1. 困扰很多求职者的问题缺口数字很大招聘却搜不出几个这些年网安行业有个很奇特的现象安全厂商和行业报告年年说人才缺口以数十万计但真正打开招聘软件搜索“网络安全工程师”、“渗透测试”这类关键词跳出来的岗位数量却少得可怜薪资范围还经常看不懂。我身边经常有准备入行的朋友拿着报告来问我缺口到底在哪为什么我能投的岗位这么少这其实并不是报告造假也不是岗位真的消失了而是“人才缺口”和“招聘需求”这两组数据根本就不是一回事。报告统计的是整个安全体系里缺人手的岗位类型招聘平台上展示的是企业已经发布、正在招的HC。前者覆盖了大量还没有被企业意识到的预算空缺后者则是企业财务审批通过后真正放出来的坑位。这篇文章我想把这件事彻底拆开从岗位定义、招聘筛选、预算周期、学校教育和入行路径五个角度结合我自己这些年看到的真实情况说说为什么网安看起来缺口很大求职者却感觉招聘很少。如果你是一名准备入行或正在找安全工作的新人这篇文章值得你花十分钟读完。另外多说一句这篇文章只讲行业现象和职业路径不涉及任何具体政策背景纯粹从从业者的视角来做客观分析。1.1 先弄懂一个前提几十万缺口是怎么算出来的行业内讲到人才缺口通常引用的是权威机构发布的调研报告。报告在统计时会把企业里所有和安全相关的岗位都算进去包括安全运维、安全开发、合规审计、数据安全、云安全、隐私保护、安全运营甚至部分嵌入式设备安全岗位。统计口径是整个产业缺口而不是“目前正在发布招聘的岗位总量”。举个例子一份报告可能测算某地区需要二十万个安全从业者现有从业者只有一半于是得出缺口十万。但这个测算过程默认了每家单位都应该建立一个完整的安全部门而现实里很多中小企业只有一两个安全负责人甚至直接由运维或法务兼着。真正预算充足、愿意大规模招人的企业远远没有报告假设的那么多。这里还有一个被忽略的数据缺口大并不代表岗位多反而说明行业里大量在职者是由其他岗位转岗过来的。在甲方公司安全岗经常被并进运维部、基础架构部或数字化转型部门看招聘平台的岗位归类你甚至搜“网络安全”都搜不到这些编制。这也是为什么搜索关键词时结果里全是安全厂商和外包驻场而真正的大型企业自建安全团队几乎没有出现在搜索结果里。1.2 招聘少与缺口大的错位感根源在岗位预算企业真要招安全工程师先要有编制和预算。预算的审批逻辑很简单安全部门不能直接产生收入它是在降低风险、满足合规。这种定位在市场行情好的时候还能拿到钱行情一波动最先被冻结的就是安全岗招聘。举一个我实际见过的例子某家做电商业务的公司年中复盘后决定转型安全团队的预算直接砍了一半原本计划招的安全开发岗位放到了明年而渗透测试工作改由外包支撑。也就是说“缺口”是一个产业能力上的缺口而“招聘”是一个企业财务上的现实决策。二者之间存在一个很大的折算系数。开发岗缺人企业马上就能感受到交付进度受影响安全岗缺人企业通常要到出了事件才真正感知到问题。多数日常运营场景里少一个人好像也看不出明显差别这就导致安全岗位的招聘优先级长期低于业务岗位。再加上安全行业本身的特殊性同一岗位在不同规模的企业里技能要求差异极大。大厂要的是单点拔尖的专家中小公司要的是什么都会的全能选手。岗位要求写得越复杂能匹配的人就越少招聘HR反馈给管理层的结论是“市场没有合适的人”于是在继续招和干脆不招之间很多企业选择了后者。2. 岗位定义错位搜索不到不是因为岗位不存在很多新人以为在招聘平台搜“网络安全”就能看到全行业的岗位实际操作上这个搜索方式本身就是错的。安全岗位的命名、归类、隐藏属性会让大量机会根本不出现在搜索结果里。以我见过的岗位JD为例安全运维可能挂名叫“网络工程师”负责日志分析和防火墙规则的岗位挂名叫“运维工程师”做数据脱敏的挂名叫“后端开发”写隐私评估文档的挂名叫“法务专员”。这些岗位没有“安全”两个字但日常工作的核心全是安全内容。