记忆力训练培训班，系统安全 -《欧洲网络安全技能框架》解读

捍卫网络安全的劳动力短缺与劳动力能力不足（掌握的网络安全技能的人才不多）是发达国家维护网络安全所面临的主要问题之一。ENISA认为欧洲需要建立一套框架来明确网络安全职业和所需技能，以此明确网络人才培养方向，缩减网络安全保障需要与现实人才数量、质量之间的差距。该框架旨在丰富欧洲网络安全文化内涵，是推动欧洲数字化走向未来的关键一步。作为一个阐明欧洲网络安全人才主要任务、应掌握技能与知识的实用工具，该框架的主要目的是在欧盟个人、企业与教育机构之间建立对网络安全人才的共同理解，使之成为培养高质量网络安全人才的宝贵工具。

使用框架可以获得的好处有如下三点：其一，在欧盟内，建立起有关网络安全人才的共同术语，并增进从事网络安全职业的相关人员对共同术语的共同理解。其二，从网络安全实际需要出发，确定不同网络安全人才所需的不同技能。其三，促进网络安全教育与劳动力发展计划的协调性。

一、ENISA与ECSF

欧盟网络与信息安全局（ENISA = European Union Agency for Cybersecurity）成立于2004年3月，并置身于《欧洲网络安全法》的框架之下，受到该法的约束。该机构致力于健全欧盟网络政策，通过推行网络安全认证计划提高ICT产品的可信度，并与成员国和欧盟机构合作，并帮助欧洲应对未来的网络安全风险。ENISA通过知识共享、能力提升和强化认识，与利益攸关方展开合作，加强对互联经济的信任，提高欧盟基础设施的复原力，确保欧洲社会和公民的数字安全。

ENISA的主要工作内容是：第一，收集并分析潜在的网络安全风险；第二，提供相关咨询和帮助，增强网络与信息安全执行人员之间的合作交流，促进欧盟委员会和各个成员国之间的合作；第三，致力于提高安全意识，协助欧盟委员会及各个成员国与工业界进行对话，跟踪网络与信息安全相关产品和服务标准的发展状况；第四，协助欧盟委员会与第三国和国际组织开展合作等。1

欧盟十分重视网络安全教育，旨在培养拥有各项保护网络安全技能的人才。在2019年12月，ENISA发布的《欧盟网络安全技能发展报告》（Cybersecurity Skills Development In The EU）指出，网络安全教育与培训面临着人员紧缺的严峻挑战，即使置身全球数字化背景下，全球网络安全技能短缺的规模约407万。这意味着网络安全专业人才在数量和质量上都无法满足市场需求，已经成为影响经济发展和国家安全的重要问题。这篇报告着重强调了培养网络安全专业人才的重要性与必要性，从改善教育问题入手，以期从根本上改变网络安全技能短缺的现状。

2020年，欧盟委员会相继发布了《欧洲技能议程（2020）》（the European Skills Agenda）《欧洲技能公约》（EU Pact for Skills）与《数字教育行动计划(2021—2027)》（the Digital Education Action Plan）。《欧洲技能议程（2020）》是一项针对职业教育与技能培训的计划，旨在提高欧盟技能的相关性，确保培训和终身学习的权利成为整个欧洲各国的现实。2《欧洲技能公约》则是一项针对微电子行业培训和工作人员的技能提升和再培训的计划。根据该计划的指引，欧盟投资20亿欧元到欧洲电子产业集群中，超过 250000 名工人和学生的技能得到提升和再培训。3《数字教育行动计划(2021—2027)》旨在推动欧洲数字化教育改革，提出了“发展高绩效数字教育生态系统”和“提高数字化转型的数字技能和能力”两大战略及十三项行动计划。4一整年内连发3个文件，不断变革教育措施，足见欧盟对于培养数字技能人才的重视。

