文 | 北京邮电大学网络空间安全学院教授 李小勇
随着信息技术的快速发展，网络安全已成为全球竞争的核心领域。近年来，网络安全威胁与日俱增，网络攻击事件频繁发生，国家安全、经济社会发展面临严峻考验。为筑牢网络安全防线，各国都积极加强网络安全人才队伍建设，提升网络安全防护能力。然而，我国现行的网络安全人才评价体系仍存在明显不足，难以全面、客观、精准地反映从业人员的实际能力和产业需求。因此，亟需构建科学合理的网络安全人才专业能力全面评价体系，有效支撑网络安全战略的实施，推动网络安全人才培养体系与产业需求精准对接，全面提高我国网络空间安全防护能力。
一、网络安全人才评价体系存在的问题
习近平总书记指出：“网络空间的竞争，归根结底是人才竞争”。科学化的评价体系能精准识别网络安全关键领域的核心人才，为国家安全保障提供人才能力验证标准。目前，网络安全人才传统评价体系仍存在一些问题，构建网络安全人才评价体系任重而道远。
首先，评价体系的指标过于简单和形式化，实战能力的考核不足。当前，国内网络安全人才评价体系很大程度上依赖学历、职称、证书和考试成绩等单一形式的指标。然而，根据工业和信息化部教育与考试中心、中国信息通信研究院等单位联合发布的《2024年网络安全产业人才发展报告》，当前行业更关注人才的实际实践能力和实战经验。例如，报告指出，2024年有75%的岗位强调工作经验，63%强调实战技能。同时，在我国半数以上的高校专业课程中，实践教学环节占比仅为30%-50%。由于高校培养体系通常由培养目标、培养制度、培养过程和培养评价四个方面组成，这表明高校培养评价体系在一定程度上与产业需求不匹配。这种情况直接导致人才培养出现“供需脱节”，评价体系未能客观、全面地反映人才的实际能力和产业需求，导致企业难以准确识别并获得合适的人才。此外，依据《2024年网络安全产业人才发展报告》统计，在校生对网络安全专业实训资源表示满意的占比为84%，其中非常满意的占比为52.6%、满意的占比为31.4%，只有4%的在校生表示对当前的实训资源感到不满意，并认为存在改进空间；69.7%的学生有实习机会，但仍有一定比例的反馈认为实习内容单一、缺乏匹配度。上述数据显示，高校毕业生总体满意度较高，但业界普遍反映，毕业学生普遍缺乏实践经验和现场应对能力，即高校培养的学生与产业需求之间存在显著错配。这种情况反映出评价体系缺乏产教有效融合，企业参与度不足，学校评价标准未能充分反映企业的真实需求，未能建立企业与高校共同认可的协同育人标准，导致人才评价指标体系脱离市场实际需求。
其次，人才评价体系缺乏细致的分类分层标准，导致人才结构失衡。根据《2024年网络安全产业人才发展报告》的数据，从业2年及以下的行业新人占比为25%，而10年及以上的资深人才仅占13.8%，高端人才供给不足现象尤为明显。评价体系缺乏针对高级人才和专家型人才的精准考核标准和动态成长评价机制，未能有效促进高端网络安全人才队伍建设。
此外，评价标准未能针对不同岗位（技术、运营、管理、科研）、不同行业（金融、运营商、互联网）建立精细化、分类和分层的专业人才评价体系，网络安全人才认证体系面临严重的碎片化问题，在全球和国内层面尤为突出。目前，国际比较典型的网络安全认证包括注册信息系统安全专业认证（CISSP）、道德黑客认证（CEH）、渗透测试认证（CISAW）等，但存在知识模块重复、定位不清等问题。在国内，注册信息安全专业人员（CISP）、信息安全保障人员认证（CISAW）等12类主流认证因标准不一、互认机制缺失等问题，难以有效支撑系统性的人才培养与职业发展路径建设。这导致不同领域和不同岗位之间的人才供给缺乏统筹协调，进一步加剧了网络安全人才结构的失衡。
二、五类网络安全专业人才能力要求
