铁粉们可能还记得，我是产品主导型增长（product-led growth, PLG）的倡导者。我一直都在说，网络安全厂商需要更加公开地介绍自己带来的价值，让安全从业人员能够更容易地试用他们的产品，而不必参加多次强制性演示而且还要获得预审。

Source: Panel on PLG at CyberMarketingCon 2023

不熟悉“product-led growth, PLG”概念的人，可以看看这里简单的概述。在历史上，软件产品是通过传统的销售渠道销售给企业的，销售人员会进行演示，对潜在客户进行资格预审，决定他们是否符合成为客户的标准，并计划进行价值证明（POV）评估。POV评估成功后，合同和定价谈判过程将随之展开，之后客户有望签署长期合同，并在其组织中推广新的解决方案。

在过去的十年中，这种僵化、结构化的采购流程不断演变，变得对买家更加友好。现在，潜在客户越来越多地能够开始使用新工具，而无需参加强制性演示或商谈长期合同。由于公司开始提供测试其解决方案的自助服务方式，任何人都可以创建一个免费账户，开始使用该产品，只有在他们对所看到的感到满意时，才会开始讨论为其公司购买该产品的可能性。

软件购买方式的改变，为初创企业创造了令人印象深刻的机遇。过去十年中，一些上市、出售或估值数十亿美元的大公司都是以产品为主导的。其中包括Slack、Zoom、Shopify、HubSpot等数百家公司。

Source: OpenView

长久以来，人们一直在争论，网络安全初创企业是否适合PLG。截至本文撰写之时，还没有任何网络安全初创企业能够依靠PLG成功成为上市公司、或获得令人瞩目的退出（例如，超过5亿美元）。

去年，对于“PLG”这一术语的创造者，风险投资公司OpenView来说，并不是一个好年景。OpenView未能兑现其投资，最终不得不进入“自愿暂停”模式，然后再决定下一步该怎么做。尽管如此，OpenView的故事与我们的讨论以及整个PLG的未来无关。衡量任何增长战略成功与否的标准都是看它是否能帮助公司实现增长，而不是看提出这个术语的一方的命运如何。

自从我发表上一篇关于网络安全PLG的文章以来，已经过去一年了。

我一直是一个实用主义者，我对PLG的思考也不例外。对我来说，问题从来都不是“如何让这件事在网络安全领域奏效？”，而是“我们在网络安全领域能做些什么，从而有可能推动增长？”正如我以前解释过的那样：网络安全领域的采购流程在很大程度上以信任为基础。这意味着：

• 个人贡献者可以推荐安全产品，但由于风险较高，如果没有高层领导的签字同意，这些产品就无法被采用。

• 评估初创公司提供的安全工具的公司肯定会有疑问，很可能会要求提供SOC2合规性评估等文件，并希望与领导团队中的某个人会面，以获得对公司未来的信心。实施网络安全产品的成本很高，虽然PLG宣扬客户可以"以自助方式注册、添加信用卡并开始付款"，但任何严肃的安全团队都希望有信心你的产品不会在推出三个月后消失。

• 让客户能够轻松评估产品，而无需将其与敏感的生产数据联系起来，这对产品的采用会产生巨大的影响。优化PLG网络安全初创企业的采用流程不仅仅是减少点击和屏幕的数量。它涉及到提供演示内容、随时提供技术文档，以及拥有一支客户支持团队来回答任何肯定会出现的问题。

• 许多网络安全产品，包括为防御而构建的产品，都可能被恶意行为者用于进攻。我之前讨论过开源背景下的类似难题（关于开源进攻和防御工具的两次辩论），而对于商业工具来说，情况可能更加复杂。供应商有责任确保他们的产品不会给那些不遵守条款和条件的威胁行为者提供一种轻松入侵受害者环境的方法。

