网络安全合规-网络安全岗位角色及职业发展

近日国外安全机构 INFOSEC 发布了他们每年一度的《IT和安全人才招聘研究报告》，该研究报告已在嘶吼编译发布（详见文末附录部分），整篇报告对业内同行寻找工作机会以及对于要入行的人都具备指导意义。在该篇报告中提及了到了《2021 年网络安全岗位角色及职业发展路径清晰度研究报告》，这篇报告从组织设立安全岗位角色、培育安全人才这两方面做了广泛的调查和研究，从最后的结论中可以明显感受到将安全岗位描述标准化、制定人才发展计划对于网络安全人才的选、用、育、留，大有裨益。强烈推荐安全部门主管及招聘 HR 参考。

识别、招聘和留住网络安全人才是我们这个行业面临的最大挑战之一。虽然网络安全工具和技术的进步很重要，但大多数安全事件都是由于网络安全团队人手不足、教育程度低和资源不足造成的。这不是一个小的挑战。去年，INFOSEC 的《2020 IT与网络安全人才招聘研究》(2020 IT & Security Talent Pipeline Study)显示，73% 的美国网络安全招聘经理在填补网络安全职位空缺时面临挑战。报告中提到的挑战总体上包括简历投递人数太少，当然，还包括缺乏足够技能和经验丰富的网络安全专家。

《2021 年网络安全角色与职业路径清晰度研究》调查了来自美国和加拿大至少有 1000 名员工的组织里的 370 多名 IT 和安全团队主管。数据收集于 2020 年底，分析于 2021 年初。INFOSEC 从自己的数据库和领先证券市场研究公司奥斯特曼(Osterman Research)的数据库中征求反馈，目的是使调查结果多样化。受访者来自不同的行业和规模大小不同的公司，以确保具有代表性和可靠的数据集，并获得参与调查的激励。

该项目由 INFOSEC 营销副总裁 Megan Sawle 指导和撰写，数据分析工作是与威斯康星大学研究项目经理以及 MolMoi 生物科学首席执行官 Margaret Phillips 博士合作进行。

长期以来，网络安全团队的规模、头衔以及职责的神秘和模糊一直困扰着安全领域的科技行业分析师。即使是规模最大、最成熟的且数据最丰富的供应商，也未能将网络安全角色划分到 IT 功能之外，反而将其与从软件工程师到服务台技术人员等各种 IT 角色整合在一起。为了更好地理解IT和安全团队的规模如何随着组织规模——也可能是IT和安全需求——而扩大，2021年的网络安全角色和职业路径清晰度研究项目要求参与者分享他们的IT团队规模，以及从事网络安全工作的员工数量。

网络安全领域的从业人员在为员工提供持续技能发展的理由时，经常会提到技术技能的半衰期——或者技能如何随着时间的推移而失去价值。IBM 最近的一项研究表明（《缩小技能差距的企业指南》，研究报告见文末附录），大多数专业技能每5年就会失去50%的价值；对于技术角色来说，时间甚至更短。为什么、如何以及花多少资金用于IT和网络安全培训，可以帮助企业了解员工发展计划的成熟度，以及如何应对技术技能半衰期不断缩短的问题。

2021年网络安全角色与职业路径清晰度研究项目发现，IT和安全培训预算通常与组织和IT团队的规模相匹配。在IT团队规模方面尤其如此，人数在500人以上的团队更有可能每年花费至少10万美元来提高员工的技能。在研究分析的20个行业细分中，金融、媒体/互联网、能源/公用事业和消费者服务在IT、安全团队规模和培训预算方面处于领先地位。农业、零售和政府部门的IT和安全团队规模最小并且培训预算最少，而金融、媒体/互联网、能源/公用事业和保险的预算最多