ความมั่นคงปลอดภัยไซเบอร์: ปริญญามหาวิทยาลัยหรือประกาศนียบัตรรับรอง ข้อมูลที่เผยแพร่บอกอะไรบ้าง?

อ่านข้อมูลช่องว่างกำลังคนของ ISC2 อย่างระมัดระวัง

ตามการศึกษาปี 2024 ของ ISC2 ซึ่งเผยแพร่เมื่อวันที่ 11 กันยายน 2024 ช่องว่างกำลังคนด้านความมั่นคงปลอดภัยไซเบอร์เพิ่มขึ้น 19% เมื่อเทียบกับปีก่อนหน้า จนถึง 4,800,000 ตำแหน่ง องค์กรอธิบายช่องว่างนี้ว่าเป็นส่วนต่างระหว่างจำนวนบุคลากรที่มีอยู่กับจำนวนที่เห็นว่าจำเป็นต้องมี

ISC2 เป็นสมาคมของผู้ประกอบวิชาชีพที่ออกประกาศนียบัตรรับรอง จึงมีส่วนได้เสียในการจัดทำข้อมูลเกี่ยวกับการขาดแคลนบุคลากร เรื่องนี้ไม่ได้ทำให้การศึกษาเป็นเท็จ แต่เป็นเหตุให้ควรอ่านตัวเลขดังกล่าวในฐานะค่าประมาณที่อิงจากการสำรวจ ไม่ใช่จำนวนประกาศรับสมัครงาน วิธีคำนวณช่องว่างนี้สามารถอ่านได้ในรายงานฉบับเต็ม

การศึกษายังระบุว่า 90% ขององค์กรรายงานว่าทีมรักษาความปลอดภัยของตนมีช่องว่างด้านทักษะ และ 64% เห็นว่าการขาดทักษะเป็นปัญหาร้ายแรงกว่าการขาดบุคลากร

พิจารณาว่าการศึกษาระบุอะไรเกี่ยวกับการจ้างงาน

การศึกษาปี 2024 ให้ข้อมูลเกี่ยวกับโครงสร้างของทีม โดยระบุว่าผู้ตอบแบบสำรวจ 31% กล่าวว่าทีมรักษาความปลอดภัยของตนไม่มีพนักงานระดับเริ่มต้นเลย และ 15% ไม่มีพนักงานระดับจูเนียร์เลย (มีประสบการณ์ 1 ถึง 3 ปี) การศึกษาระบุว่าผู้จัดการที่ตอบแบบสำรวจ 62% มีตำแหน่งงานว่างที่ต้องการรับคน และเน้นว่าการรับสมัครให้ความสำคัญกับผู้มีทักษะระดับกลางและระดับสูง

ตัวเลขเหล่านี้มีความสำคัญสำหรับผู้สำเร็จการศึกษาใหม่ เพราะบ่งชี้ว่าการขาดแคลนส่วนใหญ่เป็นการขาดแคลนผู้มีประสบการณ์ ตลาดงานระดับเริ่มต้นอาจยังคงเข้าถึงได้ยาก แม้ช่องว่างโดยรวมจะมีขนาดใหญ่ก็ตาม

การศึกษายังรายงานว่า ผู้ตอบแบบสำรวจเกือบ 1 ใน 4 ในอเมริกาเหนือและยุโรปเคยเผชิญการเลิกจ้างในสายงานความมั่นคงปลอดภัยไซเบอร์ในช่วง 12 เดือนที่ผ่านมา ส่วนในตะวันออกกลางและแอฟริกาอยู่ที่ 29% โดยการศึกษาระบุว่าสาเหตุคือข้อจำกัดทางเศรษฐกิจ

อ่านการคาดการณ์ของสหรัฐอเมริกา

BLS คาดการณ์ว่าการจ้างงานนักวิเคราะห์ความปลอดภัยสารสนเทศจะเติบโต 21% ระหว่างปี 2025 ถึง 2035 ซึ่งจัดว่าเร็วกว่าค่าเฉลี่ยของทุกอาชีพอย่างมาก ค่ามัธยฐานเงินเดือนของอาชีพนี้อยู่ที่ 129,180 ดอลลาร์สหรัฐในเดือนพฤษภาคม 2025

สำหรับการเข้าสู่อาชีพ BLS ระบุว่าโดยทั่วไปต้องมีปริญญาตรีด้านวิทยาการคอมพิวเตอร์หรือสาขาที่ใกล้เคียง เช่น วิศวกรรมศาสตร์หรือคณิตศาสตร์ พร้อมชี้แจงว่าผู้ปฏิบัติงานบางคนเข้าสู่อาชีพนี้ด้วยวุฒิมัธยมศึกษา การฝึกอบรม และประกาศนียบัตรรับรอง นอกจากนี้ยังระบุว่านายจ้างจำนวนมากให้ความสำคัญกับผู้สมัครที่มีประกาศนียบัตรรับรองด้านความปลอดภัยสารสนเทศ โดยไม่ได้ระบุประกาศนียบัตรรับรองใดเป็นการเฉพาะ

