先界定工作，再设置岗位
大多数职位描述不过是把一抽屉缩略语倒在纸上。不妨先从团队必须能做什么入手：把一条告警调查到有结论，编写检测规则并证明它会触发，恢复一个系统，向业务负责人解释一项风险，凌晨两点主持应急会议。NIST 的劳动力框架恰好为此提供了任务、知识和技能的词汇，我把它当作检查清单，而不是模板。工作列出来之后，岗位自然随之而出，现实的人员编制也是如此。
按人们能做到什么来招聘
证书只能说明一个人在屏幕上能认出正确答案。一次简短而贴近实际的演练，则能说明答案不在选项里时，他们是否还能找到。我让候选人完成有边界、与岗位相关、评分一致的场景测试，并且更看重这些而不是资质证书。我已写过原因：认证行业的胜任力问题。每位候选人会多花一点时间，但每避免一次错误招聘，就能省下一年。
为覆盖范围而搭建结构，而不是追求组织架构图的对称
检测、响应、工程和治理需要不同的人和不同的衡量标准。小团队需要通才，每人各有一项深入的专长；大团队需要专才，彼此有足够的重叠，使得没有人成为单点故障。这样的结构应当回答两个问题：出事时谁值班，以及只有一个人知道的事情有谁知道。如果任何一个答案是“我们得给 Dave 打电话”，这个结构就还没有完成。
留住值得留住的人
安全人员离职有三个原因：学不到东西，得不到信任，或因提出问题而被责怪。我带领的团队有清晰可见的成长路径，权力与责任相匹配，并有一条规则：提出问题会得到奖励，压着问题不报才会惹上麻烦。薪酬很重要，但很少是优秀人才离开的原因。
经验从何而来
三十年带领安全团队的经验，涉及从初创公司到政府的各类组织，以及数十年构建课程体系和评估能力的经验。大部分细节受保密协议约束。能在这里说的，我都说了。
我就此写过的文章。
如果愿意，请在我们交谈之前读一读这些。它们是这一论点的详尽版本。
相关工作。
我参与处理同样问题的其他方式。
- 聘请一位真正建成安全运营、而不只是做幻灯片的网络安全总监由亲自做过团队所做工作的人，担任安全运营、安全工程或安全项目的总监级负责人。
- 聘请一位亲自主导过响应、而不只是汇报过的首席信息安全官一位带领过应对数据泄露、建设过安全运营、向董事会做过简报的安全负责人。以下是我能为该岗位带来的价值，以及我不适合的情形。
- 为必须做决定的高管提供顾问，而不是为负责落实的团队为签字的人提供独立判断：该问什么，该相信什么，该决定什么，以及该向董事会说什么。
- 写给猎头与猎头公司：我适合哪些岗位，不适合哪些给猎头公司一个直截了当的回答：岗位、适配、不适配，以及如何快速得到我的明确答复。