Original
2015-12-25
德川咪咪
安在
廿载弹指东逝水
网络淘尽英雄
是非成败不虚空
黑客依旧在
精神仍然红
大V新锐竞相上
惯看立业建功
一场邀约喜相逢
信安多少事
都付笑谈中
“访谈”，是安在新媒体栏目之一，旨在通过与中国信息安全影响力人物的直接对话，揭示产业发展历程和动向趋势，描绘中国信息安全之全景视图。
金湘宇（NUKE）把投资视作一种资源链接的过程。在这个过程中，资金、能力、经验、客户通过某种方式被链接起来，所产生的效益与单打独斗不可同日而语。而目睹自己所投资的项目和公司逐渐成长，那种感觉也相当奇妙。于是，从启明星辰、埃森哲，再到“星源壹号”，被业内视为“智多星”的 NUKE 觉得自己找到了“最后一份工作”。
金：我其实是很典型的非科班出身。中国以前没有信息安全专业，甚至在我们那个时候，计算机专业的都少，所以不论是信息安全行业，还是更广义的计算机专业的，好多人都是转行过来的。大多转行的人，都是自己真有兴趣。科班出身，但不是发自内心有兴趣的，基本上就是上班归上班，其它时间会干自己的事。但是真是出于兴趣的，就会是上班中抽空学习，下班之后也会花大量时间学习，学习效率自然大不相同。在我刚入行的时候，因为也没有太多负担，加上对信息安全很痴迷，经常都是要每天学习研究到深更半夜。张：从最早你在启明星辰做技术，到后来去埃森哲做咨询，有什么特别的感触？金：做技术没什么好说的，倒是做咨询，对我帮助很大，让我学会了“挖坑”和“埋坑”。“坑”挖越大越好，这样不仅只有你自己能填，而且“坑”挖得大，土方工作量就大，也就能赚钱。再说填“坑”，“坑”都是你挖的，当然是你填得最好了。所以咨询公司一般是做全套的，我在“挖坑”“填坑”上有些经验，几千万、上亿的“坑”参与挖过，也填过“坑”。“填坑”“挖坑”的关键，其实是方法论问题。因此我觉得，咨询公司最牛的就是有比较成熟的方法论，会指导正规地去做一件事。再就是咨询公司有比较完善的知识库，以及十分纵深的人员梯队，可以确保想法的落地。就像在埃森哲，当项目遇到困难时，可能国内没有人帮你搞定，但是国外总有人可以，国内没有人实践过的事，国外可能会有人实践过。咨询公司的价值也在于资源整合，它不光是出主意，实践能力也是很关键的。张：似乎圈子里朋友对你的看法，更多是杂家而不是专家。你个人觉得，这个所谓的“杂家”，是更侧重在你的技术，还是本身这个“杂”就是你的兴趣？金：“杂”，一个是自然而然的发展，因为工作需要，开始是做技术，后来管项目，管了项目就要再管人，管人的话就要考虑能不能把客户也搞定。在整个职业发展的过程中，所有这些杂七杂八的事情，也都是彼此衍生和逐渐积累起来的。另一方面，我比较喜欢动手做一些事情，就像现在，虽然搞投资了，但还是会装个虚拟机，有什么新工具、新玩意，就想装在电脑上试试，我对技术一直都比较喜欢。
张：在我印象里，你一直都是技术加咨询的路子，为什么会选择做投资呢？金：机缘巧合吧，去年我还当自由顾问呢。去年底的时候，安珺（“星源壹号”的总经理，前启明星辰同事）那边正好缺人，他觉得我还比较适合，就找我聊，我也觉得这个方向挺有趣，因此一拍即合。
其实在我当独立顾问的时候，也在尝试寻找机会自己做点事，但发现需要的资源太多，要找到合适的伙伴、资金，还有第一批的客户，光靠自己手里的资源太难实现了。私募正好是连接资源很重要的手段，出资人不仅出钱，还能为你建立一些资源链接。这样的话，你不仅找到了钱，还会找到一些潜在客户，甚至有人会在商务、业务和公司架构上指导你。通过投资，几方的资源整合在一起了，以前光靠自己办不成的事情，很可能就办成了。
