网络安全招聘岗位

打开招聘软件，网络搜“网络安全”，安全跳出来的招聘岗位数量能翻好几页。但真正点进去看，岗位会发现一个怪现象：招人的网络公司很多，投简历的安全人也不少，双方却都在抱怨——公司说招不到合适的招聘人，求职者说找不到合适的岗位工作。问题出在岗位描述上。网络

我翻过上百份网络安全招聘JD，安全发现一个普遍毛病：写JD的招聘人自己可能都不清楚这个岗位到底要干什么。比如“网络安全工程师”这个title，岗位有的网络公司要的是会配防火墙、看日志的安全运维，有的招聘要的是能挖漏洞、写exp的渗透，还有的要的是写等保报告、陪审计的合规人员。三个方向，技能树完全不搭边，却共用一个岗位名称。求职者海投，HR海筛，效率低得离谱。

渗透测试岗：不是会用工具就行

“熟练使用Burp Suite、SQLMap、Nmap”——这句话几乎出现在每一份渗透测试的JD里。但工具只是门槛。我见过一个候选人，工具用得飞起，给他一个登录框，五分钟甩了二十种payload，全被WAF拦了。问他怎么办，他说换工具。再问，他说上代理池。再问，他说不知道了。

真正的渗透岗要的是思路。目标是什么？是拿权限、是找数据、还是验证某个逻辑漏洞？不同目标打法完全不同。一个合格的渗透工程师，拿到一个目标，先做信息收集，看资产范围、看技术栈、看历史漏洞。工具是辅助，脑子才是主力。JD里如果只写工具要求，不写“具备独立漏洞挖掘能力”或者“能复现CVE漏洞”，那大概率招来的是脚本小子。

安全运维岗：值班和应急是两码事

很多公司招“安全运维”，实际工作内容是7×24小时看告警。这活儿技术含量不高，但扛不住量大。一个人盯十块屏幕，告警响了就按流程走，该封IP封IP，该上报上报。这种岗位JD通常写“熟悉SIEM、IDS/IPS设备”，但不会写“能承受夜班压力”。

真正难招的是应急响应方向。出了安全事件，比如服务器被挖矿、数据被加密勒索，需要有人能快速定位入侵路径、清除后门、恢复业务。这种岗位要求懂Windows/Linux应急、懂流量分析、懂日志溯源，还得能写报告。JD里如果出现“具备入侵排查经验”或者“熟悉ATT&CK框架”，那才是靠谱的应急岗。可惜这类描述太少，大多数公司把应急和值班混在一起招，结果就是招来的人只会看告警，出了事还得请外援。

合规与等保：写报告也是技术活

等保测评、ISO 27001、数据安全法合规——这些岗位在招聘市场上经常被归到“安全合规”或者“安全咨询”下面。很多人觉得这活儿就是写文档、陪审计，技术含量低。但真做过等保的人知道，要把一个系统的安全现状摸清楚，再对照标准逐条找差距，最后给出整改建议，没点技术底子根本写不出来。

我见过一个等保项目经理，客户系统用的是老版本Tomcat，有已知漏洞。他不懂技术，直接写“建议升级到最新版本”。客户回了一句：业务系统依赖旧版本，升不了。他就卡住了。后来换了个懂技术的顾问，给出的方案是：先做虚拟补丁，WAF加规则拦截，同时推动业务方排期升级。这才是合规该有的样子——不是照搬标准，是结合实际情况给可落地的方案。这类岗位的JD如果只写“熟悉等保流程”，不写“具备安全技术基础”，招来的人就只能做表格搬运工。

安全开发：最容易被忽略的岗位

安全开发（或者叫DevSecOps）这两年需求涨得很快。简单说，就是把安全能力嵌到开发流程里。比如写代码扫描工具、做CI/CD流水线的安全卡点、开发内部漏洞管理平台。这个岗位要求既懂安全又懂开发，薪资通常比纯安全岗高20%到30%。

但很多公司的JD写得很拧巴：“负责公司安全产品的研发，熟悉OWASP Top 10，有渗透测试经验优先。”这就把安全开发和渗透测试搞混了。安全开发的核心是工程能力——写代码、搭系统、做自动化。渗透测试是另一条路。两者有交集，但侧重点完全不同。招安全开发，重点看代码能力、看对安全工具的理解、看能不能把安全需求翻译成技术方案。光会挖漏洞不够，得能写出工具来解决问题。

网络安全招聘的乱象，根子上是行业还没成熟到岗位分工标准化。大厂稍微好点，岗位拆得细，JD写得清楚。中小公司往往一个人当三个人用，JD就写成了一锅炖。求职者看到这种JD，别急着投，先想办法找到用人部门的人聊两句，问清楚实际工作内容。不然进去了才发现，说好的渗透测试，天天在配防火墙策略，那才叫难受。