Question

1.社会分工

亚当·斯密在《国富论》写道：人的天赋差别并不大，造成人们才能上重大差别的是分工的后果。哲学家和挑夫之间的差别，就是职业分工的结果。社会分工在我们学习时就已经开始了，我和同学在参加高考时，大部分都不太清楚计算机科学与技术、材料科学、电气工程自动化等专业会在未来对自己就业和职业发展带来怎样的影响，但职业分工已经开始了。

现代工业发展，将业务流程化、标准化，催生了一个个非常细分的岗位，一方面大大提高了社会生产率，另一方面由于社会分工的高度细化，大部分劳动者只能在流水线前日复一日不知疲倦地拧着那颗螺丝钉，可替代性很强，因此价值很低。保安、柜员、前台、应收应付会计，甚至是比较底层的码农、一线人员等。而且由于这种重复机械性劳动的禁锢，劳动者还失去了学习的机会，这意味着他很难提升自我的内在价值。

举个例子，笔者原来在一家全国性股份制银行信息技术部工作，近距离观察过 IT 部门负责采购的同事们的工作状态，因为 IT 部门的项目比较多，采购同事们工作任务比较重，因此分工比较细，包括需求审核、采购文档录入和审核、供应商管理、采购谈判、合同签订和管理等几个岗位。负责文档录入、合同管理的同事每天要面临大量的采购文档和数据录入，经常加班到很晚，没时间学习新的技能充电，回家就躺床上一动不动了。对于他们来说，个人核心价值的提升，就会相对比较困难。

反之，一个人的不可替代性越强，就越有价值。构建个人核心竞争力，一定要在自己的专业领域做出深度，成为专家。同时兼顾知识的广度，在相关的专业领域上扩展自己的知识结构。选择工作的时候，规避主要内容都是 dirty work 的工作，最完美的状态就是每时每刻都能学到新的知识，按照“10 000 小时”定律努力下去，就有可能成为某行业的顶尖人才。

小结一： 尽可能规避社会分工给个人职业发展带来的不利因素，尽快塑造工作中的个人价值与不可替代性。

2.给职业生涯上杠杆

是不是每个人坚持按照“10 000 个小时”定律努力下去，就能成为顶尖人才，从此走上人生巅峰呢？显然不是。一方面，个体的差异是存在的，有些人适合从事技术类岗位往深度发展并成功，有些人并不适合。另一方面，高阶岗位除了需要技术专家以外，更多需要全面解决问题的复合型人才。

所以说，不管是做技术，还是做管理，或者做各种一线运营工作，你能创造的价值都是有明显的天花板的。如果你从事的工作职能单纯是靠出卖脑力和体力，那么就算是能力再强，天赋再高，24 个小时不睡觉，一个人最多也就顶俩、顶仨，这是人的生理极限所决定的，那么你也就创造了两三个人的价值。如果你想迈入更高职级职位，必须突破个人生理极限瓶颈。

如果是“搬砖”性质的工作，长年累月地加班，累死累活，也就是砖搬得又快又好又多，发展空间有明显天花板的，再进一步就要猝死了。会计行业很多审核发票报销的岗位、银行的柜员、四大会计师事务所的安全审计等日复一日重复工作且得不到太多价值提升空间的岗位，随着人工智能发展，未来能保住饭碗就算不错了，这是市场供需和工作难度决定的。

破解困境的方法是给你的职业生涯上杠杆，用你的 24 个小时去撬动许许多多别人的 24 个小时，你才能用你那渺小的身躯创造出更大的价值。组建团队，团队作战产出更多绩效是上杠杆；优化改进现有工作机制避免类似问题再次发生是上杠杆；拓宽工作范围承担更多职责是上杠杆；合理利用和优化资源配置解决实际问题还是上杠杆。如果说在自己的专业领域做出深度，成为专家是 1，给职业生涯上杠杆就是 1 后面的 0，给职业生涯上杠杆，你可以十倍百倍地创造价值。很多安全传奇人物，技术上到达一定巅峰后，转而从事各类“安全生态”建设，推动某个安全领域往前发展，这也是善用团队力量，优化配置资源，从解决单纯的点状问题转向批量彻底解决一类问题。庄子说，“君子生非异也，善假于物也。”安全从业人员，也可以审时度势建设各类“安全生态”，善用团队力量，优化配置资源，从而创造更大价值，那其职业生涯也将取得更大成就。

