研究报告
重塑网络安全人才模式，培育内生韧性
10分钟阅读
2026/06/02
概述
- 59% 的开放网络安全职位需要兼具技术和战略技能，但只有 40% 的网络安全人才符合这一标准。
- 由此可见，复杂需求、组织投入不足、外部压力共同造成了能力失衡。
- 企业领导者可从三方面入手：内部培养人才、重塑职业发展路径、增强人才能力，从而逐步夯实网络安全能力。
网络安全人才面临结构性压力
网络安全已由一项专门的 IT 职能发展成为企业韧性的核心驱动力。但相应的人才模式却未能同步演进。纵览全球网络安全职位，近一半仍然空缺，导致这一现象的原因不仅在于有限的专业人员数量。问题症结是：他们是否完美兼具技术深度和商业头脑，有能力在企业层面开展工作。
通过对逾 55 万个网络安全职位发布和专业资料的分析，埃森哲揭示了现代网络安全需求与劳动力市场供应之间的结构性不匹配。
通过深入分析这一人才缺口，我们识别出两大截然不同的网络安全人才类型：
| 统筹者 | 执行者 | |
|---|---|---|
| 定义 | 全面结合技术深度与商业头脑、战略领导力与软技能 | 主要执行技术安全任务和控制措施 |
| 企业角色 | 将风险转化为决策；将安全性融入变革；促进跨职能协作 | 实施控制，监控威胁，操作系统 |
如今，企业需要更多“统筹者”，但劳动力市场持续输送的却更多是“执行者”。由此形成的人才队伍擅长操作工具，却无力引领企业提升韧性。无论雇用多少执行者，都没法弥补这一差距。
网络安全人才缺口不断扩大
三种相互关联的力量互相拉扯，形成了一个恶性循环，导致网络能力的损耗速度远超组织的重建速度
需求愈发复杂
网络安全岗位不断发展，对人才的要求在三个关键维度上持续提升：拥有深厚的网络安全技术专长、高度的战略领导力，具备能应对整个企业问题的软技能，掌握与 AI 等前沿技术紧密相关的专业技能。
劳动力市场数据显示，劳动力档案未反映出这种需求模式。以网络安全工程师为例，从业人员画像显示，具备深厚网络安全技术专长和领导能力的人才占比低于招聘岗位的要求。
AI 相关网络安全技能加剧了未来面临的挑战。 自 2020 年以来，对这些技能的需求增加了一倍以上（2.5 倍），但劳动力能力的增长速度并未紧跟步伐。随着 AI 的大规模应用，组织需要在内部主动培养这些技能。
还有一个明显问题：网络安全职位仅占所有 IT 招聘岗位的 3.5%，同时，这一职业所获得的品牌塑造、推广和公众叙事也十分有限。为争夺这一小部分人才，竞争异常激烈。
组织投入不足
当组织始终难以培养和留住人才时，招聘固然不是解决办法。极大的运营压力、有限的职业发展机会、狭窄的学习路径令许多网络安全专家在专业技能成熟之前，就选择了离职。
1.8 年
是当下网络安全专业人士的平均任期，较 2005 年至 2015 年的 3.3 年有所下降。
< 30%
的组织投资结构化技能提升方案。 1
49%
的组织认为人才短缺对其网络安全职能影响甚重。 2
高等教育体系也难以跟上不断变化的技能需求。通过评估 24 个国家的 100 所大学的网络安全项目，我们发现各领域都存在持续的差距，例如网络法律、风险管理、企业架构、高管沟通等；这些能力现在正是雇主最亟需的。
外部压力
如今，威胁行为者的攻击手段数周内便会迭代。人才渠道的适应速度明显落后于能力要求的增长速度。与此同时，网络安全职能越来越需要为全体员工的网络安全素养负责，但企业层面对人为风险的管理依然不足。监管问责正逐步转向由网络安全负责人个人承担，这既对其法律素养提出了更高要求，也让出任此类职位的个人承担了更大的风险。
87%
的领导者将 AI 相关漏洞视为增速最快的网络风险。 3
94%
的领导者预计 AI 将是未来一年网络安全变革的最重要推动力。 4
仅有 18%
的组织提供针对特定岗位的网络意识培训计划。 5
为何当今的网络安全人才模式已不再奏效
