《2023年全球網絡安全人才發展報告》關鍵發現解讀
責編：gltian ｜2023-12-15 14:16:29日前，國際信息系統安全認證聯盟（ISC2）發布了2023年度《全球網絡安全人才發展報告》。通過對全球14865名網絡安全從業者和管理者的訪談調研，報告對當前網絡安全從業者的發展狀態和主要挑戰進行了全面分析和深入研究。研究人員發現：當前，“以保護全球基礎設施和系統免受攻擊為職責”的網絡安全行業正面臨巨大的不確定性，經濟增長放緩、快速崛起的新攻擊手段、不完善的監管要求以及不斷擴大的專業技能缺口等因素，都可能會削弱網絡安全從業者有效應對威脅的能力。
以下是本次報告的10個關鍵發現：
- 對網絡安全人才及專業技能的需求持續擴大;
- 網絡安全預算削減對專業人才發展形成嚴重負面影響;
- 專業人才和技能短缺情況將長期存在;
- 網絡安全專業人才的工作經驗比學歷更重要;
- 網絡安全專業人員正面臨著前所未有的威脅形勢;
- 網絡安全從業者的工作滿意度開始下降，但仍然保持了較高的水準;
- 大量成熟的IT專業人員開始在網絡安全領域尋找職業機會;
- 當前，企業組織對云計算安全專業人員的需求量最大;
- 企業對AI/ML類人才的需求快速增長;
- 開展持續地教育和培訓是縮小企業網絡安全技能差距的有效方法。
1、對網絡安全人才及專業技能的需求持續擴大
盡管網絡安全行業存在諸多不確定的發展因素，但企業組織對網絡安全專業人才以及對他們專業技能的需求仍在繼續增長。據ISC2預測，2023年全球網絡安全從業者的規模將達到550萬，比2022年增長8.7%，新增就業崗位近44萬個。從區域來看，2023年幾乎所有地區對網絡安全人才和技能的需求都在增長，其中，以中東、亞太和北美地區的需求增長尤為顯著。
【全球網絡安全人才需求狀況】
隨著需求的持續增長，網絡安全人才的應用缺口也在不斷擴大。報告數據顯示，相比2022年，這一缺口增長了12.6%，這意味著今年全球大約存在近400萬名網絡安全專業人員的新增需求。其中，亞太地區（尤其是日本和印度）和北美的網絡安全人才缺口增幅最大。
【全球網絡安全人才缺口現狀】
2、網絡安全預算削減對專業人才發展形成嚴重負面影響
當前的宏觀經濟環境導致成本上升、收入下降和勞動力短缺成為常態。因此，許多組織選擇削減開支以優化資產負債表，例如削減預算、裁員、凍結招聘和晉升。網絡安全行業也受到了成本削減的影響。調查顯示，47%的網絡安全工作者經歷過與網絡安全直接相關的削減，另外28%的人經歷過間接性削減，這對網絡安全人員造成了嚴重影響。
【過去一年網絡安全行業裁員情況】
顯然，削減開支會給網絡安全團隊帶來連鎖反應。由于削減，組織正在整合資源和重組，這通常會改變網絡安全專業人員的運作方式。53%的受訪者表示，削減開支導致了購買或實施新一代網絡安全技術的延遲，而40%的受訪者表示，他們的安全團隊已經重組或在組織內部調動。此外，35%的公司取消了網絡安全培訓項目，這是發展技能和縮小技能差距的關鍵資源。71%的網絡安全專業人員表示，由于預算投入削減，對他們的工作產生了負面影響。近三分之二的專業人士表示，裁員還會降低生產力、團隊協作和應對新興威脅的能力。
3、專業人才和技能短缺情況將長期存在
盡管企業對網絡安全人員的需求旺盛，但是網絡安全人員的嚴重短缺和技能缺口現象將會長期存在。67%的受訪者表示，他們的組織缺乏預防和解決安全問題所需的網絡安全人員，而34%的受訪者表示預算不足是導致這一問題的主要原因，與2022年（29%）相比有所增加。
【安全團隊存在一個或多個技能缺口的程度】
調查結果顯示，幾乎所有組織都存在網絡安全技能缺口。92%的網絡安全專業人員表示，他們的組織在一個或多個領域存在技能缺口，最常見的是云計算安全、人工智能/機器學習和零信任實施領域。
4、 網絡安全專業人才的工作經驗比學歷更重要
報告發現，專業的經驗和能力認證比學歷更有價值。專業網絡安全人才的技能是由教育、培訓和經驗共同塑造的。當被問及“理想的網絡安全候選人的經驗和教育背景”時，受訪者明確表示，經驗和證書最重要。高級網絡安全經驗（86%）比博士學位（14%）更受青睞。
【高級網絡安全經驗VS高級博士學位】
經驗很重要，即使它不是專門針對網絡安全。中級非網絡安全技術經驗（占比63%）比初級網絡安全經驗（占比37%）更受青睞。而入門級網絡安全經驗（占比70%）則比入門級網絡安全教育（占比30%）更重要。研究人員認為，任何形式的專業接觸都比課堂或虛擬環境中的教育更有價值。
對于專業的網絡安全工作者，好奇心、溝通和認證變得越來越重要。網絡安全專業人員認為解決問題的能力是他們在工作中最重要的資格特征（占比45%），因此，好奇心/學習渴望（占比39%）、溝通技巧（占比38%）和網絡安全認證（占比32%）的價值逐年增長，這一上升趨勢反映了現代風險格局的需求。在一個以不穩定為特征的行業中，組織更需要知識淵博、適應性強，并能有效傳遞信息的專業人員。
