[[422556]]

近期一項(xiàng)調(diào)查研究發(fā)現(xiàn)，很多企業(yè)面臨的網(wǎng)絡(luò)安全專(zhuān)業(yè)人員招聘難題，除了是安全人才總體供不應(yīng)求的狀況所造成的，企業(yè)管理不善或許也貢獻(xiàn)了差不多的難度。

美國(guó)信息系統(tǒng)安全協(xié)會(huì)(ISSA)和分析公司企業(yè)戰(zhàn)略集團(tuán)(ESG)對(duì)美國(guó)及其他地區(qū)的489名IT和安全專(zhuān)業(yè)人員就與其工作相關(guān)的一系列問(wèn)題進(jìn)行了問(wèn)卷調(diào)查。這是兩家機(jī)構(gòu)多年來(lái)執(zhí)行的第五次調(diào)查。

今年，57%的受訪者報(bào)告稱(chēng)，其公司一直受到人才短缺危機(jī)的影響，這一比例在去年是70%，2019年則是73%。盡管看起來(lái)情況有所改善，95%的受訪者認(rèn)為人才短缺及其相關(guān)影響在過(guò)去幾年里有所改善，但44%的受訪者感覺(jué)情況只會(huì)變得更糟。

調(diào)查顯示，超過(guò)四分之三(76%)的企業(yè)發(fā)現(xiàn)特別(或某種程度上)難以找到并聘用網(wǎng)絡(luò)安全專(zhuān)業(yè)人員。網(wǎng)絡(luò)安全人才供應(yīng)與需求之間越來(lái)越大的差距是導(dǎo)致該問(wèn)題的原因之一。另一個(gè)原因是企業(yè)在填補(bǔ)可用網(wǎng)絡(luò)安全職位方面犯了些基本的錯(cuò)誤。

例如，38%的受訪者認(rèn)為其公司沒(méi)有為潛在的網(wǎng)絡(luò)安全員工提供有競(jìng)爭(zhēng)力的薪酬。29%的受訪者對(duì)其人力資源部門(mén)的評(píng)價(jià)是毫不了解網(wǎng)絡(luò)安全技術(shù)，25%覺(jué)得不切實(shí)際的崗位要求和技術(shù)要求很是勸退潛在的優(yōu)秀求職者。約60%的受訪者認(rèn)為自家企業(yè)可以采取更多行動(dòng)來(lái)緩解這種情況。

ISSA International總裁兼首席信息安全官Candy Alexander稱(chēng)：“這份調(diào)查報(bào)告的主要結(jié)論就是，情況沒(méi)有任何改變。”調(diào)查結(jié)果顯示，企業(yè)并沒(méi)有增加薪酬投入，也沒(méi)有為現(xiàn)有員工提供培訓(xùn)機(jī)會(huì)。

薪酬可被視為一種投資，用于招聘成熟網(wǎng)絡(luò)安全專(zhuān)業(yè)人員，但很多企業(yè)都沒(méi)這么做。個(gè)中原因可能是這些企業(yè)并不了解網(wǎng)絡(luò)安全崗位的職能，或者沒(méi)有充分看出網(wǎng)絡(luò)崗位對(duì)公司盈利的作用。

Swimlane安全研究工程師Nick Tausek表示，處在初級(jí)分析師職位，或者從事基礎(chǔ)設(shè)施及軟件支持工作的網(wǎng)絡(luò)安全專(zhuān)業(yè)人員，很可能無(wú)法獲得公平合理的薪酬。其他可能導(dǎo)致摩擦的薪酬相關(guān)因素包括資深員工和新員工之間的巨大薪金差距，以及同一職位不透明且差異很大的薪資表，基本無(wú)法了解誰(shuí)做了什么而拿到薪金。

Tausek稱(chēng)：“我工作過(guò)的地方曾出現(xiàn)過(guò)毫無(wú)經(jīng)驗(yàn)的新人分析師比這個(gè)崗位上供職四年的老手多拿1.5萬(wàn)美元的情況，僅僅是因?yàn)檎勁屑记伞＿€有些公司給附屬辦事處分析師的薪資只有總公司同一崗位人員的三分之一。這類(lèi)不公平超級(jí)打擊士氣。”