我在这些方面的想法没有改变。事实上，安全团队并不只是在想方设法刷卡购买新工具。网络安全领域的采购流程非常复杂，不管有没有PLG，都无法绕过这种复杂性。我仍然认为，从长远来看，使产品开放和可访问是我们行业应该走的道路。而且，我坚持我的建议，即初创公司应尽一切可能避免全面采用 PLG（或任何其他策略），而是应该慢慢实施，同时评估其对公司底线的影响，并根据需要进行调整。

虽然我对PLG给网络安全带来的挑战和机遇的理解基本保持不变，但一些经验促使我对网络安全中的PLG不断进行思考。我谈论PLG及其行业潜力的方式确实发生了重大变化。

我对PLG在网络安全领域的作用所持立场的重大转变是，我现在更愿意在讨论PLG的潜在好处之前，先谈谈不考虑PLG的原因，以及PLG可能对安全创业者造成的伤害。这种变化并非偶然。我逐渐意识到，每当我解释PLG的复杂性、为什么它没有在安全领域得到广泛应用，以及为什么安全从业人员不能也不会直接刷卡付款时，创始人就会立即忽略所有棘手的问题，而只听到他们想听到的内容。

很难责怪安全创业者和初创企业的领导者，他们只想专注于听起来像增长承诺的东西，而对等式的另一面充耳不闻。在我看来，有两个因素造成了这个问题。

首先，也是最重要的一点是，绝大多数网络安全初创企业都没有实现增长。原因有很多，但结果总是一样的：风险投资人希望看到收入数字上升，而创始人却苦于不知道自己还能做些什么来实现这一目标。当有人提到以产品为主导的增长，以及它如何使其他行业的数十亿美元公司得以创立时，他们的眼睛就会发亮。这时，他们的思维已经不再清晰，他们听到的只是为什么这个神奇的解决方案"100%有效"。

其次，在Reddit和LinkedIn等社交媒体上有很多人认为，人们已经厌倦了封闭式解决方案。虽然很多业内人士确实有这种感觉，但也存在一些挑战：1）很难了解这些"很多人"是少数人的声音还是市场的一大部分；2）不清楚那些希望通过自助服务获取安全工具的人是否有权购买这些工具；3）很难了解那些对安全产品无法获取表示不满的人中有多少人实际上是通过自助服务购买工具的。此外，许多创始人都曾是从业者，他们对自己感兴趣的产品无法试用的记忆犹新。

最后，很多人都忘记了根本不存在所谓的"安全市场"：从事合规工作的人的感受并不适用于从事身份识别工作的人，而这又与专注于终端安全的团队的感受不同。

无论如何，太多安全行业的创始人、产品、销售和营销领导者都将PLG视为最终实现公司增长的魔法棒。这并不只是因为他们太天真；通常情况下，在对PLG感到兴奋之前，他们已经用尽了所有其他方法来使数字上升和向右移动，因此PLG是他们尚未尝试的唯一方法。为了缓和他们的兴奋情绪，我现在首先要解释一下网络安全领域的PLG为什么是个坏主意。

此外，我现在大声强调，在网络安全领域，PLG的唯一有效形式是产品主导型销售（PLS）。同样，我一直都很清楚，产品只是一个辅助增长渠道，没有强大的销售功能，网络安全初创企业就无法发展壮大。1年半前，我曾说过"网络安全是一个非常拥挤的领域，有些细分市场的情况比其他细分市场要好。采用PLG方法的公司不能坐等人们意识到价值并自行转化。这应该是最终目标，但建立业务的现实情况是，安全领域的PLG初创公司必须不断前进；将PLG与以产品为主导的企业销售相结合是成功的关键"。我现在比以往任何时候都更加坚信，在网络安全领域，产品可以是产生销售线索的好方法，但强有力的销售行动是必须的。人们不会自己"升级"：需要一个销售团队来引导他们完成整个过程。此外，绝大多数收入仍将通过传统销售途径获得。产品可以成为一个很好的辅助增长渠道，但它不会成为公司实现其所需里程碑的途径。过去，我对PLG能否成为网络安全初创企业的一大收入来源比现在更乐观。

