2024年，全球網(wǎng)絡(luò)安全人才缺口擴大到400萬，但網(wǎng)絡(luò)安全企業(yè)卻紛紛裁員過冬。網(wǎng)絡(luò)安全行業(yè)到底缺不缺人？在矛盾的現(xiàn)象和數(shù)據(jù)背后，隱藏著哪些真相？網(wǎng)絡(luò)安全教育培訓(xùn)體系出現(xiàn)了哪些重大問題？

2024年對于企業(yè)CISO和網(wǎng)絡(luò)安全從業(yè)者來說可謂機遇和挑戰(zhàn)并存。一方面，人才短缺、技能差距在不斷擴大，企業(yè)需要更多優(yōu)秀網(wǎng)絡(luò)安全人才應(yīng)對新興和未知威脅；另一方面，經(jīng)濟不確定性導(dǎo)致的裁員、預(yù)算縮減正在給企業(yè)網(wǎng)絡(luò)安全帶來前所未有的挑戰(zhàn)。

在網(wǎng)絡(luò)犯罪規(guī)模化、地緣政治沖突的推動下，2024年全球網(wǎng)絡(luò)安全威脅態(tài)勢正在快速惡化，根據(jù)CybersecurityVentures的報告，2024年網(wǎng)絡(luò)攻擊造成的經(jīng)濟損失將超過10.5萬億美元，這意味著網(wǎng)絡(luò)犯罪已經(jīng)成為“第三大經(jīng)濟體”。

然而，面對日益猖獗的網(wǎng)絡(luò)犯罪，全球企業(yè)卻面臨著嚴峻的網(wǎng)絡(luò)安全人才短缺難題。根據(jù)世界經(jīng)濟論壇和ISC2的報告，目前全球網(wǎng)絡(luò)安全專業(yè)人才缺口高達400萬人。但是頗為諷刺的是，2023年以來，網(wǎng)絡(luò)安全行業(yè)并未逃脫全球性的科技行業(yè)裁員浪潮。

Observe的調(diào)查報告顯示，2023年近半數(shù)企業(yè)準備縮減安全人員編制“降本增效”。調(diào)查顯示，過去一年中47%的網(wǎng)絡(luò)安全團隊經(jīng)歷了裁員、預(yù)算縮減或招聘凍結(jié)。22%的受訪個人遭遇過裁員，31%的受訪者預(yù)測2024年企業(yè)還將進一步裁員。

眾所周知，人是最關(guān)鍵的網(wǎng)絡(luò)安全要素。即使擁有最昂貴最可靠的網(wǎng)絡(luò)安全解決方案，人手短缺/技能差距和人為疏忽依然是企業(yè)安全防線的最大軟肋。

在人手短缺（導(dǎo)致的過勞）和技能差距的影響下，網(wǎng)絡(luò)安全人員容易犯錯，例如忽略警報、誤讀數(shù)據(jù)等導(dǎo)致數(shù)據(jù)泄露或安全漏洞的錯誤。卡巴斯基近期的一項研究表明，過去兩年間，由于缺乏合格網(wǎng)絡(luò)安全人員，企業(yè)至少經(jīng)歷過一次網(wǎng)絡(luò)安全事件。

近日，卡巴斯基在調(diào)查了全球3500名網(wǎng)絡(luò)安全人士后發(fā)布了《現(xiàn)代信息安全專業(yè)人士畫像》報告，分析了全球網(wǎng)絡(luò)安全人才短缺背后的真相，并深入研究了網(wǎng)絡(luò)安全教育體系和當(dāng)前勞動力市場的現(xiàn)狀與問題。

以下為報告中的一些主要發(fā)現(xiàn)：

41%的網(wǎng)絡(luò)安全團隊人手不足，近一半(48%)聲稱需要六個月以上才能填補空缺職位。全球網(wǎng)絡(luò)安全團隊人員短缺最嚴重的國家和地區(qū)是俄羅斯，其次是拉丁美洲、亞太地區(qū)和中東/非洲：

政府、電信、醫(yī)療、零售、化工能源、酒店是網(wǎng)絡(luò)安全人才短缺最嚴重的行業(yè)：

圖片

信息安全研究和惡意軟件分析是全球人才短缺最為嚴重的職位（39%）：

調(diào)查表明，專家需求量最大的三個專業(yè)是信息安全分析師、威脅情報和惡意軟件研究。另一方面，人們對網(wǎng)絡(luò)安全、SOC和安全評估等領(lǐng)域的興趣較低。在我看來，這種差異表明市場對后三個領(lǐng)域的無知在未來將變得顯而易見。

——卡巴斯基美洲區(qū)董事總經(jīng)理克勞迪奧·馬丁內(nèi)利(Claudio Martinelli)

