最近，我在LinkedIn上發(fā)表了自己對(duì)網(wǎng)絡(luò)安全技能差距的看法，這是科技界最熱門(mén)的話題之一。技能差距經(jīng)常被緊急討論，鑒于我是一名網(wǎng)絡(luò)安全招聘人員，我看到了它在實(shí)踐中的作用。但信息安全是一門(mén)廣泛的學(xué)科，我認(rèn)為我們?cè)谡務(wù)摗凹寄懿罹唷睍r(shí)需要更具體。“我認(rèn)為真正的人才短缺是在實(shí)踐領(lǐng)域，比如應(yīng)用程序安全和DevSecOps。

去年，《福布斯》發(fā)表了一篇文章，稱網(wǎng)絡(luò)安全技能差距是一場(chǎng)“行業(yè)危機(jī)”。報(bào)告指出，隨著網(wǎng)絡(luò)攻擊變得越來(lái)越嚴(yán)重、越來(lái)越普遍，企業(yè)越來(lái)越需要網(wǎng)絡(luò)安全專業(yè)人士。但由于技能匱乏和需求旺盛，保安工作的薪水很高，這意味著企業(yè)不僅很難找到合適的人，還必須支付高薪才能找到合適的人。

所有這一切都意味著網(wǎng)絡(luò)犯罪分子正在大干一場(chǎng)，正如這篇文章所闡述的那樣。攻擊者利用準(zhǔn)備不足的公司，因?yàn)樗麄冎肋@些公司很可能會(huì)成功。很明顯，為了客戶和企業(yè)的利益，這個(gè)行業(yè)確實(shí)需要改進(jìn)。

要做到這一點(diǎn)，我們需要優(yōu)秀的人才，擁有正確的技能。該行業(yè)早就知道這些人不容易找到——他們的數(shù)量根本不夠。造成這種短缺的原因有很多，值得記住的是，這不是最容易工作的行業(yè)工作的壓力意味著心理健康問(wèn)題很普遍。

特定的安全

但我認(rèn)為，僅僅說(shuō)我們需要“彌補(bǔ)技能差距”是不夠的。“我們需要更深入地研究這個(gè)差距究竟在哪里，它是如何產(chǎn)生的，以及我們能做些什么來(lái)彌補(bǔ)它。

在我看來(lái)，真正難以找到的人是具有實(shí)踐經(jīng)驗(yàn)的專業(yè)人士，他們能夠勝任投入應(yīng)用程序安全和DevSecOps團(tuán)隊(duì)。正如我在最初的LinkedIn帖子中所寫(xiě)的，這些領(lǐng)域可能是你實(shí)際需要?jiǎng)邮秩プ龅模粌H僅是咨詢應(yīng)該做什么。

從我在網(wǎng)絡(luò)安全招聘行業(yè)的經(jīng)驗(yàn)來(lái)看，我認(rèn)為這種差距的存在，是因?yàn)檫M(jìn)入技術(shù)AppSec最常見(jiàn)的途徑是通過(guò)編程背景。這份工作需要具備正確的技術(shù)技能和注重安全的心態(tài)的人，創(chuàng)造一個(gè)難以找到的利基市場(chǎng)。對(duì)于實(shí)際操作的角色，您需要精通技術(shù)，并且能夠理解并將安全性集成到工作中。這并不容易找到。

解決方案？

一些業(yè)內(nèi)人士聯(lián)系了我，告訴我他們對(duì)這個(gè)問(wèn)題的看法。對(duì)于迪克森汽車電話公司(Dixons Carphone)的DevSecOps/安全主管艾倫?通過(guò)讓保安人員有機(jī)會(huì)在繼續(xù)擔(dān)任技術(shù)職務(wù)的同時(shí)取得進(jìn)步，這些有才能的人將能夠取得他們想要的個(gè)人成功，同時(shí)繼續(xù)擔(dān)任他們喜歡并接受過(guò)培訓(xùn)的技術(shù)職務(wù)，而不是成為管理人員。

Broadlight的網(wǎng)絡(luò)安全主管馬里奧?普拉特(Mario Platt)告訴我，這是為了讓非技術(shù)人員適應(yīng)“實(shí)際接觸技術(shù)”——要做到這一點(diǎn)，需要給他們失敗的空間，他說(shuō)。

我們不需要更多的顧問(wèn)。當(dāng)然，安全顧問(wèn)是網(wǎng)絡(luò)安全領(lǐng)域的重要貢獻(xiàn)者。但就目前而言，我們需要卷起袖子，以有針對(duì)性的方式深入解決技能差距問(wèn)題。

注：來(lái)源于ISACA Panashe Garande