网络安全劳动力发展报告（译文）

美国网络空间日光浴委员会2.0 刘国山 译

（中国电子科技集团公司第三十研究所，四川 成都 610041）

0 引 言

十多年来，许多报告都指出，美国政府以及全国上下的网络人员缺口日益增长，并就如何填补这种缺口提出了一些战略和建议，然而这些战略和建议往往都被束之高阁。在国会的指示下，网络空间日光浴委员会（Cyberspace Solarium Commission，CSC）于2020 年9 月发布了一份关于网络劳动力的白皮书，其中点明了当前劳动力发展工作面临的系统性障碍：缺乏集中的领导机制，联邦政府内部协调不力，没有围绕优先事项和资源制定联邦层面的战略文件，以及不合理的组织结构导致效率低下等。尽管美国也在联邦政府层面和国家层面启动了一些项目，期待以此促进网络劳动力增长和改善网络人员的多样化水平，但在这些系统性障碍的影响下，这些项目并未充分发挥自身潜力。

虽然这些建议以联邦政府为重，但不论是联邦政府还是全国上下的网络人员，他们归根结底都来自同一个专业圈子，因此只有同时满足联邦和全国需求的方法，才算得上行之有效的方法。鉴于此，报告概述了面向私营机构领导人的行动建议，以便使私营机构既能支持国家网络总监的优先工作事项，又能从更广泛的角度支持美国的网络劳动力发展。

1 联邦网络劳动力发展愿景

报告提出的种种建议，都是为了以足够协调、足够重视和足够多样化的方式，帮助美国政府打造一支专业且成熟的网络队伍，而这就需要依据明确的数据和一致的指标来制定政策。联邦政府所有相关部门和机构都应赋予人事主管必要的权限，以便各部门和机构能够灵活地招募网络团队成员和确定薪酬。需要指出的是，美国政府已经意识到，若由来自不同的人群和地区且学习来源和专业经验各异的人员组成团队，该团队的表现将胜过成员组成单一的团队。美国政府还应推动员工在不同的联邦机构之间调岗，甚至在公共部门与私营部门之间来回流动。此外，美国政府中人事主管应将各种共享资源用于员工的学习和职业发展，并根据员工的具体任务和需求制订相应的学习计划与职业发展方案。最后，联邦政府提供的各类网络岗位应足以吸引对工作充满热忱的新人、经验丰富的老手乃至身份各异的众多专业人士，这样才能使所有利益攸关方都从中受益。

2 当前联邦网络劳动力发展环境的特点

目前，联邦网络劳动力发展环境面临的挑战如下文所述。

2.1 人群多样性不足

正如联邦领导人所表述的那样，网络劳动力在各个层面都与多样性进行斗争，特别是在领导角色方面。现有数据表明，网络劳动力中的黑人、西班牙裔、美洲印第安人、阿拉斯加土著和夏威夷土著的占比偏低，而网络劳动力中的妇女仅占网络安全工作队伍的24%左右。与美国其他劳动力相比，联邦工人的平均年龄更大，男性居多，并且拥有大学学位。

2.2 部门间缺乏协调性

在整个联邦政府中，有许多正在进行的项目、实践社区和良好工作的例子。例如，国家标准与技术研究所（National Institute of Standards and Technology，NIST）下设的一个办公室建立了社区和机构间协调委员会，并制订了实现共同目标的实施计划。同样，联邦网络劳动力管理和协调工作组专注于更新网络职业发展计划、工具和资源，以提高联邦政府网络劳动力的流动性和技能可移植性。因此，联邦和全国网络劳动力发展工作之间具有一定的协调性。然而，现有的网络安全工作一般仅在部门内部进行，而并非跨部门进行，因此缺乏一个能够统筹优先次序、协调跨部门权限的高级别部门。这导致了部门间工作重复、指导相互冲突和错失机会。此外，由于联邦政府没有出台相应的支持策略，导致不同领域之间的资源分配工作开展不畅。

2.3 数据来源不足

因为缺乏准确的数据，网络劳动力发展专家很难衡量不同的政策对联邦网络劳动力的影响。2015 年颁布的《联邦网络安全劳动力评估法案》尝试解决这一问题。然而，在实践中，各部门之间的数据收集类型、方法不一致，且缺乏共享机制，难以发挥现有数据的效用。此外，该法案也没有要求各部门报告其目标雇佣人员的资质水平，因此无法清楚地评估未来劳动力的预算，除非个别组织在法律要求之外实施自己的数据收集工作。该法案也仅限于联邦，而不是国家网络劳动力。