只有当你主动去搜索相关的技术术语比如“WAF策略”“日志分析”“零信任”才有机会看到这些岗位。岗位发布渠道也在影响搜索结果。大型甲方公司通常把安全岗位放在官网招聘页或内部推荐系统只有长期招不到人的岗位才会外包到第三方招聘平台上。而那些放到平台上的岗位往往薪资不足以吸引资深从业者长期挂着不更新表现形式上像是在“招人”实际上已经停止推进了。这里有一个很有意思的现象叫“静默招聘”。企业内部缺人是真实的但团队负责人不想公开挂牌招聘因为上级审批流程复杂或者团队对候选人的画像极其模糊根本不知道自己要招什么样的人。于是这些需求被压在心里或者只是在内部社群和朋友圈里发一句话。外部求职者看到的招聘池永远小于真实的岗位池。2.1 为什么职位漏斗在安全行业里格外窄和开发岗位相比安全岗位从编制到发布漏斗的每一层都在缩水。开发岗的缺口能直接换算成业务进度和产品质量一旦产品上线计划确定人才需求就必然释放。安全岗则不同它的需求很多时候是“项目制”的完成等级保护测评、通过一次渗透测试、上线一套日志系统需求就阶段性结束了。也就是说安全岗位的工作增量不是持续性的而是和合规周期、事件周期、系统建设周期绑定在一起。合规测评做完之后团队可能只需要一两个日常维护的人其余人员需求就冻结了。这种项目型需求天然导致岗位数量远低于业务开发型团队。另一个挤压岗位数量的因素是安全服务外包的成熟化。几乎所有安全建设环节都有对应的乙方服务渗透测试可以外包、安全运维可以托管、日志审计可以云端订阅。甲方只需要保留少数管理型人员直接把大量执行型工作外包出去。于是甲方自建团队的招聘需求被压缩而乙方外包团队又不以“招聘大量内部工程师”的方式存在很多执行工作都走项目分包。结果就是求职者感觉岗位很少但承接外包业务的那些小型团队其实常年缺人。只不过这些小团队的岗位不会广泛发布更多是靠熟人推荐、社群招募和项目群内部消化。整个行业的招聘通道并不是一个完全市场化的公开渠道。2.2 招聘要求写得太全能把人直接吓退我特意统计过一些安全岗位JD里的高频词常年霸榜的是这几组渗透测试、代码审计、应急响应、安全合规、日志分析、DevSecOps、安全开发、等级保护、ISO27001、数据安全。单个看每一项都合理但放在同一个岗位里就完全是“找六边形战士”的逻辑。这类JD出现的背景是很多中小公司只想找一个人承担整个安全体系。这个人既要懂攻防能打比赛、出渗透报告又要懂合规能和测评机构对接还要有一点开发能力能把安全工具集成到CI/CD流水线里。这种岗位要求本质上不是一个初级工程师能胜任的也不是一个资深专家愿意接受的于是HR在人才库里捞了一圈之后发现根本招不到人。而真正具备多项能力的安全从业者通常已经有了稳定的职业路径比如在大厂做专门的渗透测试或者在安全厂商做产品支持。他们看这类“全能岗”的劣势非常清楚一个人干三个人的活薪酬却只给一个人的钱。所以这类岗位挂在平台上的时间极长要么迟迟不招到人要么招到的都是过度承诺、实际经验不足的候选人试用期结束又离职形成恶性循环。这里还要提一个安全行业特有的问题安全攻击技术更新极快三年前的岗位技能到今天可能已经部分失效。企业写JD的人如果不懂技术写出来的要求往往是过时或偏离实际的。候选人看到JD里大量无关的证书要求、过时的工具名称第一反应就是这家公司不靠谱于是连投递的兴趣都没有。这种“JD导致的反向筛选”也在客观上让有效求职者数量大幅减少。2.3 甲乙方分化岗位确实存在但通道不同安全行业的用人单位大致可分为两派甲方是使用安全产品和服务的企业乙方是提供安全产品、服务和咨询的公司。这两类机构对人才的需求逻辑差异非常大。甲方招人讲究稳定性和体系化。他们倾向招有一定经验的成熟工程师最好能独立负责某一块安全能力建设。对于应届生和转行者甲方通常兴趣不大因为没人带你、没时间教你。