20歲央企總監的自述及總結，送給各位畢業生

這篇文章構思了一段時間，想寫，但是覺得自己閱歷的還不夠，生怕誤導大家。後來在朋友們的鼓舞下，有了這篇文章，送給所有步入大學、步入社會的朋友們，希望能給你們一點幫助。

我是大可，1996年生人，2016年3月榮升公司級總監，中國電信集團安全專家，代表中國電信赴G20參與保障。

我目前就職於全國前三的互聯網金融支付公司——天翼電子商務有限公司，主要品牌：翼支付，應該有不少人聽說過，主要是負責安全架構工作。

這應該是我工作的第四個年頭了，現在這是第二家公司，加班加的，我感覺都工作8年了...所以人長得也挺著急的。哈哈！

在步入工作前，我花了兩年時間邊讀書邊學編程，學習了Java、PHP、Pascal，目的之前是要參加信息學奧林匹克競賽，再後來某些原因無緣學業之後，於是重操舊業，搞了2年的Web安全滲透，編程之所以說是學習，因為沒寫過大型項目，只實現過功能，關於這一塊兒，我後面會講。

我感謝這個互聯網，同時也慶幸自己生活在這個互聯網時代，能讓我這個被家人說「不讀書將來只能回家種地」的人找到一份正經工作。我從來都是感謝我父母的，因為他們對我的教育從來沒有錯過，我的選擇他們也會適當的給予支持。我的父親，一位非常懂得學習的人，當年中考也算的是全縣第一，還拿過珠心算第一，我偶像，後來不知怎麼怎麼的學業就廢了哈哈哈。這40多年他來一直在踩坑，大大小小的事情全都經歷過，他總說自己運氣差賺不到錢，但是我覺得，他的所有經歷，都是我的財富！

第一份工作，是做安全服務，我拿著父母的寄託——800塊錢，出去了，這也是我最後一次向父母要錢。當年的職業是Web安全工程師，就一個人做這個，主要是幫客戶做滲透測試，做安全培訓，做應急響應。看似平凡無奇的工作，卻學習到了很多東西。因為是創業公司，客戶不算多，以至於我還有時間去寫代碼、去學習。當時我成長最大的方面應該是 服務思維、產品思維、和處事不驚的心態。先是說服務思維，如何和客戶打交道，根據他們的需求怎麼把事情做好，怎麼把培訓做好，這一點上，我積累了一些需求分析和語言組織經驗。再說產品思維，因為是乙方，當然要去對標同類型的一些大企業，去學習他們的產品以及代入到自己的工作中，哪些能解決當下問題，哪些不能，以及不同廠商之間的優劣之處等。最後說心態，當時安全事件頻繁發生，應急響應的事情自然是少不了，從被刪庫，到被勒索、釣魚的客戶，均都接觸過，一般發生此類事件的客戶都非常著急，當時的我也犯了一個錯，就是心亂了，衝動了。因為當時看到勒索界面時，覺得勒索者很囂張，於是我嚷著報警。後來事情解決之後，我靜下心想了很多：「客戶被入侵了，被勒索了，難道他們不知道報警？他們想到我們，目的是讓我們幫他們解決問題，而不是衝動！如果鬧到警察那裡，很明顯事情影響範圍會不可控。」 算是一個收穫吧，不過易衝動這個性格後面也持續影響著我。

一個機會，我懷揣著夢想來到了翼支付工作，當時安全中心剛成立，只有三個人。那一年，我卻紮根在了研發中心。我一直告訴自己：你沒讀過大學，沒接觸過大世面，連大城市都是第一次過來，一定要好好學！ 就這樣，我花了一年的時間熟悉了架構，審計了大大小小數十個業務系統代碼，看了不下二十本書，發現了數以百計的潛在安全問題。在純粹的做安全技術的這段時間裡，我總結了很多，也很感謝大家的幫助和配合，同時因為企業對技術重視，得以推動了目前相對成熟的SDLC 安全開發流程，安全團隊也逐漸壯大了。在這裡，很多人會想，「你是不是技術很厲害？我沒什麼技術怎麼做出來事情？」，其實我技術水平暫且不說，也算不上多厲害，但是一定要善於學習！我有個癖好，就是喜歡買書看書，經常告訴自己：「行業上這麼多書，看了嗎？看了，能發現作者哪裡薄弱哪裡強嗎？能發現自己到底哪裡不足嗎？」 沒在大公司工作過，沒接觸過互聯網的體系，對一些技術也不懂，怎麼快速融入？最簡單的辦法就是看書，這有一個最大的益處，就是填補你閱歷的蒼白！想想，別人花了幾十年經歷和總結出來的東西、體會過的滄桑，你花個幾天幾個小時就給經歷完了，不覺得很有收穫，很有意思嗎？