从以前想自己做事，到现在支持别人做事，用我的经验、能力、特长帮助到更多的公司，对我来说，也算是另一种创业了，而且相对来讲更容易成功。我自己也有过一些实践的设想，但比较大，依靠自己的资源根本搞不定。通过私募为媒介，先找有钱的资源，再找有能量的资源，多方资源组合一起实践。而我把我的创意和经验贡献出来，有人出钱，有人出客户，再加上出力干活的。通过多方资源组合，各方都会找到自己的价值，也更加容易成功。
此外，从技术人员到项目管理，到技术管理，到公司管理，再到资本运作，这其实也是一个典型的职业生涯发展过程。投资实际上会成为很多人的最后一份工作。比如说你当了老板，赚到钱了，就自然会去经营资产，会去做投资，比如买房、买股票、投资公司等。张：等于说你是“突然”间进到投资圈的？那你有这方面的积累吗？金：之前我对投资真不熟悉，但是对公司、对项目、对产品、对人的判断，还是有一些基础的。我认为，未来投资行业，对被投行业的专业能力要求会越来越高。当目前投资泡沫过去以后，用持续的资金投入、也就是那种所谓的用钱去“砸”项目的行为会逐渐减少，而对项目模式的可靠程度、项目人的能力情况、产品和技术的独到和领先程度的判断能力，对投资人来说将会越来越重要。张：对你来说，财务方面相对是个短板，你会通过什么方式去弥补？金：我们的基金团队成员的能力正好是比较互补的，既有擅长资源整合、基金运作的有经验的投资人，也有擅长企业治理和内控、曾参与整个公司上市的前上市 CFO 。而我呢，更擅长对被投项目的技术、产品和团队的沟通和评估，我们正好互补。
还有就是，我认为，虽然做为投资人需要懂一些基本财务知识，但未必需要达到专业从业人员的程度。因为你在做尽职调查的时候，还有其他专业的法律事务所、律师事务所配合，在这些专业领域有更专业的人替你把关。张：按你的说法，其实投资人也是五花八门不尽相同了？金：对。现在的成功投资人很多，也不是每个人都一定有十分专业的被投行业领域知识，部分人可能对金融或是对互联网比较懂，部分人对政策比较懂。投资没有唯一的成功路线，投资人也不一定非是按照一个模式选拔的。比如需要大资金量的已经成熟的项目，偏向于财务投资和资本运作的人，就更容易得到发挥。
各种类型的投资人都有自己的成功之处，像我这样从技术领域入手的，也算是其中一种类型，但是目前来看，技术领域入手的投资在整个投资圈里还是少数，更多还是从金融领域入手。当然，投资人的划分也不是这么绝对，当你投过很多公司，从每个公司都会了解到很多相对核心的业务细节，一年谈百多个项目，怎么着也会积累出自己的行业专业经验。张：那你觉得像你这样的技术型投资人，怎样更多地突显自己的特点呢？金：要把技术导向型的投资人做好的话，最重要的是坚持，要有不断的技术学习能力和对市场、产品方向的跟踪能力。金融行业的基本知识变化并不频繁，对人和公司是否可靠的判断标准也不会有很大变化，但技术领域的更迭是很快的，细分行业的变化也是很快的，这就要求技术型投资人要保证持续的学习。技术领域如果有一年不去跟踪其发展，就很难掌握其发展动向。
当然了，对技术型投资人来说，最大的短板还是对投资基础性知识的掌握。比如说，投融资的基础业务知识，相关的法律、法规，比如如何上市、如何并购，其中有什么风险，其流程如何等。除以上的专业知识和能力，投资人还需要不断进行各种资源积累。 金：星源壹号跟启明星辰的关系比较特殊。星源壹号是一个独立的私募基金，并不属于启明星辰上市公司，但是和启明星辰上市公司有紧密的合作关系。
一般上市公司都有自己的投资部，其投资一般都是在上市公司的总体战略指导和其管理下进行的，上市公司的投资必须要按要求对外披露。我们私募基金的投资与上市公司的投资策略有较大差异，投资完全从财务获利角度出发。我们目前投资的范围除了信息安全，还包括大数据、云计算、移动等领域。我们私募基金的投资完全遵从市场常规，不会对被投公司的业务发展、业务合作等提出不合理要求，甚至我们会鼓励与相关上市公司进行竞争。当然如果被投的公司希望通过我们与相关上市公司建立联系，我们也能提供帮助。
