干了 20 年网络安全，从 SOC 到 CISO

在安全圈摸爬滚打 20 年是什么概念？这位在 Reddit 上发帖的兄弟可能已经把几乎所有坑都踩遍了：从最基层的 SOC 分析师、渗透测试员，一直干到了红队、架构师，甚至在过去 8 年里连续在三家机构担任过 CISO（首席信息安全官）。

这种职业路径在很多人眼里简直是教科书级别的成功，但对于他来说，这更像是一场漫长的消耗战。他现在的状态非常典型：极度的职业倦怠（Burnout），甚至到了生理和心理都无法支撑继续工作的地步。最扎心的是，他并不具备直接退休的财务条件，但又觉得如果不换个行当，自己真的撑不下去了。

这种“高薪但透支”的困境在安全行业其实挺普遍的。大家可能觉得安全专家无所不能，但在转行这件事上，他面临的是一个很现实的技术断层焦虑——深耕了二十年安全，除了防御、审计和合规，觉得自己好像拿不出其他硬通货技能去换一份能维持现有生活水平的高薪工作。

我看到他在荷兰，这其实也侧面反映了欧洲安全从业者的一种心态，比起那种无止境的加班和对威胁的时刻紧绷，他们更倾向于寻找一种职业平衡。

我在想，对于这种级别的资深安全人来说，转行的路径其实没那么窄，但难点不在于“能做什么”，而在于“如何平滑降落”。

• 从防御转向工程： 很多做过架构和红队的，转去做纯粹的 DevSecOps 或者云架构其实非常顺滑，虽然性质变了，但逻辑是通的。
• 从技术转向管理/咨询： 既然当过 CISO，其实可以往纯粹的商业风险管理或者企业战略咨询转，脱离那种“救火队员”的节奏。
• 利用 AI 降维打击： 现在很多安全流程正在被自动化和 AI Agent 重构，其实可以利用对安全业务的理解，去搞安全工具的开发或者 AI 安全治理。

这种转型最难的不是技术，而是如何接受初期的“降薪”或者“身份落差”。对于一个习惯了决策层视角的 CISO 来说，重新去学习一套新的工作流，这种心理建设比改简历难得多。