杜躍進：破解信息安全人才三難題

杜躍進 國家網絡信息安全技術研究所所長

大約六七年前，杜躍進就深感國內懂得安全編程的軟件開發人員欠缺，因而鼓動出版界、教育界重視安全編程能力的宣傳和培養。就在不久前，杜躍進剛剛跟一些國內的安全公司以及高校的信息安全專業研討座談，提出以民間力量推動和建立與市場需求接軌的信息安全人才培養機制。具體想法是：安全企業和高校信息安全專業各自形成聯合體，企業通過聯合體向高校以及學生表達自己的人才需求、能夠提供怎樣的實習環境、對實習生的基本技能和實習時間要求等，而高校方通過聯合體向企業方提供自己的學生情況、實習意愿等信息，雙方通過緊密的溝通與合作，使高校能夠更高效更精準地輸送大量實習生到企業，從而促進信息安全人才動手能力的培養。

在兩年前面向全國信息安全專業教育機構的一次報告中，杜躍進闡述了對于信息安全人才現狀的不安：你們從哪里了解真實的網絡安全現狀和需求？從哪里了解最新的攻防對抗技術和技巧？從哪里了解各種相互關聯的現實系統所使用的實際技術、配置策略，以及面臨的實際風險？從哪里獲得反映真實情況的研究實驗環境和數據資源？他進而認為，高校人才培養，目前缺乏與實際的結合，而社會人才培養，缺乏生存環境。

兩年后，談到信息安全專業的人才培養，杜躍進仍然認為，目前高校所培養的畢業生確實在企業或其他用戶單位中很難上手。其主要原因在于課程設置的不合理。一方面，信息安全專業是一門極其強調動手與實踐能力的學科，需要良好的實驗環境和動手環節。在課程設置中，實戰性課程應占較大比例。另一方面，對于如此具有實戰性的課程而言，實踐型的教師必不可少，從而使產業動態與學科建設緊密耦合。不過讓人著急的是，目前看來，高校的課程設置不符合社會上的實際要求，在實踐環節普遍比較弱，此外，教課的很多老師自身也缺乏實際的動手經驗和對產業的深入了解，這導致整個人才隊伍的培養與產業界所需存在一定差別。

杜躍進認為，解決辦法有幾個。首先，課程設置要改變，盡管這一點很難，但是必須去做。信息安全行業是一種技術和趨勢變化非常快的學科，課程設置中要適應這種快節奏，迅速地對新技術做出反饋。

其次，安全專業應當成為一級學科，“如同許多其他學科一樣，成為一級學科，然后在其中分支出諸如漏洞發現、密碼學等。”

那么，如何建立起人才培養的可持續發展道路？杜躍進認為，學校要和企業建立一對一的合作關系，企業把需求告訴高校，高校在授課的時候有的放矢，另外要把高校和企業以一種合理成系統的方式組織起來，實現人才點對點的對接。

杜躍進提出，目前國內對信息安全人才的缺口非常大。“很多優秀人才都出國了。究其原因在于，國內安全產業整體環境不成熟，包括企業以及個人對安全實際上都沒有達到一種真正的重視，所以安全企業比起其他互聯網企業在生存上處于弱勢。”

杜躍進指出，在國外，安全公司活得很好，因為企業都很重視安全問題，一旦發生諸如數據泄漏被盜對于公司來說是致命一擊，要付出高昂代價，但在國內，安全企業面臨著一種比較窘迫的境況。由于關于企業網絡安全的法律缺失，所以客戶也不愿意過多投入。

此外，信息安全行業很多高手在民間，如何從民間尋找到人才并且將之很好地引導也是一個很重要的話題。

“信息安全人才有三個問題：發現人才，培養人才，使用人才。目前，在這幾個方面做得都很不夠。”

對于發現人才這個環節，目前也有不少做法。比如國外的黑帽大會，每年來自全球的黑客匯聚其中，成為安全界的盛會和人才發現之地。