美國網絡安全產業(yè)人才培養(yǎng)的標準化趨勢
——《網絡安全人力框架》解析

（61646部隊工程師）

編者按：2017年8月，美國商務部國家標準與技術研究院（NIST）發(fā)布了《國家網絡安全教育計劃—網絡安全人力框架》。該框架作為美國網絡安全產業(yè)人才發(fā)展的標準文件，反映出美國網絡安全關鍵性的人才分類標準基本完成，人才培養(yǎng)從“規(guī)?；鞭D向“多樣化、標準化和可持續(xù)化”的發(fā)展格局初步成型，正在形成一個穩(wěn)定的人才培養(yǎng)生態(tài)體系，有助于持續(xù)提升美國網絡空間戰(zhàn)略競爭力。這對于我們推進國內網絡安全人才體系建設具有重要的借鑒意義。

1.美《網絡安全人力框架》基本情況

1.1 服務對象涵蓋廣泛

美國《國家網絡安全教育計劃—網絡安全人力框架》（簡稱《NICE框架》）提出“網絡安全人力”包括所有能對組織機構保護其數據、系統(tǒng)和業(yè)務的能力產生影響的人員。[3]從人員類別來看，該框架服務對象非常廣泛，既包括從事網絡安全的專業(yè)人員，也包括其他與網絡安全相關的從業(yè)人員，如企業(yè)雇主、求職者、在崗工作人員、教育和培訓人員以及技術供應商等?！禢ICE框架》為社會上的各類組織機構和人員提供了一個統(tǒng)一的網絡安全工作分類和描述的參考標準，所有參考《NICE框架》的用戶能夠根據自身需求靈活開展網絡安全人才相關工作，將大幅提升網絡安全人才甄別、招募、培訓以及需求規(guī)劃和發(fā)展的有效性。

1.2 標準結構專業(yè)細致

《NICE框架》對網絡安全人才的類別和能力標準進行了詳細而專業(yè)的劃分，以適應不同層次和不同崗位人員的需求。整個框架標準結構由7個部分組成，即工作類別、專業(yè)領域、工作角色、任務以及所需的知識、技能和能力，它們之間的關系層層遞進。具體而言，框架定義了7種工作類別、33個專業(yè)領域、52個工作角色。此外，NICE框架還列出了共1007項與工作角色相對應的“任務”、630項從事網絡安全工作所需的“知識”、374項“技能”和176項“能力”。其中工作類別是總體劃分，每個類別由多個專業(yè)領域組成，每個專業(yè)領域又包含一個或多個工作角色，每個工作角色包含需完成的工作任務以及完成工作任務所需的多個知識、技能和能力?？梢哉f，這個龐大的框架體系幾乎涵蓋了當前網絡安全工作的各個方面。

1.3 框架使用關聯(lián)配套

《NICE框架》關聯(lián)性和適用性很強，有關組織部門可以利用其開發(fā)或者衍生出其他專門領域的網絡安全框架，為形成統(tǒng)一的多類型、多領域、多行業(yè)網絡安全人才培養(yǎng)指導性文件奠定基礎。如，NIST的《改進關鍵基礎設施網絡安全框架》基本采用了《NICE框架》的類別和標準劃分；美國土安全部“網絡安全人力發(fā)展工具包”采用了NICE框架中的專業(yè)領域、任務以及知識、技能和能力（KSA）等。2017年1月4日，美國人事管理局（OPM）發(fā)布了一份有關信息技術和網絡安全職位的備忘錄，要求OPM執(zhí)行《NICE框架》的標準，以確定信息技術、網絡安全或其他網絡相關功能的所有聯(lián)邦文職職位。

2.主要特點

2.1 以提升未來網絡競爭力優(yōu)勢為核心目的

《NICE框架》開篇強調了發(fā)布文件的目的，即要致力于培養(yǎng)具有全球競爭力的綜合網絡安全人才隊伍，為保護美國免受現有和新興的網絡安全挑戰(zhàn)做好準備。文件認為，由于利用美國網絡基礎設施漏洞的威脅在不斷地發(fā)展和演變，一個綜合的網絡安全產業(yè)人才隊伍必須能夠設計、開發(fā)、實施和維護防御性進攻性網絡戰(zhàn)略。因此，美國實行全國網絡安全教育計劃（NICE）,希望通過促進政府、學術界和私營部門之間的合作，推動在全國范圍采取舉措以增加擁有相應知識、技能和能力的人才數量，激勵建立網絡安全教育、培訓和人才發(fā)展的強大網絡生態(tài)系統(tǒng)，促進變革和創(chuàng)新，提供領導力和愿景，保持美國國家安全和經濟競爭力。 NICE計劃覆蓋了全美普通公眾、在校學生、網絡安全專業(yè)人員等群體，調動了網絡安全人才生態(tài)中的各種角色和資源，取得了良好的成果。[2]

2.2 以政府統(tǒng)籌、部門聯(lián)合為長期推進手段

美國將網絡安全人才培養(yǎng)作為長期戰(zhàn)略加以落實，早于2010年4月就啟動“國家網絡安全教育計劃”（NICE），其初衷是統(tǒng)籌協(xié)調政、產、學、研各利益相關方，全盤布局、加強協(xié)調，實現網絡安全人才工作的有序推進。該計劃由美國商務部國家標準與技術研究院（NIST）牽頭，國土安全部（DHS）、國防部（DOD）、教育部（DoED）等十余個部門共同參與、各司其職。實施7年來， DHS主責編制的國家網絡安全人力框架已成為國家網絡安全人才標準（SP 800-181）。第一個NICE框架于2012年9月公開征詢意見，并于2013年4月作為國家網絡安全人力框架1.0版發(fā)布，2.0版于2014年4月發(fā)布，目前新一版《NCWF框架》）最終版草案也于2017年8月公布。[3]

