我們?nèi)缃窨芍^身處一個(gè)前所未有的時(shí)代背景之下,目前市場(chǎng)對(duì)于安全專(zhuān)家的需求空前迫切,期待由這些技術(shù)人才保護(hù)基礎(chǔ)設(shè)施并抵御來(lái)自有組織犯罪、行業(yè)間諜以及其它國(guó)家的一輪又一輪攻擊活動(dòng)。
人才資源池規(guī)模有限,薪酬因此而不斷增高甚至形成泡沫,再加上網(wǎng)絡(luò)安全前景的危急形勢(shì),三大因素共同令網(wǎng)絡(luò)安全人才危機(jī)成為一個(gè)“總值十億美元”的難題。
有限的人才資源儲(chǔ)備導(dǎo)致大量與知識(shí)產(chǎn)權(quán)、非競(jìng)爭(zhēng)性協(xié)議相關(guān)的糾紛與難題,此外另一種狀況也令黑客們倍感頭痛:黑客之間的相互攻擊。
FireEye公司首席安全戰(zhàn)略官Richard Bejtlich表示,“信息泄露問(wèn)題的層出不窮促使眾多企業(yè)開(kāi)始創(chuàng)建自己的事故應(yīng)對(duì)團(tuán)隊(duì),很多機(jī)構(gòu)甚至是從零起步。”
在思科2014年度安全報(bào)告當(dāng)中,網(wǎng)絡(luò)巨頭預(yù)測(cè)稱(chēng)全球網(wǎng)絡(luò)安全領(lǐng)域的人才缺口至少達(dá)五十萬(wàn)個(gè)、美國(guó)國(guó)內(nèi)也至少為三萬(wàn)個(gè),Leviathan安全公司的James Arlen則將這種狀況稱(chēng)為“毫不夸張的十億美元難題。”
這可絕不是玩笑,而是真正有理有據(jù)的結(jié)論:目前信息安全領(lǐng)域正面臨著相當(dāng)緊迫的人才供應(yīng)不足狀況,也就是說(shuō)企業(yè)為了招攬到合適的人選而被迫將薪酬一提再提——這一切匯總起來(lái),就讓安全行業(yè)呈現(xiàn)出一種奇異而又復(fù)雜的“明星綜合癥”。
Bejtlich指出,由于人才資源太過(guò)炙手可熱、真正頂尖的候選者甚至有資格“制定自己的行事規(guī)則。”
他提醒稱(chēng),“不要指望雇用到一位頂級(jí)人才,并讓他們舉家搬遷到企業(yè)總部所在地。此外,企業(yè)文化也可能成為拘留人才的一大阻礙。很多高級(jí)安全專(zhuān)家希望擁有自由且極具創(chuàng)新性的工作環(huán)境,完全無(wú)法容忍刻板的官僚主義作風(fēng)。”
Leviathan安全公司的Arlen也表示,“事實(shí)上,為了獲取新的人才供應(yīng),很多企業(yè)被迫求助于獵頭公司、并且做好了支付大量薪酬的心理準(zhǔn)備。”Arlen進(jìn)一步補(bǔ)充稱(chēng):
在過(guò)去兩年中,我已經(jīng)看過(guò)太多根本稱(chēng)不上頂尖人才的應(yīng)聘者開(kāi)出了與頂級(jí)‘搖滾明星’相當(dāng)?shù)氖杖胍蟆H缤渌魏我鐑r(jià)泡沫一樣,這種狀況也會(huì)在特定時(shí)間點(diǎn)崩潰并迅速回復(fù)正位,而這對(duì)于某些人來(lái)說(shuō)無(wú)疑將是種沉重的打擊。
另一大挑戰(zhàn)在于,推動(dòng)薪酬水平上漲的動(dòng)力雖然有一部分源自少數(shù)技術(shù)精英的個(gè)人水平,但總體而言還是由于整個(gè)業(yè)界的人才供給不足——在這種情況下,水平遠(yuǎn)稱(chēng)不上頂尖的應(yīng)聘者們往往坐地起價(jià)、從而造成薪酬畸形的現(xiàn)狀。
Bejtlich對(duì)此深表贊同。“答案很簡(jiǎn)單,安全人才供應(yīng)量的降低加上對(duì)相關(guān)服務(wù)需求的不斷升溫,必然導(dǎo)致薪酬水平的上揚(yáng)。除非供應(yīng)與需求能夠最近趨于吻合,否則高于正常范疇的工資仍將在安全業(yè)界成為常態(tài),也會(huì)有更多技術(shù)人員轉(zhuǎn)而投向到安全業(yè)務(wù)中來(lái)。”
頂級(jí)人才的選擇也起到了相當(dāng)重要的作用。Bejtlich解釋道,“對(duì)于精英級(jí)別的安全人員而言,通過(guò)跳槽的方式實(shí)現(xiàn)薪酬提升可謂非常輕松,他們根本沒(méi)必要跟當(dāng)前崗位的管理者苦苦交涉以獲得可憐的一丁點(diǎn)(3%)工資增長(zhǎng)。”
當(dāng)然,企業(yè)也已經(jīng)意識(shí)到了這個(gè)問(wèn)題,只不過(guò)從來(lái)沒(méi)有作出明言:事實(shí)上,頂級(jí)網(wǎng)絡(luò)安全人才正如走馬燈般在不同企業(yè)之間往來(lái)穿梭。
企業(yè)之間共享保密協(xié)定
