网安初创企业从大厂挖人，是不是害人？

无论是在安全领域还是其他领域，创立一家初创公司都很困难。总有处理不完的紧急任务，无数相互冲突的优先事项，以及有限的工作时间。更糟糕的是，尽管创始人和早期员工付出了所有的努力，但真正能做起来的初创企业很少。残酷的事实是，那些在媒体上大肆宣扬新一轮融资、庆祝行业发展的公司，背后却在苦苦挣扎——难以获得牵引力，难以获得客户，难以找到产品与市场的契合点。

拥有一支合适的团队对初创公司的成功至关重要。大多数经验丰富的创业者、投资者和业内人士都认为：缺乏合适的经验、技能、态度和视野会对团队造成损害。然而现实情况是，每个团队都缺少一些东西——重要的技能、经验或观点。例如，很少有首次创业的创始人熟悉错综复杂的筹资和招聘工作，即使是经验丰富的创业者也可能在某些方面不太适应，因为他们过去学到的知识并不能完全应用到新的环境中。初创企业的创始人在进行差距分析并审视团队中的不足时，几乎不可避免地会开始思考，如果他们能吸引到经验丰富、解决过类似问题并能再次解决这些问题的人才，情况会有多不一样。

创始人往往寄希望于大厂中的表现出色的员工。这并不奇怪，因为他们中的许多人都有让人眼前一亮的职业履历，如：

• "4年内将渠道销售额提高了8倍，从 1 亿美元增至 8 亿美元"。
• "负责推动产品在新领域的拓展，并通过引入新的业务线，将收入提高了 3 倍，达到 3.5 亿美元"。
• " 12个月内签下了 25 +大客户，平均合同金额 150 万美元"。

想象一下，让 Palo Alto 某款产品的产品主管、 Splunk 的前销售总监、Zscaler 的战略主管，或 CrowdStrike 的渠道主管加入你的初创公司。人类的天性是努力追求我们没有的东西，寻找解决问题的魔法。从网络安全大厂中招聘经验丰富的领导者无疑会改变游戏规则，并有可能带来新的机遇和业务转型。试想一个在 12 个月内完成 25 家以上大客户、平均合同金额达 150 万美元的销售主管能为一家初创公司带来什么？对于许多处于种子期的公司来说，仅仅一份这样的合同就能改变游戏规则。或者，想想一个产品领导者，如果能将产品扩展到新的领域，并增加 3 倍的收入，那么对于一家正在努力获得采用的种子期前初创公司来说，会取得怎样的成就。

并不是每家公司都能编一个好故事，并提供足够吸引人的薪酬方案，让大厂的高级管理人员跃跃欲试。但是，大多数公司肯定能想方设法挖来比前者低几个级别的人——表现出色的产品经理、顶尖的销售主管和备受赞誉的工程师。其核心假设是，从成熟公司挖来经验丰富的明星员工，可以带来急需的专业知识，使公司得以成长。

从网络安全大厂聘请经验丰富的领导者和表现出色的员工很少能为初创公司带来巨大的收益，主要原因很简单：一个人在成熟公司取得成功的原因，与在初创公司取得成功的原因截然不同。

初创企业的销售与大厂的销售不同

初创公司的销售工作与大厂的销售工作不同。在大型、成熟的网络安全公司，销售人员会接触到很多内向型客户。积极寻找解决方案的潜在客户会联系成熟的厂商，因为他们熟悉厂商的品牌，知道行业领导者值得信赖。潜在客户联系大厂的销售团队，要求他们竞标项目的情况并不少见。

初创公司的销售则完全不同。由于公司尚未成立，销售人员的工作就是让潜在客户相信公司是值得信赖的，而在这个一切都以信任为基础的行业，要做到这一点并不容易。此外，由于初创公司倡导新理念，因此销售产品需要让潜在客户了解公司要解决的问题，然后才能提供解决方案。