2.3 以標準化、體系化為可持續(xù)化發(fā)展思路

網絡安全工作覆蓋多種不同的技能和角色，據美國人事管理辦公室（OPM）評估，美聯(lián)邦政府內的網絡安全工作涉及100多個聯(lián)邦崗位序列。沒有統(tǒng)一的定義和標準化的崗位能力規(guī)范，就難以對網絡安全人才隊伍數量、質量以及能力缺口進行評估。因此，美NICE計劃將編制“國家網絡安全人力框架”作為一項重要的基礎性工作，其基本思路在于以統(tǒng)一的標準貫穿人才培養(yǎng)、管理、使用和評價等各大環(huán)節(jié)，以不同的人才分類施策適用不同的教育培訓內容和評價管理方式。通過人力框架標準，美國網絡安全人才隊伍建設生態(tài)中的各項主要工作以及各利益相關方都緊密聯(lián)系在一起。此外，網絡安全人才的各類供需配套措施以及網絡安全競賽都在尋求與人力框架兼容匹配，以提升效率和加強協(xié)調。[2]

3.對我啟示

近年來，中國國內已認識到網絡安全人才嚴重不足的問題，政府、學術界和行業(yè)均在積極探索網絡安全人才的教育、培養(yǎng)和培訓機制?！毒W絡安全法》規(guī)定，國家支持企業(yè)和高等學校、職業(yè)學校等教育培訓機構開展網絡安全相關教育與培訓，采取多種方式培養(yǎng)網絡安全人才，促進網絡安全人才交流；關鍵信息基礎設施的運營者應設置專門安全管理機構和安全管理負責人，定期對從業(yè)人員進行網絡安全教育、技術培訓和技能考核。《國家網絡空間安全戰(zhàn)略》也指出，要實施網絡安全人才工程，加強網絡安全學科專業(yè)建設，打造一流網絡安全學院和創(chuàng)新園區(qū)，形成有利于人才培養(yǎng)和創(chuàng)新創(chuàng)業(yè)的生態(tài)環(huán)境。[5]在這種大背景下，借鑒美國《NICE框架》，對于從體系發(fā)展角度設計中國網絡安全人才標準結構，整體推動中國網絡安全人才發(fā)展戰(zhàn)略具有重要的牽引和指導作用。

3.1 加快標準建設，構建中國網絡安全人才框架

美國《NICE框架》的建立依托于多個政府部門和機構、私營部門以及學術界對網絡安全市場的廣泛了解，經過多年的不斷修訂和完善，已經形成比較科學、完備和有價值的人才標準體系。當前，中國國內應以落實《國家網絡空間安全戰(zhàn)略》和《網絡安全法》對網絡安全人才培養(yǎng)的要求為抓手，參考美國《NICE框架》做法，充分認識網絡安全崗位分類規(guī)范及能力標準的基礎性作用，結合中國網絡安全產業(yè)和人才發(fā)展現狀，研究中國從事網絡安全工作應具備的技能和學術素養(yǎng)，加快推進網絡安全人才標準體系的研究和編制工作[2]，盡快構建中國網絡安全人才培養(yǎng)的標準文件，實現對網絡安全人才的分類施策，并將其作為教育、培訓、評價和管理的基本參照依據。

3.2 借鑒國外標準，推動國內網絡安全學科建設

2017年8月8日，網信辦和教育部向各大高校印發(fā)《一流網絡安全學院建設示范項目管理辦法》，提出經過十年努力，形成4-6所國內公認、國際上具有影響力和知名度的網絡安全學院。而目前美國《NICE框架》的人才標準劃分已經趨于成熟，列舉了詳細的實際網絡安全工作領域和崗位應具備的知識、技能和能力。為此，在推動國內高校網絡安全學院建設的過程中，可以積極借鑒國外現有標準成果，以NICE框架為重要參考進行學科、專業(yè)和課程設置，針對性培養(yǎng)能夠適應社會需求、多向全面、結構合理的人才隊伍。

3.3 政府統(tǒng)籌主導，制定多領域網絡安全人才培養(yǎng)指導文件

網絡安全人才覆蓋領域廣、涉及行業(yè)眾多，為避免多領域、多部門網絡安全人才培養(yǎng)標準交叉矛盾、不相統(tǒng)一，應充分發(fā)揮政府部門的主導作用，積極與高等院校和私營企業(yè)開展有效合作，基于具體實際情況開展多領域網絡安全人才培養(yǎng)戰(zhàn)略文件的起草工作，以應對解決人才發(fā)展的差異性問題，使網絡安全人才框架真正成為社會各層面網絡安全人才隊伍建設的實用手冊。同時，通過各類行政和立法手段制定并落實專門的網絡安全人才隊伍培養(yǎng)方案，把有關人才標準要求貫徹進去，持續(xù)推動網絡安全從業(yè)人員隊伍標準化、體系化發(fā)展。