ตัวเลขเหล่านี้อธิบายตลาดแรงงานสหรัฐอเมริกาสำหรับกลุ่มอาชีพเฉพาะกลุ่มหนึ่ง ไม่สามารถใช้แทนสถิติของประเทศที่ต้องการไปทำงานได้

เปรียบเทียบปริญญากับประกาศนียบัตรรับรองในตาราง

ตารางด้านล่างรวบรวมบทบาทที่โดยทั่วไปมักเชื่อมโยงกับปริญญาและประกาศนียบัตรรับรอง โดยเป็นกรอบสำหรับทำความเข้าใจที่อิงจากแหล่งข้อมูลที่อ้างถึง ไม่ใช่การจัดอันดับ

ตารางนี้เป็นการอธิบายอย่างง่าย ปริญญาด้านวิทยาการคอมพิวเตอร์ไม่ได้ทำให้มีทักษะด้านความปลอดภัยโดยอัตโนมัติ และประกาศนียบัตรรับรองก็ไม่ได้ให้ความลึกซึ้งทางทฤษฎีเทียบเท่าปริญญา ทั้งสองอย่างเกื้อหนุนกันมากกว่าจะเป็นทางเลือกที่ขัดแย้งกัน BLS เองก็กล่าวถึงทั้งสองอย่าง ได้แก่ ปริญญาตรีในฐานะวุฒิการศึกษาที่ใช้เข้าสู่อาชีพโดยทั่วไป และประกาศนียบัตรรับรองในฐานะสิ่งที่นายจ้างจำนวนมากให้ความสำคัญ รวมถึงสำหรับตำแหน่งระดับเริ่มต้นด้วย

ตรวจสอบเงื่อนไขของประกาศนียบัตรรับรอง

ประกาศนียบัตรรับรองไม่ได้เทียบเท่ากันทั้งหมด บางประเภทมุ่งที่ผู้เริ่มต้น ขณะที่บางประเภทต้องอาศัยประสบการณ์หลายปี ตัวอย่างเช่น ISC2 มีประกาศนียบัตรรับรอง Certified in Cybersecurity (CC) ซึ่งหน้าเว็บไซต์อธิบายว่าเป็นประกาศนียบัตรรับรองระดับเริ่มต้นที่ไม่ต้องมีประสบการณ์ทำงานเลย ส่วนอีกด้านหนึ่ง หน้าเว็บไซต์ของประกาศนียบัตรรับรอง CISSP ระบุข้อกำหนดประสบการณ์ 5 ปี พร้อมสาขางานที่เข้าเกณฑ์และข้อยกเว้นสำหรับการฝึกงาน ควรอ่านรายละเอียดของกฎเหล่านี้จากเว็บไซต์ขององค์กรโดยตรง เนื่องจากมีการเปลี่ยนแปลงอยู่เสมอ

ประเด็นสำคัญคือประกาศนียบัตรรับรองระดับสูงไม่สามารถทดแทนประสบการณ์ได้ ผู้เริ่มต้นไม่สามารถได้รับการรับรองอย่างครบถ้วน และควรมุ่งไปที่ประกาศนียบัตรรับรองระดับเริ่มต้นก่อน จากนั้นจึงหาตำแหน่งงานที่ช่วยให้สะสมประสบการณ์ตามที่กำหนดได้

การศึกษาของ ISC2 ระบุว่าผู้จัดการมักคาดหวังทั้งประสบการณ์และประกาศนียบัตรรับรองในลักษณะที่ยากจะมีครบพร้อมกัน ผู้สมัครจึงควรอ่านประกาศรับสมัครงานจริงเพื่อดูว่าภูมิภาคของตนต้องการประกาศนียบัตรรับรองใด

ประเมินผลของปัญญาประดิษฐ์

การศึกษาปี 2024 รายงานว่าผู้ตอบแบบสำรวจมากกว่า 1 ใน 3 ระบุว่าปัญญาประดิษฐ์เป็นช่องว่างด้านทักษะที่ใหญ่ที่สุดของทีม อีกคำถามหนึ่งถามถึงทักษะที่เห็นว่าสำคัญ โดยผู้จัดการที่รับผิดชอบการสรรหาบุคลากร 12% กล่าวถึง AI เทียบกับผู้ประกอบวิชาชีพ 23% ดังนั้น เปอร์เซ็นต์เหล่านี้จึงไม่ได้วัดสิ่งเดียวกับช่องว่างด้านทักษะ

ความแตกต่างนี้บ่งชี้ว่าทีมงานและผู้จัดการมองความต้องการไม่เหมือนกัน และเป็นเหตุให้ควรระมัดระวัง: ทักษะที่กำลังเป็นกระแสไม่จำเป็นต้องเป็นทักษะที่ประกาศรับสมัครงานต้องการ

สำหรับนักศึกษา พื้นฐานที่มั่นคงยังคงได้แก่ เครือข่าย ระบบปฏิบัติการ การเขียนโปรแกรม วิทยาการรหัสลับ และการบริหารความเสี่ยง ความรู้เหล่านี้สามารถนำไปใช้ข้ามเทคโนโลยีได้

