信息安全入门

### 安全人才

有平台（项目多） 多实践 （动手能力） 引导好  （少走弯路，学习效率高）用心留（薪资 情感 价值观）

跟高校合作，搞创新实验室或者工作室，选拔预定一批有潜力进步快的小朋友，缺点是如果企业本身没办法解决小朋友的温饱问题，会导致被其他企业抢走，以前搞过一段时间，发现一个都留不住，没毕业全被抢走了

有句话很有道理 不要和90后谈理想 因为他们理想是不上班，80后正值中年 房车娃 压力最大的时候 没有太多精力能匀给梦想

缘分很重要，公司考虑的人先看成绩再给钱，员工是先给钱在考虑成绩

必须是一帮志同道合的人，聚齐成铁打的团队，一起干一件一生都干不完且是共同兴趣和有意义的事，做一生的朋友，顺便一起赚一生都花不完的钱……

以色列的网络安全教育始于中学，是世界上唯一一个将网络安全课程纳入高中入学考试选修课的国家。在以色列，网络安全是一门独立学科，而不是计算机科学专业下的一个分支。

我能说我是安全专业本科毕业生吗，然后老师也是懵逼的多，主要是教数学和传统安全概念

我觉得还是参与到信息安全实践当中的人太少，无论是产品还是RD或者运维。而且即使参与进来了，也是客人的视角，不是主人的视角。我觉得如果能把气愤带动起来，让更多人来讨论和思考，会有很多不一样的观点。现在国内的安全圈子，不论加多少群，都是那几个人。草原不够大，跑不出几匹野马。

这是个问题，我相信也没有统一的答案。我遇到过很多爱答不理的，也碰到过很多非常感兴趣甚至想转岗做安全的，因为觉得很神秘很酷。作为一个安全人员，除了从安全的角度思考问题的时候，是不是能转换一下视角。过去我们和运维或者研发合作，都是要求对方做什么，在未来，我们能不能邀请对方一起来做。大家一起建设，一起学习，一起创造成果分享成就，至少让安全人员能直接接触到的研发和运维工程师，能和在安全工程师合作的时候学到东西，而不是单纯的配合或者帮忙。

#### 人才选择

1、没有专业化的培训体系和渠道，大学产出的网络安全专业时间较短，课程偏理论和企业实际情况不符合，安全技术更新太快，跟不上。

2、学院派打不过野路子，搞破坏的多，搞建设的少。懂攻不懂防，建设的不懂攻击手法和路径。

3、搞企业安全建设的少。懂技术，又懂 企业业务需求，会沟通，会推进，解决问题的，极少。其实企业里50%的时间不是安全的问题，是沟通和说服的问题。大部分也不是技术问题，而是管理问题。

4、供需关系导致安全人才价格偏高，企业用工成本大。安全涉及的面广，企业很难维护一整套安全人才队伍。团队不自主，安全质量较难稳定

5、国内安全认证体系还不健全，持续认证和教育缺失。也没有能够比较好的人才能力评价标准，目前有些看证书，有些看已经关闭的乌云网站的 rank 值，既不全面也不系统。

6、招聘渠道比较窄，招到靠谱的人的最靠谱渠道是熟人介绍，以及 freebuf 等自媒体发文，缺乏可靠平台。

#### 人才培养

7、老员工技能更新问题，工作主动性问题。安全知识更新太快，老员工去学习肯定不现实。

8、缺乏网络安全技能实验和训练环境（类似于靶场），虽然少数商业化公司（i春秋）提供了一些，但还是不够全面和系统，而且企业这块也很难申请到专门的预算。

9、网络安全从业人员普遍缺乏职业技能素养，如沟通能力、表达汇报能力和价值展现能力，往往导致工作业绩和个人价值，以及安全团队价值在企业内部得不到认可，缺乏专业化的培训。

留

10、金融行业受制于体制，薪酬和晋升通道很难和互联网竞争，人才流失较多。

11、网络安全从业人员，普遍缺乏，数量和质量缺口都很大。

#### 行业问题

12、目前普遍比较多的是安全理论的书籍和课程、培训，以及安全攻防技术（如黑客技术）、安全工具使用（如kali）的课程和培训，缺乏全面和系统性的企业安全建设的方法论、实践和培训课程，这块企业安全建设从业者迫切需要这方面的的知识和培训。

学校应该是知识体系的搭建和思路的培养，具体技术肯定还是出来，至少体系和思路培养也和实战中的场景偏离太大，随便那边学校的教材看看就知道了。很多学校对信息安全的认知，还停留在保密通信上。我理解，环境，算法，协议，各种技术本身是不可信，如何构建可信，这是最大的问题

我觉得渗透人才讲究攻击的艺术，防御人才讲究设计的美感，防御基础设施也可以设计的很优雅。

学生直接进入一般企业甲方做防御的少。以前带过应届 java 转安全的，做了几次思想工作才真心接受。

其实选用育留人哪个行业都一样，我理解就是志同道合，平台大，有好领导，有发展，有钱途，有机会。

外包成本高时间短sla有保证。外包，直接走 profee。招人要走 hc。除了不能外包的，首选外包。

外包确实不省钱，可以算笔账：目前通行的算法，1 个外包每月成本 2.4 万左右，不少还达不到这个水准，每年就是2.4*12=28.8 万，这笔钱理论上是按照一个中级工程师配比，但是生意就是生意。在乙方就不是这么回事，粗粗计算，乙方需要考虑成本分摊、社保等情况，实际上能够给人员的大概是一半左右，14.4 万，这笔钱在市场上是什么概念？初级工程师而已，这跟用工方的实际需求差出十万八千里了。而同样一笔钱，如果用于招聘，实际能得到的要比这个水平更高一些。

1.安全如医，我们如斯。系统如人，你我如大夫。大佬们多做工具，行业常有好药，大夫苦练医术精湛，人有天然缺陷和无常，自要保养勤检，知己知彼，良性循环。

2. 共享共担，融合、趋势？聚焦，业务与技术融合，人与机器融合，安全与研发、运维融合，从无到有再到无。