这就导致甲方放出来的岗位并非完全没有而是几乎不会出现在面向新人的渠道里往往优先走内部转岗、员工推荐和猎头路径。乙方招人数量上其实很多但岗位载体不同。乙方招的是渗透测试工程师、安全服务工程师、安全研究工程师这类典型的“项目交付型”工作。岗位依赖项目周期项目多的时候大量招人项目结束或青黄不接时立刻收缩。许多乙方公司一年内招聘人数波动可以超过一半求职者恰好在收缩期找工作就会觉得整个行业都没有机会。所以甲乙方并存的状态并没有让人感受到“缺口”的充裕反而进一步拉大了预期差。一个真实的求职窗口可能只在特定时间、特定地区、特定技能方向上存在。新人如果没有意识到这种分化只盯着大平台搜索安全关键词看到的结果自然少得可怜。3. 招聘筛选机制的微妙影响不是没岗是你看不见除了岗位发布层面的原因招聘筛选机制也在悄悄影响安全岗位的“可见数量”。很多企业实际上愿意为安全人才付费但HR流程、筛选模型和管理者认知都可能把合适的候选人挡在门外也让实际发出的offer数量看起来很少。3.1 HR关键词筛选与简历“黑话”——第一道隐形门槛大型企业的招聘流程通常由HR先做第一轮简历筛选。HR不一定是技术出身她们筛简历时依赖的是关键词匹配CISP、CISSP、CVE编号、护网经验、等保测评、渗透测试项目、Python代码能力等。如果简历里没有这些高频关键词哪怕候选人实际能力很强也可能根本到不了技术面试官手里。这带来一个非常反直觉的现象行业里真正的“缺口”存在于实干型工程师而HR简历库里的“匹配人才”却可能是证书很多但实操空洞。当企业用关键词过滤后发现简历数量少得可怜就会误判为“市场上安全人才极度稀缺”进而提高薪酬预期、扩大搜索范围。但如果你真的去看看这些企业最终招到了什么人会发现他们招的往往是证书型选手。对求职者来说这一关的可操作性其实很强把你的项目经历、实习经验、实验室项目、CTF比赛成绩、漏洞报告编号全部翻译成HR能识别的关键词并放在简历前三分之一的位置。不要写“熟悉常见安全工具”这种模糊表述要写“使用Burp Suite完成XX系统渗透测试发现SQL注入与越权漏洞并协助修复”。简历里的“可见度”提升了进入面试的比例也会高很多。3.2 安全岗位的能力评估方式直接筛掉了大量候选人安全岗位的面试方式和其他技术岗差别很大。开发岗可以用代码题、项目经历来做能力评估安全岗面试则常常直接进入实战场景给一个环境让你现场找漏洞给一份日志让你还原攻击路径给一个漏洞样本让你分析利用原理。这种评估方式对应聘者的经验要求极高。如果你是转行者或应届生没有真实参与过安全应急或渗透项目很容易在面试现场露出短板。而企业又不愿意降低评估标准因为安全岗位的容错率极低招进来的人不靠谱造成的风险比普通岗位高出几个量级。于是这里出现一个结构性矛盾行业缺人但缺的是有实战经验的人愿意培养新人的公司又太少。安全行业本质上还是一个“师傅带徒弟”的传统模式但多数团队根本没有带新人的预算和耐心。结果是新人在求职时感觉岗位少企业招人时感觉人太少双方都觉得自己亏。这里想给新人一句掏心窝的话如果现在进不了企业安全岗先去安全厂商做售后支持、做质量管理、做文档交付一样可以积累行业经验。很多安全技术专家的第一份工作都是从最基础的边缘岗位开始的。先把脚踩进这个行业后面的事就好办了。3.3 证书与学历偏好的真实权重关于证书安全行业有一种评价分裂。招聘JD里普遍写着“持有CISP/CISSP证书者优先”但工作三五年之后你会发现真正决定职业天花板的根本不是证书而是实战项目经验和解决问题的能力。证书在简历筛选阶段的作用远大于在实际工作中的作用。对新人来说我的建议是不要把证书当成求职的万能钥匙。如果你连最基础的TCP/IP、HTTP协议、Linux命令、Web漏洞原理都没学扎实考再多证书也很难通过技术面。