内容摘要：2023年，一家头部互联网公司的安全部门开出了年薪80万招聘渗透测试工程师，岗位挂出去三个月，收到的简历不到20份，其中真正能通过技术面试的只有2人。这不是个例。工信部数据显示，网络安全人才缺口已突破

2023年，网安一家头部互联网公司的全国缺口安全部门开出了年薪80万招聘渗透测试工程师，岗位挂出去三个月，网安收到的全国缺口简历不到20份，其中真正能通过技术面试的网安只有2人。这不是全国缺口个例。工信部数据显示，网安网络安全人才缺口已突破300万，全国缺口而每年高校相关专业毕业生只有不到3万人——这个数字还在被大量转行做开发、网安运维的全国缺口毕业生稀释。

缺口最大的网安不是顶层的安全专家，而是全国缺口中间层的实战型工程师。我认识一个在乙方安全公司干了五年的网安朋友，他吐槽说，全国缺口现在招人比找客户还难。网安客户那边催着要交付，这边简历池里捞上来的要么是只懂理论的新人，要么是干了几年还在写基础扫描脚本的“伪资深”。真正能独立分析恶意流量、能手工挖掘漏洞、能扛住红蓝对抗的人，在市场上几乎是抢手货——这种人往往还没离职，就已经被三家猎头盯上了。

为什么缺口这么大？高校教育脱节是直接原因。大部分高校的网安课程还停留在密码学原理、防火墙配置这些十年前的内容，实验环境用的是模拟靶场，跟真实的攻防对抗差了十万八千里。有个985高校的网安硕士跟我抱怨，他研究生三年最常做的事是帮导师写项目申报书，真正接触真实攻击样本的时间加起来不到一个月。毕业时连Wireshark的过滤器都写不利索，更别提分析APT攻击了。

企业的用人标准也出了问题。很多公司招聘时把CISSP、CISP这些证书当硬门槛，可考过这些证书的人往往偏重合规和管理，实际渗透能力堪忧。我见过一个持证的安全经理，连SQL注入的payload都看不懂，却拿着40万年薪负责整个系统的安全策略——这种错位让真正有实战能力的人反而被卡在门外。

还有个被忽视的因素是地域分布失衡。北京、上海、深圳的安全岗位占了全国的六成以上，但二三线城市的政企单位同样需要安全人才。我老家一个三线城市的银行信息部，想招个能独立做等保测评的人，开价1.5万月薪，愣是半年没招到。本地高校培养的毕业生宁愿去一线城市送外卖，也不愿意留在当地做安全——因为看不到职业上升路径，也没有技术交流圈子。

这个缺口的背后，其实是个供需错配的典型困局。企业喊着招不到人，求职者喊着找不到工作，中间隔着的是技能断层和认知错位。要想填上这300万的坑，光靠高校扩招没用，得让教育跟上攻防实战的节奏，让企业的用人标准回归技术本身，也得让安全人才在非一线城市有生存和发展的空间。否则，这个数字只会越来越大——而每一次数据泄露事件背后，都是这些空缺岗位本应挡住的风险。