所有这一切让我变成了一个魔鬼代言人：虽然我仍然比以往任何时候都更加坚信构建以实践者为中心的工具的价值，但我在谈论PLG/PLS时会小心翼翼。这并不是为了打击创始人和初创企业领导者的积极性，而是为了缓和他们的激动情绪，确保对这一战略感兴趣的人能够退一步，停一停，先想想自己在做什么。

在我看来，网络安全在拥抱PLG方面落后的主要原因有三个。每一个原因都可以映射到在采用PLG战略方面取得巨大成功的三类工具。

在实施PLG方面取得巨大成功的第一类产品是生产力和协作软件。Canva、Airtable、Notion、Zoom、Slack、Calendly、Figma等公司都属于这一类。这些工具自下而上的采用方式如下：

• 个人会在寻找解决自身问题的方法时发现该工具。例如，一个人在寻找更好地管理任务的方法时，会发现Asana或Monday.com。

• 个人可以免费使用这些工具。例如，我一直是Canva、Calendly和Notion的忠实用户，但都没有购买订阅。有些人后来会升级到付费级别（我在Calendly上升级了，但在Canva和Notion上没有）。

• 在认识到工具的价值并爱上体验之后，个人会向其雇主推荐该工具，并在全公司范围内倡导采用该工具。例如，积极使用Notion或Zoom的人会希望自己的雇主也采用这种工具。

生产力和协作软件之所以适合产品主导型采用，关键在于这些工具所解决的核心问题对于不同类型的客户（无论是个人、中小企业还是企业）来说都是相似的。例如，无论客户类型如何，项目管理工具Asana的核心功能都是一样的。使用Asana的企业只需要一些附加功能，如团队和部门级功能、单点登录（SSO）、访问审计日志的能力以及基于角色的访问控制（RBAC）。

网络安全的情况并非如此。正如我之前解释过的，“虽然网络安全是每个人都面临的问题，但安全公司并没有能力为个人客户提供服务，进而为企业客户提供服务，反之亦然。有一些例外，比如密码管理器，但在大多数情况下，个人所需的解决方案（一体化个人安全）与中小企业所需的解决方案（一体化企业级安全）看起来很不一样，而中小企业所需的解决方案与企业所需的解决方案（针对特定问题领域的高级解决方案，如端点安全、云安全等）更是大相径庭。安全初创企业别无选择，只能从一开始就选择自己想要专注的细分市场”。如果个人采用Aura或SquareX，他们将无法让雇主也采用它们，因为企业需要不同类型的解决方案，资产和漏洞管理、端点和云安全解决方案等，而不是“保护家人安全”的一体化工具。

由于网络安全解决方案（密码管理器和VPN除外）无法为公司和个人提供相同的工具，因此与生产力和协作类解决方案相比，它们不适合PLG。此外，个人一般不愿意购买安全工具，他们也绝对不习惯在社交媒体上大声疾呼安全供应商或向朋友推荐安全应用程序。这一现实使得网络安全产品不适合病毒式增长。

