網(wǎng)絡安全人才短缺如今并沒有減弱的跡象。根據(jù)調(diào)研機構的研究，95%的受訪者表示網(wǎng)絡安全技能短缺及其相關影響在過去幾年沒有改善，44%的受訪者表示這種情況只會變得更糟。

此外，一半以上的受訪者(57%)表示，技能短缺正在對其現(xiàn)有員工隊伍造成不利影響，其原因是工作量增加(62%)、未完成的空缺職位申請(38%)以及員工的高度倦怠(38%)等有關問題。

雖然網(wǎng)絡技能短缺給IT安全領導者和他們旨在保護的企業(yè)帶來了各種問題，但對網(wǎng)絡安全專家的需求為安全專業(yè)人員提供了巨大的機會。

以下是安全行業(yè)專業(yè)人士列出的技術技能和軟技能，它們對于建立成功的職業(yè)生涯以及使企業(yè)處于保持高效的最佳位置是最重要的。

提升企業(yè)的網(wǎng)絡安全事業(yè)所需的頂級技術技能

(1)應用安全開發(fā)。企業(yè)需要精通DevSecOps概念并能與軟件開發(fā)工程團隊密切合作的安全人員。溝通技巧在這里很重要，因為工程部門通常專注于將產(chǎn)品推出市場或產(chǎn)品的功能與安全性。因此，對這一領域感興趣的人需要更加靈活的技能，因為應用程序安全開發(fā)通常屬于安全團隊直接控制之外的業(yè)務部門。此外，安全專業(yè)人員通常主要專注于將居心不良者拒之門外，而不是從一開始就將安全性構建到產(chǎn)品中。提高和磨練應用程序安全開發(fā)技能需要適應新的安全思維和文化。

(2)云安全。隨著越來越多的企業(yè)尋求云計算基礎設施來存儲數(shù)據(jù)和運行應用程序，他們需要了解底層基礎設施以及如何將身份管理和身份驗證與安全運行基本SaaS應用程序聯(lián)系起來的人員。許多云漏洞的發(fā)生是因為在憑據(jù)被盜的地方設置了虛假頁面。企業(yè)需要熟悉這些策略并能夠管理監(jiān)控和識別此類方案的云安全工具的人員。隨著企業(yè)采用多云戰(zhàn)略，他們還需要了解如何使用旨在跨多個公有云平臺工作的新工具的人員。

在業(yè)務方面，企業(yè)還需要了解與提供這些云服務的供應商簽訂的協(xié)議中的合同條款的人員;特別是，云安全專家需要了解供應商責任共擔協(xié)議中公司對安全的責任。具有管理大型平臺(例如AWS、Microsoft Azure和谷歌云平臺)經(jīng)驗的人才需求量很大。

(3)威脅情報分析。市場上有許多威脅情報工具，但能夠正確使用這些工具并對安全威脅趨勢進行情境化和分析的人員供不應求。企業(yè)往往很難找到有這種才能的人員，而培訓他們更難。這項工作需要強大的分析能力、好奇心和處理高風險壓力的能力。威脅情報專家擅長分析數(shù)字取證。他們通常具有一些編程技能，尤其是在Python方面。對這一領域感興趣的安全人員可以積累在事件響應團隊工作的經(jīng)驗，其中許多技能也可以發(fā)揮作用。這一領域也越來越需要了解影響機器學習和人工智能環(huán)境的威脅的人員。

(4)滲透測試/紅隊。具有滲透測試/紅隊技能的人員是網(wǎng)絡攻擊安全類型的專家，他們可以告訴企業(yè)什么被破壞以及如何修復。做好這項工作需要專業(yè)知識和豐富的經(jīng)驗，這就是企業(yè)很難找到這些人的原因。優(yōu)秀的滲透測試人員相信他們可以破解任何東西。這需要很大的信心，但也需要在課堂、實踐研討會和工作中獲得的大量技能。此外，企業(yè)對藍隊隊員或防守隊員的需求也在增加。

(5)網(wǎng)絡安全。網(wǎng)絡安全技能是安全領域每個人都應該具備的基本技能。一些優(yōu)秀的安全人員來自網(wǎng)絡安全背景，正是因為安全的基礎源于對網(wǎng)絡如何工作的理解：如果不了解路由器的工作原理，不知道防火墻日志的含義，沒有掌握入侵檢測和預防的基礎知識，那么就無法保護網(wǎng)絡。許多人會認為，安全專業(yè)人員的最佳職業(yè)軌道是從計算機支持開始，然后作為網(wǎng)絡管理員工作，并在這一基礎上逐步培養(yǎng)安全技能。

