工程师写的报告，
才有人愿意读

来历

公司由几位长期在甲方做安全建设的工程师发起。大家在做内部安全时有个共同体会：外部交付的安全报告往往停留在漏洞列表层面，开发看完不知道从哪下手，运维看完不知道要不要改。于是我们决定自己做服务提供方，把「让报告被读完、让修复被验证」作为全部工作的起点。公司注册与运营都在常州，客户集中在长三角范围内的中型企业与快速成长的软件团队。我们不追求服务对象的数量，更在意每个项目结束后，客户的团队是否真的比项目开始前更会处理安全问题——这决定了我们只承接范围清晰、授权完整的项目。

做事方法

方法论上我们坚持「先测绘、再验证、后修复」。任何项目都从资产清单开始：域名、主机、接口、数据流，一项项确认归属与责任人，避免测试打在没人管的系统上。验证阶段以手工测试为主，工具只负责缩小范围；每个结论必须有可复现的证据链，报告里不写「疑似」「可能」。修复阶段我们把自己定位成乙方里的工程伙伴——参加开发团队的修复讨论，逐条确认方案是封堵成因还是只挡表象，最后用复测收尾。这套流程慢一点，但客户拿到的每一页报告都经得起二次检查，这是我们能在常州本地口口相传的原因。

团队分工

团队按职能分成三条线：测试线负责渗透测试与代码审计，成员以 Web 与内网渗透为主要方向；工程线负责加固实施、态势感知部署与应急响应，成员背景多为运维与系统开发；咨询线负责等保咨询与数据安全治理，负责把合规条文翻译成可执行的动作。三条线在项目里交叉协作：测试线发现问题，工程线设计整改，咨询线补齐制度缺口。每个项目指定一名负责人全程对接，客户不需要在不同环节反复解释背景，方案上下文始终连续。

质量与交付

质量标准写进了交付流程：报告必须有复现步骤、影响评估与修复建议三要素，缺一不发；高危结论在提交前由第二人复核；所有测试操作留存日志，接受客户抽查。交付节奏上，我们承诺报告讲解会在报告发出后五个工作日内召开，复测在客户完成修复后的约定窗口内执行。服务结束后提供为期一个季度的答疑支持，修复过程中遇到的任何疑问都可以回到原负责人这里。如果对服务范围、流程或验收方式有疑问，可以查看常见问题，或通过联系我们直接沟通。

想了解具体能做什么，见服务项目；采购前建议先读选型与采购指南。