信息安全市場預計將從2015年的750億美元發展到2020年的1700億美元，但是，如同其他任何行業，成長的煩惱無法避免。

不斷發展的威脅態勢、網絡犯罪即服務和網絡間諜，是當今執法機構和CISO們最頭疼的問題，更不用說屢創新高的數據泄露事件了。但，還有個更大、更基礎的問題在折磨信息安全市場。

[[179083]]

信息安全長久以來都受制于眾所周知的技術人才短缺問題。(ISC)² 預測到2020年將有200萬個信息安全職位無人可用，思科則將當今全球信息安全人才缺口指認為近100萬個。半島新聞公布的勞動統計局2015分析數據顯示，美國目前有超過209000個網絡安全職位空缺。

人才缺乏是全行業的，但其中數據科學家、數據分析師、社會工程和數字鑒證專家的迫切需求尤其突出。

這不是夸大其詞，該人才短缺已經影響到日常的方方面面了。 Frost & Sullivan 咨詢公司和(ISC)² 聯合進行的一項調查揭示，企業及其安全人員越來越將數據泄露歸罪于技術人才的缺乏。技術市場研究公司 Vanson Bourne 和 英特爾安全的另一項研究，則表明IT經理認為該人才短缺將讓他們更容易攻擊者盯上，造成專利數據損失或聲譽損害。

然而，找出該人才短缺的根源，并不容易。有人將矛頭指向了STEM(科學、技術、工程和數學)教育體系沒有涵蓋安全思維，其他人則責怪隨著計算機科學畢業生尋求到谷歌、Facebook或推特之類的技術巨頭就職而導致的大學校園內安全方面興趣的減弱。

然后，還有人才保留問題，職業倦怠是一方面因素，招聘要求高是另一方面因素(信息安全要求的技術很復雜，包括了像惡意軟件檢測、逆向工程、加密和虛擬化之類的東西。)

CISO，以及他們的團隊成員，可以來自其他領域

不過，或許有其他方法可以說服年輕學生或有經驗的職業人士，轉到安全行業上來，無論他們的年齡和所從事的行業。

傳統的信息安全職業某種程度上有些僵硬刻板的印象。學生考進大學，拿到學位，再考幾個信息系統安全認證專家(CISSP)、信息系統審計師(CISA)或信息系統經理(CISM)之類的認證，然后做完安全或網絡架構師入職。

但是，這種模式的問題，在于時間和投入。英特爾安全EMEA(歐洲、中東和亞洲)部的CTO就曾經說過，他職業生涯中累積了近30個行業相關資質，表明這一行留給兼職或業余愛好者的空間真心不多。

不過，慢慢地，有一種說法開始冒頭：高薪與挑戰并存的信息安全職位，可以從其他行業挑選人才。

提出這種說法的人就認識一家從法律界招聘高級安全主管的專業安全服務公司，也有公務員經培訓后獲得英國國家犯罪局(NCA)高級網絡職位的。2014年的一次訪談中，阿卡邁CSO安迪·伊利斯坦陳，自己的安全團隊從通信、客戶支持和幫助臺員工中招聘人員。

趣事連篇，如今，歡迎來自其他產業新人的業界努力越來越多了。1年前，信息系統安全協會(ISSA)啟動了對技術缺口的調查，結論是需要建立起國際認可的網絡安全職業框架。于是，ISSA網絡安全職業生命周期(CSCL)誕生。

英國政府通信總部(GCHQ)和美國國家安全局(NSA)之類的政府機構，已經開始提供獎學金和各種競賽，盡管他們相對較低的薪水經常被可在私營產業賺取2倍、3倍乃至10倍數額的員工嘲笑。

City of Atlanta 前CISO，CloudAssurance現CTO泰耶·蘭波，就是從另一個行業(工程)轉行到安全，且自身經歷又反過來影響到他的招聘策略的活例子。

“在我作為CISO和創業者的職業經歷里，我聘用了帶有網絡安全甚或信息技術領域以外背景的人士，最初是作為研究實習生，給他們機會成長為分析師或工程師、經理和總監之類的安全角色。其中有些人在我聘用他們為實習生后幾年就成為了成功的信息安全官。”

特勒爾斯·奧爾汀，Barclays首席信息安全官，之前在丹麥警方和歐洲刑警組織的執法部門工作。毫不意外地，他認為，由外而內地切入確實可行，尤其在年輕的時候。

“很多安全方面有才華的年輕人對傳統的大學計算機科學教育不感興趣，甚至對整個大學教育就沒興趣。但他們可能是非常好的互聯網用戶和專家。”

