自2011年取得CISP认证已近九年，笔者一直从事网络安全相关工作，亲身经历了永恒的蓝勒索病毒事件，“网络安全法”从参与者的角度来看，从试行到实施、演习等里程碑事件见证了企业网络安全体系从单薄到饱满到接近完善的过程。专业安全人员发挥了巨大的积极作用，是网络安全体系建设和发展的重要组成部分。结合这些经验，作者谈到了CISP人才培养在企业网络安全工作中发挥着积极作用。

一、企业网络安全工作及员工情况

CISP系统一直倡导“三分技术，七分管理”它是企业网络安全工作的真实写照。其管理体系一般采用垂直管理机制，以行政主体为单位，各级设有网络安全管理人员和技术人员；系统一般依附于管理体系，逐级继承和细化；技术一般按网络、终端、服务器等不同业务方向划分。总结一下“以人为本”网络安全工作效果基本取决于企业各级网络安全从业人员的专业知识储备和技能水平。根据职能划分，企业网络安全人员可分为方向管理人员、技术管理人员、技术操作人员、技术服务人员。受学校专业因素影响，过去很多管理人员对技术人员基本没有网络安全专业学历，而是依靠工作经验和数据来完成网络安全能力的积累。这种片面的学习过程造成了很多企业网络安全工作者能力的局限性，影响了工作的各个方面，比如制度和机制的设置和实施是否到位，安全措施的选择和配置是否完善，甚至技术人员不了解安全措施的作用和原理。随着“网络安全法”随着网络安全等级保护体系的深入实施和企业安全体系的不断完善，这一现象逐渐消失，但对企业网络安全的影响一直客观存在。

二、企业网络安全从业者能力不足的原因

作为企业的一员，我们可以深刻认识到内部从业者在网络安全学习中积累的无力感。综上所述，主要有三个原因：一是知识碎片化，缺乏系统性。网络安全作为一个新兴的专业领域，与传统的信息发展相比存在滞后，早期学校没有相关的专业或知识传输。即使国内一些大学开设了相关专业，也很难在短时间内发展到传统文理课程的标准化。虽然互联网的兴起加速了知识的传递和共享，但内部从业者很难从网络中获得系统的知识体系。知识碎片化意味着内容的及时性低，准确性低，学习者无法知道自己缺少什么，甚至应该学习什么。二是培训机制僵化，缺乏学习机会。培训是企业内部的正常经营活动，受企业内部管理机制的限制。“内对内”还是“外对内”培训课程按几年前的标准执行。但而，网络安全培训体系是创新的，其知识体系对教师的能力有很高的要求如CISP全国只有100多名讲师，基本上是行业优秀的骨干，适合教学知识，培训成本相对较高，所以企业往往考虑合规和成本，采用低成本培训模式，根据安全培训，同样的内容让内部从业者厌倦应对，甚至发挥相反的效果。三是工作界面狭窄，缺乏培训场景。行业关注网络安全系统，但在企业实际工作过程中，员工受到行政、业务、人员分配、准备等原因往往从事细分工作，在网络安全工作中兼职，如负责网络管理兼职网络安全管理，但管理终端。这种现象大大降低了内部从业者学习跨工作范围安全知识和技能的兴趣，即使他们掌握了跨工作范围的技能和知识，也很难在实际工作中得到应用和验证。