但是，要解决网络专业人才短缺的问题并非易事。即使改变了教育的政策，也无法彻底解决人才数量不足、人才质量不高的问题。在2022年9月25日，为了早日实现组建一支称职的保障网络安全人才队伍的目标，明确网络安全保障领域内急需的技能，ENISA组织召开了“网络安全技能会”会议，并发布了《欧洲网络安全技能框架》（ECSF=European Cybersecurity Skills Framework）。ENISA 和新的欧洲网络安全能力中心（European Cybersecurity Competence Network and Centre）等主管部门构建了具有开创新的欧盟网络安全监管生态系统。总之，ECSF是ENISA提出的，帮助确定欧洲网络安全技能框架的文件，为制定更加完善的网络安全专业人才培养计划奠定基础。

二、ECSF的概述

欧洲网络安全技能框架（ECSF）是ENISA和ENISA网络安全技能架构特设工作组共同努力的结果，该工作组由来自14个成员国的17名专家组成。第一份草案于2022年4月提交给公众，并与几个研究项目进行了讨论，其中包括为欧洲网络安全中心和能力网络铺平道路的4个欧盟试点项目，以及一个关于技能重写的伊拉斯谟+项目（Erasmus+ project）。

该框架共确定了 12 个与网络安全相关的角色，探索了与这些配置文件中的每一个相关的相关责任、技能、协同作用和相互依赖性，该框架还支持网络安全相关培训计划的设计。在用户手册的支持下——作为基于示例和用例的实用指南——框架打开了一个窗口，展示了它的不同使用方式。该框架的主要目的是建设一支熟练的网络安全工作队伍。另外，该框架的次要目的是在欧盟成员国的个人、雇主和学习计划提供者之间建立共识，使其成为弥合网络安全专业工作场所和学习环境之间差距的宝贵工具。该框架还支持网络安全相关培训计划的设计。

表1 12个与网络安全相关的职位

（一）前六个职位主要任务简介

12个与网络安全相关的主要角色名称如上表所示。CISO负责制定网络安全策略与政策。网络安全策略是一项旨在提高机构基础设施和服务安全性和弹性的行动计划。而网络安全政策是各项保证机构网络安全的措施。网络事件响应者负责制定事件响应计划和网络事件报告。事件影响计划是一套文件化的事件处理程序，详细说明了在响应事故的每个阶段（检测、分析、制止、解决、恢复与事故后）应当采取的措施。网络事件报告则是向公众说明机构受到网络攻击情况与应对措施的文书。合规保障人负责准备合规指南与合规报告。合规指南是指能够全面说明机构合规义务的手册，内容包括了法律、法规、政策或标准。合规报告则是对当前机构架构、行为是否合规的说明。网络威胁情报专家负责制作网络威胁情报指南与网络威胁报告。网络威胁情报指南说明了网络威胁情报的搜集方法与收集工具。网络威胁报告用于明确主要的网络威胁，说明有关网络威胁的发展趋势。网络安全架构师提供网络安全架构图和网络安全架构报告。网络安全架构图是用于保护资产的机构网络安全体系结构的可视化图表。网络安全架构报告则是反映保护系统网络安全所需措施的报告。网络安全审计师制作网络安全审计计划和网络安全审计报告。计划内容包括审计员提出的网络安全审计策略与程序。网络安全审计报告是一份全面评估系统网络安全水平的报告。通过分析系统的优缺点，针对不足之处，提供补救措施，以提高系统的安全性。

（二）后六个职位主要任务简介

网络安全教育者负责制作网络安全意识提升计划与网络安全培训材料。网络安全意识提升计划旨在提高机构对包括网络攻击和网络威胁在内的网络安全问题的警惕，以应对网络安全风险。网络安全培训材料是用于提高个人或机构网络安全认识与意识的教学材料。另外，它还包括培训工具，如工具集或虚拟图像，以支持培训课程中的实践。网络安全实施者制作网络安全事件解决方案，提供工具与方案使得机构免受网络攻击。网络安全研究员制作网络安全出版物，发布以网络安全为主题的研究成果。网络安全风险经理负责制作网络安全风险评估报告和网络安全风险应对计划。风险评估报告会列明网络安全风险识别、分析和评估的结果。网络安全风险应对计划旨在明确降低或控制风险的措施。数字取证调查员制作数字取证分析结果和电子证据。数字取证分析对电子数据进行分析，发现相关证据，识别可能存在的攻击者。渗透测试员制作漏洞评估报告和渗透试验报告。漏洞评估报告是对已存在漏洞进行的分析，而渗透试验报告是分析安全实验中出现的威胁。