上市公司与外部独立私募基金进行合作，也是目前比较流行的一种投资方式。上市公司的投资操作有诸多限制，首先，上市公司适宜投资与其主业相关的、比较成熟的、产品或业务可以与其直接互补合作的项目，一些比较前期的、前景不明的、投入周期比较长的项目就相对不合适了。其次，上市公司投资的项目也会被披露，有些公司可能并不喜欢这种披露。此外，上市公司投资并购时，会有一些额外的风险，比方说停牌后却双方难以谈拢。并购就像是相亲，都需要一个互相熟悉、适应、谈判、推卸的过程，其过程中如果出现理念不合、业务瑕疵等，都可能导致交易不能完成。因此通过与专业私募的合作，可以预先做好准备和过渡，有助于上市公司顺利的完成交易。张：看你的名片，Title 是合伙人加首席架构师。合伙人好理解，投资机构多是合伙人机制，但首席架构师第一次见，是做什么的呢？金：这恰好就是我们基金投资方式和理念的特别之处。当年很多投资机构更加熟悉财务投资，项目品质好、符合投资布局，就可以投钱。但我们基金对被投行业有更深的理解，也有更多对被投企业有帮助的行业资源，因此我们希望把投资做得更主动一些，一方面是根据我们的行业能力和经验来判断未来的发展方向，从而更早地进行一些布局；另一方面就是我们也可以帮助所投资的公司做更多的辅助和资源对接，我们投的不只是钱，还包括公司治理、公司战略、公司发展，以及产品、业务方面的辅助和资源对接，为被投企业提供更多价值。首席架构师的Title就体现了这个特点。金：对。我们在企业市场的经验比较丰富，比如可以对产品定义、市场体系建立等提供一些专业意见，有需要的话，甚至可以对接销售和客户资源，落实第一批种子项目。张：能不能举个例子，比如一个实质性的项目，你是怎样帮到他的？金：目前大部分的初创公司，由于创业经验的不足，可能会出现各种各样的问题，比如出资不实、股权转让手续不齐全、知识产权瑕疵，甚至股东借款等问题。我们会在投资前花比较长的时间帮他们设计方案，解决这些问题。初创团队也普遍缺少专业的市场和销售人员，甚至没有客户，对于有需要的公司，我们会在投资关系建立后，协助进行市场和渠道资源的对接。同时在业务发展方向和产品规划上我们也可以提出一些专业意见。在公司发展的高速成长期，我们还可以帮助被投公司进行并购重组，协助被投公司快速发展壮大。
所以我们有点“操心过度”，一般的投资机构并不会像我们管得这么多，纯财务投资就很简单，可能只需要参与后续运营中的重大决议。
当然，我们也不是强制参与被投公司的经营，只是对于有需要的被投公司才会进行协助。
整体上来说，我认为目前我们基金运行的还不错，被投公司基本发展良好，我们基金预计的收益情况应该也还是不错的。金：我们目前的投资以网络安全为主，大概占一半，此外也会投资云计算、大数据、泛安全等领域。从投资项目的阶段来看，我们投A轮最多，也有少部分的天使，因为A轮跟我们基金目前的定位比较相符一些——基本上拿A轮的创业公司的核心人员已经齐备，产品也基本做好了，正面临高速发展问题，这时候彼此的需求正符合，A轮往后，估值越来越高，资源也逐渐齐备，我们对被投企业的价值就小了。金：收入和利润是一定要看的，因为要拿A轮的公司应该已经有一些收入了，当然也要看公司的具体业务方向和业务开展情况。有的要拿A轮的公司已经有利润了，也有很多公司可能还是亏损的，但未来有可能会有个高速增长，我们会综合考虑被投公司的情况，对其进行评估。举个例子，做传统产品制造销售的公司，我们的投资方式更偏重于利润模型；对于一些新兴的类似互联网模式的项目，未来可能会有爆发式的增长，我们就会用不同的估值模型。