由于初创企业的销售工作与大型企业的销售工作大不相同，因此要想取得成功，需要具备不同的技能。要想在大型企业取得成功，销售人员必须善于执行事先排练好的战术、管理项目、与顶级大企业建立关系，并了解如何驾驭复杂的采购流程。在初创企业，首先你必须是一名敏捷的教育者，需要做好经常听到否决声音的准备，每隔几周随着公司定位的迭代而调整信息和方法，看着潜在客户更快的沉默和消失。不仅如此，初创公司的销售还必须愿意做一切推进交易所需的事情——公司通常没有售前工程师，没有完善的销售资料，没有良好的新员工培训机制。

在领导层，为老牌厂商工作和在初创公司工作的成功要素之间的差异更加明显。安全大厂的收入领导者专注于执行游戏规则和优化销售流程，使其更具可扩展性，以推动新客户的获取和追加销售。他的工作重点主要是招聘、辅导和在公司内外建立关系。在早期创业公司，销售主管必须了解谁是他们的客户，了解如何销售产品，并测试不同的市场策略。大多数初创公司都依靠创始人主导销售，至少要到 A 轮，有时甚至是种子轮。在 A 轮及以后，初创企业的销售主管通常专注于建立可重复的销售流程。他们很少能获得与大公司同等水平的资源，因此他们必须学会如何以少胜多。如果来自成熟厂商的销售主管不了解这些细微差别，他们很可能会过度雇佣员工，最糟糕的情况莫过于庞大的销售团队因为产品与市场不匹配而难以完成业绩（如果不加以解决，整个公司都会崩溃）。

处于早期阶段的创始人最常见的假设之一是，雇用一位拥有庞大网络的营收领导者，可以让他们轻松地将产品卖给500 强企业。现实情况却大相径庭。的确，拥有强大安全买家网络的优秀销售人员可以从一家大厂转到另一家（例如，从 Splunk 转到 CrowdStrike），并立即开始销售新雇主的产品，而处于早期阶段的初创企业则不然。这是因为大型企业的安全领导者通常并不希望从处于早期阶段的初创公司购买产品——这使得雇佣一位人脉广泛的销售领导者的作用远不如许多创始人想的那么大。在公司生命周期的后期，当初创公司逐渐成熟时，这种现实情况就会发生变化。然而，在创业初期，没有人脉关系的销售主管也无法帮助公司度过向早期用户销售、学习和迭代市场推广方法的难关。

初创企业的产品与大厂的产品不同

就像初创公司在创始人自己能够销售产品之前不应该聘请销售人员一样，在种子期之前，有时甚至在种子期阶段，产品经理（PM）的角色通常由联合创始人之一担任。当公司希望扩大规模时，通常会出现聘请第一位产品经理的问题。为安全大厂工作的产品经理通常会将自己定位为这些职位的最佳人选。原因有以下几点：他们具有良好的战略思维能力、对市场趋势有扎实的了解，并且拥有为全球最大企业构建产品的经验，这对处于早期阶段的创始人来说非常有吸引力。

问题在于，初创企业的产品管理与大厂的产品管理不同。

在大公司中，产品负责人要么在高层战略和执行领导层中工作，要么在中层人员和项目管理层中工作，要么在低层执行和项目协调层中工作。在每一层中，大部分时间都用于建立和维护关系，充当不同团队、计划和部门之间的桥梁，以及推进大型计划中的小项目。产品负责人有能力汇总大量的使用数据，并辅以一流的行业研究，以及采访500 强客户的能力。此外，当他们优先考虑构建什么产品时，很多时间都用来确保最大的客户满意。高级产品经理通常在战略和执行之间分工协作，但他们一天中的大部分时间都在为自己监管的团队排除障碍、指导初级项目经理、确保产品需求得到不同利益相关者的签批、传达最新状态以及偶尔与客户交谈。初级产品经理主要负责执行，确保软件开发人员不受阻碍，按时交付功能。