第二类软件工具是开发者工具，这些工具在PLG方面取得了巨大成功，如GitHub、GitLab和Postman等公司。从根本上说，这些工具自下而上的采用方式如下：

• 个人会在寻找解决自身问题的方法时发现该工具，并开始免费使用该产品。例如，一名工程师正在开发一个副业项目，他就会开始使用GitHub。

• 在认识到产品的价值并爱上这种体验后，个人会向其雇主推荐，并在全公司范围内倡导采用。例如，一个积极使用过GitLab的人就会希望自己的公司采用它来构建软件。

我认为，能够自下而上地采用开发人员工具的关键因素包括：

• 全球有大量的软件开发人员。
  

• 事实上，软件开发人员会在工作之外编写代码，因此他们在工作中遇到的很多问题也是他们需要为自己的副业项目解决的问题。

• 事实上，在大多数组织中，软件工程师都有权自己进行研究，并推荐公司可以采用的产品。许多公司还允许软件工程师使用自己的工具，甚至为此提供预算。

除个别情况外，安全从业人员并不具备相同的特征。安全从业人员的数量少于软件工程师，因此安全工具的潜在用户群体很小。更重要的是，绝大多数安全从业人员在工作之余都不会使用商业安全工具来解决自己的问题。虽然几乎每个软件开发人员都会在工作之余做一些事情，但并不是每个安全从业人员都有一个家庭实验室，或者在工作之余有一个需要使用安全工具的想法。这也因学科而异：从事端点安全工作的人员比从事漏洞管理或身份和访问管理的人员更有可能拥有家庭实验室。有权评估工具并向管理层推荐不同解决方案的安全从业人员比例远远低于软件工程师。而且，他们肯定没有公司预算来选择他们个人想要使用的安全工具。

另一个需要注意的重要因素是，软件工程师总是在构建一些东西，因此，他们一直在寻找使这一过程更轻松的方法。绝大多数安全从业人员都不是构建者。那些拥有工程思维的人，如安全工程师和架构师，会尝试使用不同的工具，为开源项目做出贡献，甚至构建自己的项目。他们恰恰是非常适合PLG的群体。适合PLG的其他类别安全从业人员是那些利用周末时间尝试不同技术的人。但是，就目前而言，业内大多数人都是实施者和操作者，而不是构建者，而且大多数安全工具都需要一个适当的环境来进行测试。

我认为，终有一天，网络安全领域的从业人员会达到一个临界点，安全公司将围绕这个临界点设计自下而上的市场战略。我深信，我们也开始看到安全工程方法在这一领域的兴起。行业中早期采用这种方法的人员比例越来越高，但他们构成临界质量的时机尚未到来。我们应该有耐心：今天的软件工程已经是一门成型且高度成熟的专业学科，但它并非一直如此。我们花了几十年的时间培训工程师，加上敏捷运动、授权团队和其他变革，才取得了今天的成就。鉴于网络安全是一门年轻得多的学科，我们应该学会耐心，调整我们的期望值，同时继续推动行业向前发展。

第三类软件工具是客户参与和后台办公工具，如Intercom、Loom、Mailchimp和HubSpot。其中一些工具（如Loom）也可以归入之前讨论过的生产力和协作软件类别。撇开分类问题不谈，这些产品之所以适用于PLG运动，是因为它们工作所需的数据非常明确、范围严密、完全透明，而且完全由客户控制。例如，Mailchimp只需要一个电子邮件地址就能发送电子邮件，但客户可以将收件人的姓和名或他们选择的任何其他信息包括在内。即使是Stripe这样的工具，也可以处理价值链中范围明确的部分，这里指的是处理付款。

另一方面，网络安全工具需要访问最私密、最机密的数据，并且通常需要获得许可才能对客户环境进行强大的更改。要从这些产品中获得价值，并使其能够检测和应对威胁，客户需要高度信任，这比通过高度优化的快速注册流程所能获得的信任度要高得多。

我曾撰文详述过PLG的好处及其创造的机遇。但是，如果PLG和PLS做得不好，也会对网络安全初创企业造成伤害。在本节中，我将讨论可能发生这种情况的几种方式。请注意，这并不是一份详尽无遗的清单，其中列出了创始人和高管在讨论PLG/PLS对企业的可行性时需要考虑的限制因素。

PLG会削弱初创企业通过渠道进行销售的能力

正如我之前所讨论的，每10美元的网络安全产品中就有超过9美元是通过合作伙伴卖给企业的。渠道合作伙伴，即咨询公司、增值经销商、集成商和服务提供商，是最大的企业购买安全产品和服务的方式。任何以企业为重点的网络安全初创公司，如果希望年经常性收入超过500万至1000万美元，那么在规划市场推广时就必须考虑到渠道问题。

