北京航空航天大学：2022网络安全人才实战能力白皮书-攻防实战能力篇_96页_2mb

2022网络安全人才实战能力白皮书（攻防实战能力篇）总结

核心内容

《2022网络安全人才实战能力白皮书（攻防实战能力篇）》聚焦网络安全人才的攻防实战能力，从人才供需现状、培养体系、能力模型、能力提升路径及用人单位需求等多个维度，全面分析了我国网络安全人才的现状与发展趋势。白皮书旨在为网络安全人才体系建设、用人单位招聘策略及人才培养机制提供参考依据。

主要观点

1. 网络安全人才的重要性：网络安全人才是国家网络空间安全的重要保障，是数字经济安全发展的基石，攻防实战能力是当前最为关键的人才能力之一。
2. 人才缺口巨大：我国网络安全人才缺口严重，到2027年预计将达到327万，而高校年培养量仅为3万，存在明显供需失衡。
3. 攻防实战能力定义：攻防实战能力是网络安全人才在真实业务场景中开展安全监测、风险评估、渗透测试、应急响应等工作的能力。
4. 人才能力模型：提出了“4+3模型”，即四种实战能力（攻防、漏洞挖掘、工程开发、战效评估）和三种验证方式（竞赛、演练、众测），为人才评价提供了标准。
5. 人才结构与分布：网络安全攻防人才以男性为主，年龄集中在18-35岁，学历以本科为主，主要集中在华东、华北等经济发达地区，高校是人才培养的重要阵地。
6. 用人单位需求：用人单位对渗透测试、漏洞挖掘与利用、逆向分析等技能人才需求强烈，但整体人才供给不足，尤其是高水平、多维度的实战人才。
7. 人才培养现状：当前高校在攻防实战能力培养上仍存在短板，缺乏系统性、实践性，企业内部培训也面临挑战。
8. 提升路径建议：提出构建统一的攻防能力框架、推动课程与培训认可、建立常态化的成长通道等建议。

关键信息

1.1 宏观政策环境

• 美国、欧盟、日本、俄罗斯等国家均高度重视网络安全人才培养，建立了完善的政策体系和培养机制。
• 我国自2015年起将网络空间安全设为一级学科，推动了相关人才培养体系的建设。
• 《网络安全法》《关键信息基础设施安全保护条例》等政策进一步明确了网络安全人才在国家安全和经济发展中的重要性。

1.2 人才发展环境

• 院校培养环境：

  • 人才缺口巨大，高校年培养量仅为3万，远低于需求。
  • 人才培养以本科为主，硕士和博士相对不足。
  • 实践教学薄弱，缺乏适应新需求的实践平台。
  • 评价体系不健全，仍以“唯学位”“唯论文”为主。

• 单位使用环境：

  • 用人单位对攻防实战人才需求旺盛，但供给不足。
  • 实战能力比学历更重要，企业更看重实际操作能力。
  • 网络安全人才市场薪资水平低于求职者期望，但具备实战技能的人才稀缺。

1.3 网络安全人才实战能力类别

• 实战能力分为四种类型：攻防、漏洞挖掘、工程开发、战效评估。
• 网络安全从业人员工作类别包括：网络安全管理、建设、运营、审计与评估、科研教育。
• 不同岗位对实战能力的要求不同，如安全管理岗更关注战略规划和防御体系设计，安全运营岗更关注运维、应急响应等。

2.1 网络安全攻防实战人才现状

• 性别分布：男性占主导，女性仅占16%。
• 年龄分布：主要集中在18-35岁，其中20-25岁占比最高（40%）。
• 学历分布：本科占比最高（68%），其次是硕士（18%）和大专/高职（10%）。
• 地域分布：北京、广东、浙江、上海为人才需求集中地，合计占全国需求量的48%。
• 行业分布：高校占比最高（28%），其次是金融、通信、能源、交通等关键行业。

2.2 网络安全攻防实战能力现状

• 技术方向包括Web安全、逆向工程、密码研究、二进制漏洞挖掘与利用、其他（杂项）。
• Web安全人才占比最高（29%），其次是逆向工程（22%）和杂项（20%）。
• 仅有10%的人才擅长二进制漏洞利用与挖掘，显示出该方向人才的稀缺性。
• 70%的人才拥有单项专长，全项人才稀缺，显示多维度能力培养的必要性。