当公司已经成为某一领域的市场领导者时，产品经理就有两项工作要做：确保现有客户对他们正在使用的产品感到满意，以及开发新功能以释放新机会。让现有客户满意通常意味着避免风险性变更，并优先处理大企业的功能请求。另一方面，开发新功能和新产品需要与现有客户面谈，深入了解他们的需求，在多个层面讨论新产品，从所有可能的角度对其进行审查，然后才能计划执行。

许多优秀的产品管理实践对于建立早期创业公司的人来说毫无用处。没有客户咨询委员会（CAB），没有专家可以交流，没有成千上万的用户可以对新创意进行 A/B 测试，通常也没有可以继续扩展和增加新功能的核心产品。不仅如此，优先考虑单项功能还意味着要将整个公司 100% 的开发能力用于构建这一项功能。机会成本高、风险大，产品决策的不确定性也非常高。

初创企业的产品负责人需要有能力建立假设，并在资源有限的情况下快速对其进行测试。发现客户的技能绝对至关重要，其中包括：

• 与人交谈的能力。这可能包括与一些客户交谈，但更重要的是，这意味着要接触那些不是客户、可能与公司没有任何关系的人，并向他们学习。
• 善于发现规律，挑战自己的假设，分解整个行业、公司所处细分市场和所要解决的问题领域的复杂性。
• 在信息极少的情况下做出决策的能力。没有研究，没有分析，也没有简短的反馈回路。
• 有能力设定愿景，并愿意根据新的信息对其进行完善或改变。

在初创企业中将产品从零做到一，这与在大型安全厂商中担任产品人员（无论是个人贡献者还是领导者）是截然不同的。不了解这种差异的创始人最终可能会雇佣会毁了自己公司的产品负责人——这并非有意为之，而是因为他们在不同的环境中寻找到了成功的信号并做出了成功的决定。

初创企业的软件开发不同于大厂的软件开发

毫不奇怪，初创企业的软件开发也不同于大厂的软件开发。

大公司的工程师习惯于在开发开始之前就预先提出、完善和确定产品需求。这并不意味着他们不知道如何处理变更，而是变更的速度不同。在网络安全大厂那里，工程师需要应对范围的细微变动，以及影响先前 "最终确定 "的产品需求的强大利益相关者。而在初创企业，尤其是在产品上市前的适应阶段，不仅是需求，整个路线图都会经常变化。

如果说初创企业的软件开发人员需要愿意在不断变化的环境中调整并茁壮成长，那都不算什么。他们必须在没有明确方向的情况下工作，在几乎没有指导的情况下制作解决方案原型，并深刻理解他们正在解决的问题。此外，他们没有时间去寻找最稳健的方法来解决问题，去完善复杂的抽象概念，或为可能永远不会到来的未来进行设计。取而代之的是执行速度、随机应变的能力和经常迭代的能力。

初创公司的软件工程师必须能够自如地做出产品决策。换句话说，大厂通常会有多级产品经理负责撰写详细的产品规格，用户体验/用户界面设计师负责提供每个屏幕的模型，而在初创公司，工程师必须能够自如地做出许多日常决策，而无需寻求创始人的帮助。

虽然在这篇文章中，我主要讨论的是在招聘网络安全大厂优秀人才时遇到的问题，但同样的挑战也适用于其他复杂环境下的招聘，如政府、情报机构和大型企业。曾经在情报机构担任过首席信息安全官或副局长的佼佼者，可能会在早期创业公司惨遭失败，原因很简单，他们在之前的职位上取得成功，但在不同的环境中却无法取得成功。反过来也是一样：一个成功的、表现出色的早期创业者如果要加入某三字母机构担任领导职务，很可能会惨遭失败。这并不是规则，因为很多人都可以学习和调整，但首先他们必须明白改变的必要性（但很多人并不明白）。

要推动一项计划取得成功，了解环境的背景和限制因素至关重要。挑战在于，大多数人都不善于从第一原则出发思考问题，也不善于将决策结果与决策环境区分开来。因此，他们经常重复那些在不同环境下行之有效的模式，即使他们所处的环境已不再相同。如果不对这种模式加以控制，就会彻底毁掉网络安全初创企业。

