歐洲網(wǎng)絡(luò)安全技能框架(ECSF)角色定義

在網(wǎng)絡(luò)安全領(lǐng)域，我們到底需要什么樣的人才角色？為更好地促進行業(yè)的人才培養(yǎng)，歐洲網(wǎng)絡(luò)安全技能框架（ECSF）定義了12個網(wǎng)絡(luò)安全關(guān)鍵角色，并定義了相應(yīng)的任務(wù)，能力，技能和知識，希望網(wǎng)絡(luò)安全行業(yè)達成共識，促進對網(wǎng)絡(luò)安全技能的認可，并為設(shè)計網(wǎng)絡(luò)安全相關(guān)培訓(xùn)計劃提供了支持。

在2022年9月，ENISA網(wǎng)絡(luò)安全技能大會上，歐盟委員會發(fā)布了兩份文檔：角色文件（The ECSF Role profiles document）和用戶手冊(The ECSF user manual document)。本文重點翻譯了角色文件里面十二個角色，以及對應(yīng)的任務(wù)和所需的技能。對我們中國網(wǎng)絡(luò)安全市場有什么作用呢？首先是為組織在搭建網(wǎng)絡(luò)安全方面的角色時提供參考，另外也給網(wǎng)絡(luò)安全能力建設(shè)拓展思路。--編者

一、12個網(wǎng)絡(luò)安全角色清單

二、各角色崗位任務(wù)，關(guān)鍵技能描述

1. 首席信息安全官（CISO）

職位名稱：首席信息安全官（CISO）

工作概要：負責(zé)管理組織的網(wǎng)絡(luò)安全策略及其實施，以確保數(shù)字系統(tǒng)、服務(wù)和資產(chǎn)得到充分的安全保護。

關(guān)鍵技能：

評估并提高組織的網(wǎng)絡(luò)安全狀況

分析和實施網(wǎng)絡(luò)安全政策、認證、標(biāo)準(zhǔn)、方法論及框架

分析并遵守與網(wǎng)絡(luò)安全相關(guān)的法規(guī)和法規(guī)

實施網(wǎng)絡(luò)安全建議和最佳實踐

管理網(wǎng)絡(luò)安全資源

制定、倡導(dǎo)和領(lǐng)導(dǎo)網(wǎng)絡(luò)安全戰(zhàn)略的執(zhí)行

影響組織的網(wǎng)絡(luò)安全文化

設(shè)計、應(yīng)用、監(jiān)測和審查信息安全管理系統(tǒng)（ISMS），直接實施或領(lǐng)導(dǎo)其外包

審查和加強安全文件、報告、服務(wù)等級協(xié)議（SLA），并確保安全目標(biāo)得以實現(xiàn)

識別和解決網(wǎng)絡(luò)安全相關(guān)問題

建立網(wǎng)絡(luò)安全計劃

與內(nèi)部和外部利益相關(guān)者進行溝通、協(xié)調(diào)和合作

提前預(yù)測組織信息安全戰(zhàn)略所需的變化，并制定新計劃

定義并應(yīng)用網(wǎng)絡(luò)安全管理成熟度模型

預(yù)測網(wǎng)絡(luò)安全威脅、需求和即將到來的挑戰(zhàn)

激勵和鼓勵人們

2. 網(wǎng)絡(luò)事件響應(yīng)者

職位名稱：網(wǎng)絡(luò)事件響應(yīng)者

工作概要：監(jiān)控組織的網(wǎng)絡(luò)安全狀態(tài)，處理網(wǎng)絡(luò)攻擊期間的事件，并確保 ICT 系統(tǒng)的持續(xù)運行。

關(guān)鍵技能：

實踐網(wǎng)絡(luò)安全事件處理和響應(yīng)的所有技術(shù)、功能和操作方面。

收集、分析和關(guān)聯(lián)來自多個來源的網(wǎng)絡(luò)威脅信息。

操作系統(tǒng)、服務(wù)器、云和相關(guān)基礎(chǔ)設(shè)施方面的工作。

在壓力下工作。

溝通、展示和報告。

3. 網(wǎng)絡(luò)法律、政策與合規(guī)官

職位名稱：網(wǎng)絡(luò)法律、政策與合規(guī)官

工作概要：根據(jù)組織的策略和法律要求，管理符合網(wǎng)絡(luò)安全相關(guān)標(biāo)準(zhǔn)、法律和監(jiān)管框架的合規(guī)性。

