信息安全测试员💠 数字职业

职业信息

所属中类：信息传输、软件和信息技术服务人员

职业编码：4-04-04-04

职业分类路径：社会生产服务和生活服务人员 › 信息传输、软件和信息技术服务人员 › 信息通信网络运行管理人员 › 信息安全测试员

“在裂缝里找光的人，眼里全是暗处的纹路。”

一句话定义

专门帮人检查网络和信息系统有没有安全漏洞、会不会被人钻空子、个人信息有没有被乱用的人。

常见叫法：俗称渗透测试工程师，行业里也叫白帽子，就是专门模拟坏人攻击方式来找系统毛病的人；也有人叫安全审计，偏检查合不合规矩那一路。

似曾相识

就像给房子做安检，不是看装修好不好，是看门锁能不能被撬、窗户能不能爬、有没有暗道能溜进去。

要是没这行，网上银行的钱可能莫名其妙没了，医院病历随便谁都能翻，手机里的照片和聊天记录全摊在陌生人眼前。

不是修电脑的，也不是抓网络罪犯的警察，更不负责给系统装杀毒软件。

主要工作任务

【摸清底细】琢磨网络和系统攻防那套技术怎么变的，跟上新花样。这是为了知道坏人现在用什么招，才能提前防住。
用工具和技术手段收集要测的目标信息，摸清它的门朝哪开、墙有多厚。这是为了知道从哪下手最可能发现问题。
【定方案动手】根据摸清的情况，定好怎么测、测哪些、先测哪后测哪。这是为了不瞎撞，把时间花在刀刃上。
用专门工具扫描，定位系统哪里有漏洞，再人工核实是不是真的有问题、严重到什么程度。这是为了不被假警报带偏，确认风险实打实存在。
再深入一点，真的试着攻进去，看漏洞到底能造成多大破坏、会不会一串全垮。这是为了知道最坏情况有多坏，不是只停留在纸面报告。
【收尾说话】把测出来的东西写成报告，讲清楚哪有问题、怎么修，帮着把窟窿补上、把系统改结实。这是为了让修的人看得懂、改得对。
检查手机软件和联网设备在开发、运行的时候，个人信息有没有被乱收、乱传、乱存。这是为了让人知道自己的数据被怎么对待了。
检查系统符不符合国家定的安全规矩和标准。这是为了出事的时候能说得清楚、扛得住查。

工作场景

主要在写字楼、科技园区的办公室里坐着干活，偶尔去客户现场，有时候在家远程连过去测。

周围是好几块屏幕，开着各种工具和代码窗口，桌上常备咖啡，晚上比白天安静。

最常和开发软件的人、管服务器的人、做合规检查的人打交道，有时候也跟公司高层汇报。

容易混淆的工种

协作工种

网络与信息安全管理员一起确认漏洞修没修好、复测验证，日常告警里可疑的也互相通气。

计算机程序设计员一起过漏洞怎么修、代码怎么改，有时候从开发阶段就介入，把安全问题掐在源头。

工作时间

项目来了就紧，没项目就松，赶进度的时候连续熬夜不稀奇，闲下来也能正常下班。

节假日系统照样跑，重大活动前反而更忙，得守着或者提前测完，真正放假要看项目节点。

怎么入行

这行大多数人是从计算机、网络安全相关专业毕业进来的，学校里学过编程、网络、操作系统这些底子，再自己钻研攻防技术、拿一些行业认可的技能证书，慢慢从助理做起。也有不少人是从做运维、做开发转过来的，干着干着发现对找漏洞更上瘾，就偏过来了。脑子要转得快、能坐得住琢磨细节，眼睛盯屏幕盯久了不能晕，这行对身体没特别硬性的门槛，但逻辑跟不上确实干不了。不同方向差得远，偏技术攻防的和偏合规检查的，进来的路子和要补的课不太一样。