网络安全领域的专业知识具有多、广、深、杂的特点。相较于软件开发、数据库系统、操作系统等常规计算机领域，网络安全从业者的工作内容丰富且差异显著，因此，采用单一的标准评价网络安全专业人才是不可行的。从实践来看，网络安全从业者可划分为以下五类：实战化专业人才、标准化专业人才、研究型专业人才、交叉型专业人才和领导型专业人才。为构建科学全面的人才评价体系，有必要深入分析这五类人才在网络安全领域的能力要求。
（一）实战化专业人才能力要求
实战化专业人才是网络空间安全防护一线的中坚力量，强调技术应用的精准性和有效性，需要具备扎实全面的网络安全知识，具备渗透测试、漏洞挖掘与利用、逆向分析、恶意代码分析、应急响应处理等专项技能。其技术能力应高度贴近实战情况，能够在实际的网络攻防中快速发现威胁并做出响应、开展应急处置。敏锐的洞察力、前瞻性的分析能力以及对最新网络安全攻防技术战术的快速掌握尤为重要；必须熟练使用各种网络安全工具，如Wireshark、Burp Suite、Metasploit、IDA Pro、Ghidra等，应对复杂的网络安全实战任务；需要具备敏锐的洞察力，能够快速识别网络攻击模式，分析攻击者的目标和攻击手段；在高强度、高压力的工作环境下，能够快速决策并高效执行。同时，实战型人才还必须具备良好的团队协作能力，能够与不同专业背景人员沟通协作，能够在网络攻防演练、实战比武、实战场景任务中快速调整应对方案，提升网络安全队伍的整体作战效能。需要时刻关注全球网络安全趋势和威胁情报，掌握攻击面管理和漏洞修复策略，不断提升自身技术水平和实战能力。这成为确保网络安全防线坚固有效的重要基石。
（二）标准化专业人才能力要求
标准化专业人才专注于网络安全标准规范的研究、制定、评价和推广，需要全面深入地理解网络安全法律法规、国家和国际标准体系，如《网络安全法》《数据安全法》以及信息安全管理要求（ISO/IEC 27001）、NIST网络安全框架、“等级保护2.0”等重要标准规范，并具备在实际业务中落地和推广的能力。需要具备优秀的标准理解、分析和翻译能力，能够快速准确地分解复杂的网络安全标准内容，并将其融入企业或组织的安全管理体系、政策和流程中。需要具备良好的沟通协调能力，能够与技术团队、管理团队和监管部门有效协作，协调标准实施过程中的各方利益，解决实践中遇到的问题。熟悉并掌握标准评价和审计能力至关重要，包括各类合规性检查、认证审计和风险评价等。需要根据不同组织的需求，建立标准化的网络安全管理体系，形成科学的评价指标体系和监测机制，有效提高网络安全管理的成熟度和透明度。需要具备一定的培训能力，能够系统地组织安全合规与标准实施培训，提高组织整体的安全意识和标准化水平，为网络安全建设提供明确的实践指导方向和可衡量的落地计划。
（三）研究型专业人才能力要求
研究型专业人才承担着网络空间安全领域基础理论研究、前沿技术探索和关键技术研究的重任，必须具备深厚的学术素养和扎实的科研能力，熟练掌握密码学、安全协议分析、机器学习安全、区块链安全、隐私计算、安全人工智能等领域的最新理论成果。需要具备前沿的科研能力，能够准确把握网络安全领域的热点及难点问题，提出创新性的解决方案并产出高水平的研究成果。需要扎实的编程和数学基础，具备较强的跨学科视野和跨领域整合能力，善于从数学、计算机科学、人工智能、通信技术等跨学科融合的角度审视网络安全问题。需要掌握科学的研究方法论，具有严谨的实验设计和研究论文写作能力，能够在权威的国际会议和顶级期刊上持续发表高质量的科研成果，并具备一定的学术交流与合作能力。此外，研究型人才还应注重科研成果转化为实际应用的可行性，具备推动成果产业化的意识和能力，确保理论研究成果与实际需求紧密结合，真正提高网络安全整体水平。
（四）交叉型专业人才能力要求
随着网络空间与物理空间的深度融合，交叉型专业人才已成为当前亟需的一类特殊人才。这类人才需要掌握跨领域的综合知识和技能，具备将网络安全知识与其他领域知识进行融合的能力。他们不仅要有扎实的网络安全基础知识和实践能力，还要掌握金融、电信、能源、交通、工业制造、医疗健康、教育、法律、外交等特定行业的业务逻辑、运作流程和特殊安全需求。需要能够敏锐地识别和解决跨领域交织问题，准确把握行业特点，提出行业定制化的安全解决方案。此外，还应掌握数据分析、业务建模等技术，具备跨行业威胁情报分析能力，从更宏观的层面分析行业网络安全风险趋势，并及时提出策略建议。该类人才的培养强调跨专业、跨学科教育的融合，以系统的培养模式使其具有开阔的视野、全面的认知和精准的应用能力。