(6)身份和訪問管理。絕大多數(shù)漏洞(80%以上)是由數(shù)據(jù)泄露、弱密碼和重復使用的密碼引起的。溝通技巧同樣重要。企業(yè)需要能夠向人們解釋威脅的安全專業(yè)人員，并教他們?nèi)绾卧谌粘９ぷ髦惺褂肁uthy或其他無密碼工具(指紋、面部ID、視網(wǎng)膜掃描)改進密碼實踐。企業(yè)還需要能夠管理身份和訪問管理工具并知道如何設置網(wǎng)絡權限并正確管理它們的人員，以便企業(yè)對入侵者保持警惕。該領域的專家必須能夠定義對某些數(shù)據(jù)集的訪問級別，并根據(jù)員工角色和職責設置權限。

(7)風險與合規(guī)審計。該領域所需的技能部分取決于人們從事的行業(yè)或部分業(yè)務。專注于電子商務的企業(yè)需要了解如何遵守PCIDSS法規(guī)的人員;另一方面，各種類型的企業(yè)都必須處理敏感醫(yī)療數(shù)據(jù)的HIPAA合規(guī)性問題。企業(yè)還需要熟悉各種數(shù)據(jù)隱私法規(guī)的人員，無論是基于歐盟的GDPR還是加州消費者隱私法。企業(yè)需要能夠評估違規(guī)風險并了解要提交哪些文書工作以及要實施哪些安全協(xié)議以遵守法規(guī)的人員。

(8)移動遠程計算。許多人可能會認為，這項技能應該在列表中排名更高。當然，在2020年的新冠疫情期間，企業(yè)的安全團隊將大部分時間用于推出VPN或管理遠程桌面協(xié)議(RDP)服務器，以便員工可以在家中工作時訪問企業(yè)應用程序。盡管隨著越來越多的人接種疫苗并且逐步恢復辦公室辦公，但企業(yè)仍然大多支持混合工作。許多企業(yè)發(fā)現(xiàn)在家遠程工作模式對他們來說效果很適用，因此安全團隊繼續(xù)需要了解如何管理VPN和RDP服務器并將家庭網(wǎng)絡進行分段以提高安全性的人員。

(9)溝通/領導。安全培訓領域的專家表示，安全業(yè)務嚴重缺乏軟溝通和領導技能。當然，這一直是技術領域的一個問題，但它在當今的業(yè)務中變得更加重要，因為安全專家必須培養(yǎng)一種以商業(yè)人士理解的方式解釋技術概念的能力。如果不能向業(yè)務領導者解釋基本的安全概念，具有才華的威脅獵手或紅隊成員的職業(yè)生涯就不會有進展。這意味著避免對入侵企圖或安全事件對KPI的影響進行深入分析，可以采用直言不諱的方式：向企業(yè)管理層解釋數(shù)據(jù)泄露對企業(yè)的銷售、利潤和聲譽造成的風險。

(10)創(chuàng)造力。創(chuàng)造力是一種無形的東西，可以將人們推向網(wǎng)絡安全事業(yè)的頂峰。富有創(chuàng)造力的安全人員能夠像黑客一樣思考，處理許多假設場景，并致力于比網(wǎng)絡犯罪分子領先一步。有時，這項工作就像一場精心設計的國際象棋游戲。黑客可能潛入企業(yè)網(wǎng)絡長達數(shù)月之久，而安全團隊只能等待他們采取行動才能發(fā)現(xiàn)。無論黑客的犯罪動機是什么，安全人員都致力于將其排除在外。他們通過閱讀最新的網(wǎng)絡小說、了解時事和社交媒體趨勢、演奏樂器、設計視頻游戲、學習計算機動畫基礎知識或通過指導運動隊或參與社區(qū)來激發(fā)他們的創(chuàng)造力。而解釋日志和分析圖表、編碼和開發(fā)核心紅隊技能無疑為企業(yè)在網(wǎng)絡安全方面打開了大門，擁有創(chuàng)造力和的好奇心的人才將會讓企業(yè)走得更遠。