關(guān)鍵技能：

全面了解業(yè)務(wù)戰(zhàn)略、模型和產(chǎn)品，并能夠考慮到法律、監(jiān)管和標(biāo)準(zhǔn)要求

在實施組織流程、財務(wù)和業(yè)務(wù)戰(zhàn)略時，執(zhí)行涉及數(shù)據(jù)保護和隱私問題的工作實踐

領(lǐng)導(dǎo)制定適當(dāng)?shù)木W(wǎng)絡(luò)安全和隱私政策和程序，以補充業(yè)務(wù)需求和法律要求；并進一步確保其被接受、理解和實施，并在相關(guān)方之間進行溝通

使用標(biāo)準(zhǔn)、框架、公認的方法和工具進行、監(jiān)督和審查隱私影響評估

向利益相關(guān)者和用戶解釋和傳達數(shù)據(jù)保護和隱私主題

理解、實踐并遵守道德要求和標(biāo)準(zhǔn)

理解法律框架修改對組織的網(wǎng)絡(luò)安全和數(shù)據(jù)保護策略和政策的影響

與其他團隊成員和同事合作

4. 網(wǎng)絡(luò)威脅情報專家

職位名稱：網(wǎng)絡(luò)威脅情報專家

工作概要：收集、處理、分析數(shù)據(jù)和信息，生成可以采取行動的情報報告，并將它們傳遞給目標(biāo)利益相關(guān)者。

關(guān)鍵技能：

與其他團隊成員和同事協(xié)作

收集、分析和關(guān)聯(lián)來自多個來源的網(wǎng)絡(luò)威脅信息

識別威脅行為者TTPs和攻擊活動

自動化威脅情報管理程序

進行技術(shù)分析并報告

識別對網(wǎng)絡(luò)相關(guān)活動產(chǎn)生影響的非網(wǎng)絡(luò)事件

對威脅、行為者和TTP進行建模

與內(nèi)部和外部利益相關(guān)者溝通和協(xié)作

與相關(guān)利益相關(guān)者進行溝通、演示和報告

使用和應(yīng)用CTI平臺和工具

5. 網(wǎng)絡(luò)安全架構(gòu)師

職位名稱：網(wǎng)絡(luò)安全架構(gòu)師

工作概要：規(guī)劃和設(shè)計安全設(shè)計的解決方案（基礎(chǔ)設(shè)施、系統(tǒng)、資產(chǎn)、軟件、硬件和服務(wù)）以及網(wǎng)絡(luò)安全控制

關(guān)鍵技能：

進行用戶和業(yè)務(wù)安全需求分析

繪制網(wǎng)絡(luò)安全架構(gòu)和功能規(guī)范

拆解和分析系統(tǒng)，以制定安全和隱私要求，并確定有效的解決方案

基于安全和隱私設(shè)計以及默認網(wǎng)絡(luò)安全原則來設(shè)計系統(tǒng)和架構(gòu)

指導(dǎo)和實施人員以及IT/OT人員進行溝通

與相關(guān)利益相關(guān)者進行溝通、演示和報告

根據(jù)利益相關(guān)者的需求和預(yù)算提出網(wǎng)絡(luò)安全架構(gòu)

選擇適當(dāng)?shù)囊?guī)范、程序和控件

建立整個架構(gòu)的故障點恢復(fù)力

協(xié)調(diào)安全解決方案的集成

6. 網(wǎng)絡(luò)安全審計員

職位名稱：網(wǎng)絡(luò)安全審計員

工作概要：在組織的生態(tài)系統(tǒng)中執(zhí)行網(wǎng)絡(luò)安全審計，確保遵守法定要求、監(jiān)管要求、信息政策要求、安全要求、行業(yè)標(biāo)準(zhǔn)以及最佳實踐。

關(guān)鍵技能：

根據(jù)證據(jù)以系統(tǒng)化和確定性的方式組織和工作

遵循并實踐審計框架、標(biāo)準(zhǔn)和方法

應(yīng)用審計工具和技術(shù)

分析業(yè)務(wù)流程，評估和審查軟件或硬件安全性以及技術(shù)和組織控制

拆解和分析系統(tǒng)以識別弱點和無效控制

傳達、解釋和適應(yīng)法律和監(jiān)管要求以及業(yè)務(wù)需求

收集、評估、維護和保護審計信息

以誠信、公正和獨立的方式進行審計

7. 網(wǎng)絡(luò)安全教育者

職位名稱：網(wǎng)絡(luò)安全教育者

工作概要：提高人類的網(wǎng)絡(luò)安全知識、技能和競爭力

關(guān)鍵技能：

確定網(wǎng)絡(luò)安全意識、培訓(xùn)和教育的需求

設(shè)計、開發(fā)和提供涵蓋網(wǎng)絡(luò)安全需求的學(xué)習(xí)計劃

開發(fā)包括使用網(wǎng)絡(luò)范圍環(huán)境進行模擬的網(wǎng)絡(luò)安全演習(xí)