（五）领导型专业人才能力要求
领导型专业人才处在网络安全领域战略决策、统筹管理和资源配置的关键岗位，肩负战略规划、体系建设、政策制定和团队管理等重任，必须具有广阔的行业视野，对网络安全领域的技术发展趋势和战略风险形势有敏锐的感知力，具备前瞻性的战略思维能力。需要有扎实的安全技术功底，确保对网络安全技术趋势、政策法规、行业动态有足够的敏感度。需要具备优秀的领导和管理能力，善于激发团队活力，能够高效管理和协调技术、标准、科研、实战等不同人才团队之间的协同，推动形成整体合力。需要具备优秀的沟通表达能力，能够与企业高管、政府部门、外部专家、监管部门进行有效的沟通、协调和配合，妥善处理危机公关和敏感问题。其中，战略规划、风险管理、政策制定、预算管理和人才培养尤为关键。需要具备高度的责任感和职业道德，善于把网络安全工作放在国家安全和社会发展的总体考虑中，合理配置网络安全资源和政策引导。同时，需要高度重视人才培养体系建设，推动网络安全学院和培训体系的持续优化，保障人才队伍的稳定输出，满足社会和国家对网络安全人才的战略需求。
三、网络安全专业人才评价体系建构
目前，网络安全就业方向广泛，技术深度对不同职业选择有着重要影响，采用单一的网络安全人才评价模型既片面又不可取。因此，在构建宏观网络安全素养评价体系的同时，应针对不同职业方向设计专业的网络安全评价体系，才能实现全方位的网络安全人才评价体系。下图展示了从网络安全素养评价和专业人才评价两个方面构建的网络安全专业人才评价体系。
（一）网络安全素养评价体系
网络安全素养评价体系是指适用于各类网络安全从业人员的基本能力素质评价框架，体现网络安全从业人员应具备的基本素质、核心能力和通用技能，具有较高的普适性和通用性。
图 网络安全专业人才评价体系
一是明确基本职业素质，包括职业道德、法律意识和人文素养。评价应考察从业人员对国家《网络安全法》《数据安全法》《个人信息保护法》等法律法规的理解、遵守和实践情况，强调法律意识和道德责任感，衡量其对网络安全的职业道德和社会责任水平。同时，还应对从业人员人文素养进行评价，包括保密意识、数据伦理、团队协作意识和自学能力等，确保人才具有全面扎实的职业道德底线和社会责任意识。
二是设置核心技术能力普适性指标。考核网络安全基础知识与技能，包括对网络安全原理、安全架构、防护机制和安全策略制定的理解，对密码学、网络协议分析、攻防基本技能、漏洞识别与处置能力等基础安全技术的掌握。同时，强调终身学习和不断自我更新的能力，确保从业人员在网络安全技术快速更新的环境始终具备一定的应变能力和学习能力。
三是考核应急响应和问题处理能力。考察从业人员面对安全事件的响应速度、分析判断能力、处置技能和事后总结优化能力。该指标体现从业人员面对突发事件的应变能力、灵活性和实战能力，确保能及时有效地应对和处理网络安全事件。
四是评价网络安全意识和总体观念。明确要求从业人员掌握网络安全风险意识、数据安全与隐私保护观念，并具备总体观念，了解全球网络安全发展形势和技术趋势，具有开放的国际视野，能正确分析和评价复杂环境的安全风险。
五是评价综合能力和沟通协调能力。考察语言表达能力、文档写作能力、跨部门沟通能力、对外联络与合作能力等。该指标体现从业人员在团队协作、跨领域协调等方面的综合素质，有利于提升人才在复杂业务环境的适应能力，进一步拓宽职业发展路径。
（二）专业化网络安全人才评价体系
