网络安全咨询员

职业归属

所属职业：网络与信息安全管理员

职业编码：4-04-04-02

职业分类路径：社会生产服务和生活服务人员 › 信息传输、软件和信息技术服务人员 › 信息通信网络运行管理人员 › 网络与信息安全管理员

“摸清漏洞在哪，心里才踏实。”

一句话定义

专门帮人检查网络和信息系统的安全状况，找出哪里容易被人攻击或泄露数据，然后给出怎么修、怎么防的具体建议，让客户知道自己家数字资产到底安不安全。

常见叫法：平时也叫安全顾问，或者渗透测试团队里做售前和报告解读的那部分人，侧重把技术发现翻译成客户能听懂的风险和办法。

似曾相识

就像家里请人来检查门窗结不结实、煤气漏不漏，只不过看的是公司的网站、系统和数据存放得安不安全。

要是没这工种，企业花了大价钱买安全设备却不知道配得对不对，出了事也不知道是哪里漏的，保险理赔都扯不清。

不是替客户把漏洞修好的，修是客户自己技术团队或者另外请实施方动手，这边只管把脉开方。

主打工作

接受企业委托，先审对方资质和产品基本情况，判断这单能不能接、要派什么级别的人去。
摸清客户网络和信息系统的家底，用工具加人工手段找漏洞，验证能不能真的钻进去。
把技术发现整理成报告，说清楚哪里危险、有多危险、大概怎么修，让客户管理层听得懂。
帮客户定安全事件的应急办法，出事的时候知道先断哪、找谁、保什么。
定期回头看，查客户修完以后是不是真的堵上了，有没有新冒出来的口子。
采集分析历次检测的数据，给客户提优化建议，哪块投入该加、哪块可以减。
精力分配摸底检测和验证大概占四成，写报告和跟客户解读占三成，定方案和回头看占两成，剩下杂事占一成。

工作场景

一般在写字楼会议室或者客户机房现场作业，远程时在自己公司或家里连VPN。

周围摆着电脑、测试设备，屏幕上跑着扫描进度，墙上有时贴着客户内网拓扑草图。

天天和客户的信息部门负责人、管合规的法务或风控、还有自家技术实施的人打交道。

容易混淆的工种

协作工种

信息安全测试员一起干活时，那边负责动手打进去验证漏洞，这边负责把结果翻译成风险报告和客户沟通。

网络安全管理员检测完出报告，得找对方管日常运维的对接，告诉他们哪要修、怎么优先排期。

数据安全管理员碰上客户数据泄露风险，和对方一起核对数据存在哪、谁有权限、流转到哪步了。

网络与信息安全管理员大项目里客户内部安全团队通常归在这块，两边一起定检测范围、协调现场配合。

工作时间

平常按项目走，有活的时候集中突击，没外派任务时在公司整理材料，大体朝九晚六但赶交付会连轴转。

节假日看客户行业，金融政务类客户年底节前要赶检查，自己反而忙；平时周末相对正常，但出安全事件得随时应。

怎么入行

这行大多数人是从网络安全或计算机相关专业毕业进来的，学校里的底子是敲门砖；社招转行的也有，但得先证明自己懂网络协议、会看常见漏洞，通常考过网络安全行业的水平评价类考试才拿得到入场券。对身体没有特别硬的要求，能正常坐班出差就行。上岗以后还要持续跟新出的攻击手法和合规要求，这不算入行门槛，是干下去的本能。