文章总结： 作者回顾十六年自由职业网络安全培训生涯，从CISP认证培训起步，转向内训课程，强调知识迭代与场景验证，分享生存艰辛与付款难题，致敬行业坚守者。
综合评分： 62
文章分类： 实战经验,安全培训
我这十六年
原创
草根老烦
草根老烦
老烦的草根安全观
2026年9月17日 12:41
北京
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
从2010年9月到今天，不知不觉已经度过整整十六年自由职业者。虽然这个角色并不是一个新鲜事物，但是在网络安全行业没有背景支撑，没有资本扶植，没有背弃初心活到今天，不知道算不算一种传奇。
实际上当年走出来并没有想过能走多远，算是一种冒险，也许是对自己的自信或者说对行业的一种预见。毕竟一个文科生转型到计算机，再从计算机转到网络安全，没有深厚的理论知识做铺垫，没有强大的社会关系做支撑，这有点自寻死路的感觉。但是真走出来，故事的过程变成了一个牛仔在西部纵横的场景，漫漫黄沙下，孤独的骑在一匹老廋的战马上，迎着夕阳的余晖走向群山所在的远方。
实际上，这十六年中，萌生过开公司、去重回工作环境或者放弃这个行业。但是现实是，一个不敢承担巨大社会责任的人没有资格去当老板；一个没有学历的人早已被社会抛弃，只有不断的去挑战技术，改变自己，寻求别人不可达不愿达不能达的未来，才能给孱弱的自己一席之地。所以，回想这十六年的生涯，良多感触。
刚进入自由职业应该感谢CISP认证，2010年CISP认证培训开放后，培训机构从原来的一家迅速扩张为十几家。而讲师成为稀缺的产物，在很长的一段时间里，CISP培训成为主要的收入来源。但是，作为一个认证培训而言，最简单的做法实际上拿官方的课件，官方的复习资料在课堂上完成那重复又重复的每天6个小时足以对得起培训机构的课时费。但是对于我而言，更希望通过培训去验证自己在以往工作中的模型、方法论以及国外优秀的案例和标准，于是这成为每次培训给自己的额外任务。在很长时间里，培训机构很反感我在上课前了解学员背景，其实从商业角度而言，他需要担心讲师把客户带走（圈内此类事件并不是个案），对于我而言，我需要根据客户的行业属性和职务去考虑如何选择案例和场景解读。实际上，作为稀缺商品，偶尔有点小要求又不影响当前经济支出来讲，培训机构必须在自己很不乐意的情况下尽可能少的给我提供信息，其实这也为我去建立自己的分析逻辑和临场的处理能力提供了很好的演练。“世事洞明皆学问”培训过程中不断与各类学员的沟通交流几乎消耗了我所有的课余时间，每天6个小时的培训时间基本上没有休息，但是在这些不断的交流中，使我获得了几乎除涉军涉密领域外所有行业的管理模式、组织架构、业务特征等开源问题，为我以后咨询提供了重要的前置参考，也为我编制内训课程提供了依据。实际上早在2016年我就断言，未来网络安全培训将随着组织对知识的觉醒更加关注内训，认证培训的更新迭代过慢，导致培训最终的收益更多的获证而不是求知，求知完全取决于讲师的个人素质而非课程本身。CISP真正的价值并不是知识价值，而是我们将CISP作为一个完整的网络安全规划框架能力来设计课程，在框架层面，即使是CISSP、CISA等国际知名课程都望尘莫及，当年的理想是用CISP的框架可以直接套完整的网络安全规划方案。实施者只需要根据路径将用户的需求、风险、设计内容逐层套入即可，但最终这个课程成为对知识内容的应试解读而非架构认知。
快速的知识迭代和《网络安全法》的发布实施，使得网络安全工作从被动的事件驱动转向合规驱动，这使得我能够快速摆脱极度内圈的认证培训怪圈，开始将重心迁移到内训课程之中。曾经我跟很多培训机构推心置腹的聊过。未来培训机构的生存能力不是你有多少认证培训资质，而是你需要具有能够设计课程的设计师，内训在排除商业成分之外，课程的合理性是大多数具有良好愿景的甲方所评价的重点；其次是具有稳定的可管理的讲师团队；但是这一切并没有被培训机构重视。大浪淘沙，这些机构一旦离开认证的市场，很快就沉没于浩瀚的商业海洋。
