊，竟然已经过去一整年了！），我曾邀请读者坦诚交流网络安全现状；
而这一次，我想聊聊2026年即将到来之际，网络安全产品的销售之道以及市场的期待。
网络安全产品销售与其他产品的核心区别
我们总在讨论网络安全行业与其他行业的不同。我也常提及这一点，因为并非所有人都明白：网络安全是横向领域而非纵向领域；网络安全行业存在一种独特的创新驱动力——对手，这一点除了国防领域外，在其他任何市场都难以找到；而且出于诸多原因，我们行业的一切都依赖信任。
这些说法都没错，但除非我们探讨清楚网络安全产品销售与大多数其他产品销售的本质区别，否则就无法看清全貌。
关键原因在于，网络安全领域的销售动作大多是防御性的。这意味着，安全负责人并非随意打探“市场上有哪些新工具”，而是在应对风险、合规要求或董事会层面的担忧。
别误会，首席信息安全官（CISO）和其他安全负责人确实会好奇市场动态——想知道各家公司在尝试哪些新创企业、新想法和新方案。但当涉及到实际付费时，大多数安全负责人首先要解决一些基础性问题，之后才会考虑试用那些酷炫的新想法。
这些基础性问题往往枯燥乏味，但这是另一篇文章要探讨的话题了。
想想其他领域的采购流程吧。作为产品负责人，我曾购买并推广过不少产品管理工具。
我这么做，一方面是为了实现特定目标，另一方面也是想尝试不同的解决方案，看看它们能否为我们带来实质性改变。
营销人员在这方面尤其出名，他们不断尝试、购买、更换工具，乐此不疲。大多数其他部门都有一定的试错空间，但安全团队总是忙于应对现有问题，分身乏术，几乎没有时间去关注“新奇有趣的新事物”。
从历史上看，大多数网络安全采购的核心目的是帮助企业避免麻烦，而非提升效率或助力首席信息安全官（CISO）实现创新。
这就是为什么长期以来，恐惧、不确定和怀疑（即FUD策略）成了唯一的销售驱动力。
在其他市场，新想法通常聚焦于帮助企业获得新的竞争优势、提升效率或节省成本；而网络安全采购方则希望看到切实证据，证明自己的选择是安全的，且在意外发生时能得到保护。
网络安全销售的现实变革
过去几年间，网络安全产品的采购与销售模式正在发生变化，旧的策略逐渐失效。这种变化体现在多个方面，以下仅举几例。
一、从概念验证（POC）转向价值验证（POV）
对有些人来说，这可能听起来像是文字游戏，但事实并非如此。
我观察到一个趋势：行业已基本从概念验证（POC）转向价值验证（POV）。两者的区别很简单。
过去，当一款安全产品依赖深层技术和独特创新理念时，首席信息安全官（CISO）会通过概念验证（POC）来了解产品的工作原理、功能以及如何与现有环境中的其他配置兼容。
而如今，大多数概念已被广泛理解。当人们提到“运行时”“安全态势”“代理”“防火墙”“传感器”等词汇时，我们对其工作方式已有清晰认知。
2025年，首席信息安全官（CISO）不再需要验证概念，他们更关注实际价值——这完全是另一回事。
仅仅因为传感器能收集遥测数据、在运行时进行分析并生成检测结果，并不意味着它能带来多大价值。网络安全领域的大多数产品都是如此。
如今的创始人不会被问到“它如何工作？”，而是会被追问“那又怎样？”。
二、CISO开始摒弃FUD策略，转而关注投资回报率（ROI）
写到这一段时，我突然意识到，这一整节或许可以命名为“从一个三个字母的缩写词转向另一个”。
承接上一点，我发现越来越多的安全负责人已经厌倦了FUD策略。每家初创企业都在对他们说：“如果不购买我们的产品，你就会遭遇数据泄露”。
但由于所有企业都在重复这套说辞，却销售着不同的解决方案，我认为这种论点已经完全被滥用了。
首席信息安全官（CISO）开始无视那些试图制造恐慌的工具，转而寻找能提升业务韧性和效率的助力。安全负责人会追问：这款工具如何帮助公司取得更大成功——比如减少人工工作、更快响应其他团队的需求等。
我觉得这种情况颇具讽刺意味。长期以来，安全供应商投入了大量营销资金，宣扬首席信息安全官（CISO）应“懂业务、赋能业务”。