2.4 网络人才管理能力有限

一些部门和机构，特别是国防部和国土安全部，已经开发了自己的系统，以提高招聘和其他人事行动的灵活性，同时遵守联邦法律，例如确保招聘的公平性。然而，其他联邦机构通常不具备类似的能力，随着这些机构开始争夺合格的网络人才，加剧了本已困难的网络招聘。

2.5 招聘和人事管理人员有限

当人事管理团队规模太小时，创新性招聘就无法大规模进行。人事管理办公室（Office of Personnel Management，OPM）的专家负责在一个严重缺乏灵活性的官僚机构中培养创新，以建立适用于许多而且不同于联邦部门和机构的系统。即使是专注于网络招聘的联邦机构，特别是网络安全和基础设施安全局（Cybersecurity and Infrastructure Security Agency，CISA），也没有相应的支持来完成此等规模的招聘任务。

2.6 结构性制约因素

传统机制认为，应聘者必须具备一定的学位或证书才能胜任工作，或认为晋升应以在职时间而非工作能力为基础，这对大多数领域都是一个障碍。在网络劳动力中，这些传统机制严重影响了招聘及有效的人才管理。实际上，网络专业人士往往拥有意想不到的背景，技能通常是自学或在工作中获得的，或者是在服兵役后获得的。因此，网络专业职业道路可以采取许多不同的转变，专业人士可以以不同的速度发展，这取决于他们所处的环境和背景。雇佣、薪酬和晋升的传统机制极大地限制了选拔人才的灵活性，也扼杀了部分人才的创造性。

3 对国家网络主管的建议

国家网络主管（National Cyber Director，NCD）的职位和相关办公室是由《2021 财年国防授权法案》设立的，目的是“担任总统在网络安全和政策及战略方面的首席顾问”，包括负责联邦部门和机构的人事和出台管理方案。国会旨在让NCD 在应对网络劳动力挑战方面发挥领导作用，其应对联邦政府网络劳动力发展挑战的建议如下文所述，以帮助NCD 为联邦政府应对网络劳动力发展而带来的挑战，并协调联邦在全国范围内劳动力发展中的作用。

3.1 建立持续的网络劳动力数据收集和评估流程

确定优先事项和跨机构分配资源需要准确衡量网络劳动力需求。为了履行国家发展委员会的法定职责，对联邦部门和机构的“组织、人员和资源分配的变化”提出建议，国家发展委员会必须能够识别出部门或任务由于工作人员的能力或数量而受到特殊限制的区域。与此同时，确定联邦网络劳动力发展计划，为更好地解决劳动力差距提供了可靠的劳动力纵向数据，具体行动如下文所述。

3.1.1 NCD 和OPM 为网络员工数据收集提供更多支持

在最大限度上，NCD 与联邦部门和机构的负责人以及招聘经理合作，同时必须努力在职业分类、工作要求和其他衡量劳动力的手段方面达到一致的标准。要做到这一点，就需要对所收集的数据进行持续审查，并对进行审查的部门和机构提供集中的、容易获得的支持。OPM过去一直扮演着这一角色，但国家发展委员会可以帮助其加强资源收集，以确保OPM 可以迅速满足各部门和机构的支持或信息要求。

3.1.2 NCD 应与联邦部门及机构负责人合作，确保数据任务的问责制

随着各部门和机构持续开展和改进数据收集工作，国家发展委员会可以确保高层关注解决可能出现的挑战，解决导致数据延迟的障碍，并改善整个政府的问责制。特别是，NCD 可以与OPM、各部门及机构合作，确保劳动力评估包括计算达到人员配置目标所需的网络专业人员的数量，以及计算开放的岗位（空缺）和关键需求的工作角色。

3.1.3 NCD 应与OPM 合作，共享联邦网络劳动力数据

关于反映联邦网络劳动力趋势的高层次的综合数据应该被公开，以使合作伙伴、政府的利益相关者和求职者能够确定劳动力最需要的领域。一个互动的联邦网络劳动力仪表板将为招聘经理提供基线，以评估当前劳动力发展方向的有效性，并为新的招聘和劳动力发展举措提供数据驱动的洞察力。数字仪表板也可以与报告平台相结合，以协助OPM 从联邦部门和机构收集网络劳动力的数据。NCD 可以与OPM 合作，扩大现有优势，提升招聘效率。