（三）十二个职位职责表内容概要

为了进一步实现共同理解，ECSF为12个职位分别制作了标准的职位职责表（Role Profile，见附件表1-表12）。介绍表内涵盖了有关职位的其他名称、简述、任务、成果、主要任务、主要技能、关键知识与e—CF评估。

表2 ECSF职位表的主要内容

1、e—CF评估框架简介

其中，e—CF评估以欧盟ICT人员能力评估框架e-CF(e-Competence Framework)为依据。e-CF框架在2015年4月正式成为欧盟标准，目前已发展到3.0版本。它把所有ICT人员能力分为五大能力域和四十个核心能力项，每个能力项都含有五个熟练级别。该框架不仅为ICT从业人员及管理者提供能力发展的指导，还能在ICT人员的能力预测之中提供帮助。5 e-CF框架还在不同能力领域内描述与划分了能力等级（Level1-Level5）。ENISA此举旨在衔接e-CF框架与ECSF，保证欧盟内各类与职业技能相关的文件之间衔接流畅。

表3 e-CF框架（3.0版）主要内容

2、EQF与e—CF的关系

欧盟职能标准架构（European Qualifications Framework）是一个普遍适用于欧洲的参考框架。EQF旨在比较不同国家及其教育体系的职能标准与教育目标。EQF建立在2008年4月23日通过的《关于欧洲终身学习标准框架的建议》。EQF区分了8种受教育程度，并分出了8个等级。级别划分以知识掌握程度、技能掌握程度、责任感和自主性为标准。EQF第8级对应e—CF Level 5。EQF第7级对应e—CF Level 4。EQF第6级对应e—CF Level 3。EQF第5级、第4级对应e—CF Level 2。EQF第3级对应e—CF Level 1。欧洲框架呈现出体系化的发展趋势，EQF与e—CF联系也更加紧密。有必要分析EQF与e—CF的相关关系。

三、CSF的设计原则

欧洲网络安全技能框架的设计围绕简单、灵活、全面、开放、欧洲以及公正等关键词展开。框架既简单又具有普适性，它可以被公众理解与运用。与此同时，框架内包含着欧洲当局与专家对网络安全、深入的洞见。框架也极具灵活性。通过模块化方法与灵活化结构，框架的每个部分都是可扩展的、独立的。这一特性支持ECSF进一步扩展或链接到其他框架，以扩展其应用空间。这一特性还能满足当局根据情况及时调整框架的需求。框架还具有开放性与公正性。一个来自不同背景的各种专家组成的小组构建了框架。此外，框架开发过程遵循了多视角方法，消除了产生偏见的可能。ECSF充分利用现有经验和结构，并与相关欧盟ICT专业标准和框架保持一致。框架制定依据了欧洲数据与隐私保护法的规定与欧洲劳动力市场现状。

表4 使用ECSF的好处

四、ECSF的应用

ECSF的运用通常可以分为五个步骤：第一，分析（analyse）目标环境的情况。收集并处理与目标环境（组织）有关的网络安全信息以创建基线（baseline）。确定相关方（the parties involved）与总的目标。第二，确定(identify)所要实现的具体目标。根据情况，可以使用ECSF作为一种分类法来识别具体的目标。第三，选择（select）合适的ECSF组件。是否合适与具体情况、制定的目标有关。第四，根据所需，调整所选组件，以适应目标环境和具体情况。第五，将自定义的组件用于目标环境。

以雇佣网络安全人才的机构为例说明五个步骤的具体应用情况。首先，机构应当开展自我评估，分析网络安全现状。其次，确定缺乏处理网络安全问题的人员的数量。再次，从ECSF选择适当的角色与任务，以确定所缺的技能。复次，结合组织的建设情况，更新组织建设目标，以吸纳、培养组织为保障网络安全所需的人才。最后，明确空缺职位。ECSF为网络安全的建设提供了有价值的指导。因此，企业或相关机构可以将ECSF作为一个指南，指导他们快速的确定他们所需要的网络安全角色与网络安全技能。

