从甲方安全到业务安全创业：这五年我学到的事

原创

黄乐
黄乐

乐总的思维空间

2026年6月3日 08:28
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

黄Sir的创业思考 · 第 01 期

从熟悉的安全体系走向市场，真正变化的是看问题的坐标系。

过去几年，我一直在业务安全创业一线。

很多事情发生的时候，其实没有太多时间停下来想。客户现场的问题要处理，项目要交付，产品要往前推，团队要运转，现金流和市场反馈也要一轮轮消化。

人一旦在真实战场里，很容易被具体事情推着走。时间长了以后，很多感受会变成下意识的判断，但未必真正被整理清楚。

最近我开始把这些年的经历重新捋了一遍。

这组文章我不想把复杂经历包装成几条漂亮的金句。准确地说，这是一个长期在甲方安全体系里工作、后来参与业务安全创业的人，对过去五年真实问题的阶段性复盘。

我想写的不是“我做对了什么”，而是这些年里，我对安全、产品、客户、组织和创业的理解，是怎么一点点变化的。

01

稳定不是没有风险，创业也不是只有风险

很多人问过我，为什么当时会从一个相对稳定的平台出来创业。

如果把创业理解成“我觉得自己一定能赢”，那其实很危险。创业没有人能提前保证结果，尤其是做 ToB、安全、业务安全这种市场教育成本很高的方向，热血解决不了问题。

我当时真正想的不是“我一定能成功”，而是另一个问题：

如果创业三年失败，我会不会比原地不动更差？

我在甲方安全体系里工作多年，经历过重大保障、真实攻击、系统故障、黑产冲击和内部协作，也见过很多安全产品在真实环境里的作用和局限。这些经历给了我很重要的底层训练。

但到了一定阶段，稳定本身也会带来另一种风险：你越来越熟悉环境，越来越知道事情该怎么做，越来越少遇到真正陌生的问题。表面上风险变小了，实际上成长曲线可能也在变平。

所以我后来越来越觉得，创业不是因为我有把握成功，而是因为我算过，失败也值得。

哪怕结果不好，只要真正进入市场、面对客户、理解产品、交付和现金流，个人能力也不会归零。反过来，如果一直留在熟悉环境里，看起来安全，却可能错过一次重要的能力重建。

这可能是我这五年最早确认的一件事：

人生选择里，最大的风险不一定是失败，有时候是不再增长。

02

从甲方到乙方，最大的变化是资源不再默认可控

在甲方做安全的时候，很多事情虽然也难，但有一个天然前提：你在组织内部。你可以找业务部门沟通，推动运维配合，向领导汇报，在组织规则里一点点把事情往前推。

到了乙方，很多前提都变了。

客户的预算、流程、组织关系、历史包袱、人员能力、领导支持程度，都不是你能控制的。你觉得问题重要，不代表客户有预算；你觉得方案有效，不代表客户内部有人负责。

这也是我后来重新理解安全行业的一个起点：

安全不是复制标准答案，而是在每个客户的约束条件下找到可执行的最优解。

很多方案在 PPT、实验环境和供应商自己的逻辑里都成立。但到了客户现场，真正决定效果的，往往不是某个技术点，而是组织、流程、数据、人员和领导支持共同作用的结果。

这件事对一个从甲方出来创业的人冲击很大。过去习惯从“这件事该不该做”判断问题，后来必须同时考虑“谁来做”“谁买单”“谁负责”“出了问题谁承担”“这个组织有没有能力持续运行”。

从甲方到乙方，不只是身份变化，而是看问题的坐标系变了。

业务安全要回到流程、数据和组织责任里看风险。

03

安全的终点不是设备，而是业务和数据

我过去做甲方安全时，经历过很多真实现场。有些事故不是因为没有设备，有些风险也不是再买一个产品就能消失。很多时候，真正的问题发生在业务流程、人员操作、系统交互和数据读写里。

传统安全当然重要。边界防护、漏洞管理、态势感知、应急响应、合规建设，都不是可有可无。但如果只看这些，也容易形成一种错觉：好像安全就是设备、漏洞、告警和报表。

可攻击者真正想要的，往往不是攻击安全设备本身，而是进入业务，拿到数据，影响流程，绕过规则，制造损失。

所以我越来越认同一句话：

安全的终点不是设备，而是业务和数据。

业务安全不是把 IP 地址换成业务名称，也不是把传统告警重新包装一遍。它真正要看的，是用户行为、API 调用、数据库读写和业务流程里有没有不符合正常模式的变化。

传统安全更多是在看攻击者的攻击行为，业务安全更多是在看正常业务的不正常行为。攻击者可以绕过某些安全设备，也可以短时间隐藏技术痕迹，但很难长期、完整地伪装成企业内部的正常业务行为模式。

04

业务安全最难的地方，很多时候不是技术

刚开始做业务安全的时候，我们很容易以为最大的挑战是技术：怎么建模，怎么识别异常，怎么处理误报，怎么和现有安全产品、态势感知结合。

但做了一段时间之后，我发现另一个问题更难：客户组织里，到底谁认为这件事归自己管？

安全部门可能觉得这涉及业务流程和数据规则，应该业务部门负责。业务部门可能觉得这叫安全，当然归安全部门。技术部门则可能认为自己只是提供系统支持，不该背业务风险责任。