而如今，当首席信息安全官（CISO）真正践行这一理念时，我们却发现，大多数供应商根本无法为业务提供任何“赋能”。可以说，他们帮助建立了一套自己都无法满足的采购标准。
三、CISO关注投资回报率（ROI），但传达价值却愈发困难
这就是理想与网络安全行业残酷现实的碰撞：即便我们想展示投资回报率（ROI），实施起来也绝非易事。
如今资金不再廉价，大多数公司在预算分配上变得更加谨慎。这对网络安全领域来说是个坏消息——每当首席信息安全官（CISO）为某项安全举措申请预算时，它都要与其他能产生收入的项目竞争。
如果一家公司希望年收入翻倍，它更有可能投资于新的安全举措，还是营销、产品或销售部门声称能增加收入、提高毛利率的项目？答案不言而喻。
我认为大多数人并未真正意识到，许多公司的首席信息安全官（CISO）争取新预算有多艰难。
我们常听到一种无稽之谈：“很多首席信息安全官（CISO）不是业务领导者”，但却没人承认，在所有公司都聚焦于成本削减和营收增长的背景下，能让高管团队支持并资助新安全举措的首席信息安全官（CISO），都是沟通大师、谈判专家和理念传播者。
传达网络安全价值的挑战，在沟通开始前就已存在。我们如何衡量风险降低的程度？
如何解释投资回报率（ROI），并量化因实施安全控制而避免的攻击所节省的成本？
这些都是修辞性问题，但当首席信息安全官（CISO）为关键举措争取预算时，他们却不得不认真思考。
公平地说：不仅是首席信息安全官（CISO），许多其他高管也难以将支出与成果挂钩。比如营销人员，他们很难将销售活动与自己推动的具体举措关联起来。
但首席信息安全官（CISO）的不同之处在于，他们获得的关注更少，而董事会唯一满意的结果（零数据泄露）根本不切实际。
2025年网络安全销售陷入两难境地
我的结论是，网络安全销售正陷入两难。
一方面，FUD策略已不再奏效——除非某家公司拥有极高的市场认可度，让采购方认为其是最安全的选择（初创企业很少能达到这一水平）。
另一方面，我们仍在艰难地传达安全控制的业务价值，也未能找到FUD策略的替代方案（顺便说一句，FUD策略虽然对行业发展并无益处，但确实让不少公司赚得盆满钵满）。
在我看来，行业最大的差距与安全负责人能否传达安全控制的价值无关——尽管这一话题在会议和社交媒体上频繁被提及。
真正的问题在于，太多创业者根本不知道自己在解决什么问题。
我记得曾与朋友乔纳森·哈斯聊天，他说得非常精辟：大多数早期初创企业无法成长，是因为它们没有弄清楚自己应该在哪些方面成长。
换句话说，它们不知道自己的发展方向，甚至不知道自己要解决什么问题。在所有“下一代”“人工智能驱动”的空洞宣传背后，是它们无法明确自己要优化哪个工作流程、替代哪款工具，以及面向哪些客户销售。
在种子轮阶段没有这些答案是正常的（毕竟种子轮的目的就是找到这些答案），但令人震惊的是，有些成立了5年以上的公司，仍然在纠结自己的定位和存在的意义。
迈向2026年：安全负责人面临的挑战与机遇
我认为，进入新的一年，首席信息安全官（CISO）的工作不会轻松多少，但我希望他们能获得领导层更多的支持。
2025年，我们看到了多个案例：当出现问题时，公司创始人与首席执行官（CEO）选择支持首席信息安全官（CISO），而非将其推上风口——最典型的就是Coinbase的案例。
最近，美国证券交易委员会（SEC）还撤销了对SolarWinds公司首席信息安全官蒂莫西·G·布朗的指控。值得一提的是，在经历持续诉讼的噩梦期间，他始终担任该公司的首席信息安全官（CISO）。
对首席信息安全官（CISO）来说，这些迹象无疑是积极的，但显然，他们的工作不会变得更轻松。
预算压力将继续迫使他们“以更少的资源做更多的事”，而该领域众多供应商的嘈杂宣传，只会让他们更难分辨真假。
但好消息是，这些噪音也为安全负责人提供了一个契机：重新聚焦核心基础——因为这才是真正重要的东西。企业之所以不断遭遇数据泄露，并非因为没有购买所谓的“下一代”产品，而是因为基础工作没有做到位。