巴克萊銀行正嘗試與各大學合作，通過巴克萊銀行網絡學院吸引年輕人才。該短期的“專項”培訓項目設置在美國、英國、立陶宛和南非，準確定位在對大學課程不感興趣的人身上。

然后，可以考慮從非傳統網絡行業搜羅年長點兒的人才，只需少量升級課程就可以順利切換。

但高級職位是分水嶺

有人認為，高級管理層是從其他行業招聘最活躍的領域。

曾任英國考文垂建筑協會銀行和英國能源公司CISO，目前為佛瑞斯特研究公司安全分析師的馬丁·威特沃斯說：“我見過從別的行業招聘，但大多數這類活動都發生在中層或高層級。確實見過有員工成功從其他各種各樣的業務領域轉行安全，包括運營風險、財務、審計、法務和項目管理。”

“在最高層級(比如CISO)，我見過來自審計、風險和財務背景的員工進入這些管理角色，并且做得非常成功，我甚至聽說過有從HR背景進入CISO角色的。雖然CISO只是初級高管職位，但這一職位被看作是通往高管發展階梯的墊腳石。”

安全公司Forcepoint副CISO尼爾·薩克對此表示贊同：“我見證過太多企業從公司其他領域延攬人才，要么是從入門級角色踏入網絡安全，要么是從管理視角切入。”

“好的經理或團隊領袖會是有效溝通者，再帶個正確的團隊，往往都能在網絡安全上取得成功。”

英國國家網絡研究中心研究主任理查德·本漢姆對此存有疑慮，他見到的大多數新入行者來自IT背景，但坦誠所有的職位角色都需要集成進安全。

“網絡影響到我們生活的方方面面。HR、市場營銷、法務、客戶體驗等等領域的專家，都應該具備一定的網絡專業知識。這是必備的教育。”

招聘人員也看到了這一轉變

網絡安全專業招聘機構BeecherMadden總監卡拉·喬斌稱：“不進行再培訓，是無法填補網絡人才空缺的。”

“網絡職位的應聘者漸漸來自風險管理、危機管理、項目管理和市場營銷。我們的研究顯示，這些人通常因具備寬泛的技術面而能獲得更高的薪水。”

有趣的是，她提到，女性應聘者應獲得更多的工作機會和更高的薪水(信息安全行業中只有11%是女性)。

從博主變身安全顧問的李·忙森就是這些轉職者之一，從零售管理轉到了安全意識領域，為法國廣告公司Publicis的 Re:Sources UK 分部工作。

“我從中學時期開始就對計算機感興趣。不過，直到我親眼看到朋友和家人淪為網絡詐騙和惡意軟件的受害者，我才漸漸開發出對安全的興趣。

為了幫助他們，我進行了必要的研究，在隨后多年中慢慢筑成了我的安全知識庫。直到最近，我在各種會議上碰到的人才建議說，我應該考慮在安全行業中謀個職位了。

我的建議是，堅持進入該行的傳統途徑，但不要完全依賴這些。可以去各種安全大會，加入論壇，在社交媒體和網絡上與信息安全專業人士瘋狂交流的同時順便發展溝通技巧。然后你會發現你的競爭力和業內很多人都缺乏的軟技能同時得到了最佳提升。”

聘到正確的人才

CISO需要停止恐懼未知事物，在審查自家團隊的能力上保持積極主動。

所有CISO都應該審查自家團隊的能力，據此進行調整，以便保持良好的平衡。培訓是很重要的，在職培訓也一樣。咨詢顧問能在短期內提振競爭力。

團隊指導也是一個常被忽視了的成功策略。招攬未來替代你的人，指導他們及時替上你的角色，將會對你有所輔助并給你的履歷添上光輝一筆。讓他們也對自己的角色做出同樣的舉動，并層層傳導至團隊中最初級的成員。

安全主管應打造扎根公司的多技術和分析型團隊。

CISO需首先建立起自己的策略，而該策略必須真正符合公司業務發展。

一旦安全支持業務的方式被確立起來，所需的業務(和技術性)技能就能被標繪出來。只有到這一步，招聘和人才保留計劃才被制訂。如同對待任何復雜業務問題，別以為你能獨立搞定，與你的HR團隊合作來認清該怎樣最好地招到合適的人才吧。

【本文是51CTO專欄作者李少鵬的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】