反过来如果你真的通过CTF比赛、漏洞挖掘、项目实训做出了可展示的作品哪怕没有证书很多技术负责人也愿意给你面试机会。学历的影响则更微妙。大厂安全团队和国企安全岗对学历有硬性门槛通常要求本科起步部分核心岗位会卡硕士。但中小企业和安全厂商对学历的容忍度明显高很多它们更看重你是不是能直接上手干活。如果学历不占优势一个实用的策略是避开大厂校招统招通道走社招、内推、项目合作等方式或者先去乙方积累一两年经验再考虑跳槽。4. 预算周期和行业热度波动安全岗位时有时无就算岗位定义和筛选机制都理清了还有一个底层因素在影响招聘数量安全的预算周期和行业热度的波动。这一点对求职者来说几乎无法控制但理解了它至少不会在错误的时间点自我怀疑。4.1 安全不能直接赚钱预算天然排在业务后面安全团队在企业里的定位是“保障性部门”核心任务是减少损失、满足合规、保证系统稳定。它的价值很难用营收指标衡量所以预算审批时天然处于弱势。业务部门说“新增一个功能能带来多少转化”安全部门只能说“不投入可能面临什么风险”前者是确定收益后者是概率损失。在企业决策者的天平上前者永远更容易通过预算。这就导致安全团队的岗位数量和经济周期强相关。经济上行期企业愿意把资金投向探索性项目安全岗位有一定增量经济下行期企业首先收缩的就是“看不到收入”的部门。从招聘平台的岗位数量来看安全岗位的波动幅度往往比开发岗大得多。这也是为什么有的安全从业者觉得自己行业很稳定有的却觉得随时可能被裁。分化来自岗位所在的企业类型做安全产品的乙方岗位相对稳定做驻场服务的乙方岗位极其不稳定做甲方日常运维的稳定但晋升空间有限做甲方合规项目的岗位随合规周期波动。不同岗位的安全感差异巨大求职之前一定要分清楚自己想进哪一种。4.2 合规需求驱动招聘但合规节奏不是均匀的国内的大量安全岗位需求由合规驱动。等级保护、数据安全法、个人信息保护法等合规要求落地时企业必须配备相应的人员或采购服务这会拉动一波明显的招聘需求。但合规建设是阶段性任务不是持续增长的日常运营所以需求往往集中在政策发布后的几个月内爆发随后迅速趋于平缓。在这波“合规冲刺”的热潮里企业急招的是能写文档、能对接测评、能整改安全配置的人不一定是技术最深的攻防专家。合规高峰期看到的安全岗位数量和低谷期相比相差很大。如果你在低谷期搜索岗位会觉得行业一片冷清但在高峰期投简历又会发现面试安排不过来实现。一些培训机构会顺势放大合规热点的招聘数据让新人误以为安全行业永远在高速增长。真相是行业规模在增长但安全岗位不是均匀分布在所有时间段和所有企业类型里的。聪明的求职者会顺着合规周期提前半年准备在别人还没反应过来的时候投递简历而不是等到合规热潮见诸新闻才匆忙行动。4.3 大厂安全团队收缩但中小企业的缺口一直存在近两年还有一个趋势值得关注大型互联网公司的安全团队开始收缩或整合部分边缘安全团队被裁撤编制回流到核心安全部门。这在招聘平台上的直接体现是“算法策略工程师”“内容安全审核”等岗位数量上升而“渗透测试工程师”“安全运营专员”等传统安全岗位数量下降。但与此同时大量中小企业、传统行业企业的安全需求正在增长。制造业数字化、医疗系统上云、地方政务系统联网这些场景都需要安全基础能力。它们的招聘方式非常朴素可能就是在本地招聘会挂一个“信息安全专员”的岗位薪资不算高但胜在稳定、竞争小。这类岗位不会出现在一线城市的安全社交圈里却真实存在于你身边。对一个刚入行的新人来说与其在北京上海和几千人一起卷几个大厂岗位不如先看看二线城市的制造业数字化企业和政务系统集成商。这些企业也许给不了高薪却能给你一个接触真实生产环境、完整参与安全建设的机会。很多安全大牛的职业起点都是从不起眼的小公司开始的——这类岗位在行业报告里不算“高级人才缺口”但对个人成长却极其关键。5. 