อีกประเด็นหนึ่งที่ควรพิจารณาอย่างระมัดระวังคือ การศึกษาของ ISC2 เป็นการสำรวจผู้ประกอบวิชาชีพและผู้จัดการ จึงสะท้อนการรับรู้ ไม่ใช่การวัดความต้องการอย่างเป็นภววิสัย การรับรู้สะท้อนตำแหน่งของผู้ตอบแต่ละคนภายในองค์กร และอาจเปลี่ยนแปลงอย่างรวดเร็วเมื่อมีเครื่องมือใหม่ปรากฏขึ้น สำหรับการเลือกรายวิชา คำบรรยายลักษณะงานในปัจจุบันยังคงเป็นแนวทางที่ดีกว่าการศึกษาแนวโน้มใด ๆ

สร้างประสบการณ์ที่เป็นรูปธรรม

เนื่องจากความต้องการมุ่งไปที่ประสบการณ์ การฝึกงาน โครงการ และการแข่งขันจึงมีบทบาทสำคัญ การแข่งขันประเภท « ชิงธง » ห้องปฏิบัติการส่วนตัว การมีส่วนร่วมในโครงการเปิด และการฝึกงานกับทีมรักษาความปลอดภัย ล้วนช่วยให้มีผลงานแสดงต่อนายจ้าง

หลักสูตรมหาวิทยาลัยที่รวมการฝึกงานหรือโครงการทีมร่วมกับองค์กรจริงช่วยลดช่องว่างระหว่างปริญญากับงานแรกได้ การสอบถามผู้รับผิดชอบหลักสูตรว่าในช่วง 2 ปีที่ผ่านมา ผู้สำเร็จการศึกษาของหลักสูตรได้ทำงานที่ใดบ้างจึงเป็นประโยชน์

สำหรับผู้ที่กำลังเปลี่ยนสายงาน หลักสูตรระยะสั้นอาจช่วยเสริมปริญญาที่มีอยู่แล้วด้านวิทยาการคอมพิวเตอร์ เครือข่าย หรือการดูแลระบบ ในกรณีนี้ หลักสูตรดังกล่าวทำหน้าที่เป็นการเพิ่มความเชี่ยวชาญเฉพาะทาง ไม่ใช่จุดเริ่มต้น

ต่อไปนี้เป็นวิธีที่เป็นรูปธรรมในการจัดทำหลักฐานแสดงทักษะ:

• ห้องปฏิบัติการส่วนตัวที่มีคำอธิบายเป็นลายลักษณ์อักษร พร้อมระบุเครื่องมือที่ใช้และผลลัพธ์;
• การเข้าร่วมการแข่งขันด้านความปลอดภัย พร้อมอันดับที่ได้รับ;
• การฝึกงานหรืองานช่วงฤดูร้อนในทีมไอที แม้ชื่อตำแหน่งจะไม่เกี่ยวกับความปลอดภัยก็ตาม;
• การมีส่วนร่วมในโครงการเปิดที่มีหลักฐานบันทึกไว้

แล้วในแคนาดาล่ะ?

วิชาชีพด้านความมั่นคงปลอดภัยไซเบอร์ในแคนาดาไม่ได้อยู่ภายใต้การกำกับตามกฎหมายเช่นเดียวกับวิศวกรรมหรือสุขภาพ อย่างไรก็ตาม ตำแหน่งวิศวกรได้รับการคุ้มครองตามกฎหมาย ผู้สำเร็จการศึกษาที่ต้องการใช้ตำแหน่งนี้ต้องดำเนินการผ่านองค์กรกำกับวิชาชีพระดับมณฑล ส่วนนายจ้างมักต้องการปริญญาด้านวิทยาการคอมพิวเตอร์ ประกาศนียบัตรรับรอง และประสบการณ์เป็นหลัก หน่วยงานรัฐบาลกลางเผยแพร่สถิติการจ้างงานแยกตามอาชีพต่างหาก จึงไม่ควรนำมาปะปนกับตัวเลขของสหรัฐอเมริกาในบทความนี้ ประกาศนียบัตรรับรองของ ISC2 เป็นการรับรองระดับสากล สามารถสอบได้ทั้งในแคนาดาและที่อื่น ๆ โดยไม่ขึ้นอยู่กับระบบมหาวิทยาลัย จึงสามารถใช้ควบคู่กับปริญญาจากแคนาดาได้

StudyCanada นำเสนอหลักสูตรวิทยาการคอมพิวเตอร์ของ University of Waterloo และ University of Ottawa / Université d’Ottawa รวมถึงหลักสูตรความมั่นคงปลอดภัยไซเบอร์ของ McGill University และ Université de Montréal (การจัดการและความปลอดภัยของระบบสารสนเทศ) โดย University of Waterloo ปรากฏในที่นี้ในด้านวิทยาการคอมพิวเตอร์ทั่วไป ไม่ใช่หลักสูตรที่มุ่งเฉพาะด้านความมั่นคงปลอดภัยไซเบอร์