五、ECSF与欧盟其他标准和框架的联系

与现有的欧盟网络安全有关的标准与框架联系起来是设计ECSF的一个重要原则。这些标准与框架包括：第一，EN 16234-1，即《电子技能框架(e-CF)——欧洲所有行业信通技术(ICT)专业人员通用框架》。EN 16234-1为ICT工作场所所需人才类型提供了参考，并使用欧洲通用语言来描述能力、技能、知识和熟练程度，以便于整个欧洲形成统一性理解。EN 16234-1在ICT职能标准和其他与相关部门有关的框架（EQF、DigComp、ESCO、EQANIE、SFIA、ISO和其他ICT标准）之间提供了保持一致性的联系。第二，《欧洲ICT专业角色介绍（European ICT Professional Role Profiles）》。该文件采用统一格式对ICT专业角色进行描述，包括以下要素：简要说明、任务说明、需交付的成果、主要任务、电子能力以及KPI领域。第三，《欧盟职能标准架构（EQF=European Qualifications Framework）》。作为一种翻译工具，EQF是国家职能标准更容易被理解，也更容易被比较。这一框架有助于提高职能资格的透明度、可比性与可移植性，并使得国家之间的职能资格比较变得可能。第四，《欧洲技能、能力与职业分类》（ESCO=European skills, competences, qualifications and occupations）ESCO旨在向公众提供一本字典，描述、识别和划分与欧盟劳动力市场、教育记忆培训有关的职业和技能，并系统地显示这些职业与技能之间的关系。ESCO与ECSF并不总是呈现一一对应的关系。两者之间的关系可以概括为：是（is）、可能包括（might include）与可能部分包括（might be included）。“是”表示，ESCO可以应映射到相应的ECSF角色，两者都描述了相同的网络安全角色。“可能包括”表示，根据情景，ESCO可能包括ECSF列出的角色简介（指示性映射）。“可能部分包括”是指ESCO可能包括ECSF列出的部分角色简介。（同样属于指示性映射）ESCO有助于提高职业资格的透明度、可比性和可移植性，并使比较来自不同国家和机构的资格成为可能。

表5 ESCO与ECSF的联系

六、运用实例

（一）CONCORDIA H2020项目

网络安全人才，即具备实战技能的安全运维人员与高水平网络安全专家，是应对网络安全空间新挑战队伍的关键人员。不少课程都以培养网络安全人才为目标，但它们都没有定位到具体的网络安全职位。甚至，培训不同类型的网络安全人才的课程用于培训一类网络安全人才(e.g. CISO)。不同类型的网络安全人才有着相似的职位名称，但其受到培训的课程名称却有很大差异。因此，有些课程或培训并不能使学员明白不同职位需要掌握的不同技能。为了解决这一问题，CONCORDIA图应运而生。该图通过展示现在欧洲职业培训和短期课程的结构化信息，提供不同的过滤器，以帮助具体技能发展与职业需求之间更好地匹配。人们可以根据课程时长、授课形式、网络安全等级与行业相关性对课程分类。尽管CONCORDIA图提供了过滤功能帮助受众更快识别感兴趣的课程，但它仍然无法在课程与职业之间搭建直接链接。并且，它也没有考虑到网络安全领域内的具体需求。由于普遍使用非标准的术语，公众与机构很难将招聘要求与应聘者简历履历联系起来。CONCORDIA图旨在建立一个托管所有网络安全人才培训项目（大学课程、博士课程或短期培训）的平台。基于此，平台应尽量使用标准术语进行课程分类。ECSF定义的12个角色为平台提供了标准术语。通过在工作描述、课程描述和职业简介中使用欧盟范围内的共同术语，可以帮助个人选择正确的教育方式，并根据其能力和专业水平筛选适合的职业。

（二）SPARTA H2020 PROJECT

教育提供者们在何为网络安全的具体子领域上产生了分歧。有些提供者非常注重技术培训。然而，有的提供者更加注重意识培训，并关注受培训者对法律与社会是否有足够认识。关键的问题是，受培训的学术不明白培训或学习结束之时其应对从事何种类型的职业。ECSF允许从事教育或培训的机构通过其提供的角色简介审查课程。ECSF还能定义不同职业的核心需要，明确学员需要拥有的关键能力。这能帮助从事网络安全教育或培训的机构制定更具针对性的培养计划。