小结二： 个人单独能创造的价值有明显天花板，给职业生涯上杠杆，善用团队力量，优化配置资源，创造更大价值，职业生涯将取得更大成就。

3.像创业那样去打工

周鸿祎说他当年工作，与别人最大的不一样就是，从来不觉得他是在给别人打工，他觉得是在为自己干。因为他干任何一件事情首先考虑的是，通过干这件事情能学到什么东西，学到的东西是别人夺不走的。塑造个人价值的不可替代性，给职业生涯上杠杆以创造更大价值，如果说这两方面属于职业规划的战略，那么像创业那样去打工，就属于职业规划的战术。

人的本性是懒惰的，科技进步的本质是为人类提供更“懒惰”的生活方式。基于这一前提，个人是很难突破本我，实现超我的。为什么有的人像打了鸡血一样勤奋不辍，为什么有的人孜孜以求，为什么有的人对于困难甘之如饴？因为这类人不是在为别人打工，是在为自己打工，是在创业。由要我干，转变为我要干，就是在创业，在为自己的未来打工。像创业那样去打工和其他打工的区别是，前者不断在学习，提升自身价值，后者在日复一日的重复劳动中消耗青春。

学东西，在工作中分为被动学习和主动学习。被动学习是指，为了完成日常工作任务和弥补知识欠缺，你不得不进行学习。需要注意的是，这种学习其实是十分高效的，因为为了生存，人容易调动起学习的积极性，因此，一份好工作，它的被动学习空间应该越大越好。大部分人，如果不是环境所迫，一般都不会主动去学习，容易陷入混吃等死的工作生活状态。工作的流水线程度越高，被动学习的空间越小。什么样的工作被动学习空间小？那些一成不变，不断重复，工作非常清闲，完成过程不是那么“痛苦不堪”，这样的工作被动学习空间比较小。

为什么大部分行业，销售类的岗位收入都高于其他同等要求的岗位？因为不同行业不同发展阶段的客户需求千奇百怪，会遇到和需要解决相关的各类令人棘手的问题，这些都是很需要经验的非结构化问题。

主动学习，指平常工作可能用不上，主动储备用于以后使用。对大部分人来说，如果没有环境逼迫，加之日常繁重的工作，很难做到持之以恒、积极地主动学习，而且人的时间、精力总是有限的，如果对自己所处行业的大局和趋势缺乏了解，一般人很难能框定一个比较合理的学习范围，万一学了一堆用不着的职业技能，也会付出巨大的机会成本。主动学习不如被动学习效率高，但一旦建立起主动学习的能力和习惯，持之以恒地坚持，机会一定会垂青有准备的人。

每个人对人生的追求都不同，有的人喜欢平淡简单知足的生活，有的人立志成为呼风唤雨的大佬，不同的人生目标选择的道路自然不同。但千万不要因为贪图安逸而做出选择，因为短期的安逸必然会让你付出长远的努力来弥补。

小结三： 抱着创业的心态去打工，个人利益与公司利益正好能一致，那么工作积极性会大大提高，客观上也会为公司创造价值。

4.安全人员职业发展路径

要回答安全人员职业生涯发展路径问题，我们先看看安全岗位分类，根据安全岗位所需的智商情商划分成象限图如图 24-1 所示。

图 24-1　安全岗位所需的智商情商划分成象限图

笔者认为适合有志于安全从业的大学毕业生的职业规划思路如下：

（1）规避 A 类工作

图 24-1 中，A 类工作属于不需要太多技能和经验，且日复一日重复度极高的工作岗位，但很不幸，大部分安全从业者就像刚申请游戏账号的新手一样，都是从 A 类工作开始安全之旅的。A 类岗位是必经之路，就像刚毕业的人总会经历一个干苦活累活杂活还没有太多成就感的阶段，想尽量走出 A 类岗位的玩家，会有意识地做到：

