資安教育對象不限於專責人員與一般人員，老闆也要入列！資安人才培訓從描繪資安職能地圖做起

資安議題逐漸受到重視，但資安工作要如何進行？人才規畫與培訓如何做？仍然令人頭痛，特別是在資安人才方面，不論大型企業、中型企業與一人資安等環境，都有各自不同的需求，也許需要一個更明確的方法論來幫助企業。

關於資安人才的培育，是近年政府與企業都關心的議題。在2016年底，向來以資通訊科系作為號召的國立交通大學，已經扮演拋磚引玉的角色，成立了針對資安在職人員的培訓管道「亥客書院」，在上週舉行的第14屆臺灣駭客年會社群場上，於週六早上的一場議程中，他們的教學發展組組長的張智凱博士，也從這一年半的資安實務教育經驗，提出他們的看法與具體建議。

企業常問，一家企業必須具備什麼樣的資安人才？乍看之下，這是一個很大的題目，不過他們這次提供了一個系統性的方法，讓企業能夠更容易去落實，那就是從規畫企業專屬職能地圖做起，再據此規畫人才需求。

至於企業要如何畫出資安職能地圖，張智凱也說明了具體的分類方式，就是從「工作性質」與「資安領域」來畫分類型。

前者的項目，包括了制度設計、系統設計與實做、營運維護與滲透測試，而後者包含威脅情資、資料保護、認證及稽核，以及可靠性與可用性。

如此一來，將可基於「工作性質」與「資安領域」兩個維度，以縱軸與橫軸的排列組合方式，將資安職能進一步切分為16種面向。不過他也補充，這是一種範例的分法，但重點是要讓企業能夠自行定義清楚。

在這樣的資安職能畫分下，對於不同規模、性質的公司，初估所需之資安人才，他們也有提供簡單又務實的建議。

例如，大型公司必須設立資安長辦公室，負責工作性質中的制度設計。並可依據資安領域的4個項目，成立專責的工作團隊，例如雲端儲存公司，就必需要有資料保護，以及負責可靠性可用性的團隊，其他較不核心的技術和工作，像是威脅情資分析或滲透測試的部分，就可以考慮委外執行。

中型企業最好也要設立資安長辦公室，或可由資訊長兼任，並下設一級資安部門，負責主導制度設計。不像大型公司的建議，是從資安領域的項目來成立團隊，中型公司主要從工作性質項目的角度出發。像是建立營運維護團隊，而系統設計與實做、滲透測試的部分，也可以考慮委外來執行。

在大型企業與中型企業之外，張智凱提到還有很多公司是一人資安的狀況，對此，他建議延攬較具資安視野的人才，負責規畫與營運的部分，其餘技術項目就是靠委外來幫助。

透過資安職能地圖盤點資安人才培訓的面向

進一步來看，企業該如何幫助內部資安人才的培訓？在此之前，先要瞭解資安培訓方向的分類，也就是學程。

張智凱再次從資安職能地圖談起，因為這也是能用來盤點資安培訓方向的工具。他表示，在他們的教育經驗中，可利用資安職能地圖畫分出5種學程：例如涵蓋制度設計項目的「管理法律專業學程」、關於威脅情資項目的「事故回應與處理學程」，以及滲透測試項目的「滲透測試學程」，另外還有兩個維度交錯而成的「網路與系統安控學程」，及「可靠性系統學程」。

以產業現況而言，一般產業可能缺乏專職資安人員，現有資訊人員也可能缺乏資安相關基礎底子，因為在他們的訓練過程中，沒有人告訴他們資安是件重要的事。另一方面，高層缺乏資安思維，更是讓員工不容易說服高層，畢竟資安領域的投資不容易看到的具體效益，沒有事情才表示有效。因此，他們也針對高階主管、資安人員與一般IT人員，提供資安課程規畫的建議。

首先，不要以為老闆就不用上課！其實老闆的資安教育更不能等。對於高階主管規畫的課程來說，他建議，必須要學習風險控管，其次是資安政策制訂。在他們的經驗中，很多老闆上完課其實就開竅了，接著讓員工也來上課。在他的經驗中，很多老闆不是不願意，只是沒有人告訴他資安很重要。

另外，針對資安人員的資安培訓，像是威脅管理營運相關單位，主要可從學習事件回應與處理方面的學程開始，深入一點就是營運維護方面的數位鑑識概念實做、網路流量分析與檢測，以及惡意程式檢測實務。

至於一般IT人員的資安培訓，由於沒有太多資安方面的基礎，因此從資安概念與資安新知開始學習，會更貼切一些，並要重視職務相關的單科，因為太深的內容不見得是他們需要的。因此，簡單一點，例如要讓寫軟體的人知道程式安全與系統滲透測試的事情，讓網頁開發的人，知道網頁安全開發與網頁滲透測試。目的是要讓他們有概念，才能在寫程式時更懂得要注意。

另外，張智凱也分享了，過去一年半亥客學院的相關開課統計資訊，例如，在修課學員的產業統計上，以金融會計、網通產業、法人和公部門三種產業最多，但其他產業的比例則相差懸殊。

至於不同課程的修課人次統計上，最受歡迎的是網頁滲透測試，其次為故應變與鑑識、系統滲透測試、程式安全、行動安全與虛擬化資安技術。

在資安人才規畫與培訓之外，張智凱也提到，駭客、學術與產業界雖存在著資安落差，但也都在資安領域努力，儘管彼此心態、目標可能存在很大差異，但也能形成一個互利的循環系統。而亥客書院也期望利用學術界的長處，扮演駭客界與產業界的橋樑，以協助縮短資安落差。