大家可以想見(jiàn),任何一個(gè)行業(yè)都充斥著秘密、利用與間諜活動(dòng)——信任危機(jī)已經(jīng)成為迫在眉睫的嚴(yán)峻問(wèn)題,每一種合作關(guān)系、每一次利益交換與規(guī)模有限的人才資源帶來(lái)大量與知識(shí)產(chǎn)權(quán)、非競(jìng)爭(zhēng)性協(xié)議相關(guān)的糾紛與難題。此外另一種狀況也讓黑客們倍感頭痛:黑客之間的相互攻擊活動(dòng)。
瞻博網(wǎng)絡(luò)公司安全、交換與解決方案業(yè)務(wù)部門(mén)戰(zhàn)略與技術(shù)營(yíng)銷(xiāo)工程副總裁Chris Hoff在接受至頂網(wǎng)采訪時(shí)指出:
安全行業(yè)與社區(qū)相對(duì)而言規(guī)模較小且往來(lái)密切,對(duì)于高水平員工的需求則遠(yuǎn)遠(yuǎn)超出了當(dāng)前人才市場(chǎng)的供應(yīng)能力。
在安全行業(yè),技術(shù)人才在每個(gè)工作崗位上的留任時(shí)間一般僅為兩到三年——這樣的情況也算頗為有趣。
由此帶來(lái)的問(wèn)題在于,員工在跳槽后有可能無(wú)意中導(dǎo)致知識(shí)產(chǎn)權(quán)泄露并導(dǎo)致機(jī)密信息轉(zhuǎn)移。為什么會(huì)這樣?因?yàn)槔蠁T工們?nèi)肼毢笸苯咏邮止ぷ?,而不再像新手那樣接受完善的業(yè)務(wù)知識(shí)及規(guī)章制度培訓(xùn)。然而用人單位卻往往別無(wú)選擇,畢竟從頭培養(yǎng)新人的經(jīng)驗(yàn)、知識(shí)面以及技能水平遠(yuǎn)比招聘成手成本更高。
Hoff解釋稱(chēng),這種狀況已經(jīng)成為一種敵對(duì)因素,而競(jìng)爭(zhēng)環(huán)境也因此而不斷發(fā)生著變化。
他表示,“安全事務(wù)當(dāng)中包含多個(gè)子學(xué)科,我們往往會(huì)受到一些周期性銷(xiāo)售與收購(gòu)行為模式的影響,而這些模式通常會(huì)因技術(shù)、經(jīng)濟(jì)、政治、文化或者法律法規(guī)的介入而遭受破壞。”Hoff進(jìn)一步補(bǔ)充稱(chēng):
當(dāng)某種技術(shù)解決方案在處理某種日趨成熟的威脅因素時(shí),后者的變種產(chǎn)物往往需要利用新的解決方案類(lèi)型加以應(yīng)對(duì),而這通常要求我們?cè)趯?zhuān)業(yè)水平方面有所變更。
事實(shí)上,很多威脅因素在處理時(shí)需要借助大量策略、技術(shù)與規(guī)程,而很多從業(yè)人員根本不知道該如何對(duì)其加以運(yùn)用。
根據(jù)Hoff的觀點(diǎn),由于人才資源儲(chǔ)備有限,即使是水平極高且精通某一學(xué)科或者技能的黑客“恐怕也無(wú)法根據(jù)安全團(tuán)隊(duì)規(guī)模的變化及時(shí)擴(kuò)大或者重塑自己的專(zhuān)業(yè)知識(shí)。”
這種勞動(dòng)力短缺情況又導(dǎo)致現(xiàn)狀進(jìn)一步惡化,即使增加更多人力恐怕也未必能順利解決問(wèn)題。
投資預(yù)算“極度”短缺
FireEye公司的Bejtlich也不能確定投入更多黑客人才能否切實(shí)解決目前的危機(jī)。“我更關(guān)心的是,安全從業(yè)人員應(yīng)該更為高效地利用自己的時(shí)間。”
他解釋稱(chēng),“一個(gè)十人團(tuán)隊(duì)在管理反病毒解決方案時(shí),其中往往有九位成員處于人浮于事的狀態(tài)。我希望看到IT部門(mén)能在安全任務(wù)當(dāng)中負(fù)擔(dān)起更多維護(hù)與部署工作,從而保證真正的安全人員能夠把更多時(shí)間用于檢測(cè)及響應(yīng)異常狀況、并與開(kāi)發(fā)社區(qū)進(jìn)行合作方面。”
當(dāng)至頂網(wǎng)問(wèn)及信息安全行業(yè)應(yīng)該如何擺脫當(dāng)下困局時(shí),Hoff毫不諱言地表達(dá)了自己的觀點(diǎn)。“我認(rèn)為整個(gè)安全業(yè)界需要根據(jù)實(shí)際需求迅速成長(zhǎng)并完成規(guī)模擴(kuò)展。”Hoff進(jìn)一步強(qiáng)調(diào)道:
我們需要培養(yǎng)并維護(hù)好后備力量,從而積蓄起足以替代現(xiàn)有安全專(zhuān)家的新生人才儲(chǔ)備;除此之外,我們還應(yīng)該加大在培訓(xùn)方面的投入力度,從而為那些已經(jīng)發(fā)展成型并為企業(yè)提供保護(hù)措施的員工勾勒出發(fā)展規(guī)劃。
在培訓(xùn)、技能更新以及導(dǎo)師資源方面的投入欠缺不僅僅會(huì)招致悲劇——這種思維本身就是種悲劇。
如果企業(yè)不為業(yè)已存在的人才提供充足的投入,那么其自身顯然也無(wú)法獲得光明的發(fā)展前景。