一家中型互联网公司的网络安全负责人上周跟我吐槽，他们招一个渗透测试工程师，安全岗位挂出去三个月，缺口收到的网络简历不到十份，能约来面试的安全只有两个。其中一个在面试前夜被另一家公司加价30%截胡了。缺口“我现在都不敢开新项目，网络人不够，安全漏洞没人挖，缺口日志没人看。网络”他说这话时语气平淡，安全像是缺口已经认命了。

这不是网络孤例。翻翻各大招聘平台，安全网络安全相关岗位的缺口发布量每年都在涨，但投递量却跟不上。工信部之前有个数据，说国内网络安全人才缺口到2027年可能达到327万。327万是什么概念？差不多相当于整个冰岛的人口都在找网络安全工作。当然数字可能有点夸张，但方向是对的——缺人，缺得厉害。

缺的还不是“会装防火墙”的人。真正难招的是能实战的。比如能独立做红队评估的，能逆向分析恶意样本的，能应急响应时快速定位攻击链的。这类人市场上就那么一小撮，大厂在抢，安全公司在抢，连甲方自己都在内部培养。我认识一个做威胁情报的哥们儿，三年换了四份工作，每次跳槽薪资涨幅没低于40%。他说他也不想这么频繁跳，但猎头电话实在接不过来。

高校这边呢？每年网络安全相关专业毕业生不少，但企业普遍反映“不好用”。课程偏理论，实验环境老旧，很多学生到毕业都没碰过真实的攻防场景。有个CTF战队的老队长跟我聊过，他们战队里技术最强的几个人，没一个是课堂上教出来的，全是自己熬夜刷题、打比赛、挖漏洞练出来的。学校教的那点东西，应付考试可以，应付真实攻击远远不够。

企业自己培养？成本高，周期长，而且培养出来还容易被挖走。一家金融公司的安全总监算过账：招一个应届生，培养到能独立干活至少一年半，这期间工资、培训、试错成本加起来大几十万。人刚能上手，竞争对手开高薪来挖，走还是不走？不走，薪资倒挂；走，前期投入打水漂。他说他现在宁愿花高价招熟手，也不愿意从头带人。

还有个问题很少被摆到台面上说：很多甲方对安全岗位的定位就是“背锅侠”。不出事的时候觉得你花钱不产出，出了事第一个拿你问责。薪资天花板低，晋升通道窄，干几年要么转管理要么转售前。真正愿意沉在一线搞技术的人越来越少。我见过好几个技术不错的年轻人，干了三四年就转去卖安全产品了，问就是“写报告比写exp赚钱”。

短期看，这个缺口靠市场自己调节很难补上。培训机构的速成班倒是不少，但三个月出来的“渗透测试工程师”，连SQL注入和XSS的区别都说不清楚。企业不傻，面试几个问题就能筛出来。真正能打的人，还是得靠时间、项目、实战一点点喂出来。而现在的节奏是，项目越来越多，攻击面越来越广，留给“喂”的时间却越来越少。

所以现状就是：岗位多，简历少；简历多的，能用的少；能用的，留住的更少。这不是一个靠喊口号或者发文件能解决的问题。它需要钱、时间，以及整个行业对安全岗位价值的重新认识。在那之前，安全负责人半夜被叫起来应急的日子，还得继续。