5、網絡安全專業人員正面臨著前所未有的威脅形勢
對大多數公司而言，當前的威脅形勢非常嚴峻。75%的受訪者認為當前的威脅形勢是過去五年來最具挑戰性的，這一情況因行業而異。對現代環境的敏感度高于其他行業的醫療保健（79%）、軍事（79%）、能源/電力/公用事業（79%）、政府（78%）和制造業（77%）行業的受訪者同意/強烈同意：“自2018年以來，他們的威脅水平已達到峰值”。即使是對那些面向大眾的企業組織而言，如汽車（64%）、建筑（65%）和電信（69%）等，也是一樣的情況。
【認同“當前的威脅形勢是過去五年來最具挑戰性”的行業比例】
71%的受訪者認為，經濟不確定性增加了惡意內部人員的風險，這是僅次于員工/技能短缺的第二大挑戰（占比38%）。更重要的是，參與這項研究的所有網絡安全專業人員中，有一半在過去一年中與惡意內部人員有過直接或間接接觸。
【過去12個月網絡安全人員面臨的頭號挑戰】
6、工作滿意度略有下降，但仍然保持較高的水準
調查顯示，盡管存在嚴重的動蕩、不確定的經濟和充滿挑戰性的威脅環境，但網絡安全工作者對工作的滿意度仍然較高。70%的人報告稱他們對現在的工作比較或非常滿意，但是這一比例同比還是下降了4%。主要是預算削減和裁員等情況，導致安全運營人員短缺和技能差距，使得今年員工的滿意度和總體幸福感略有下降。
【網絡安全行業工作滿意度】
7、大量成熟的IT專業人員開始進入網絡安全領域
80%的網絡安全專業人士認為，如今進入網絡安全的途徑比過去更多，82%的人認為，這是一種積極的現象，因為這些新途徑是敏捷職業的產物，也代表了從業人員愿意適應工作環境的不斷變化。
報告數據顯示，網絡安全工作對一些沒有網絡經驗的專業人士變得更加有吸引力。超過一半（占比59%）的招聘經理認為，他們發現技術經驗豐富但沒有網絡安全經驗的應聘者越來越多，企業也在接受這一點。51%的人表示，他們的組織正在改變招聘要求，以招聘更多非網絡安全背景的人。
動蕩的經濟環境給網絡安全行業帶來挑戰，但同時也帶來了機遇。大多數管理人員（占比52%）認為，技術性裁員給了讓更多人參與網絡安全的機會，大量熟練的IT專業人員涌入就業市場，這為網絡安全團隊創造了機會。
對許多人來說，IT是進入網絡安全的墊腳石。52%的網絡安全專業人員從非網絡安全IT職位開啟職業生涯。第二受歡迎的途徑是獲得網絡安全認證（占比51%）或在正式培訓之外獨立學習網絡安全概念（占比45%）。
【進入網絡安全行業的途徑】
【進入網絡安全行業的途徑】
8、企業對云計算安全專業人員的需求量最大
與進入該領域的途徑一樣，對新網絡安全技能的需求也在不斷發展。云計算安全仍然是最受歡迎的技術技能，但供不應求。網絡安全專業人士認為，云計算安全是那些尋求職業發展的人最需要的技能（占比47%）。招聘經理佐證了這一觀點，云計算安全（占比32%）連續第二年成為網絡安全招聘經理在招聘時最希望獲得的技能；此外，風險評估、分析和管理（占比31%）；安全分析（占比28%）；安全工程（占比28%）也是對未來的雇員來說是有吸引力的技能。
導致這種高需求的原因是該領域有經驗的網絡安全專業人員的供應短缺。研究人員表示，云計算安全是企業安全團隊中存在技能缺口的頭號領域（占比35%），這只會讓這項技能對招聘經理更具吸引力。
【招聘經理（左）和網絡安全專業人士（右）對最需要的安全技能的看法】
9、對AI/ ML類人才的需求快速增長中
盡管目前AI/ ML能力并不是招聘經理的首要需求，但在普通網絡安全專業人士看來，對人工智能技能的需求正在增長。AI/ML技能（占比28%）是需求技能的前五大類別之一。在去年的研究中，AI/ ML甚至沒有進入“最受歡迎的十大技能”，排名接近墊底。在未來幾年，隨著AI日趨成熟，這種技能的需求可能會激增，并影響網絡安全威脅和防御的各個方面。
10、開展持續的教育和培訓是縮小企業網絡安全技能差距的有效方法
【組織為緩解人才和技能短缺做出地努力】
盡管企業組織普遍存在網絡安全人才和技能的缺口，但企業可以通過以下方法來緩解人員短缺和技能缺口帶來的網絡風險：
- 采取措施防止或緩解人員短缺。比提供更好的工作條件和創造多樣性、公平和包容（DEI）的成長計劃都有助于吸引和留住公司內部的專業人才和高技能員工。
- 提高現有員工的技能。提高員工技能很重要，尤其是在經濟不確定時期，許多組織面臨招聘凍結。培訓計劃可以通過分配技能和防止重大技能缺口來緩解員工短缺。調查顯示，投資培訓的組織與那些沒有投資的組織相比，存在關鍵技能缺口的可能性減少了一半。
- 了解員工的擔憂。調查發現，近65%的初級員工預計，在未來12個月內，其組織的網絡安全人員數量將減少。然而，被調查者的資歷越高，他們預計未來12個月裁員的可能性就越小。對于網絡安全領導者來說，了解底層人員的擔憂并就人員配備計劃與其進行溝通很重要。
參考鏈接：