企業(yè)尋找和雇傭合格網(wǎng)絡(luò)安全人才面臨的主要挑戰(zhàn)（除技術(shù)和威脅快速發(fā)展、雇傭成本、時間緊迫、全球競爭、特殊崗位、背景調(diào)查外為應(yīng)聘者面臨的問題）：

企業(yè)招聘網(wǎng)絡(luò)安全人才時最看重的因素（更重視安全認證而非大學(xué)學(xué)位）：

入職前已參加網(wǎng)絡(luò)安全/信息安全/數(shù)據(jù)安全方面的專業(yè)課程培訓(xùn)/認證的比例（歐洲最少）：

大多數(shù)（63%）網(wǎng)絡(luò)安全專家認為安全人才的“軟技能”和“硬技能”同等重要：

安全人士參加網(wǎng)絡(luò)安全/信息安全/數(shù)據(jù)安全專業(yè)課程/認證的原因：

如何看待高等教育（學(xué)院/大學(xué)）中以網(wǎng)絡(luò)安全/信息安全為重點的課程的總體可用性：

半數(shù)受訪信息安全專業(yè)人士表示，正規(guī)高等教育中網(wǎng)絡(luò)安全或信息安全課程的可用性要么很差，要么非常差。擁有兩到五年經(jīng)驗的專業(yè)人士對高校網(wǎng)絡(luò)安全課程持否定態(tài)度的比例高達83%。

高等教育中網(wǎng)絡(luò)安全課程可用性評價最低的國家和地區(qū)是中東/非洲、亞太和歐洲：

只有44%的網(wǎng)絡(luò)安全專業(yè)人士認為大學(xué)中獲得的理論知識對履行工作職責(zé)很有用。按工作經(jīng)驗?zāi)晗藓吐毼粍澐值娜巳褐校?5%的擁有2-5年工作經(jīng)驗的安全專業(yè)人士認為“大學(xué)理論知識無用”：

現(xiàn)有網(wǎng)絡(luò)安全教育體系與行業(yè)脫節(jié)的最主要原因是缺乏具有網(wǎng)絡(luò)安全實際經(jīng)驗的教學(xué)人員，中東/非洲、俄羅斯和亞太地區(qū)的高等教育體系最缺乏具備企業(yè)經(jīng)驗的培訓(xùn)師/講師：

拉丁美洲網(wǎng)絡(luò)安全高等教育綜合評分最高，非洲/中東和歐洲表現(xiàn)最差：

調(diào)查顯示，高校網(wǎng)絡(luò)安全教育的理論知識與實踐脫節(jié)：

• 半數(shù)受訪者認為，他們在大學(xué)或?qū)W院獲得的理論知識在實際工作中幾乎無用。
• 不到一半的受訪者表示他們在大學(xué)或?qū)W院獲得了動手實踐的經(jīng)驗。
• 許多受訪者認為，獲取最新技術(shù)和設(shè)備以及實習(xí)質(zhì)量是大多數(shù)地區(qū)網(wǎng)絡(luò)安全教育最薄弱的方面。

教育體系面臨的挑戰(zhàn)：

• 快速變化的網(wǎng)絡(luò)威脅使得教育課程難以跟上最新形勢，導(dǎo)致理論知識與實際脫節(jié)。
• 缺乏具有行業(yè)實踐經(jīng)驗的合格教師進一步加劇了教育與行業(yè)的脫鉤。
• 正式的網(wǎng)絡(luò)安全培訓(xùn)計劃的創(chuàng)建和審批速度緩慢，也阻礙了將前沿技術(shù)領(lǐng)域納入IT教育計劃。

結(jié)論：網(wǎng)絡(luò)安全教育體系亟需改革

調(diào)查結(jié)果表明，當(dāng)前的網(wǎng)絡(luò)安全教育體系未能滿足行業(yè)需求。為了培養(yǎng)出合格的網(wǎng)絡(luò)安全人才，需要進行以下方面的改革：

• 縮小理論知識與實踐之間的差距，提供更多動手實踐的學(xué)習(xí)機會。
• 聘請具有行業(yè)經(jīng)驗的教師，使課程內(nèi)容與實際工作更加貼近。
• 加快更新課程內(nèi)容，緊跟網(wǎng)絡(luò)威脅的最新發(fā)展趨勢。
• 加強與行業(yè)的合作，提供實習(xí)機會，讓學(xué)生將理論知識應(yīng)用于實踐。
• 只有通過不斷改革和創(chuàng)新，教育體系才能為網(wǎng)絡(luò)安全行業(yè)輸送合格人才，共同應(yīng)對日益嚴峻的網(wǎng)絡(luò)安全挑戰(zhàn)。