张：在你看来，面对一个潜在的投资对象时，你以什么标准来衡量是投资，还是继续跟踪，或者不再跟踪？在技术方面的判断会占多大的比重？金：我觉得面对不同的项目类型、不同的团队会有不同的衡量标准。有的项目技术方向很好，但会有一些严重的 Bug，比如业务模式、推广模式。我们用我们的经验假设一些可能发生的情况，跟投资对象去沟通。我个人比较喜欢既能坚持自己的观点，但又能保持开放心态去听取他人意见的人。我们提出的问题和建议未必对，但是从投资对象面对问题的态度，可以看到对方在面对困难和问题时候的应对态度。无论是投资还是创业，都是不停学习提升的过程，想成为一个成功的老板更是必须具备不断提升自己的能力。公司从不赚钱到赚 1000 万、2000 万，甚至 1 个亿的过程，就是创业团队能力、经验不断提升的过程。一方面需要拥有开放的、学习的心，但另一方面一定也需要有韧性，在大方向上坚持自己。
在判断团队心态之外，我们也会判断其创业方向如何，市场上是否能有发展，业务模式能否走得通。此外还有团队和技术能力能否支撑起其业务目标的实现，比方说有的团队说他就差一个技术程序员了，其实往往是差大半个团队。最后当然也会关心公司的管理能力。
这些都是以被投公司的视角去看的，我们也会在我们视角去考虑。对基金来说，投资的目的就是为了退出盈利，所以就会考虑在退出的时限前能不能顺利完成退出。举个例子，如果我们知道其业务方向是某些上市公司未来会需要的，那在其它条件同等的情况下，我们当然会优先投资。
网络安全行业就有很多类似的领域，比如云安全服务领域，基于云的安全确实是未来的一个重要方向，但是云安全服务可能很长一段时间内很难盈利。综合未来互联网公司和传统安全公司的并购需求，我们就可能会多加考虑。
金：记得一份市场研究报告里提到，IT 市场增长最快的细分领域是移动相关的，第二就是信息安全领域。国内信息安全市场的平均增长率可能已经接近20%，这个增长率其实已经很高了，可以对比的是 GDP 增长率为 7.4% , IT 市场的增长率为 8.4% 。
增长率高说明机会多，尤其是对于初创公司来说。如果一个行业的增长率很平稳或者很低，市场比较稳定，那新公司的机会就相对较少。增长率越高，新公司从增量中可能获取的份额就会大。所以说，至少从这一点看，信息安全还是很不错的投资领域。
中国目前的信息安全市场严格来说是个合规性市场，市场主体还是政府和各大央企。按照大多数人的逻辑，如果不做安全会不会出严重问题？会不会触犯法律？会不会受处分？如果都没实质性问题干嘛要做安全？这不是白白花钱嘛。但是随着互联网的发展，政府政务要公开，甚至政务要上云，互联网威胁变得越来越现实。从趋势上来看，除了传统的合规性需求，未来自发产生的真实安全性需求一定会越来越多。另一方面，新刑法修正案以及其他一些网络安全相关的法律法规也已经开始陆续出台，可以预期，合规性需求未来也会呈增多的趋势，因此信息安全行业未来还是可能会有一个爆发式增长的机会。
不过，对于初创公司来说，合规性市场往往难以进入。政府、央企通常有固定的供应商，有较高的资质要求，针对初创企业还是有相当的门槛。但是IT基础环境在快速变化，传统IT架构也正在向云计算迁移，大数据、物联网、移动办公、社会媒体等新的领域也正在逐渐进入主流市场，这中间初创公司都有很大的机会。因为已经成熟的公司在创新方面往往要弱一些，不是说没人，也不是说没能力，更多是决策原因，成熟公司决策一般求稳，不喜欢冒险。而初创公司包袱较少，往往敢于承担风险，所以在新兴领域，初创公司的机会也会多很多。金：目前国内信息安全创业的热情是很高涨的，尤其是今年，这个创业热潮甚至可以说是前所未有的。
