審慎解讀 ISC2 的人力缺口
根據 ISC2 於 2024 年 9 月 11 日發表的 2024 年研究，網絡安全人力缺口按年增加 19%，達到 4,800,000 個職位。該機構將這個缺口界定為現有人手與被認為所需人手之間的差額。
ISC2 是一個頒發專業認證的專業人士協會，因此記錄人才短缺情況也符合其自身利益。這並不表示研究失實，但讀者應將這個數字視為根據問卷調查作出的估算，而非招聘空缺數目。缺口的計算方法可在完整報告中查閱。
研究亦指出，90% 的機構表示其安全團隊存在技能缺口，而 64% 認為技能不足比人手不足更嚴重。
留意研究對招聘情況的描述
2024 年研究提供了團隊結構的數據。當中，31% 的受訪者表示其安全團隊沒有任何入門級員工，15% 則表示沒有任何初級員工（具備 1 至 3 年經驗）。研究指出，62% 的受訪管理人員有職位空缺，並強調招聘較着重中級及高級人才。
這些數字對應屆畢業生十分重要。數據顯示，所謂人才短缺主要是有經驗的人才不足。即使整體缺口很大，入門職位市場仍可能競爭激烈。
研究亦指出，北美及歐洲近 1/4 的受訪者在過去 12 個月曾經歷網絡安全裁員，中東及非洲的比例則為 29%。研究將這些裁員歸因於經濟限制。
閱讀美國的就業預測
BLS 預測，資訊安全分析員的就業人數在 2025 至 2035 年間將增長 21%，並將此增速列為遠高於所有職業的平均水平。這類職位在 2025 年 5 月的薪酬中位數為 129,180 美元。
關於入行條件，BLS 指出，通常需要電腦科學或相關領域（例如工程或數學）的學士學位。該局亦說明，部分從業員憑中學學歷、培訓及專業認證入行，並指出不少僱主較傾向聘用持有資訊安全認證的求職者，但沒有指明任何特定認證。
這些數據描述的是美國市場內一個特定職業類別，不能取代目標國家的統計數據。
以表格比較學位與專業認證
下表整理了學位與專業認證通常發揮的作用。這是根據所引述資料建立的理解框架，而非排名。
| 準則 | 大學學位 | 專業認證 |
|---|---|---|
| 主要作用 | 提供理論基礎，並開拓多種職業出路 | 針對特定技能提供證明 |
| 資料來源中的描述 | BLS 列為典型入行學歷 | BLS 指「不少僱主較為偏好」 |
| 所需時間 | 數年 | 數星期或數月的準備 |
| 限制 | 費用及修讀時間 | 部分認證設有經驗要求 |
此表作了簡化。電腦科學學位不會自動帶來安全技能，而專業認證亦無法提供學位所具備的理論深度。兩者是互補，而非互相對立。BLS 本身亦同時提及兩者：學士學位是典型入行學歷，而專業認證則是不少僱主偏好的條件，包括招聘入門職位時。
查核專業認證的條件
各項專業認證並不相同。有些面向初學者，另一些則要求多年經驗。例如，ISC2 提供 Certified in Cybersecurity (CC) 認證，其網頁將之介紹為不要求任何工作經驗的入門級認證。另一端的 CISSP 認證網頁則列出 5 年經驗要求，並訂明合資格的範疇及實習方面的例外規定；由於規則會變動，應直接到該機構網站閱讀詳細條文。
重點是，高階認證不能取代經驗。初學者無法完整取得這類認證，因此應先以入門認證為目標，再尋找能累積所需經驗的職位。
ISC2 的研究指出，管理人員往往期望求職者同時具備某些經驗與認證，而這些組合並不容易達到。求職者宜閱讀實際招聘廣告，了解所在地區要求哪些認證。
評估人工智能的影響
2024 年研究顯示，超過 1/3 的受訪者將人工智能列為團隊最大的技能缺口。另一條問題則詢問哪些技能被視為重要：12% 的招聘管理人員提及人工智能，專業人士的比例則為 23%。因此，這些百分比衡量的是技能被視為重要的程度，而非技能缺口。
這個差距顯示，團隊與管理人員對需求的看法並不一致，也提醒讀者保持審慎：熱門技能不一定是招聘廣告所要求的技能。
對學生而言，穩固的基礎仍然是網絡、作業系統、程式編寫、密碼學及風險管理。這些知識可應用於不同技術。
另一個需要審慎解讀的訊號是：ISC2 的研究是針對專業人士及管理人員的問卷調查，反映的是看法，而非對需求的客觀衡量。這些看法反映各受訪者在機構內的崗位，並可能在新工具出現時迅速改變。選擇課程時，現時的職位描述仍比任何趨勢研究更具參考價值。
累積實際經驗
既然市場需要的是經驗，實習、專題項目及比賽便扮演重要角色。奪旗賽、個人實驗室、參與開源項目及在安全團隊實習，都能提供可向僱主展示的成果。
設有實習或與真實機構合作團隊項目的大學課程，有助縮窄取得學位與首份工作之間的距離。向課程負責人查詢畢業生在過去 2 年曾在哪些機構工作，會有所幫助。
對轉職人士而言，短期培訓可以補充已有的電腦科學、網絡或系統管理學位。這時，短期培訓的作用是專門進修，而非起點。
以下是記錄技能的具體方法：
- 以書面介紹個人實驗室，包括使用的工具及成果；
- 參加安全比賽，並列出取得的名次；
- 在資訊科技團隊實習或從事暑期工作，即使職銜不涉及安全亦可；
- 記錄自己對開源項目的貢獻。
加拿大的情況如何？
加拿大的網絡安全職業不像工程或醫療專業般受到規管。不過，工程師的職銜受到法律保障：畢業生如希望使用此職銜，必須通過省級專業監管機構的程序。僱主主要要求電腦科學學位、專業認證及經驗。各職業的就業統計由聯邦機構另行發表，不應與本文的美國數據混為一談。ISC2 的認證屬國際認證：在加拿大與其他地方一樣可以考取，且不依附於大學體系，因此可與加拿大學位配合。
StudyCanada 尤其介紹了滑鐵盧大學（University of Waterloo）及渥太華大學（University of Ottawa / Université d’Ottawa）的電腦科學課程，以及麥基爾大學（McGill University）和蒙特利爾大學（Université de Montréal）的網絡安全課程（資訊系統管理與安全）。滑鐵盧大學在此列出的是一般電腦科學課程，而非專門的網絡安全課程。