3.1.4 NCD 应与国家科学基金会合作，增加关于国家网络劳动力的数据

与联邦政府情况相同，在整个国家网络劳动力中，关于劳动力组成和动态的数据较少。国家科学和工程统计中心（National Center for Science and Engineering Statistics，NCSES）隶属于美国国家科学基金会，该中心的任务是提供关于科学和工程劳动力的统计信息。此外，国家发展委员会应与国家科学基金会合作，确保NCSES有专门的人员提供国家网络劳动力的统计信息，并确保提供赠款，以便对网络劳动力的驱动力和动态进行学术研究。在这些举措中，一个关键的优先事项应该是确保所收集的数据在最大限度上与《国家网络安全教育倡议战略计划》（National Initiative for Cybersecurity Education，NICE）框架保持一致，并与现有的NIST 资助工作相辅相成。

3.2 建立领导和协调部门

联邦政府已经制订了许多与网络教育和劳动力发展有关的计划，但各部门的分工是分散的。为了最大限度地利用现有资源，并为部门间更有效的协调铺平道路，国家发展委员会应为联邦网络劳动力发展工作建立领导和协调部门。为了提供高水平的工作协调，同时仍然允许当前倡议的创新生态系统蓬勃发展，新的部门需要提供一个具有权威的指导能力、促进透明度和参与力的论坛。

3.2.1 NCD 应设立并主持网络劳动力指导委员会

网络劳动力指导委员会将提供领导层面的战略指导，同时还需要“协调各机构间的作用和责任”。委员会还将就资源的分配提供建议，并确保对战略优先事项的问责和进展。委员会将由固定的成员组成，代表来自国家发展委员会（主席）、监察部、总理办公室、国家标准与技术研究所、国土安全部、国家科学基金会、国防部、教育部和劳工部。

3.2.2 NCD 应设立网络劳动力协调工作组

网络劳动力协调工作组将负责确定在网络劳动力的发展工作中各部门的角色和责任，在可能的情况下分享信息和资源，并制定潜在的新工作路线。该工作组还将负责确保指导委员会对所有新的网络劳动力发展计划进行指导，确保所有工作与指导委员会的战略指导保持一致，并根据其在整体战略中的作用获得适当的资源。由指导委员会任命工作组的主席，采取轮流任职形式，工作组的成员将向所有联邦部门和机构招募。当前，工作组已经形成了一个强有力的模式。

3.3 审查和调整网络劳动力预算

根据法律，NCD 不仅负责“监测和评估网络政策实施的有效性，包括成本效益”，还负责“审查相关联邦部门和机构的年度预算提案”。此外，NCD 负责联邦网络安全的副总还担任联邦首席信息安全官，驻在管理和预算办公室（Office of Management and Budget，OMB）。这种“双重身份”的安排使该官员能够充分地利用专业知识，审查相关联邦部门的年度预算提案、提出调整支出计划的建议，以确保联邦政府在网络劳动力方面的投资最大化。国家发展委员会应与OMB 合作，确保动态变化，使战略成为资源分配的主要驱动力。

由于网络劳动力计划往往在利益相关者找到可用资源的地方扎根并增长，因此资金的可用性一直是项目增长的主要驱动力。预算编制和拨款过程在很大程度上参考了前几年的支出方式，使得资金支出模式变得更加根深蒂固，因此改变这些模式需要非常慎重的行动。NCD应与OMB 合作，确保动态翻转，以使策略（而不是可用性）成为资源分配的主要驱动因素。

NCD 应该与OMB 合作，通过彻底审查网络劳动力计划的项目预算，突出并解决战略目标、成果与当前支出之间的不一致问题。此外，通过提供一个更清晰的方案，展示资金和战略目标之间的整体联系。为了对联邦网络人员短缺带来的风险确定预算，需要广泛了解网络事件的潜在成本，以及每个部门、办公室及个人对事件的预防、响应和恢复能力，OMB 和国会拨款委员会必须平衡许多相互竞争的优先事项，这对NCD 的网络风险洞察能力和网络劳动力的投资水平提出了相当高的要求。

3.4 为联邦政府制定网络劳动力发展战略

为联邦政府制定网络劳动力发展战略的呼吁并不新鲜。十多年前的研究以及美国国家公共行政学院最近的一份报告也呼吁这样做。NCD为联邦政府制定的网络劳动力发展战略可以借鉴其他利益相关者的重要基础工作。特别是NCD 在2016 年7 月公布的OMB 备忘录，其中规定了第一个联邦网络安全工作人员战略。备忘录概述了总体目标（如“确定网络安全工作人员的需求”和“通过教育和培训扩大网络安全工作人员储备”）以及对现有项目的改进方案。首席信息官委员会劳动力委员会持续对联邦IT劳动力问题给予更多关注和精力。《尼斯战略计划》（NICE Strategic Plan）也整合了国家网络安全劳动力发展社区的广泛意见。

