从技术至上到重管弱技：我的网络安全认知十年

原创

Always\_Y
Always\_Y

长坂坡下漫谈

2026年10月22日 09:00
湖北

去阅读

网络安全三年复盘（一）

工作刚满三年，我想先回答一个问题：一个信息安全专业的学生，是怎样在十年里从“技术至上”走到“重管弱技”的。

文｜一名网络安全从业者

一、写在满三年之际

工作刚满三年，回顾这三年，第一年痛苦至极，每天都在坚持和放弃之间徘徊，个人成长飞速，逐渐熟悉职场，感觉每天都在成长；第二年，仍然痛苦，偶尔稍显游刃有余，开始逐步适应，持续收获成长；站在第三年，却感到精神上的麻木，工作的重复与无意义，缺少明显的个人成长，迷茫。于是开始反思、回顾，在满三年之际写下这段文字，记录当下的我，留给未来的我审视、参照，或感慨。

自研究生毕业以来，从事网络安全相关工作已有两三年。回顾在安全行业的这几年工作经历，以及本科和研究生阶段在网络安全行业的求学经历，进入这个行业前后也算接近十年。这十年间，整个安全行业变化很大，从开始的方兴未艾到如今热度回落，从业者的感受也在不断变化。

正如哲学中的否定之否定规律，人对事物的认识是一个螺旋式发展的过程。对网络安全行业的认识也逐渐加深，不断发生变化。站在从业第3年、进入网安行业第10年的节点上，全面梳理自己的从业经历，总结对网络安全行业的认知，既是一次分享交流，更重要的是留下一份记录，日后重温，不忘来时路。

二、十年里的三次认知转变

回顾这十年，对网络安全的认识与看法大体可以划分为三个阶段，恰好对应个人高中毕业后的三个人生阶段：大学本科、硕士阶段和工作三年。结合自己的工作特点，我分别把它们总结为“极客思想，技术至上”“初识科研，不唯技术”“岗位实践，重管弱技”。

（一）极客思想，技术至上

“极客思想，技术至上”主要出现在本科阶段。具体时间大致是2016年至2020年，正好对应网络安全概念及行业的兴起。当时就读于一所以信息专业见长的行业特色高校，信息安全专业的课程设置主要是计算机科学基础课程，加上汇编语言、Web安全、逆向工程等专业导向课程。由于学校以工科见长，整个校园氛围都崇尚技术，同学们热衷于编程、开发和各种技术交流，积极参加各类算法和开发竞赛。

在这样的背景下，作为信息安全专业的在校学生，对网络安全的实践、入门和认知几乎都依赖CTF竞赛。受限于学校背景、专业教学特点以及个人接触面，当时对网络安全的认知几乎就是CTF竞赛，觉得个人技术过硬就是一切，网络安全的世界就是攻与防的技术对抗。纵然部分课程提到了安全体系或安全管理，但对在校生来说仍然遥远且难以理解，也是容易被忽略的一部分。

时至今日，有一幅场景仍在我脑中记忆深刻。我的室友在晚上宿舍关灯以后，盘腿坐在床上，盯着架在床上的小桌子上的笔记本，聚精会神，反复念叨着“mov ax, bx，寄存器的值……”，一个程序调试到半夜，直到技术细节有所突破，激动地喊叫起来。正是对网络安全技术的热爱，支撑着少部分人坚持在网络安全这条小众道路上走下去。

（二）初识科研，不唯技术

“初识科研，不唯技术”发生在研究生阶段。学校背景的转换、学习方式的变化，以及阅历的增长和对网络安全行业的深入了解，让我摆脱了技术至上的思维，开始认识安全管理的价值。总的来说，这种转变主要源于三个因素。

一是科研训练。不同于本科阶段的自由探索，以及沉浸于依赖人工经验的渗透测试、逆向分析、漏洞利用等攻防技术，研究生阶段的学习更关注理论性、系统性和自动化。因此，在研究生阶段，我对密码学、PKI认证体系、安全协议以及安全相关法律法规有了更深刻的认知，拓宽了对网络安全领域的了解。研究生选题时，AI跨界应用十分明显，AI+渗透测试、AI+漏洞挖掘、AI+代码审计等方向可见一斑。虽然我内心一直不太认可此类研究，认为灌水多于实际，很多从事相关领域研究的人员可能对安全实践根本没有深入认识，这并非真正的网络安全技术，也不是真实需求，但不可否认，量变会产生质变。这类研究能够推动网络安全技术系统化、自动化，摆脱对人工经验的依赖。