从求职者视角反推怎样找到那些“看不见”的安全岗位既然缺口存在、岗位存在只是藏得深、通道窄、周期波动大那求职者就不能只靠刷招聘平台了。我自己带过十几个转行入行的新人总结下来那些真正拿到安全offer的人走的路径几乎都不是“海投简历”这一条。5.1 先明确目标岗位类型再倒推准备安全岗位的类型大致可以分为五类渗透测试/红队、安全运营/蓝队SOC、安全开发/DevSecOps、合规审计/数据安全、安全管理/架构规划。每个方向的知识体系、面试内容、岗位数量都不同不可能一个人全占。新人最常见的错误就是想“什么都会一点”结果简历写成一张技术杂货铺面试时被任何一个方向的深挖问题难倒。正确的做法是选定一个方向花三个月到半年时间把对应的技能栈拉满。想做渗透测试就把Web漏洞原理、Burp Suite使用、内网渗透基础、应急响应流程全部过一遍想做安全运营就把SIEM平台、日志分析、告警研判、威胁情报的实操流程吃透。方向选得早准备时间才够用。等到投简历阶段再临时换方向几乎不可能通过技术面。我在招聘时看到太多候选人简历上写着“热爱安全”但项目经历全都对不上岗位要求——这种简历在第一轮就会被筛掉哪怕你确实在后台默默学了很多东西。5.2 建立一套能对外展示的能力证据链安全行业很看重“可验证的能力”。证书是一个维度但更硬的通货是你做过的项目、提交过的漏洞、写过的分析报告。对新人来说没有企业级项目经验怎么办可以用自建模拟环境来弥补。比如自己搭一个Web靶场做一次完整的渗透测试把漏洞发现过程、利用方法、修复建议整理成一份渗透测试报告或者复现一次典型的勒索攻击事件从流量日志反推攻击路径写一篇应急响应分析文章。这些内容能证明两件事第一你有动手实操的能力第二你能输出专业的文档。后者在安全行业里比多数人想象的重要得多。然后把证据链整理到简历和社交主页上。面试官点开你的个人主页能看到完整的技术文章和项目复盘对你的信任度会明显提升。我认识不止一个新人就是因为技术博客被团队负责人直接联系邀请面试拿到了原本在招聘平台上不会公开招聘的机会。5.3 用好内推、社群和线下活动绕开公开渠道的竞争前面已经说过很多真实岗位不会公开招聘而是走内推和圈子渠道。新人要想进入这个通道就必须想办法认识行业里的人。安全圈子的社交属性其实很强行业大会、技术沙龙、CTF比赛、本地安全小组活动都是认识从业者的好途径。这里分享一个我的亲身经验很多安全团队在招人之前负责人会先在朋友圈或技术社群里发一句话让团队里的人推荐。如果你在这个圈子里哪怕只是一名经常冒泡、愿意分享技术笔记的普通成员也有机会被提到。可如果你完全不参与线下或线上交流这些信息永远不会出现在你的信息流里。加入安全社群时不要做潜水者更不要一上来就发简历。先观察讨论话题找机会输出有价值的内容比如帮别人解答技术问题、分享学习资源、整理靶场刷题笔记。时间长了群里的成员会默认你是靠谱的同行一旦有内推名额第一时间想到的就是你了。5.4 安全方向的学习路径参考新人从哪开始更稳很多刚起步的人最迷茫的其实是不知道按什么顺序学习。这里给一条我自认为比较稳健的路径参考分四个阶段每个阶段都有一个可以自测的产出物第一阶段是打下网络与系统基础掌握TCP/IP协议栈、HTTP协议、Linux常用命令、Windows日志分析、虚拟机和Docker的使用。自测产出能独立配置一个带Web服务、数据库、防火墙规则的靶场环境。这个阶段大概需要四到八周主要解决“看不懂环境”的问题。第二阶段进入Web安全核心系统学习OWASP Top 10漏洞原理配合靶场逐个复现并学会使用Burp Suite、Nmap、SQLMap等基础工具。自测产出独立完成一次渗透测试并输出一份包含漏洞截图和修复建议的报告。这个阶段是多数初级安全岗位面试的高频考点务必投入足够时间。