NCD 应该与OMB、国会和指导委员会合作，并与其他工作小组协商。NCD 在为联邦政府制定网络劳动力发展战略时，应重点考虑：确定联邦网络劳动力发展工作的优先事项，包括促进联邦网络劳动力的多样性；明确联邦各部门和机构的角色和责任；制定要求和时间表，提出对网络劳动力发展工作的期望，以推动各部门和机构内部的问责制，并确保在现有资源下的可行性；规划长期投资，以建立教育能力和加强网络职业意识；为可能正在制定相邻战略的外部利益相关者（如州、地方、部落和领土政府）提供具体计划指导；突出网络劳动力潜在的创新优先领域；确定战略的资源需求。

3.5 改进网络招聘机构并在政府范围内灵活支付薪酬

与一些直接雇佣机构一样，薪酬存在灵活性，但并不能够完全满足部门和机构的需求。OPM 创造了薪酬灵活性，作为网络招聘和保留人才的重要工具。联邦学生的贷款偿还计划和其他激励措施等福利可以与这些IT 特定职业之外的标准挂钩。例如，联邦雇主可以为符合NICE 框架的一组职位提供一笔留任激励，可高达基本工资的10%。然而，招聘和留任激励不同于特殊工资率，特殊工资率将提高部分员工的基本工资率。尽管私营部门之间对网络员工存在竞争，但由于没有预先制定的特殊薪酬标准，招聘经理提高其网络员工基本薪酬的能力有限。

NCD 应与OPM 合作，使政府范围内的网络特定编码结构、雇佣授权和特殊工资率现代化；NCD、OMB 和OPM 应该合作，并与部门和机构领导人不断协商，以提高联邦网络雇佣的灵活性和敏捷性，必要时可以与国会合作；NCD 应与OPM 合作，在政府范围内建立一支受过网络招聘和人才管理培训的人力资源专家队伍，负责填补职位上的人才空缺，为前述工作提供人员和资源支持；NCD 应与OPM、OMB 和拨款委员会合作，确保充足的资源；OPM 需要国会拨款人的支持，以资助创建这些新结构所需的额外人员和资源。在努力缩小联邦政府传统的招聘方式与各部门和机构在其网络人才管理中所需的灵活性之间的差异时，OPM 还需要让NCD成为其支持者。

4 向国会提出的建议

为了支持联邦网络劳动力的发展，国会应采取以下行动。

4.1 国会应修订2015 年《联邦网络安全劳动力评估法案》

对2015 年《联邦网络安全劳动力评估法案》的修订将大大改善联邦网络劳动力的数据质量。作为首要任务，国会应将2022 年即将结束的《联邦网络安全劳动力评估法案》延长到至少2027年。然后，国会应要求各部门和机构，除公布目前要求的关于关键需求的工作角色的信息外，还要统计对达到人员配置目标（有资金和无资金）所需的网络专业人员的数量，以及空缺的网络职位数量，这有助于改善长期的劳动力规划工作。

4.2 国会应增加对CyberCorps 服务奖学金的支持

为了推进这一关键计划，国会可以采取以下3 项单独行动。

4.2.1 适合长期增长

除了通货膨胀因素，服务奖学金（Scholarship for Service，SFS）项目从2012 财年到2022 财年的总预算增加了581 万美元，鉴于目前网络劳动力短缺对国家安全造成的显著影响，联邦政府应对这种短缺的核心支柱项目增长如此有限，令人震惊。这说明该计划的结构具有良好的扩展性。《2022 年美国竞争法案》概述了一个拨款计划，到2026 财年将达到9 000 万美元。CSC之前建议在一年内而不是五年内将该项目的预算增加2 000 万美元。在历经网络劳动力发展项目多年来的最低增长之后，任何大幅增长都是值得欢迎的。

4.2.2 扩大而不是复制

作为SFS 成功的证明，已经出现了在相邻研究领域复制这一理念的提案。NSF 与其建立多余的核心结构，冒着分割稀缺资源的风险，不如将其他新兴技术领域纳入现有的SFS 项目。事实上，SFS 已经增加了纳入这些主题的新项目。