当公司创始人从安全大厂、政府或情报机构聘请优秀人才时，往往会赋予他们塑造公司战略方向和在日常工作中做出改变路径决策的强大能力。一些新员工明白，他们必须学会在这种新环境下工作，并慢慢了解市场和公司所处的业务。挑战自己所知道的一切并接受新手心态并非易事，但这是可以做到的。可悲的是，为了保持自我和迅速展示影响力（毕竟，他们是作为能够撼动一切的明星而被招募的），许多人在加入初创公司后就立即开始提出变革和重大转折。许多这样的决定最终导致了资金的燃烧、追求死胡同（例如，在初创公司仅有Beta版产品的情况下追逐500 强客户），并最终推动公司走下坡路。

大型企业中曾经的明星员工在初创公司担任领导职务后，却一事无成，这种情况并不罕见。出现这种情况的最常见原因之一是他们所掌握的资源和支持太多。例如，在一家大型安全厂商担任高管，就意味着底下有很多人可以负责具体的任务实施。在一家处于早期阶段的初创公司担任营销主管，工作内容不是协调文案和活动团队，而是要撰写文章、寻找活动场地、安排送餐，以及站在门口迎宾。在时机成熟之前就疯狂招人比执行失败更糟糕。接着前面的例子，如果一家初创公司的新任营销主管因为没有人 "做工作 "而感到沮丧，他们可能会推动招聘一名社交媒体经理、一名活动协调员、一名文案撰稿人以及其他一系列人员。如果招聘工作做得不够明智，初创企业过早地开始扩大团队，最终就会大大缩短他们的生存期。更糟糕的是，这些来自大公司的明星员工往往也拿着高薪，这不仅消耗了宝贵的资源，还进一步缩短了公司找到产品与市场契合点并走上增长轨道的时间。

在我看来，网络安全初创企业的创始人应该在几个地方寻找人才。

正如 VulnCheck 创始人兼首席执行官、FlawCheck 创始人兼首席执行官、Appthority 创始人兼首席执行官 Anthony Bettini 在我的 作品《Cyber for Builders》中提到的那样："关于招聘问题，我的建议是尽可能只内推招聘。这是一个不受欢迎的观点，因为它比较慢——可能慢得惊人，但我认为这样更好。

如果您能雇用内推，那么您和应聘者的匹配度可能会更高。您相信自己了解候选人的能力，而候选人也可能相信自己了解您的能力。您的招聘成本会更低（无需招聘费用），而候选人的预期留用率也会更高，因为双方已经在相互信任的基础上建立了一种预先存在的关系。另外，如果你无法说服之前与你共事过的任何明星员工来为你工作，也许你的宣传、使命、愿景或公司存在问题。如果你能从那些你觉得对这个机会感兴趣的人那里听到这些，那就再好不过了。

当你聘用一个你不认识的人，而这个人又不是团队里的人介绍来的，那么筛选候选人的压力就会大很多。另一方面，如果你雇用的是内推的人，那么在正确推销方面的压力就会大很多，把有限的时间花在更值得的任务上。显然，如果一个组织规模较小，突然筹集到 1 亿美元的资金，而且预计将在两年内用完，那么只通过内推来招聘是不可行的。但在这种情况下，也许是筹资策略错了，而不是招聘策略错了"。

我认为处于早期阶段的网络安全初创企业创始人应该首先聘用两类人：

• 具有创业精神、以结果为导向、有高度主人翁意识的人。我曾亲眼目睹，那些对早期初创企业成长帮助最大的人，无论他们的职业生涯处于什么阶段，都充满了渴望。这种渴望可以从他们的人生故事、副业项目以及过去工作的影响力中看出。
• 有创建初创企业经验的人。这并不一定是建立和退出数十亿美元公司的经验，也不一定是联合创始人的经验。重要的是，他们知道如何承担风险，如何在信息有限的情况下做出决策，如何在考虑到资源有限的情况下确定优先次序，以及如何快速行动。如果他们之前的公司失败了，他们应该能够批判性地反思这段经历，而不仅仅是让自己和自己的贡献看起来很棒。

