农信系统网络安全人才建设探索实践
近年来,金融科技以迅猛态势重塑金融行业生态.在金融业务对科技依赖度越来越高的同时,金融业面临的网络安全风险也日益增多,这迫切需要打造一支强有力的网络安全人才队伍.
  相较于国有大行和股份制银行,农信机构规模普遍较小,人才建设尤其是科技人才建设较薄弱,金融科技发展及网络安全建设面临着较大压力.目前,网络安全领域面临人才短缺现状.在总体网络安全人才稀缺的背景下,面对大型银行的"虹吸效应",农村中小金融机构如何能够吸引满足自身发展的人才,破解人才稀缺和培养难的瓶颈,是急需解决的难题之一.农信银资金清算中心(以下简称农信银)以全国农信机构为整体,通过调查初步厘清农信机构网络安全人才队伍建设的基本情况,分析探索农信机构网络安全人才建设途径.
  网络安全人才建设现状
  农信银面向全国省级农信机构及网络安全岗位员工开展调研,内容涉及网络安全人才队伍现状,人才需求,培养体系等.22家省级农信机构,554名员工参与调研.总体来看,农信机构普遍高度重视网络安全工作,结合自身发展特色和战略转型需要,加强网络安全人才队伍建设,从政策,人力,资金投入等方面给予全面的支持和保障,具备常态化,多样化的网络安全培训机制.网络安全人员岗位设置全面,匹配度较高,人员趋于年轻化和专业化.绝大多数农信机构网络安全人员流入数量大于流出数量,人员都具有网络安全相关工作经验,有相当比例的员工具有5年以上工作经验.
  人员配置情况.各机构均设置了相应的网络安全岗位及人员.广东省联社,黑龙江省联社,浙江省联社,山东省联社,江苏省联社5家机构网络安全人员总数超过100人.17家农信机构为其辖属机构配置了网络安全人员,数量从几人至200余人不等.9家机构认为当前网络安全从业人数基本满足需求.
  岗位设置情况.绝大多数农信机构设置了安全规划与架构设计,安全测试与评估,内容安全管控与安全审计等岗位及人员,少部分机构设置了安全产品与服务供给,安全标准与研究岗位及人员.大部分农信机构表示对网络安全运维工程师,安全架构工程师,渗透测试工程师的岗位需求较迫切(见图1),渴求具有Web安全,安全运维,漏洞挖掘与利用等方面知识技能的人才(见图2).
  人员构成情况.从人员结构分布来看,25-35岁的网络安全人员占比较高,为57.7%.各机构网络安全人员的教育经历基本为大学本科或硕士研究生,本科学历人员占比为60.1%,硕士研究生学历人员占比为35.9%.在网络安全人员中,拥有初,中,高级职称的占比达84.5%,中级职称人员占比最高,达40.9%.
  人才培养现状.54.5%的农信机构认为,网络安全岗位对工作经验要求较高,应届毕业生胜任工作岗位至少需要2年以上.大多数农信机构都非常重视对网络安全人员的培训,63.6%的机构经常或定期组织网络安全技能与岗位培训.考虑到技术发展,网络安全威胁和业务开展情况等因素,63.6%的农信机构计划增加培训频次.
  竞赛促进网络安全人才培养.自2019年起,农信银连续4年组织举办农信系统网络安全人员培训与竞赛,推动农信机构网络安全人才队伍建设.
  2019年为首次开展农信系统网络安全人员培训与竞赛,沿用传统竞赛即CTF(Capture the Flag)解题夺旗和AWD(Attack With Defence)攻防对抗模式.CTF模式具备较好的人员筛选特性,AWD则具备较强的对抗性,竞赛活动发掘了一批网络安全基础较为优秀的人员.
  2020年,培训与竞赛进一步"农信化".农信银尝试探索农信业务特点和竞赛的有机结合,推出城市守卫战,将金融领域相关业务系统用于赛题设置,并将原有AWD中按轮次得分的模式优化为对各系统的控制时长得分,该赛制下关注攻防渗透能力,增加了对漏洞的修补能力.
  2021年,农信银多次组织线上积分赛,围绕日常工作,将积分赛主题设定为CTF夺旗赛,应急响应赛,靶场综合渗透赛,体现了竞赛模式逐步实战化的导向.2021年总决赛创新采用攻防一体的Break&Fix人机攻防模式开展,弱化竞赛技巧带来的优势,更加专注于人员本身的能力.
  2022年,农信银推出以业务安全和数据安全为主题的竞赛,决赛分别设置业务安全风险评估和数据安全风险处置两个阶段,近乎真实地将农信业务系统中各类出现过的安全风险进行仿真用于竞赛.业务安全风险评估重点考察实际环境中单点业务逻辑风险和整体场景化靶场的综合安全风险评估能力.数据安全风险处置则侧重于针对各类数据安全事件的应急处置能力的考察.