4.2.3 专注于分布式教育

SFS 以培养联邦网络人才而闻名，同时它还具备一个次要功能。通过SFS，赠款被授予机构，而这些机构可以使用小部分赠款建立其网络项目。其余的必须用于为学生提供奖学金。虽然用于项目建设部分可能比奖学金少，但当它被用来建设参与机构现有的基础设施时，可以极大改善国家网络教育能力。利用这种分布式教育模式在其所有受资助者中进行能力建设，SFS计划为全国各地的学生和社区提供了帮助。

4.3 国会应提供激励措施，将初级人才培养成中级人才

国会可以激励雇主雇佣和投资初级雇员，以此来增加未来的中级专业人才库。这种激励措施包括为开展网络人才培训的雇主发放补助金。特别是赠款可以优先考虑那些为雇主提供有益的概念验证的非传统项目。同样，国会可以将资金提供给培训的合作伙伴，以鼓励有经验的合作伙伴发展，并使这种选择成为可能。刺激有经验的合作伙伴发展，可以使其他私营部门的雇主更容易做出这种选择。其他激励措施还包括将联邦合同的优先权授予那些具备良好培训能力的公司。

4.4 国会应努力明确网络劳动力发展的角色和责任

如上所述，NCD 在网络劳动力发展方面面临的主要挑战之一是不同的联邦部门和机构各自的角色不明确。通过明确战略和领导结构，NCD 可以解决这个挑战的大部分问题，然而，没有国会的支持是做不到的，因为这些角色的授权从根本上说属于国会的管辖权。当不同的委员会和成员致力于解决网络劳动力的差距时，授权重复和项目竞争依旧存在。正如在网络问题上缺少明确的管辖委员会一样，在网络劳动力问题上也缺少明确的管辖委员会，这加剧了目前各部门和机构之间角色和责任的交错。

4.5 国会应监督每个部门和机构的联邦网络劳动力发展

在缺少专门的国会网络安全授权委员会的情况下，国会对联邦网络劳动力发展的关注往往聚焦在对网络安全各方面有重要监督作用的多个委员会身上。然而，这些并不是专门负责网络劳动力监督的委员会。每个联邦部门和机构都在网络安全方面发挥着作用，因此每个部门都应该考虑其在网络劳动力发展方面的资源。在较大的联邦机构中，这种作用可能会发展到涉及数百甚至数千名专门的网络雇员。此外，作为部门风险管理机构（Sector Risk Management Agencies，SRMA），支持国家关键基础设施网络安全的部门需要特定的内部网络人才来管理公共和私人合作。SRMA 包括农业部、环境保护局和总务管理局等机构。在执行其监督职能时，国会应该询问每个联邦部门和机构关于其网络劳动力的需求和资源要求。国会可以通过行使其监督作用来鼓励跨机构的劳动力实践、协作和创新，从而进一步支持NCD。

4.6 国会应在政府范围内设立网络例外服务机构

在没有新授权立法的情况下，最有利的做法是创建政府范围内的网络例外服务。该方法通过创建网络劳动力系统，最大限度地提高联邦政府在招聘和管理网络人才方面的灵活性。这种方法可以显著提高联邦政府吸引和留住自学成才、社区学院毕业生以及许多具有公共服务意识的专业人士的能力。对于这些专业人士来说，最大的招聘激励是不断发展和提高技能，但他们认为离开私营部门所带来的减薪是不合理的。因此，应尽可能地与NICE 框架保持一致，以应对该系统在网络劳动力标准和规划方面面临的挑战。

4.7 国会应增加现有网络劳动力发展工作的拨款

虽然创新和制订新的联邦劳动力计划是至关重要的，但国会也应注重和支持已经授权的计划。国会已经授权其他几个非常有前途的项目，但许多现有项目仍然缺乏足够的资金。

5 对私营部门的建议

网络劳动力发展不能只在政府的行动中推进。公共部门的网络劳动力是国家劳动力的一个子集。因此，NCD 必须成为联邦部门和机构社区的一部分，与私营部门等合作伙伴一起应对国家网络劳动力的挑战。私营部门应增加对网络劳动力的投资，开发共享资源。

6 结 语

本报告立足于2020 年的CSC 调查结果，并充分借鉴了美国政府、私营部门、非营利机构和学术界此前的许多重要工作，其中包括联邦首席信息官（Chief Information Officer，CIO）理事会在2020 年开展的信息技术劳动力发展工作、NICE，以及由“联邦网络劳动力管理与协调工作组”制订的相关战略和执行计划等。