目前这一波信息安全创业的可以分成几类，一类是之前有过成功的公司团队组建和公司运营经验的，现在做二次创业，这种成功率相对要高一些。还有一类是以前在传统安全企业里的，比如做售前、做销售的，懂一些解决方案，也有一些客户资源。再有一类就是互联网公司或者其他渠道的以技术人员为主的创业，这些人技术往往会很有前瞻性。
在以前，前面两类创业的人居多，而现在，偏技术创业的人多了起来。金：一个是云安全服务相关的，因为基于云的架构对传统架构的更迭势头基本已经是不可阻挡的，新的基于云的架构下对应的安全防护体系自然也需要更新。再一个就是威胁情报相关的，威胁情报实际上是对安全整体解决方案的一次整个的提升，把以前孤立的产品给连接起来，甚至跨组织进行连接协同，以防火墙、IPS等传统安全设备为例，这些设备未来都需要支持外部威胁情报，产品需要整个进行升级，这其中的机会就会很多。除此之外，值得关注的领域还包括移动安全、物联网安全、工控安全等。我认为移动安全市场已经逐渐开始成熟，但物联网安全、工控安全市场成熟还需要时间。金：这个概念也很热，但如果说只是大数据概念的话，就比较泛泛。大数据是一种基础技术，其中包含和引申的东西太多了。我个人更倾向于做稍微具体一些的东西，比如说反欺诈、用户行为分析、网络行为分析、内部威胁发现等。同时大数据安全领域还有一个双刃剑，就是开源架构，很多的大数据安全概念都是大量基于开源构建，其自身真实价值难以体现。
对现在的创业者来说，能选择来做的东西其实很多，每一个领域都是有可能成功的，但创业者要注意自己的执行能力。我看到的信息安全领域创业者最常见的问题就是看好了方向，也有技术，但就是没想好做好了怎么卖，怎么赚钱，这往往会成为未来发展最大的问题。张：我一直把创业者称为第三极，第一极是传统企业像启明、绿盟，第二极是以 BAT 为代表的互联网企业，你觉得这三股力量会以怎样的形态相互纠葛往前走呢？金：我觉得这三者其实就其中的人来说是没有严格划分的，互联网公司的人好多都是传统企业跳槽过去的，而创业者往往有可能是前两者出来的，人员本身是高度流动的，所以说无论是哪一级，从人的角度来说区别不大。但是到了公司层面就开始有了差异，尤其是公司文化、意识形态的差异。我认为未来这三极可能是一种既冲突又共存的状态。张：我可能会更关注这三股势力在公司层面的状态。就市场而言，传统企业固有的合规市场比较稳定，创业公司轻易进不去，只能把眼光集中在互联网带来的增量市场上，但互联网市场的竞争会非常激烈，最主要就是 BAT 们已经有了既定格局，庞大的基础设施，庞大的用户群体，以及雄厚的资金和影响力。面对这种局面，创业公司应该怎样去寻求突破和发展呢？金：你的观点我有同意的，也有不同意的。
首先，传统合规市场并不是滴水不进，这个市场的空间依然很大。为什么呢？因为出货量大呀。很多人可能觉得，现在还去做防火墙？还去做漏洞扫描？哪有人买？事实上，传统市场的容量相当大，就算你自己卖不了，还是可以通过渠道获得很大的销售量。
其次，我认为比较好的模式，是既有技术先进性，也能赚钱的模式，创业公司需要将这两个灵活进行组合。比如我做一个盒子可以卖给传统市场，虚拟化放到云上卖就变 IaaS 了，自己租了云主机提供服务就又变成 SaaS 了。创业者不必追求凡创业必不能做合资非做云服务。DLP 也好，防病毒也好，都是有多种部署形态的，不用太过拘泥。
对创业公司来说，一定要有一个可以赚钱的业务模式，这其中建议可以关注一下传统企业市场。互联网安全市场跟传统企业安全市场比起来，互联网客户多是小公司，往往很在意成本。相比而言，传统企业市场才是真可以赚很多钱的地方，项目较大，利润往往也有保证。