早期以产品为主导的发展努力并不一定会损害初创企业通过渠道销售的能力。尽管如此，公开产品定价并将其挂在公司网站上很可能会有影响。渠道要想转售公司提供的任何产品，就必须能够获得丰厚的利润。如果解决方案的价格过于低廉，渠道销售人员就会有动力去推销公司竞争对手的产品，因为这些产品更有可能为他们提供完成配额的捷径。

PLG会削弱初创企业与企业客户达成交易的能力

在直接向企业销售时，初创企业创始人需要注意几个因素。首先，企业有采购新工具的流程，不能简单地通过输入信用卡和在全公司部署工具来绕过这些流程。获得法务、合规和财务部门的批准等步骤是整个过程的一部分。

让一些创始人感到惊讶的是，在网站上公开企业层级的定价很可能会让他们的生活变得更加复杂。企业采购团队的任务是始终协商折扣。由于对从事这项工作的人员的评估标准是他们能够获得的折扣深度，因此，如果他们把总价从每年10万美元降到6万美元，他们会比把总价从7万美元降到5万美元更高兴。归根结底，更重要的不是最终价格，而是折扣比例。

列出企业定价的初创企业可能会给自己带来很大的伤害。他们可能会失去灵活谈判的能力，更重要的是，无法提供顺利签订合同所需的折扣。

PLG可能会蚕食公司通过传统销售获得的收入

以产品为主导的增长可能会蚕食公司通过传统销售获得的收入。当潜在客户通过传统销售流程时，销售团队能够了解他们的需求，并推荐最全面地满足这些需求的解决方案。如果同一买家以自助方式采用，很有可能只选择最便宜的解决方案。在这种情况下，客户最终获得的保护级别可能会低于他们的需求，而公司则会失去通过提供额外价值来赚取收入的能力。

PLG会给向市场推出新创意的公司带来问题

当一家网络安全初创企业致力于将新想法、新概念或新技术推向市场时（通常称为类别创建），其首要目标就是教育。创始人需要想方设法了解市场，让潜在买家、合作伙伴和业内人士了解他们正在解决的问题。

有几个原因可以说明，对于解决尚未被充分理解的问题的初创企业来说，PLG可能是一个特别具有挑战性的市场。首先，如果初创企业的目标市场没有意识到问题所在，或者不知道如何表述问题，那么人们就不太可能主动寻找解决方案，更不用说注册使用新工具了。其次，自助式体验消除了学习的机会，因为创始人不知道创建账户的用户是为了什么而来，他们是谁，他们在创建账户时有什么假设。也许，他们是通过口碑找到公司的潜在客户。或者，他们可能是对新想法充满好奇的学生。选择很多，如果创始人失去了与潜在客户交谈的机会，他们很可能会错过重要的见解。更糟糕的是，他们通常没有机会了解人们为什么不采用该工具。最后但并非最不重要的一点是，如果潜在客户不熟悉新技术，那么在没有销售人员指导的情况下，他们就不太可能倾向于购买。

PLG可能会让坏人恶意使用产品，或将“秘诀”泄露给竞争对手

以自助模式免费提供产品会让坏人有可能将其用于恶意目的。值得注意的是，那些真正想获取安全解决方案的人总会找到办法，但这并不意味着让坏人更容易得手就是正确的做法。公司在考虑免费提供其产品时，必须考虑是否不应将某些功能提供给从属关系和动机未经核实的用户。这一点对于进攻性安全领域的初创公司尤为重要。

拥有完全可访问的产品也会让竞争对手更容易收集到有关该公司正在开发的产品的情报，甚至对其"秘方"进行逆向工程。我个人并不认为这是一个重要的问题：如果一家初创公司的竞争优势仅仅因为有人可以访问其工具而受到挑战，我认为该公司有更大的问题需要担心。尽管如此，根据初创公司所处的阶段，这可能确实是一个重要因素（比如，如果初创公司仍处于隐形模式）。