最后，在阐述了为什么在很多情况下从网络安全大厂那里招聘表现出色的员工并不是最好的主意之后，创始人仍然有充分的理由从成熟的组织中招聘人才。首先，他们习惯于在更大的规模上运营，可以带来早期创业者所缺乏的视角、经验和想法。例如，很少有创始人了解如何为互联网级基础设施奠定基础，或者如何与渠道合作伙伴合作。要想在初创企业取得成功，来自大型成熟组织的人员应该：

• 了解在大公司工作与在初创企业工作的区别，有初创公司的工作经验就更好了。招聘一个在加入大公司之前曾在初创企业工作过的人，与招聘一个在大型、复杂、官僚的环境中度过了几十年职业生涯的人，是截然不同的。
• 带着初学者的心态来，准备好学习、遗忘和重新学习，并在新环境中赢得信任和尊重。最重要的是，他们必须有行动的倾向。大多数决定都是可逆的，不需要过多的分析和准备：初创公司员工必须愿意并能够快速行动，在实践中学习，并根据需要进行迭代。
• 要足智多谋，随时准备并愿意作为个人贡献者开展工作。在早期阶段，担任某一职能领域的 "负责人 "或 "副总裁 "意味着既要确立战略方向，又要开展基础工作。大型安全厂商的高管希望招聘和管理员工、建立流程、制定战略，但却不愿意亲自动手检查产品漏洞、组织活动、为社交媒体撰写文章、为公司博客撰写文案，这样的高管走不远。我坚信，任何希望成为创业公司首席营收官（CRO）或销售主管的人，都应该愿意亲自销售产品；任何希望成为工程主管的人，都应该愿意亲自发布新功能；任何申请营销主管的人，都应该擅长创建内容、配置社交媒体活动和组织网络研讨会。

在公司的后期阶段，比如 B 轮、C 轮、D 轮及以后，当初创公司已经实现了产品与市场的契合，并验证了一些关于能够扩大规模的假设之后，开始聘用那些只专注于管理、招聘、流程和其他关键领域的人就很有意义了。不过，在开始阶段，任何拥有领导头衔的人都应该愿意自己做这些工作。

从网络安全大厂、公共部门和军队中聘用表现出色的人员是否是一个好主意，始终取决于具体情况。重要的是相关人员的技能、能力、态度和品格，以及他们是否愿意学习并付出努力，以便在新环境中取得成功。有些人能成功，有些人则不能——这一点在其他任何事情上也是如此。

初创企业的创始人必须明白，仅仅因为某人在一家成熟企业工作成功，他就不一定是一家处于早期阶段的初创企业的高绩效人才（通常情况下，事实恰恰相反）。同样重要的是，要坦诚地对待从大型企业聘用员工的动机，并实事求是地认识到这些员工所能带来的不同，尤其是对于产品尚未进入市场的公司而言。无论销售主管的名声有多大，大多数大型企业都不会从种子期前或种子期的初创公司购买产品，因为这些公司仍在迭代产品的早期版本，并寻找产品与市场的契合点。无论技术程领导有多少经验，能推出数亿人使用的产品，大多数处于早期阶段的初创企业都无法优先为可能永远不会到来的未来打下基础，否则企业则很可能不必要地过度设计产品，浪费宝贵的资源。

招募知名人员加入领导团队是另一个因素，但其影响很少像人们想象的那样大。例如，让前美国国家安全局（NSA）局长担任创始人很可能会吸引潜在客户接听电话并进行演示，但这并不会自动让公司在竞争中获胜并取得成功。简而言之，创立初创企业是一项艰苦的工作，任何看似通往成功的捷径，通常都不是，无论是产品主导的增长、顶级风险投资的支持，还是从网络安全大厂聘请一位表现出色的人才。

原文链接：

https://ventureinsecurity.net/p/hiring-top-performers-from-large