安全工程师对接客户，是乙方安全服务人员的必修课。这事看着是软技能，实际上决定了你能不能长期吃这碗饭。
先说为什么要重视客户对接。
甲方 IT 部门人员紧张、安全意识参差，对安全的理解程度差异很大。乙方安全工程师把技术做完了，如果不跟客户解释清楚"这次发现的漏洞有多严重"，客户可能不当回事；不解释修复路径的优先级，客户可能修了一半就放那儿了；不解释清楚测试过程和测试结论的区别，客户可能会误解你的测试报告。
客户对接的常见场景有哪些？
场景一：渗透测试交付。需要给甲方讲解发现的高危漏洞、演示漏洞利用过程、给出修复建议。这部分对接做得好不好，直接影响甲方对乙方专业度的评价。
场景二：等保测评交付。需要给甲方讲解等保条款的具体含义、当前系统不达标项的整改建议、整改优先级。这部分对接工作量大，甲方的疑问也最多。
场景三：安全咨询交付。需要给甲方管理层讲解安全风险、给出安全规划建议。这部分对接难度最高，因为管理层的安全背景差异大，需要把技术问题翻译成业务语言。
场景四：安全事件应急。需要给甲方讲解事件影响范围、攻击路径、应急处置建议。这部分对接压力大、时间紧。
对接客户的基本功有四个：
第一，把技术问题翻译成业务语言。客户管理层关心的是"这次漏洞会不会让我们被监管处罚""会影响业务连续性吗"，不是"漏洞的利用原理是什么"。
第二，控制讲解节奏。一次对接会议不超过 1 小时，分主题讲，每个主题讲完留 5-10 分钟答疑。
第三，准备可视化材料。复杂的攻击链路画成图，复杂的合规要求做成对比表，复杂的修复建议做成优先级矩阵。
第四，留痕。每次对接完写一份会议纪要，发给客户确认，避免后续扯皮。
对接过程中的几个禁忌：
禁忌一：技术傲慢。不要用"这个都不懂"的态度对待客户。客户的安全基础可能不如你，但他对你负责的业务比你懂。
禁忌二：过度承诺。不要为了签单说"承诺通过等保""零风险承诺"，这既不现实也会把自己套进去，广告法也明令禁止这类承诺性话术。负责任的说法是"按等保条款逐项对照，给出整改建议清单"。
禁忌三：模糊处理。不要把不确定的事情说成确定的事情。漏洞没复现就说没复现，修复方案有风险就说有风险。
禁忌四：忽视文档。客户对接完不留书面记录，后续争议起来会非常麻烦。
至于培训，很多乙方安全岗的培训课程里会专门讲客户沟通和汇报技巧。润天教育的课程里有安全咨询和客户对接相关的模块，可以对照参考一下。