二是在体制内安全管理机构的见习经历。读研期间，我曾有机会到体制内的安全管理机构见习一小段时间。这段实践让我跳出校园视角，站在省市层面，对我国的安全运行体系有了更宏观的认知。在这段见习经历中，我意识到技术似乎并没有那么重要。即使在安全管理的行政机构中，大量管理人员也并非安全专业出身，招考条件不会精确限定到网络安全专业。只要符合计算机专业大类即可报考，并不要求具备漏洞利用能力或网络安全实战经验。入职后的大量工作也是公文处理、上传下达，偶尔涉及技术专业名词，不懂也无伤大雅。

我感到顿悟，也感到莫名的悲伤。自己曾经引以为豪的逆向分析能力和漏洞利用实战经验，在行政管理体系中似乎毫无价值。我渐渐明白，在整个安全体系中，中上层或行政管理层做的是安全管理，重在安全体系的规划和建立；中下层则是细分领域的实践与执行。过往技术至上的认知，对渗透测试、漏洞利用等技术的过分崇尚，不过是视野局限于细分领域的阶段性产物，即“只见树木，不见丛林”。

三是就业准备。“春江水暖鸭先知”，当我真正开始直面就业寒冬，海投简历、参加面试，感受各行业、各公司对于安全人才的需求后，才充分了解网络安全在市场上的定义和要求。主要有以下几点特点：一是安全人员招聘需求较少。从整个IT行业的需求来看，大体呈现出“开发>AI>安全”的趋势。有安全需求的公司少，岗位类型也少，有安全招聘需求的公司一般体量较大、知名度较高。二是不同行业对网络安全的需求差异较大，这可能与各行业对网络安全的重视程度有关，大体呈现“互联网（含新能源车企）>金融>能源>其他”的格局。三是体制内外对网络安全人员的需求存在差别。总体来说，互联网行业大体把网络安全人员定位为乙方角色，招聘时更看重技能水平，岗位类型包括细分领域的安全运营、安全研发、安全研究等。而国企或事业单位对人员的需求更类似安全管理，但情况更复杂，缺少明确定位，要求更加综合，因此招聘时更偏好具有安全背景，同时对网络安全相关政策与制度有所了解的复合型人才。

通过研究生阶段的科研、实习和就业准备，我对网络安全领域有了更高维度的理解。安全不只是技术，也不只是基于人工经验的测试，还包括安全管理、规划运营体系以及政策引导。

（三）岗位实践，重管弱技

“岗位实践，重管弱技”来自毕业后的工作经历。毕业后，我进入一家国企从事网络安全相关工作。结合行业特性和岗位业务特点，在三年的职场经历中，我对网络安全又有了些不一样的认识。由于所处平台的层级，我的工作内容更多是“上传下达”：学习上级单位文件，分解任务，指导下级单位落实。在技术体系上，更多考虑宏观技术体系，协调厂商、获取资源以完善防护体系，重面而忽略点。

在这样的岗位上，我发现国企甚至体制内普遍呈现“管强技弱”。一是泛体制内的工作大多依据文件指导，而指导文件本质上是合规性要求，导致只能从管理上做约束和要求，无法明确要求技术细节。二是在体制内，技术天然难以作为重要成果来衡量价值，尤其是网络安全，其正向赋能效果无法量化，自然也很难体现技术赋能的价值。三是网络安全领域存在麻痹心理。网络安全的底线是不发生重大网络安全事件；某种意义上，其上限也是不发生网络安全事件。做得好与差，在不发生网络安全事件的前提下，似乎没有差别，进一步导致从业人员放松警惕，认为已有的防护体系足以应对风险，忽视攻击手段的迭代升级与隐蔽化趋势，导致技防不足。

这就是我过去十年对网络安全认知变化的主线：先相信技术，再理解管理，最后在岗位实践中承认管理的重要性。想清楚这一点之后，才谈得上具体的安全建设、检测和运营。

本文仅代表个人观点