当然不能说互联网模式短期就不赚钱，有一些互联网模式的还真能短期赚钱，但总的来说，我认为短期内传统市场还是必须要关注的，它是可以赚很多钱的市场。张：照你的意思，创业公司不要老是关注 BAT 们怎样？而更应该想着怎么去传统行业赚钱？金：创业公司单纯的对互联网公司的模仿或者规避，都容易失去自己。创业公司还是要有自己的想法，这样才能更有前瞻性，才会有更多机会。创业公司的资金和人员是一定比不过 BAT 的，所以一定要有自己的核心竞争力，做好自己，这才是关键。张：大家都知道，你是业界威胁情报的布道者，前阵子“烽火台联盟”成立，一个专注于威胁情报的联盟组织，你作为幕后推手，也算是“终成正果”了，对此你是怎么考虑的？金：现在威胁情报已经逐渐从概念阶段转入到实战阶段了。目前已经有不少威胁情报方向的创业公司，但普遍处于初创阶段。联盟的主要考虑是，先在部分小型创业公司之间建立一种联系，再逐渐扩大成员，加强联系，慢慢做大。做威胁情报，单靠一家之力是不行的，最好能联合起来，互相协同协助，数据共享，这样威胁情报业务才会更快地走向成熟。与此同时，小公司通过联盟也会多一些话语权，建立能够保障小公司利益的联盟合作机制，为小公司赢得更多尊重。金：烽火台联盟目前有 8 家公司，都不算太大，也有十分初创的，公司规模从还不赚钱到利润千万规模都有，每家公司在行业的影响力都相对比较有限，跟 3BAT 等互联网公司和启明星辰、天融信等传统信息安全公司，都是相差很大的。这种情况下，单独一家去跟大公司谈合作，大公司甚至都未必知道你的公司。那现在大家聚一起形成联盟，力量就变得大了，这几家公司加一起，明年的利润没准也能达到过亿规模。联盟成员覆盖的细分市场领域，客户群体覆盖加在一起也相当可观，聚在一起也是相当一股力量。
当然，联盟也不会有一些不现实的目标，比如去跟大公司PK。联盟的规模还是小，其资金、客户甚至数据再怎么整合，短期内也不可能比过大公司。但联盟可以做出自己的特色，比如做大公司目前没有做的领域，或者在某个领域做得更深更有自己的特点。联盟最起码也可以作为一个独立的第三方的选择，即便可能不是最好的选择，至少也是一种值得注意和认真考虑的选择。
联盟的业务模式还在尝试，后面也希望会有更多公司加入，未来发展可能比较难以预测，但无论如何，联盟希望会成为行业内值得重视、值得尊重的一股力量。金：联盟里的企业，确实有投资过的，比如思睿嘉得。对于联盟中的其他公司，更多是出于理念的认同和方向的看好，未来当然是希望有更多投资方面的合作。不过目前看都还太早，被投资也不是进入联盟的条件，先推进把联盟做起来，在发展过程中再探索吧。
张：总的来说，你个人的几个发展阶段，从技术，到咨询，再到投资，每一次过渡都是在前一个阶段有了深厚积累之后，并且前后是互补的关系，这让你成为那种既博杂又能聚焦的人，对此你有过设计吗？金：这还真不是刻意的，更多是被动、顺其自然，一开始真的没想那么多。举个例子，我中间去咨询公司做了 IT 咨询，当时还以为就转行了，再跟信息安全没关系了，结果最后还是回来接触这个行业。这一切都是机缘巧合吧。张：如果说做投资是你的第三个阶段，那会不会还有下一个阶段？金：现在还不知道。我对目前的状态还比较满意，现在看也比较顺利，应该还是会做比较久的。金：NUKE 本意是核爆的意思，上网总要起个绰号。我当时想找一个响亮点的，就选了个 NUKE 这个 ID 。张：蛮好玩的，不过还别说，我真觉得有那种坐镇中军帐然后运筹帷幄的感觉。金：其实这也跟现在的工作性质有关吧，因为做为投资人，不会直接参与到具体的公司运营，即与行业中的各厂家没有直接的竞争，但是又有所联系。就像我那个“网络安全威胁情报推进联盟”的微信群，之所以还维持了较高的人气，原因之一就是我还相对比较中立，我觉得说得对的我就会支持，甚至帮忙提提意见策划一下。久而久之，大家老说将军长将军短的，也就见惯不怪了。