提供網(wǎng)絡(luò)安全和數(shù)據(jù)保護專業(yè)認證的培訓(xùn)

利用現(xiàn)有的網(wǎng)絡(luò)安全相關(guān)培訓(xùn)資源

為意識、培訓(xùn)和教育活動開發(fā)評估程序

與相關(guān)利益相關(guān)者溝通、演示和報告

識別并選擇適合目標(biāo)受眾的教學(xué)方法

激勵和鼓勵人們

8. 網(wǎng)絡(luò)安全實施者

職位名稱：網(wǎng)絡(luò)安全實施者

工作概要：在基礎(chǔ)設(shè)施和產(chǎn)品上開發(fā)、部署和運營網(wǎng)絡(luò)安全解決方案（系統(tǒng)、資產(chǎn)、軟件、控制和服務(wù)）。

關(guān)鍵技能：

與相關(guān)利益相關(guān)者溝通、演示和報告

將網(wǎng)絡(luò)安全解決方案整合到組織的基礎(chǔ)設(shè)施中

根據(jù)組織的安全策略配置解決方案

評估解決方案的安全性和性能

開發(fā)代碼、腳本和程序

識別和解決網(wǎng)絡(luò)安全相關(guān)問題

與其他團隊成員和同事協(xié)作

9. 網(wǎng)絡(luò)安全研究員

職位名稱：網(wǎng)絡(luò)安全研究員

工作概要：研究網(wǎng)絡(luò)安全領(lǐng)域，并將結(jié)果納入網(wǎng)絡(luò)安全解決方案。

關(guān)鍵技能：

提出新思路并將理論運用于實踐

分析系統(tǒng)以識別弱點和無效控制

分析系統(tǒng)以制定安全和隱私要求并確定有效解決方案

監(jiān)控網(wǎng)絡(luò)安全相關(guān)技術(shù)的新進展

與相關(guān)利益相關(guān)者溝通、演示和報告

識別和解決網(wǎng)絡(luò)安全相關(guān)問題

與其他團隊成員和同事協(xié)作

10. 網(wǎng)絡(luò)安全風(fēng)險經(jīng)理

職位名稱：網(wǎng)絡(luò)安全風(fēng)險經(jīng)理

工作概要：管理組織的網(wǎng)絡(luò)安全相關(guān)風(fēng)險，使其與組織戰(zhàn)略保持一致。制定、維護和傳達風(fēng)險管理流程和報告。

關(guān)鍵技能：

實施網(wǎng)絡(luò)安全風(fēng)險管理框架、方法學(xué)和指南，并確保遵守法規(guī)和標(biāo)準(zhǔn)

分析和整合組織質(zhì)量和風(fēng)險管理實踐

使企業(yè)資產(chǎn)所有者、高管和其他利益相關(guān)者能夠做出基于風(fēng)險的信息決策，以管理和減輕風(fēng)險

建立一個對網(wǎng)絡(luò)安全風(fēng)險有認知的環(huán)境

與相關(guān)利益相關(guān)者溝通、演示和報告

提出并管理風(fēng)險共享選項

11. 數(shù)字取證調(diào)查員

職位名稱：數(shù)字取證調(diào)查員

工作概要：確保網(wǎng)絡(luò)犯罪調(diào)查揭示所有數(shù)字證據(jù)以證明惡意活動

關(guān)鍵技能：

以道德和獨立的方式工作；不受內(nèi)部或外部因素的影響和偏見

收集信息同時保持其完整性

識別、分析和關(guān)聯(lián)網(wǎng)絡(luò)安全事件

以簡單、直接和易于理解的方式解釋和呈現(xiàn)數(shù)字證據(jù)

制定并傳達詳細、有理有據(jù)的調(diào)查報告

12. 滲透測試員

職位名稱：滲透測試員

工作概要：評估安全控制的有效性，揭示和利用網(wǎng)絡(luò)安全漏洞，評估它們在受到威脅行為者利用時的關(guān)鍵性。

關(guān)鍵技能：

開發(fā)代碼、腳本和程序

執(zhí)行社會工程

識別和利用漏洞

進行道德黑客攻擊

創(chuàng)造性思維

識別和解決與網(wǎng)絡(luò)安全相關(guān)問題

與相關(guān)利益相關(guān)者進行溝通、展示和報告

有效使用滲透測試工具

進行技術(shù)分析并提交報告

分解和分析系統(tǒng)以識別弱點和無效控制

審查代碼并評估其安全性