·尽可能将岗位工作标准化、自动化，节约人力，空出时间干更多有提升价值的工作和学习。

·将交给的工作认真做到位，经常利用下班时间钻研，知其然更知其所以然，把原理和本质吃透。

·总结经验教训，反向改进优化机制，提高效率，避免类似问题重复发生。

在 A 类岗位工作是新手玩家必经的一道坎，很多玩家倒在这道坎——从业十多年还在从事基础类工作。只有顺利且迅速地迈过这道坎，才能打开 B 类和 C 类岗位工作，并最终迈向 D 类岗位工作。

（2）尽量从 C 类做起

为什么不是尽量从 B 类工作做起，是因为在中国大部分应届毕业生情商还不够高，在个人品质上，普遍脸皮薄、害羞、内敛，不如西方特别是欧美人热情自信，如果先从 B 类工作做起往往会最终感到不适应，而那时技术可能早就荒废了，从管理人生的风险敞口角度是不太合理的。C 类工作有两个特点：一个是学习空间大，这样在工作上花的时间会凝结成自身的价值；二是会经常需要解决非结构化的问题。

大部分安全从业人员都面临在 C 类和 A 类岗位之间做出选择，比如金融企业大多会购买一些安全设备，如 IPS、WAF、数据库审计之类，A 类岗位安全设备管理员的工作内容就是确保设备正常开关机，按照厂家建议修改一下默认规则配置，流量镜像、日志告警正常，偶尔看看高风险告警情况，定期出几份报告，加黑几个 IP。C 类岗位的工作内容是，先搞清楚安全设备底层原理，测试设备全部安全功能并知晓各功能局限以及关键有用功能，搞清楚此类安全设备能够防护的攻击类型和常见绕过方式，针对性地配置防护规则和告警规则并作出优化，对于高风险告警一一进行安全分析并反向优化，对于异常进行溯源、定位、清除。明显 C 类岗位比 A 类岗位对安全有效性更有价值。选择决定了未来。

即便是从事 C 类岗位工作也很快就会遇到发展的瓶颈。原因有两个：

·从企业角度来说，某一业务流程一旦变得越来越难杂，企业就会有将其不断肢解细化的强烈内在冲动，以降低对核心员工的依赖。比如，安全分析中的安全事件应急处理，企业希望能够将安全分析的工作分解，流程化、标准化和工具化，一部分安全分析的工作能够交由技术功底和经验不是那么多的初级人员去完成，慢慢地安全事件应急处理就是照着标准的工作书，拿着标准的工具、流程跑一遍就好了。现在绝大多数的安全厂商的应急处理就是这样的。

·从个人角度来说，工作一两年之后时间的边际效用在降低，不像刚入行每天都可以学到新的知识，重复机械劳动逐渐成为常态。在这种情况下，工作所花时间并不会让你的人力资本增值，反映到薪酬上就是工资开始顶到了天花板停滞不前。更糟的是，一旦你花了一辈子去学的赖以谋生的技能技术一旦被社会淘汰，带来的后果可是灾难性的。就像二十年前搞 BP 机一样，每个行业莫不如此，技术更新有快有慢，IT 行业技术更新尤其快，安全行业更甚，只有不断学习、时刻保持着一种危机感才能立于不败之地。

（3）B 类要尽可能覆盖范围广

B 类岗位特点是对技术（智商）要求不是特别多，但对情商要求比较多，比如 IT 内控合规类岗位、安全审计类岗位，这类岗位要想出头，必须在工作内容覆盖范围广度方面拓展，比如安全管理岗的职级高低，在于其 Cover 的安全管理范围大小。

（4）D 类是安全从业人员发展的终极目标

D 类是安全从业人员发展的终极目标，建议先从 C 类做起，慢慢承担起 B 类工作，双剑合璧之时便是成功之日。