2.3 网络安全攻防实战经验分析

• 网络安全竞赛是提升攻防实战能力的重要方式，参与者以高校学生为主。
• 参赛次数多的人员多为高校学生，显示高校在实战能力培养中的重要作用。
• 竞赛对人才的选拔、评价、培养起到了积极作用，但也存在企业参与度不足的问题。

3.1 用人单位特点及人才需求分析

• 地域维度：北京、广东、浙江、上海为人才需求集中地，占比达全国需求的一半。
• 行业维度：金融、能源、通信、医疗卫生、教育、互联网等为人才需求主要行业。
• 企业性质与规模：民营企业对网络安全人才需求最高（45%），大中型企业（1000人以上）需求最显著（29%）。

3.2 岗位需求

• 年龄分布：35岁以下人员占比84%，显示对年轻人才的偏好。
• 学历分布：本科占比64.5%，是用人单位招聘的基本门槛。
• 工作年限：5-10年经验人才最受欢迎，占比25%。
• 技能需求：渗透测试、漏洞发现与利用、逆向分析为最紧缺的技能方向，占比分别为40%、33%和32%。

3.3 岗位与能力匹配分析

• 岗位类型：主要包括安全管理、安全建设、安全运营、测试评估、科研教育。
• 岗位分布：安全运营岗和测试评估岗占比最高，其他岗位相对较少。
• 岗位能力需求：
  • Web安全工程师：渗透测试（65%）、逆向分析（48%）、Web安全（39%）。
  • 渗透测试工程师：渗透测试（58%）、代码审计（50%）、逆向分析（42%）、新兴领域（38%）。
  • 运维工程师：渗透测试（54%）、Web安全（42%）、安全管理（38%）。
  • 安全服务工程师：渗透测试（59%）、漏洞挖掘（38%）、病毒与木马分析（38%）、Web安全（38%）。
  • 安全运维工程师：漏洞挖掘（58%）、渗透测试（58%）、新兴领域（53%）。
  • 安全运营工程师：渗透测试（44%）。
  • 安全攻防研究员：漏洞挖掘（73%）、病毒与木马分析（47%）、中间件安全（40%）。

4.1 人才培养现状

• 高校网络空间安全专业建设起步较晚，师资和课程体系仍不完善。
• 社会培训机构发展迅速，但缺乏统一标准。
• 企业内部培训体系不健全，缺乏系统性。

4.2 培养方式分析

• 高校培养以理论为主，缺乏实践。
• 社会培训机构注重实战能力，但缺乏权威认证。
• 企业内部培训重视实战，但参与度和系统性不足。

4.3 培养效果分析

• 高校培养效果有限，实践环节薄弱。
• 社会培训机构在实战能力提升方面表现突出。
• 企业内部培训在提升员工实战能力方面具有实际效果。

5.1 人才能力评价现状

• 主流评价方式包括竞赛、会议、培训认证、众测、攻防演练。
• 存在评价标准不统一、评价方式单一等问题。

5.2 人才能力评价分级

• 能力分级明确，涵盖多个方面。
• 评价内容包括技术、经验、综合能力等。
• 评价标准需进一步细化，以适应实战需求。

5.3 能力提升与评价方式

• 竞赛、会议、培训认证、众测、攻防演练是提升实战能力的有效方式。
• 建议构建统一的能力框架，推动课程与培训的认可，建立常态化成长通道。

6.1 院校人才培养体系建设建议

• 加强理论教学体系建设。
• 强化实践教学体系建设，提升学生实战能力。

6.2 企业人才培养建设建议

• 建立企业内部人才培养机制。
• 强化与高校合作，提升员工实战能力。

6.3 政府扶持政策建议

• 加强政策引导，推动网络安全人才培养。
• 鼓励社会力量参与网络安全人才培训与认证。

总结

本白皮书全面分析了我国网络安全人才攻防实战能力的现状、需求、培养方式与提升路径，指出当前人才缺口严重、培养体系不完善、评价机制不健全等问题。建议通过加强院校实践教学、推动企业与高校合作、建立统一的评价标准等方式，全面提升网络安全人才的实战能力，以应对日益严峻的网络安全挑战。