一是实战网络安全人才评价体系强调一线实战技能和现场处置能力。首先，以攻防技术能力为核心，具体考察渗透测试、漏洞挖掘与利用、逆向工程、恶意代码分析、网络流量分析等实战操作技能的掌握情况。设置专业工具掌握维度，考核对Burp Suite、Metasploit、Wireshark、IDA、Ghidra等工具的掌握和使用熟练程度，将实战攻防经验（如红蓝对抗经验、应急响应经验、比赛经验）作为加分项。其次，关注应急响应速度和准确度，模拟攻击事件处理和安全事件响应，考核实战人才面对突发事件的响应效率和分析准确度。同时，强调知识更新能力，考核是否关注最新安全形势、及时更新技能、有效融入实战。最后，团队协作能力、沟通能力和抗压能力也是重要的考核指标，确保人才能适应现实中高强度、高压力、多角色协作的安全攻防工作场景，促进其更高效、精准地完成实战任务。
二是标准化人才评价体系强调制定和实施网络安全标准的能力。首先，考察对国际国内网络安全标准（如ISO27001、等级保护制度等）的理解和掌握。其次，考察构建网络安全管理体系的能力，包括制定和实施网络安全标准、规范和流程的能力，以及审查政策和制度合规性的能力。在评价过程中，还应考虑标准实施的效果评价，考察是否能将标准有效转化为落地的安全防护策略，并考察其培训和沟通能力，评价人员是否能组织实施标准化培训，提高组织整体的安全意识。最后，沟通协调能力和跨部门推进能力是考核重点，确保标准实施过程中能协调多部门合作，形成整体的安全合作和标准化保障能力。
三是科研人才考核重在科研创新能力。首先，考察学术研究和理论创新水平，考核是否掌握前沿网络安全理论和技术（如人工智能安全、隐私保护、密码学创新），能提出创新性的解决方案并开展技术研究。其次，考核科研成果转化应用能力，考察科研成果是否形成实际应用和实际落地效果。再次，强调科研论文的发表和影响力，考核是否在顶级学术期刊或会议上发表高质量论文，同时强调科研方法论的掌握和实验能力，确保研究的严谨性和可信度。最后，考察跨学科知识整合与协作能力，是否具备多领域知识整合能力，能否开展跨学科融合研究。
四是跨领域人才评价强调跨领域知识整合与综合应用能力。首先，评价人才是否具备跨领域能力，能否将网络安全与具体行业（金融、电信、工业、能源、人工智能）的业务逻辑和技术体系相结合。其次，考察人才对跨行业网络安全风险的识别和评价能力，判断其是否能有效分析复杂环境下的业务和安全需求；评估其创新方案设计能力，是否能提出平衡业务发展和安全需求的创新方案；还看重跨团队沟通和工作能力，确保人才能有效协调业务和安全部门。最后，评估其知识整合和快速学习能力，适应不断变化的技术和业务环境。
五是领导力人才评价强调战略思维和团队领导力。首先，评估战略决策和规划能力，考察其对网络安全行业趋势和风险形势的敏感度，提出高效的安全战略规划和资源整合能力。其次，考核团队管理能力，包括团队建设、人才培养、激励机制建设能力。再次，考核政策制定和风险管控能力，分析综合保障政策体系的能力。沟通协调和危机应对能力也至关重要，要求领导型人才在突发事件和危机事件中能够高效协调各部门的快速反应。最后，强调人才的国际视野和大局观，确保具有全球战略视野和综合领导素质。
四、网络安全人才评价体系的未来展望
未来五年，网络安全人才评价体系将朝着“智能化、场景化、标准化”方向快速发展。在智能化方面，人工智能自动化平台通过靶场、攻防模拟等方式实时捕捉能力特征，构建个性化能力画像，预测潜力；在场景化方面，高度模拟特定行业安全环境，如金融APT防御、工控系统等，模拟威胁，提升评价的精准度和有效性；在标准化方面，国际统一的认证框架和微证书体系已经出现，职业道德被纳入评价，产教深度融合，实现人才培养、评价、就业的闭环融合。【本文系2024年北京高等教育本科教学改革创新项目、北京邮电大学2024年本科教育教学改革项目重点项目（2024ZD19）阶段成果】
（本文刊登于《中国信息安全》杂志2025年第2期）
声明：本文来自中国信息安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