自動(dòng)化問(wèn)題

人力資源部門(mén)對(duì)網(wǎng)絡(luò)安全技能理解不足，發(fā)布的招聘啟事列滿不切實(shí)際的要求(比如要求具備該崗位并不需要，或者與薪資不相匹配的技能)，是讓企業(yè)難以聘任到員工的其他兩個(gè)因素。

Alexander表示，人力資源部門(mén)的不斷自動(dòng)化也造成了很多優(yōu)秀人才的簡(jiǎn)歷被埋沒(méi)的情況，而原因僅僅是他們的簡(jiǎn)歷中沒(méi)有包含特定關(guān)鍵詞供系統(tǒng)捕獲。

此外，具有嚴(yán)格招聘慣例的企業(yè)通常可以根據(jù)某種類(lèi)型的分層分類(lèi)法來(lái)調(diào)整職位和工資。

ESG分析師Oltsik稱(chēng)：“這種分類(lèi)很僵化，可能跟不上網(wǎng)絡(luò)安全這種熱門(mén)工作領(lǐng)域的變化。”不過(guò)，網(wǎng)絡(luò)安全主管在這方面也有責(zé)任，因?yàn)樗麄兲^(guò)關(guān)注網(wǎng)絡(luò)安全職能的技術(shù)層面，而沒(méi)有跟人力資源部門(mén)或招聘負(fù)責(zé)人溝通好需求。

缺乏清晰的職業(yè)晉升路徑也是個(gè)問(wèn)題。不是每家公司都設(shè)有滲透測(cè)試或高級(jí)安全分析這樣的職能，也就意味著員工停滯在同一位置的時(shí)間可能比預(yù)想的要長(zhǎng)。而對(duì)現(xiàn)有團(tuán)隊(duì)進(jìn)行交叉培訓(xùn)，讓分析師了解SIEM管理或網(wǎng)絡(luò)，則可以為那些想要擴(kuò)展技能的人提供出路。

ISSA/ESG的調(diào)查研究顯示，99%的受訪者認(rèn)為，培訓(xùn)是緊跟對(duì)抗網(wǎng)絡(luò)對(duì)手所需技術(shù)的關(guān)鍵。然而，試圖跟上網(wǎng)絡(luò)安全技能發(fā)展步伐的人中，有82%發(fā)現(xiàn)崗位要求阻礙了他們的發(fā)展。39%的受訪者稱(chēng)，公司增加網(wǎng)絡(luò)安全培訓(xùn)投資有助于解決人才短缺問(wèn)題。

企業(yè)需要為培訓(xùn)開(kāi)支留出預(yù)算，合理安排安全員工接受培訓(xùn)的時(shí)間。

“嚴(yán)格遵從培訓(xùn)計(jì)劃安排，不要隨意改動(dòng)。如果沒(méi)法按計(jì)劃培訓(xùn)，那就讓高級(jí)員工對(duì)初級(jí)員工做在職培訓(xùn)。我們已經(jīng)太過(guò)復(fù)雜化這一問(wèn)題及其解決方案了。”

不斷加劇的人才短缺狀況已經(jīng)讓很多企業(yè)的現(xiàn)有網(wǎng)絡(luò)安全團(tuán)隊(duì)不堪重負(fù)了。62%的受訪者認(rèn)為人才短缺正在加重網(wǎng)絡(luò)安全團(tuán)隊(duì)現(xiàn)有成員的工作量，38%的受訪者覺(jué)得人才短缺推高了員工的職業(yè)倦怠率。95%的受訪者認(rèn)為人才危機(jī)過(guò)去幾年來(lái)毫無(wú)改善，而44%的受訪者覺(jué)得人才短缺情況越來(lái)越惡化。

重視吸引和保留人才的安全主管和人力資源部門(mén)，需要認(rèn)識(shí)到分析師和其他網(wǎng)絡(luò)安全專(zhuān)業(yè)人士所帶來(lái)的巨大專(zhuān)業(yè)知識(shí)深度，并適當(dāng)補(bǔ)償他們。

縮小單個(gè)職位的薪金差距和工資級(jí)別，透明化福利和薪酬。讓員工感受到重視。網(wǎng)絡(luò)安全專(zhuān)業(yè)人員的工作很辛苦，通過(guò)發(fā)現(xiàn)安全事件并防止更嚴(yán)重的事件出現(xiàn)，他們?yōu)楣咀龀隽司薮蟮呢暙I(xiàn)。