2024网络安全人才实战能力白皮书-安全测试评估篇-网络空间安全组

网络安全人才实战能力白皮书——安全测试评估篇 总结

核心内容

《网络安全人才实战能力白皮书——安全测试评估篇》旨在推动我国网络安全人才的培养和评价体系改革，以应对日益复杂的网络安全威胁。白皮书聚焦于安全测试评估领域，通过调研和专家访谈，分析当前网络安全测评人才的供需情况、培养现状、岗位实践及能力评价方法，为我国数字中国建设、网络强国战略提供支持。

主要观点

• 网络安全重要性提升：随着人工智能、5G、物联网等技术的快速发展，网络安全威胁日益复杂，安全测评成为保障系统安全的重要手段。
• 人才缺口显著：我国网络安全人才整体缺口大，尤其是实战型人才严重不足，影响了网络安全防护能力的提升。
• 政策法规推动发展：国内外政策法规不断完善，为安全测评提供了法律依据和制度保障，但部分领域仍需进一步细化。
• 能力评价体系待完善：当前能力评价方式以理论考试为主，缺乏统一、客观的实战能力评估体系。
• 实战能力培养不足：院校培养的网络安全人才多集中于理论研究，缺乏系统性实战训练，导致毕业生难以迅速适应岗位需求。
• 人才结构失衡：安全测评人才以男性为主，年龄集中在26-35岁，学历以本科为主，缺乏多样性。

关键信息

一、国内外网络安全测评政策法规

• 美国：制定《关键基础设施保护》《网络安全框架》等政策，推动网络安全测评制度化、常态化，强调风险评估和治理。
• 欧盟：通过NIS指令、GDPR、《网络安全法案》等，建立统一的测评体系和严格的数据保护机制。
• 俄罗斯：强调关键信息基础设施的持续风险评估，推动国家层面的安全防护。
• 亚太地区：各国根据自身需求制定不同测评法规，如新加坡、日本等。

二、我国网络安全测评政策法规

• 1994年：《计算机信息系统安全保护条例》发布，确立安全等级保护制度。
• 2017年：《网络安全法》实施，推动网络安全等级保护制度进入2.0时代。
• 2020年：《密码法》发布，强调商用密码应用安全性评估。
• 2021年：《数据安全法》和《关键信息基础设施安全保护条例》出台，推动安全测评常态化。
• 2024年：多项标准和指南发布，如《网络安全技术网络安全众测服务要求》等，规范安全测评流程。

三、用人单位安全测评人才现状

• 性别与年龄分布：男性占91%，26-35岁占比最高（53%）。
• 学历结构：本科（68%）、硕士（22%）、高职/高专（9%）、博士（1%）。
• 行业分布：金融（20%）、网络安全（15%）、通信（12%）等。
• 地域分布：北京（13%）、广东（12.3%）、上海（9%）为集中区域。
• 岗位分布：运维工程师（17%）、渗透测试工程师（16%）、安全运营工程师（16%）等。
• 资格认证情况：CISP证书持有率较高（32%），但仍有43%的人员未取得任何证书。
• 测评方式与工具：等级保护测评（80%）、渗透测试（83%）、攻防演练（82%）为常用方式；Kali Linux、Burp Suite、Nmap等工具使用率高。
• 测评报告质量：仅35%的测评报告能够全面识别安全弱点并提供详尽整改建议，55%报告部分识别，10%报告形式化。

四、安全测评对象

• 政府单位：关注IT基础设施、物理环境设备、应用类软硬件、网络安全产品、密码产品和人员安全。
• 行业单位：主要测评对象为IT基础设施、应用类软硬件、网络安全产品、密码产品、数据资源、第三方服务商和供应链。
• 企事业单位：聚焦IT基础设施、网络安全产品、应用类软硬件、物理环境设备和人员安全。

五、院校安全测评人才培养现状

• 学历分布：本科（62%）、硕士（24%）、专科（8%）、博士（6%）。
• 培养院校类型：普通本科院校（58%）、985/211院校（19%、10%）。
• 专业设置：信息安全（26%）、网络空间安全（25%）、计算机科学与技术、网络工程、软件工程等。
• 实战能力培养：仅16%的高校具备较高比例的实战测评人才，76%的学生未参与校外测评活动。
• 校外活动参与情况：57%参与过国家级攻防演练，42%参与过日常漏洞挖掘，38%参与过大型机构组织的测评活动。

六、安全测评人才能力评价方法

• 通用能力：包括技术能力、沟通能力、分析能力等。
• 专业能力：包括渗透测试、漏洞扫描、代码审计等。
• 评价等级：分为初级、中级、高级，不同岗位有不同能力要求。
• GPE方法：基于理论与实践结合，提出立体化综合评价体系，为人才评价提供参考。

建议与展望

• 加强政策法规与标准建设：完善安全测评法律体系，推动标准与技术同步更新。
• 深化产教融合：推动高校与企业合作，建立校企联合培养机制。
• 提升人才实战能力：加强实践教学，提供更多实训机会，提高人才培养质量。
• 推动测评工具国产化：加强研发投入，提升自主测评工具的技术水平。
• 建立统一评价体系：完善人才评价机制，推动行业规范化发展。

通过以上分析可以看出，安全测评在国家网络安全建设中具有重要意义，但当前仍面临法律法规不健全、人才短缺、能力不足、工具依赖国外等问题，亟需系统性解决方案。