第三阶段是安全运营与应急响应学习SIEM平台的基本操作、日志检索、告警分级、常见攻击链分析、勒索病毒和APT攻击的典型模式。自测产出根据一份模拟攻击日志还原攻击者的完整路径并写出应急处置建议。这一阶段能帮你避开“只会打、不会防”的偏科问题。第四阶段按目标岗位调整。如果想走安全开发就补Python/Go编程、CI/CD集成、SAST/DAST工具链想走合规方向就研究等保测评流程、风险评估方法、安全制度文档模板想走数据安全就系统学数据分级分类、数据脱敏、隐私计算基础。到了这个阶段你已经能独立判断自己更适合哪个方向了。这条路不需要什么天赋需要的是每天两到三个小时、持续半年的稳定投入。安全行业对新人最大的评价标准就是“到底有没有真正动手做过”你花在靶场里的每一个小时最终都会在面试环节变成你回答问题的底气。6. 关于“缺口大却招聘少”的常见误区机会到底在哪最后整理几个我经常看到的关于安全招聘的典型误解希望能帮你少走一些弯路。这些观点不一定全面但都是我根据实际观察得到的经验之谈。6.1 误区一“安全行业根本不缺人大家都在骗我”我一直不认同这种说法。行业缺的是真正能把事情做成的安全工程师而不是只背概念、没动过手的人。缺口大的同时企业招聘时对“合适”的定义也极其严苛两边同时成立才造成了“缺人却不招人”的表象。如果你觉得岗位很少很可能是你关注的岗位类型太单一、地理位置太集中、发布时间又正好在低谷期。把搜索范围扩展到安全运维、安全开发、合规、产品助理、售前售后这些周边岗位把工作地点扩展到二三线城市把投递时间配合到行业合规活动前后岗位数量会出现明显变化。6.2 误区二“没有经验的新人完全没机会全是坑”安全行业对纯新人确实不友好但这不是全或无的关系。门槛最低的切入方向是安全服务交付方乙方它们对人才的需求量大愿意要学习能力和执行力强的新人但工作强度也大。另一个切入方向是甲方安全部门的实习生或助理岗位薪资不高但能让你接触企业真实的安全工作流程。最难的其实是第一份工作的启动期。我的建议是不要只看薪资先看能不能学到东西、能不能积累可对外展示的项目产出。一旦手里有了第一份安全相关的行业经历后面的路就会顺畅很多。很多资深安全工程师的第一份工作起点低到你现在可能不愿意去但正是那段经历让他们攒下了后来的核心能力。6.3 误区三“证书考下来就能进安全行业”证书是加分项不是通行证。在简历筛选阶段证书能帮你通过HR的初筛但技术面还是看实战能力。如果你只考了证书基础知识不扎实项目经验空白面试官几分钟就能判断出你的能力水平offer照样拿不到。而且一些证书考试本身存在滞后性教材内容和企业实际场景脱节严重。比起投入大量时间金钱去追证书不如先把基础技术打牢再考虑用证书补足简历的可信度。真正有价值的证书通常是有了几年工作经验后配合职业晋升去考而不是刚入行时的敲门砖。6.4 误区四“等待风口行业热潮来了我再入行”过去几年被广泛讨论过的安全概念几乎每个都被证明是长期趋势而不是一阵风。但等待风口再入行的人往往赶不上趟因为到热潮被普遍感知时技术门槛和岗位竞争早都同步提高了。安全行业的特点决定了它不会像消费互联网一样突然爆发式招人而是细水长流地慢慢扩大。真正聪明的人是在行业还没那么热的时候就开始打基础等风真正吹过来时已经有了一两年经验。安全行业的复利效应非常强你早入行一年遇到的实战项目、积累的排查经验、认识的同行数量都会和晚入行的人拉开指数级差距。与其反复纠结入行时机不如现在就花一个钟头去把靶场环境搭起来。我个人在实际带人的过程中最深的感受是安全问题从来不缺缺的只是理解问题本质、能有条不紊处理问题的人。行业报告里的缺口数字有没有水分其实不重要重要的是你现在有没有立刻开始积累属于你自己的那部分能力。你现在的每一次动手操作、每一份技术笔记、每一条漏洞分析都在帮你把那些“看不见的岗位”变成“看得见的offer”。