  4年来,农信机构参赛队伍数量和人员逐年大幅增长.2022年,来自全国农信机构的274支战队,798名选手报名参赛(见图3).培训与竞赛有效激发了全国农信机构科技人员学习应用网络安全技术的积极性,农信机构成功发现和挖掘了一批技术能手.
  网络安全人才建设探索
  网络安全人才建设是一个长期性,战略性的工作,当前农信机构还存在着高端人才缺乏认定标准,晋升通道不明晰,人员流动性强等问题,仅通过理论培训及专业认证方式培养人才,难以有效提升实战能力.需要规划针对业务安全需求和岗位实际需要的网络安全人才发展路径,通过竞赛,攻防演练等训练强化从业人员岗位实操技能,全面提升网络安全人才综合实战能力和岗位任职能力.
  一是基于实训平台的理论与实践学习.网络与信息安全实训平台打造近似于实战的网络运维与安全环境,开展网络运维与安全培训,综合演练,技能鉴定等活动,进一步提升从业人员应对网络攻击的应急响应技能经验和防护能力.平台能够满足不同人群的学习需求,为从业人员提供不同的学习路径.例如,针对动手能力强的从业人员,偏重于学习渗透技术,移动设备逆向等安全研究或web应用安全,大数据安全,物联网安全等安全设备的研发工作.针对企业用户,偏重于企业安全管理与网络安全法的学习.
  二是基于竞赛活动的能力培养与人才选拔.网络安全竞赛紧跟技术热点,贴近网络实战,是对参赛人员的技术,战略,心理素质,团队协作等各方面的综合考量.由于大多数网络安全竞赛是团队作战,因此,竞赛本身就是对一个团队极佳的训练和锻造平台.
  三是基于攻防演练的综合能力塑造.网络安全攻防演练更贴合金融机构面临的真实网络威胁,全面检验金融机构网络安全工作整体情况,采用模拟黑客攻击的方式,对机构的网络平台和信息系统进行全方位渗透测试,以发现可导致数据泄露,系统篡改等漏洞为目标,帮助机构在网络空间提早发现安全隐患.我国网络安全攻防演练主要模拟遭受网络攻击时的灾难恢复,通过无脚本攻防对抗更加趋于实战化,全面检验金融机构网络安全防护措施和网络安全保障专业人才队伍情况.
  打造网络安全领域专业型,创新型,复合型人才
  作为农村金融的主力军,农信机构应紧跟时代趋势,结合自身业务发展,科技建设等实际情况,深入分析网络安全工作需求,围绕需求设置网络安全岗位,并研究制定人才建设的总体规划及配套措施,培养适用岗位能力的网络安全人才专业队伍.
  围绕结构优化,实施岗位人才塑造.统筹建立横向分类,纵向分级的多层次,立体化网络安全人才精细化培养体系.将农信机构网络安全岗位划分为不同专业领域对应的能力项,制定每个能力项对应的未来2-3年业务发展所需的能力标准,搭建形成完整的能力图谱,指导安全人才发展和培养方向.例如,基础网络运维人员需要加强网络安全应用能力的培养,需要熟知如何应用网络安全设备,如何通过抓取流量数据包分析异常行为.开发岗位人员要在项目开发前,通过培训乃至竞赛等形式,加强安全开发能力.业务岗位人员要了解攻防,了解如果不做安全防护和配置,别人可以通过什么技术和工具对业务造成什么样的危害等.
  围绕能力提升,实施岗位能力培养.充分利用远程学习和网络安全实训基地,搭建网络安全知识体系.内部依托网络学习,集中面授等方式,普及专业知识;外部依托专业机构开展结构化,标准化培训以及CISP等专业认证.同时,利用网络安全实训基地,模拟网络真实环境搭建演练靶场,组织攻防实操演练,安全技能竞赛.农信银将结合自身实际,发挥平台作用,促进农信系统网络安全工作整体提升.
  多措并举搭建网络安全人才培养平台.定期组织专项及专业认证培训,座谈交流,竞赛,通过攻击,情景式防护,红蓝对抗等多样化竞赛,提升安全技术人员实战能力.建设集创新,数据,技术,服务于一体的共享威胁情报平台,将共享威胁情报平台中沉淀下来的漏洞检测,安全扫描,代码审计等实践场景应用到人才培养模式上,塑造出不同类型的网络安全人才.在条件许可的情况下,建设依托共享网络靶场的网络安全人才实训基地,支持农信机构创新型,技能型,实战型网络安全人才培养.
  (作者来自农信银资金清算中心)