于是，一个很有价值的问题，可能会卡在组织归属上。

这也是新品类早期很典型的困境：

最大的敌人不一定是竞品，而是没人觉得这事归自己管。

如果一个问题已经被客户明确归类，有预算、有负责人、有考核、有采购路径，那销售难度虽然也高，但至少它在组织里有位置。

业务安全经常处在安全、业务、数据、风控、技术之间。它越接近真实风险，越容易跨部门；越跨部门，就越容易没人负责。

所以业务安全的市场教育，不能只讲技术先进，也不能只讲“我们更安全”。更重要的是把价值讲清楚：业务安全不是多一个系统，而是帮助组织提前看见业务风险，提高业务运行的确定性。

服务可以让公司活下来，但产品化决定价值能否复制。

05

服务能让公司活下来，也可能掩盖产品问题

创业早期，做服务并不可耻。

尤其是在没有融资、没有成熟产品、没有大量客户基础的时候，服务常常是最现实的入口。通过服务进入客户现场，理解组织结构和安全痛点，同时获得现金流，这是很自然的选择。

安全运营管家不是普通外包。普通外包更多是客户指定任务，乙方完成任务。安全运营管家更像长期陪伴客户，协调安全资源，提高运营效率，并在过程中发现真正值得产品化的问题。

但服务也有一个很大的风险：

服务做得越好，越可能掩盖产品不足。

客户满意，可能是因为你的人足够负责，响应足够快，关系维护得足够好，现场补位足够多。但这不等于产品已经形成清晰价值。

更麻烦的是，客户要什么都接，短期看是在增加收入，长期会让团队被额外需求吞掉。每个项目都要单独照顾，最后核心交付物反而越来越模糊。

如果现在回头看，我会更强调一件事：

创业公司早期一定要先定义清楚客户核心交付物，再决定哪些额外服务可以做。

否则服务会变成一个无底洞，一方面养活公司，另一方面持续消耗产品化投入。这不是否定服务，而是要承认服务和产品之间天然有张力。

服务解决的是眼前客户的问题，产品解决的是可复制价值的问题。创业公司如果长期只被眼前交付牵着走，就很容易用战术勤奋掩盖战略懒惰。

06

创业公司首先要活下来，但不能只会活下来

这几年还有一个很现实的体会：创业公司首先要活下来。现金流为正，比很多漂亮叙事都重要。尤其在外部环境不确定的时候，控制成本、保持收入、放下所谓“创业高管”的身份包袱，反而能让团队更早进入现实状态。

但“活下来”不是终点。

如果公司所有注意力都被眼前项目占满，没有时间思考产品方向、市场变化、客户结构和长期战略，活下来也可能变成另一种停滞。

创业最难的地方就在这里：

你不能不管眼前，因为账要算，工资要发，客户要交付。但你也不能只管眼前，因为没有产品化、可复制能力和战略投入，公司就会一直停留在靠人硬扛的状态。

对人可以温和，但对交付要坚定；对客户可以负责，但不能没有边界；对理想可以坚持，但不能脱离商业节奏。

理想主义是动力，也可能拖慢商业落地。真正难的不是把理想主义丢掉，而是给它配上边界、节奏和交付能力。

07

这五年真正改变的是我看问题的方式

如果只让我用一句话总结这五年，我可能会说：

这五年不是让我得到了某个标准答案，而是让我不再轻易相信标准答案。

在甲方时，我更容易从专业判断出发，觉得正确的事就应该被推进。

创业之后，我开始更深地理解客户为什么犹豫，组织为什么迟缓，预算为什么难批，产品为什么难卖，服务和技术路线为什么会变成组织问题。

过去我会更关注“这个方案是不是好”。

现在我会同时问：

• 这个问题在客户组织里归谁管？
• 客户为什么现在必须解决？
• 如果不解决，损失是否能被看见？
• 谁会为结果负责？
• 这个交付能不能复制？
• 我们是在做产品，还是在用人力填坑？

这些问题没有以前那么漂亮，但更接近真实商业。

也是这几年之后，我越来越觉得，安全行业未来不能只停留在漏洞、设备和合规里。安全从业者也不能只做具体任务，而要能结合公司战略判断投入方向。

业务安全之所以值得继续讨论，不是因为它换了一个新名词，而是因为它逼着安全回到业务现场，回到数据现场，回到组织真正承担风险的位置。

08

为什么我要写这个系列

这篇文章算是一个开头。

后面我会陆续写一些更具体的问题：

• 为什么从安全运营服务切入业务安全；
• 为什么服务能让创业公司活下来，也可能拖慢产品化；
• 为什么业务安全早期难卖，难点常常不在技术；
• 从甲方到乙方，安全人的视角会发生什么变化；
• 创业公司如何处理现金流、交付边界和战略投入；
• 合伙人、团队、技术路线分歧这些问题，如何在压力下被放大；
• AI

出现之后，我对安全行业、产品验证和个人生产方式的判断发生了什么变化。

这些文章不会是标准答案。

有些问题我现在也未必完全想明白。但把真实经历拆开，把判断变化讲清楚，本身就有价值。

如果你正在创业，准备创业，或者在安全行业里重新寻找方向，希望这些复盘能给你一些参考。

至少它可以说明一件事：

创业不是因为有把握成功，而是因为你愿意进入更大的未知空间，并且算过，哪怕失败，也值得。