内训市场并不是一个可以躺平的行业。一套PPT讲一辈子的时代已经过去，基本上每个课程即使是同一行业都需要进行不断的迭代，案例迭代、立法迭代、技术迭代等等，使得内训最大的痛苦是不断的去修改课件。不断的寻找案例，不断的验证自己的理论和实施是否能够与用户达成一致。所以很多时候，经常能遇到社交平台中到处为讲课要别人的课件改个logo和署名去欺世盗名之徒。实际上，很多人跟我说，谁谁谁拿你的课件给谁在讲课，或者说为什么你课件都是图，这怎么讲？刚开始心里特别不舒服，但是久而久之也就习惯了。社会既然畸形了，何必让自己圈入这种畸形呢？市场很大，自己只是追求苟延残喘而已，何须去计较这些过往。这是我这十六年中最大的痛苦，每年总有那么几天看到PPT就想吐，一个产品的孕育总是会伴随诸多的孕反，只是看你获得的营养是否足够。所以即使是同样的培训时长、客户类型、培训内容、培训费用，我付出的远远超出别人。不去和别人比收入，不去和别人比待遇和排场，作为一个无学历、无职称、无名头、无平台的四无青年，大致也没有资格去跟光环中的行者去比。
很多人问我，我是怎么活下来的，想学习我的历程。我很诚恳的告诉他们，“你们学不了”。每个人有每个人的特征、习性。家人和很多好朋友诟病我喝酒，但是在中国，没有酒的加持，很多问题就不可能形成可持续的交往和深入的对话。我用酒来弥补我的四无的不足；每天4-5个小时的睡眠对于养生性同行是无法接受的，这种生活模式不是一天两天，而是常年累月，有一年无聊之下算过一笔账，按每天工作8小时计量，我在2015年就已经达到了60岁的退休时限，现在只能算是反聘再就业。网络安全的只是迭代和涉猎范围并不仅限于IT技术，包括但不限于OT、情报、战争法则、法律、侦查、心理学、业务逻辑等等一系列的相关知识，在传统的学习方式中，我们无法兼容并发，需要用哲学的思维去融汇贯通；最后一个核心原则，所有的培训是需要依靠场景去验证你的知识，书本上的不一定是对的，包括我自己写的；网上会存在大量的低劣文章；大模型会胡言乱言，这时候吗，唯一可信的就是实际工作中所遇到的问题，这也是为什么这十六年中我不断的去参与项目的实施和相关工作的原因。所有的培训知识需要在项目中得到论证，不管是成功的还是失败的，对于传授知识而言，都起着举足轻重的作用。通过项目实施反推理论知识，利用理论知识补充课程中的可解释性，一个良性的链条一旦搭建，你会发现，培训本身只是去讲一个个故事，而不是去死板的读PPT。
时至今日，新的问题孕育而生，十六年最怕的就是付款。没有财务基础做支撑，每每最担心的问题就是付款。有拖欠几年的，有不付的，有延迟付款的，但是大多数还是很注重商业道德按约定付款。作为一个个体，很难去通过合同作为实施的条件和依据，毕竟很多工作每天或者每月都在发生。金额额度不大，所以大家都从人性的角度去理想化契约精神，但现实往往很残酷，作为没有固定收入的人，需要通过及时的付款生存，只有生存才能让自己生产出更好的产品。诚然，付款取决于很多的因素，比如：甲方付款、恶意竞争产生的负收益项目等等，这几年尤为严重，这也让我逐渐萌生找个地方去颐养终身的想法。
这十六年有所得亦有所失，没有像其他同行一般收获令人羡慕的经济收益，但是收获了一群忠实的粉丝，让我在诸多地方可以把酒言欢，尤其是在美丽的新疆。第一个十六年让我成长，第二个十六年让我成人，第三个十六年让我品味人间酸甜苦辣，第四个十六年让我逐步重塑自己，未来还能有几个十六年呢？网络安全的路很长，永远不会走到尽头；人生的路却是区区几十年而言。至少这一个十六年对我而言，对得起社会，对得其行业，对得起我手里那些收入。值此第13个网络安全宣传周，用我自己的十六年苦行僧般自由人历程致敬还在为初心努力、奋斗、付出、默默的站在光环之外的同行。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：老烦的草根安全观 草根老烦
草根老烦《我这十六年》