PLG会让初创企业失去对重要能力建设的关注

当任何人都可以创建账户并开始使用安全工具而无需经过销售流程时，就会从那些可能符合或不符合公司理想客户档案（ideal customer profile, ICP）的人那里获得产品反馈和想法。虽然有更多的反馈是件好事，但为了保持专注，初创公司需要找到一种方法来分流、优先处理和评估用户建议。有些人可能会以从未设计过的方式使用产品，或者要求提供一次性功能，而这些功能并不能转化为对其他客户有用的功能。

网络安全创始人和产品团队对前沿、先进功能的想法和建议感到兴奋，并立即投入到用户需求的开发中，这种情况并不少见。这种做法是错误的，因为并不是每个人的反馈都应该得到同样的对待。一个来自初创公司最大客户的想法，与一个在家中实验室免费使用该工具的学生提出的建议，其权重和优先级不一定相同。如果没有严格的优先排序，初创公司就会失去重点和执行能力。

PLG可能导致初创企业失去潜在的销售机会

虽然任何人都可以通过自助方式创建账户并开始使用产品，这可能是一件好事，但也可能导致初创企业失去潜在的销售机会。如果产品过于复杂，或者与业内人士习惯使用的产品差异太大，就会让新用户感到困惑并流失。此外，如果解决方案要求过多的敏感权限或需要机密数据才能开始使用，新用户也很可能放弃该解决方案而不再继续使用。而且，一旦人们认为解决方案不适合自己，就很少会再给它第二次机会。

当公司尚未家喻户晓、客户信任度较低时，当公司提出的方法需要额外解释时，或者当产品需要访问敏感数据才能体现价值时，要求潜在客户参加演示可能是正确的做法。长达30分钟的现场互动可以让初创企业解释自己的观点，更好地了解客户需求，为建立信任关系奠定基础，或协助潜在客户配置演示环境。这些问题在自助模式下都不容易解决。

PLG可能会让人产生错误的希望和错觉，以为pipeline比实际的要大

销售团队通常对销售漏斗的情况以及月底、季度末或年末有望完成的交易了如指掌。当然，事情很少按计划进行，但不确定性通常是可以预测的。

PLG可能会带来虚假的希望，让人产生漏斗比实际更大的错觉。当一个用户的电子邮件地址与一家大公司的域名相匹配时，可能会让团队过于兴奋、过于分心，甚至可能失望，因为事实证明，这个人只是好奇这个工具是否适合他们的副业项目，或者只是想看看用户界面是什么样的。

PLG还可能带来其他挑战

由于PLG会给网络安全初创企业带来其他挑战，因此这份清单绝非详尽无遗。

如果您想了解有关PLG如何伤害一家初创公司的真实故事，请查看Zachary Dewitt的这篇博客，题为“Freemium Really Hurt Our Business”-A Must Read from Equals CEO。

我很乐意在本文的最后提出一些明确的、华而不实的、措辞强硬的观点，比如“以正确的方式开展PLG工作”。问题是，我不认为有“正确的方法”这种东西。相反，我将分享一些想法，帮助你从第一性原则出发思考PLG。

如果我一开始就提出具体建议，那就大错特错了。相反，让我们就理想的PLG实施模式达成一致：

• 我们希望它能让那些有兴趣尝试和测试该产品的安全从业人员接触到该产品；
• 我们希望将所有创建账户的人转化为付费客户，或者至少是产品的拥护者；
• 我们不希望注册产品的用户因为不了解产品价值、觉得产品太复杂或其他原因而流失；
• 我们不希望PLG伤害我们通过渠道销售的能力，因为企业渠道90%的收入都来自于此；
• 我们不希望因此影响我们为企业提供定制定价的能力；
• 我们不想把销售团队的精力浪费在与潜在客户打交道上，因为他们的潜在部署规模太小，不足以支付所需的销售和支持费用；
• 我们不想让坏人恶意使用该产品；
• 我们不希望我们的产品团队忽略重要的事情；
• 我们不想失去潜在的商业机会，也不想误导自己，以为自助服务用户群会有大交易，如果没有任何迹象表明会出现这种情况的话。

👉👉