資策會展開第三方服務，以「資安人才培育」作為起手式

今年（2022）5月，資策會宣布啟動組織轉型計畫，將致力蛻變為「第三方協力機構」全新角色定位，預計在2025年將第三方服務的收入佔比，從目前的10%大幅拉升到逾半數。

換言之，資策會未來將不再扮演「幫你做」的乙方角色，而是扮演「幫你建立能力」的第三方機構。對此資策會數位教育研究所（教研所）所長張育誠進一步解釋，所謂第三方服務，將擺脱過去供與需、甲方與乙方的既定框架，會站在甲乙之外的顧問或教練立場，從旁給予指引，幫助你把「解決某項問題」的路徑鋪設出來，讓你有能力建構出有效的機制，使難題迎刃而解。

此刻資策會展開的第三方服務起手式，定調在「資安人才培育規劃」，透過旗下教研所、資安科技研究所（資安所）等單位的合作，為民間或政府組織打造可供參考的「資安長人才培訓」及「訓用合一職能護照」等重要基準（Baseline）。

藉由做中學，淬鍊實戰好手

為何選定「資安人才培育規劃」主題？資策會資安所所長何玲玲說明，欲突顯第三方服務的存在價值，必須建立在明確的市場需求、明確的法規要求之上，而「資安人才培育」無疑是現今最符合這些特質的題目。

眾所皆知，近年隨著企業積極推動數位轉型，隨之而來的資安議題越演越烈，加上金管會於去年底頒布新規定，要求符合一定條件的上市櫃企業，需於今年底前設置資安長與專責資安單位，使資安人才短缺的現象浮上檯面。

何玲玲指出，現今許多企業都苦於找不到人、或找到的人無法立即上線實作。深究其因，在於市場上雖有學校或補教機構開設資安訓練課程，甚至有相關證照制度，但上過課或考過試的學員只懂理論、鮮少實戰歷練，短時間內尚難弭平「學用落差」，無法成為業主想要的資安即戰力。

例如接受過資安鑑識培訓的新手工程師，初次赴資安事件案場查找根因之際，也常因不熟稔該企業IT架構、業務流程、行業特性…等等「眉角」而深陷困局。

反觀資策會現正發展的「訓用合一」機制，則憑藉資安所執行各式主題資安智慧聯防前瞻研究、專案合作的場域優勢，足以營造「做中學」環境，讓參與其中的資策會資安所或資訊處同仁，在資深導師賦予的任務與指導下，藉由實際解題過程，不斷淬鍊自身的技術與經驗。

形塑共好生態，促進人才跨界流通

值得一提，資安所盤點歐美日資安架構，並參酌坊間人力銀行彙集的業界需求，為參與培育的人員設計分科分級制度，使得人人都能依據執行過的任務、輔以導師的背書與核可，獲得諸如「偵防工程師-Level 2」、「DevSecOps開發工程師-Level 5」…等明確的訓用護照，而這些履歷資料都將進入教研所管理的人才庫。

張育誠重申，基於化育者（Enabler）角色，資策會開設訓用合一平台的目的，絕非直接幫業界培訓資安人才、發給職能護照，而是利用資策會本身發展人才培育機制的經驗值，轉化為訂定職能參考基準，進而以顧問形式指點各個企業或機構，讓他們知道如何依照自己的需求，發展出專屬的訓用合一機制與分科分級制度。

如此一來，可以預見未來在資安領域將擁有自己的資安人才庫，而其中每一個人員皆有各自的職能護照，清楚註記曾經執行過的任務型態，且伴隨著歷任導師留下的評價；藉由這些護照數據，能夠彰顯各自累積建立的知識、技能與經驗，也清楚展現每個人有能力處理什麼樣的資安問題。

「因此教研所的下一步任務，便是針對人才資料建立可信賴的資料治理模式，並結合區塊鏈技術，讓這些資料能被安全地交換與流通。」張育誠說，一旦實現這一步，有望形成健康的生態系，讓參與其中的組織，都有機會在遭逢資安威脅之際，找到懂得解題的援軍，適時化解燃眉之急。

藉由「資安長好幫手」，針對事前中後提出建議指引

針對「資安長人才培訓」機制的建立，資策會採取有別於訓用合一的運作模式。

張育誠表示，資安長有兩大職責，一是指揮組織內成員落實資安防護策略方向，另一是向企業主和董事會報告執行成果、以及爭取預算。顯而易見，資安長是策略型人物、絕非「黑手」，不適用一般訓練方式。

為此，資策會發展兩套機制，以輔助資安長人才的養成。一是「社群」，透過相關活動設計，把來自不同組織的資安長凝聚在一起，讓彼此相互分享、交流，在潛移默化中提升各自的能力；另一是由資安所提供「資安長好幫手」服務，做為資安長們的虛擬顧問。

何玲玲說，現階段資安長大部份都由高階主管兼任，資安長重要職責是需要扣合經營策略擬定、管理機制等任務需求，尤其當組織遭受資安事件時，必須懂得解決問題。藉由「資安長好幫手」提出的建議或解方，可讓資安長瞭解「事前」如何建立管理流程、資源部署，「事中」如何應變處置、運用適當的技術服務，找到對的人進場協助、在第一時間止血以及降低損傷維持營運，「事後」如何盤整資源及修正強化防禦體質。

總括而論，今後資策會將致力發揮第三方機構的價值，促使更多領域及組織都能各自建立訓用合一培育機制，讓產業順利填補資安人才缺口，連帶推升臺灣整體的資安防禦能力。