兰德-Cyber-Practices_-What-Can-the-US-Air-Force-Learn-from-the-Commercial-Sector__109页_1mb

报告摘要

总结：美国空军可以从商业领域学习哪些网络安全实践

核心内容

本报告旨在探讨美国空军（USAF）如何借鉴商业领域的最佳实践，以优化其网络安全组织与人才管理。通过对多家具有类似规模、网络安全职能及运营环境的商业公司的访谈，以及广泛文献综述，报告识别了四种主要的商业实践，这些实践可能对USAF的网络安全发展具有参考价值。

主要观点

IT与InfoSec应作为独立学科管理
- IT与InfoSec在组织结构、培训内容、职业路径及管理策略上存在显著差异。
- IT通常采用分层组织结构，由首席信息官（CIO）领导，强调标准化流程与技术维护。
- InfoSec则倾向于更分散的组织结构，由首席信息安全官（CISO）领导，注重快速响应与决策。
- 两者的职业发展路径不同，IT人员通常在该领域内长期发展，而InfoSec人员则可能有更明确的阶段性目标。
IT是企业核心能力，需维持内部团队
- 商业公司普遍认为IT是其核心功能，因此倾向于维持较大的内部IT团队。
- 与InfoSec相比，IT团队规模更大，且通常由内部员工构成。
- 尽管部分IT职能（如桌面支持）可能外包，但关键职能如系统安全分析、网络服务等仍需内部管理。
- USAF应评估哪些IT与InfoSec职能对任务最关键，并审慎考虑外包风险。
重视技术领导力的培养
- 商业公司强调技术领导需要深厚的专业知识，并通过持续培训和实际操作保持更新。
- 通过跨部门的知识流动和长期专业发展，公司培养出具备技术深度的领导者。
- USAF应考虑通过组织整合和培训机制提升其网络安全领导的技术深度，同时平衡通用能力与专业能力的需求。
传统方式用于招聘与保留人才
- 商业公司通常优先招聘具有STEM背景的毕业生，并重视其对网络安全的热情与技能。
- 高级职位可能要求更严格的筛选与能力测试，如参加网络安全竞赛或贡献开源社区。
- 保留人才的关键在于提供良好的工作环境、职业发展机会与挑战性任务，而非仅仅依赖高薪。
- USAF应探索在招募过程中引入类似的测试与评估机制，以提高人才质量与保留率。

关键信息

人才结构：商业领域中，约95%的网络安全人员从事IT工作，仅5%从事InfoSec。
组织设计：商业公司倾向于将IT与InfoSec职能分别管理，以提高效率与专业性。
外包策略：核心IT职能通常由内部团队负责，非核心职能可能外包，但需评估其对任务的影响。
职业发展：商业公司通过长期培训与跨部门经验积累，培养技术深度与领导力。
人才保留：良好的工作环境、职业发展路径和挑战性任务比高薪更能提升员工满意度与忠诚度。

建议实施选项

外包策略
- USAF应识别哪些IT与InfoSec职能是核心任务，审慎评估外包风险，避免过度依赖外部承包商。
人员规模调整
- 保持较大规模的IT团队，同时考虑扩大InfoSec团队，以应对任务需求。
- 建议开展人才结构研究，确定合适的IT与InfoSec人员比例。
技术深度培养
- 通过跨部门协作与长期培训，提升网络安全领导的技术深度。
- 可考虑将部分高技术岗位与民用、预备役人员结合，以延长专业人员的任期。
组织架构优化
- 将IT职能整合至更大型组织，以提高效率与客户服务。
- 对比商业实践，评估是否应将USAF的IT运营组织按地区或主要作战单位（MAJCOM）进行整合。
职业路径管理
- 将空军专业代码（AFSC）与IT或InfoSec职业路径对齐，以提升人才管理的系统性与效率。
人员招募机制
- 在招募过程中引入技术能力测试与职业热情评估，以筛选出更合适的人才。
- 对军官招募应优先考虑具备相关学术背景或课外活动经历的候选人。
报告关系与指挥结构
- 建议明确CISO在USAF组织中的职责与权限，使其能够有效应对网络安全风险。