後來，接觸了很多東西之後，再加上之前做安全服務時的總結，基本上對這個行業是有了自己的理解了，同時自己又是處於甲方的，所以對」安全產品」這個東西開始有了自己的想法，於是先從最能解決當下問題的安全產品開始架構。從沒有研發，就自己，再到建設一個5-8人的研發團隊，這段時間裡真的能體會到一句話，就是年輕時有顆狂躁的心，總以為無所不能，可青春易逝，時光殆盡，錯過的，失去的，在你一無所有的時候都回來打擊你。於是，開始調整心態，把該放下的，就都放下了。中間有想過放棄，但是那些不好的聲音，促使我堅持了下來。我跟自己說：「我做，是因為我能；我能，是因為我想；我想，是因為你說我不能。」 然後經歷了第一個項目之後，總結了：「有時人生中最艱難的事情，反而能鍛造最堅強的你。」 在那些最苦的日子裡，一個個黑夜，一個人過，經歷過10天只睡三十個小時，也經歷過人走茶涼。現在其實亦是如此。哈哈經歷的多了，衝動的性格都磨掉了一些，也學會一笑而過了。

有些事情感覺沒啥亮點了，我就不去贅述了，總之就是人丑就該多努力吧。

接下來，把自己最拿手的3個總結送給部分讀者，其他沒寫的，也都可以來問我，能答盡量答！

1、我適合做什麼？

在你選專業、找工作的時候，一定要問清楚自己興趣點在哪裡，興趣絕對是最好的老師，但是也要想你的興趣能不能足以支撐你的生活。如果你不知道自己該做什麼，也可以問問你的父母、問問你的同學，讓他們去給你建議，如果最後依然捉摸不定，就去選一個相對擴展性高一點的專業，比如不知道自己喜不喜歡信息安全，那麼專業就盡量選計算機專業，不要刻意的去選信息安全。大學盡量多參加社團，多接觸東西，這樣大三大四你差不多就有自己的職業發展方向了。

2、如何掌握一門編程語言？

這個問題其實和第一個問題有關聯，還是要靠興趣。我初一就開始接觸編程了，當時流行的是PHP，一直學，一直不會，對編程思想什麼的基本上都不懂，就會寫基礎的代碼，編個簡單地網頁，所以說自己根本算不上什麼天才。有的時候寫著寫著還想著放棄，後來總結出來了，是學習方法不對（可能這就是我學習成績不怎麼好的原因）。我想大部分人學編程都是靠看書、看視頻，如果你依靠這種方法學不好、學不懂編程，那麼我推薦你換上我的方法：在你學習一門語言的時候，在心裡定個小目標，你要做出來是什麼。舉個例子：我要做個漏洞管理的東西；那麼管理東西是不是需要學資料庫？在了解了資料庫之後發現增刪改查是必備的，於是，學了個mysql，先學建庫，建表，增加了自己的第一條漏洞數據，然後查、改、刪，OK資料庫基本操作咱學好了，那麼我怎麼用代碼連上我的Mysql資料庫，把我的漏洞數據取出來呢？ 肯定需要先寫JDBC模塊來連接，然後取數據、查數據，展現到HTML界面上，OK了。 這就是最基本的學編程的方法，只要你帶著目的去學，就能學好，千萬不要被書本上的代碼以及視頻里老師的思路帶著走！只踏著別人的腳印走，你永遠發現不了新的路。

3、甲方企業如何開展安全工作？

對於技術體系相對成熟的企業來說，是非常容易開展的，因為講究效率，願意花錢去請諮詢公司、去招人，只需要將安全流程嵌入到你們現有的管理體系中就OK了。

但是對於中小型企業，或者是比較保守的企業來說，就沒那麼簡單了，你需要招一個在乙方有豐富的服務技術經驗的人，這樣的人接觸得多，懂得你企業安全哪裡薄弱，對行業的產品也比較了解，最起碼能保證你在建設安全的過程中不會被廠商坑，而且還能加快建設時間。因為安全流程現在還沒有形成行業的規範，所以現在基本上都是依據著企業現有的IT體系來的，比如如果你有成熟的項目管理流程，那麼你就可以在需求分析、軟體測試、產品研發、產品上線驗收等這些階段進行安全的介入，安全人員緊缺的情況下，把控住閉環也可以，總之就是沒有規矩不成方圓，在這裡我把產品安全的重要性這樣來比喻：Software Security + Software Quality = Software Integrity。

———————————————————————————————————————————好了，就先寫這麼多。我比較喜歡和人聊職業聊安全聊技術方面的東西，對於安全也有自己的一些理解。同事朋友給我的評價是感染力非常強（我一直在想是不是忽悠能力？？？？），各位如果有什麼想了解的，或者對於自己的職業、學業有一定困惑，琢磨不到方向的，可以加我微信，希望可以對你們有用。謝謝你們！(安全大可)

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！