迈向2026年：创始人面临的挑战与机遇
进入2026年，市场竞争将愈发激烈。过去几年间，数十家（甚至数百家？）新创企业纷纷成立，其中大多数仍处于保密阶段，但它们都在尝试解决各类问题，提供新的解决方案。
这些企业大多并非在解决新问题，而是瞄准现有市场——这意味着它们必须说服采购方更换现有的解决方案。
这绝非易事。近一年前，埃亚勒·沃思瓦特在领英（LinkedIn）上发表了一篇帖子，我深表赞同：
“‘更好的捕鼠器’式宣传在网络安全领域已行不通。原因如下：大多数企业已经搭建了安全基础架构。终端检测与响应（EDR）、安全访问服务边缘（SASE）、安全信息与事件管理（SIEM）、云安全态势管理（CSPM）——核心技术栈已经就位。虽然不够完美，但足以应对几乎所有情况。
去年的经历让我明白：即便在完美的概念验证（POC）中展示了40%的检测率提升，首席信息安全官（CISO）仍然会选择放弃。为什么？因为‘更好’已经不够了。想想看，当我们推销‘更好’的解决方案时，实际上是在要求客户：
· 拆除现有的集成系统
· 重新培训整个安全团队
· 重建自动化剧本
· 修订流程与文档
这一切只为了什么？仅仅是边际改进。残酷的事实是：除非你的产品能带来10倍的提升（不是50%，而是10倍），否则你将无法对抗组织惯性，注定失败。
你真正的竞争对手不是其他供应商，而是‘足够好’的现有方案。我认为，2025年，只有在以下两种情况下，交易才能达成：
1.合规要求迫使变革（即你的产品解决了特定行业的细分需求）
2.你的产品解决了客户现有技术栈无法触及的全新问题
这两点都取决于产品本身。因此，销售人员能做的其实有限。
相反，如果我们能展示出数量级的改进——足以证明组织变革的成本是值得的，并且能带来更好的业务成果——我们才能促成更有价值的交易。
除此之外的所有宣传，都只会让本就不堪重负的安全团队陷入选择疲劳。去年我得到的最坦诚的反馈是：‘你们的解决方案确实更好。但“更好”并不值得我们付出变革管理的成本。’——来源：领英（LinkedIn）埃亚勒的帖子。”
埃亚勒的话在一年前是正确的，一年后将更加正确。
显然，作为创始人，我们必须相信，首席信息安全官（CISO）仍会对新一代企业的产品保持足够的兴趣。
我对此深信不疑，但初创企业的门槛将持续提高。虽然前路不会更轻松，但我认为，当压力来袭、生存本能被激发时，人们会更快、更高效地明确自己的定位。
在这一年即将结束之际，我必须说，行业仍在不断成熟，我对未来的发展依然充满信心（如果你对此缺乏信心，不妨读一读《网络乐观主义宣言：为什么我们有理由对网络安全的未来保持乐观》）。
愿新的一年里，更多企业能明确自己的使命，并有足够的资金支持去实现它。
创办初创企业并非易事，我祝愿所有为守护我们的当下与未来而不懈努力的人们，在新的一年里一切顺利！
无论是首席信息安全官（CISO）、创始人、营销人员、投资者，还是安全专业人士——无论你是谁，我们都站在同一战线。新年快乐！
原文链接：https://ventureinsecurity.net/p/going-into-2026-what-founders-and
加入诸子云知识星球
获取更多“安全意识资料”和“网络安全报告”
<
左滑了解更多详情
>
安在安全意识团购服务
安在新媒体面向企业用户，推出“网络安全意识团购服务”，涵盖宣传素材、培训课程、威胁体验、游戏互动等，采用线上线下融合的方式，帮助员工掌握安全要点，并提供定制化安全策略咨询。
<
左滑了解更多详情
>
**部分展示，以作参考
更多服务，详情洽谈**
Tina 诸子云群秘
END
点击这里阅读原文
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安在 走狗是狗哥《迈向 2026 年：安全创始人与CISO的挑战与机遇》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论