（三）INCIBE

西班牙国家网络安全研究所（INCIBE）早已认识到网络安全人才的短缺将对网络安全产生不利影响。ECSF的开放性与普适性可以作为西班牙网络安全建设的基本框架。这不仅有利于西班牙实现其人才目标，也有利于加深欧盟与其他国家的合作，一并抵御网络攻击。

（四）欧洲网络安全组织 (ECSO)

自2016年以来，ECSO第五工作组（WG5）一直在从事教育和技能培训工作。WG5旨在通过加强教育、专业培训、技能发展以及提高认识、专业知识建设和性别包容性等行动，为数字欧洲的网络安全保障做出贡献。WG5在工作过程中，发现了网络安全人才培养方案不成体系带来的不良影响。因此，ECSO在反思基础上，结合ECSF提升了教育方法的科学性。

（五）ISC2

（ISC）2CISSP CBK——简称为“知识体”——是指一个合格的网络安全专业人才必须拥有的知识和技能。在从事网络安全人才的教育与培训工作过程中，ECSO反思了欧洲现有的教育和技能提升的方法，并与相关ENISA的发布ECSF建立起联系。（ISC）2 CISSP CBK中的一些内容可以定位部分ECSF职位的内容。这些职位包括：首席信息安全官、网络事件响应者、合规保障人、网络威胁情报专家、网络安全架构师以及网络安全审计师。（ISC）²CISSP CBK映射到ECSF的预期好处是，它将创建更加专业的教育路径。

（六）ISACA

对于从事网络安全保障的劳动者而言，ISACA是他们职业生涯一个很好的跳板，能够帮助他们更好地推进自己的事业发展。ISACA的全称是信息系统审计与控制协会（Information Systems Audit and Control Association），在全球拥有超过165000名会员。ISACA的特点是多样性，ISACA的会员生活与工作在180多个国家。这一特点使得ISACA能够获知更多样的信息，也加深了不同地区会员的交流与联系。ISACA致力于为全球IS/IT社区人员提高终身学习服务，并帮助他们更好地发展职业。6 ESCF明确了具体职位所需的能力。需要注意的是，这些能力不是职业所需的全部能力，仅仅满足了职业最低限度的要求。IS/IT社区人员通过在ISACA中使用ESCF可以明确升职或变更职位所需要掌握的知识与技能。在发现差距之后，IS/IT社区人员可以不断学习以完成网络安全角色之间的转换。

（七）SANS/GIAC

网络和信息（NIS）II指令赋予了欧盟新的任务，致力于在经济领域内使用一种共同的网络安全语言，在部门与成员国之间实现信息共享。ESCF正好提供了一种共同术语。SANS和GIAC理解框架的重要性，并将课程设计与认证规则与框架保持一致。SANS和GIAC使用框架作为模版，为500强企业、政府部门和其他组织设计并开发了网络劳动力培养计划。

附件

表1 CISO简介

表2 网络事件响应者简介

表3 合规保障人简介

表4 网络威胁情报专家简介

表5 网络安全架构师简介

表6 网络安全审计师简介

表7 网络安全教育者简介

表8 网络安全实施者简介

表9 网络安全研究员简介

表10 网络安全风险经理简介

表11 数字取证调查员简介

表12 渗透测试员简介

参考文献

[1] 《信息安全辞典》，上海世纪出版股份有限公司上海辞书出版社，第130页。

[2] 温娟娟：《欧洲技能议程（2020）》政策精要与评价，载《职业技术教育》，2021年第9期，第74页。

[3] 未来半导体 ：《创新型产教融合为半导体》，https://weibo.com/ttarticle/p/show?id=2309404781381124227603，于2022年11月12日访问。

[4] 《数字教育行动计划(2021—2027)》：欧盟数字教育改革内容及启示 ，https://www.sohu.com/a/566940480_670057?_trans_=000019_wzwza，于2022年11月12日访问。

[5] 周冰：《欧盟ICT人员能力评估框架e-CF（e-Competence Framework）》，https://www.doit.com.cn/p/253932.html，于2022年11月12日访问。

[6] 详见ISACA官网：https://www.isaca.org。