谨慎解读 ISC2 的劳动力缺口
根据 ISC2 于 2024 年 9 月 11 日发布的 2024 年研究，网络安全劳动力缺口同比增长了 19%，达到 4,800,000 个岗位。该组织将这一缺口定义为现有人员数量与被认为所需人员数量之间的差额。
ISC2 是一个颁发认证的专业人士协会。因此，记录人才短缺情况与其自身利益有关。这并不意味着研究有误，但提醒读者应将这一数字视为基于调查的估算，而不是招聘岗位的数量。缺口的计算方法可在完整报告中查阅。
研究还指出，90% 的组织表示其安全团队存在技能缺口，64% 的组织认为技能不足比人员不足更为严重。
关注研究对招聘的说明
2024 年研究提供了团队结构方面的数据。其中，31% 的受访者表示，其安全团队没有任何入门级员工，15% 表示没有任何初级员工（拥有 1 至 3 年经验）。研究指出，62% 的受访管理者有待填补的职位，并强调招聘更倾向于中级和高级人才。
这些数字对应届毕业生很重要。它们表明，人才短缺主要是有经验人员的短缺。即使总体缺口很大，入门级岗位的就业市场仍可能充满挑战。
研究还指出，北美和欧洲近四分之一的受访者在过去 12 个月内经历过网络安全领域的裁员，中东和非洲的这一比例为 29%。研究将这些裁员归因于经济条件的制约。
解读美国的预测
BLS 预测，2025 年至 2035 年，信息安全分析师的就业人数将增长 21%，这一增速被归类为远高于所有职业的平均水平。2025 年 5 月，该职业的薪资中位数为 129,180 美元。
关于入行条件，BLS 指出，通常需要计算机科学或工程、数学等相关领域的学士学位。该机构说明，部分从业者凭借高中毕业文凭、培训和认证进入这一职业。它还指出，许多雇主更倾向于持有信息安全认证的候选人，但未列出具体认证。
这些数字描述的是美国市场中的某一特定职业类别，不能替代目标国家的统计数据。
通过表格比较学位与认证
下表概括了大学学位与专业认证通常发挥的作用。这是基于所引来源的分析框架，而非排名。
| 比较标准 | 大学学位 | 专业认证 |
|---|---|---|
| 主要作用 | 提供理论基础，并为从事多种职业创造条件 | 针对某项技能的证明 |
| 来源中的表述 | BLS 所述的典型入行教育背景 | BLS 所述的“许多雇主更倾向于选择” |
| 时长 | 数年 | 数周或数月的准备 |
| 局限 | 费用与时间 | 部分认证有经验要求 |
这张表作了简化。计算机科学学位并不自动赋予安全技能，认证也无法提供学位所具备的理论深度。两者更多是互补，而非对立。BLS 本身也同时提及两者：学士学位是典型的入行教育背景，而认证是许多雇主偏好的条件，包括在招聘入门级岗位时。
核实认证的条件
不同认证并不等同。有些面向初学者，有些则要求多年的工作经验。例如，ISC2 提供 Certified in Cybersecurity（CC）认证，其网页将其介绍为无需任何工作经验的入门级认证。另一端，CISSP 认证页面则列出了 5 年工作经验的要求，并规定了符合条件的领域及针对实习的例外条款；这些规则会发生变化，因此应直接在该组织的网站上查阅详情。
关键在于，高级认证不能替代经验。初学者无法完整取得这类认证，应先以入门级认证为目标，再寻找能够积累所需经验的岗位。
ISC2 的研究指出，管理者往往期望候选人同时具备某些经验和认证，而这些组合很难凑齐。求职者应阅读实际招聘信息，了解所在地区要求哪些认证。
评估人工智能的影响
2024 年研究报告称，超过三分之一的受访者将人工智能列为其团队最大的技能缺口。另一道问题涉及被认为重要的技能：12% 的招聘管理者提到了人工智能，而专业人士中的这一比例为 23%。因此，这些百分比衡量的内容与技能缺口并不相同。
这一差异表明，团队成员与管理者对需求的看法并不一致，也提醒人们保持谨慎：热门技能未必就是招聘信息中要求的技能。
对学生而言，扎实的基础仍然包括网络、操作系统、编程、密码学和风险管理。这些知识可以迁移应用于不同技术。
还有一点需要谨慎看待：ISC2 的研究是一项针对专业人士和管理者的调查，因此反映的是看法，而不是对需求的客观衡量。这些看法反映了每位受访者在组织中的位置，而且可能在新工具出现时迅速改变。在选择课程时，当前的职位描述仍比任何趋势研究更有参考价值。
积累实际经验
由于需求集中在经验上，实习、项目和竞赛就发挥着重要作用。“夺旗”类竞赛、个人实验室、对开放项目的贡献，以及安全团队实习，都能提供可向雇主展示的成果。
将实习或与实际组织合作的团队项目纳入课程的大学项目，有助于缩小学位与第一份工作之间的差距。向项目方询问其毕业生在过去 2 年里曾在哪里工作，会很有帮助。
对于转行者，短期培训可以补充已有的计算机科学、网络或系统管理相关学位。在这种情况下，它起到的是专业化进修的作用，而不是起点。
以下是记录技能的具体方式：
- 以书面形式介绍个人实验室，包括所用工具和取得的结果；
- 参加安全竞赛，并记录所获名次；
- 在信息技术团队实习或从事暑期工作，即使职位名称中不含安全相关字样；
- 为开放项目作出有记录的贡献。
加拿大的情况如何？
在加拿大，网络安全职业并不像工程或医疗卫生职业那样受到监管。不过，工程师头衔受到保护：希望使用这一头衔的毕业生必须通过省级专业监管机构的相关程序。雇主主要要求计算机科学学位、认证和经验。按职业划分的就业统计由联邦机构另行发布，不应与本文中的美国数据混为一谈。ISC2 的认证属于国际认证，在加拿大和其他地方一样可以报考，不依赖大学体系，因此可以与加拿大学位相结合。
StudyCanada 列出的项目包括滑铁卢大学（University of Waterloo）和渥太华大学（University of Ottawa / Université d’Ottawa）的计算机科学项目，以及麦吉尔大学（McGill University）和蒙特利尔大学（Université de Montréal）的网络安全项目，后者涉及信息系统管理与安全。滑铁卢大学在其中列出的是通用计算机科学项目，而非专门的网络安全项目。