多年来，组织通过添加工具、控件、专家来应对不断增多的威胁，他们认为劳动力市场可以提供组织缺少的技能。 但此模式现在失效了，事件后响应模式揭示了原因。
发生网络事件时，组织的响应是可预测的：重组团队、扩大预算、任命新领导、投资新工具能在短期内稳定组织。但真正从根本上重塑网络安全人才招聘、入职、培养和配置方式，并将其嵌入业务各领域的组织，少之又少。
如果不重新设计岗位、技能和运营模式，事件发生后的应对措施便只会着眼于技术优化，而忽视人才建设，未来的人才缺口也将继续扩大。
依靠三项举措弥补网络人才缺口
要弥合这一缺口，必须从结构上重塑能力建设与工作组建方式，让人员的专业能力能够规模化发挥作用。三项举措齐头并进，使组织能够在人才市场持续短缺的情况下建立可持续的网络能力。
01
举措一：构建内部能力，并培育支撑其持续发展的文化
企业需要的这类复合型人才，外部市场的供给远远跟不上需求。领导者必须立足内部培养具备“统筹者”能力的人才，并营造让专业能力持续沉淀、而非随人员频繁流动而流失的文化。
行动建议
- 制定多年期人才培养路径，让人才在云、身份管理、数据治理和企业风险等领域轮岗历练。
- 拓宽人才入口，引导应用开发、审计、分析和风险等相邻领域的人才转入网络安全岗位。
- 与人力资源部门合作，将网络安全职能重新定位为人才引擎，并让培养计划遵循成人学习和持续保持绩效的规律。
- 促进人才成长与留任，将员工福祉、工作负荷透明度和共同问责纳入人才体系的基础设计，而非视为附带福利。
- 加大对包括安全架构师在内的整合型岗位的投入，以减少工具割裂，并在云、身份、数据、应用与 AI 之间形成有效衔接。
02
举措二：重新设计岗位，规划职业生涯
网络安全已成为贯穿企业各领域的横向能力，但其岗位架构仍困于单一的纵向晋升阶梯。职业发展一旦触及天花板，专业人才便会选择离开，其经验也随之流失。“统筹者”所需的能力，必须通过岗位设计、职业发展和企业级历练来培养。
行动建议
- 冲破传统的垂直发展，把职业路径拓展到产品安全、AI 治理、云平台和架构等领域，培养具备跨领域技能的复合型人才。
- 通过全公司范围内的领导力发展计划，培养网络安全领导者，助力他们理解与阐述安全在业务价值创造中的作用。
- 将网络安全人才嵌入风险实际产生的环节（如产品开发、变革管理和 IT 运营），使其在具备技术深度的同时，也形成扎实的业务素养。
03
举措三：借助 AI、架构与合作伙伴关系提升人才队伍能力，坚持由人主导
即便重新设计人才队伍，单凭人力也无法应对现代威胁的数量与演变速度。智能增强的目标，是放大人的判断力，而非取代人。
行动建议
- 借助 AI 技术，我们可以自动化处理高频任务，如警报关联、异常检测、错误配置分析、安全代码生成，从而让从业者能够更专注于战略风险决策。
- 通过仿真环境保留基础训练，确保人才在借助自动化的同时，仍能形成扎实的直觉与判断力。
- 将前瞻能力纳入人才战略，构建面向未来的技能组合，并借助生态系统情报持续更新。
- 创建互联互通的安全架构，减少碎片化操作，集成工作流，为人和 AI 提供有效运行所需的统一环境。
- 将长期合作伙伴视为战略能力扩展，与其轮换供应商，不如保护制度性知识。
- 充分利用生态系统情报，增强内部能力，参与结构化的威胁情报共享和跨行业协作，拓展团队的学习广度与前瞻能力。
落实上述各项举措后，企业便不再争抢稀缺的网络安全人才，而是着手自行培养。由此，网络安全职能既能在当下守护企业，也会在未来每次遭遇冲击时变得更加强韧。
参考资料
1.ISACA，《2025 年网络安全状况》，2025 年 9 月 29 日。
2. 埃森哲，《2025 网络韧性现状》，2025 年 6 月 25 日。
3.世界经济论坛，《2026 年全球网络安全展望》，2026 年 1 月 12 日。
4.同上。
5.埃森哲，《2025 网络韧性现状》，2025 年 6 月 25 日。
