作者DrTech (竹科管理处网军研发人员)
看板Tech_Job
标题Re: [请益] 资安工程师在台湾的前景？
时间Wed Sep 27 23:07:25 2023
※ 引述《away1225 (空飞牙)》之铭言：
: 小弟读的是一个未来不知道干嘛的文组科系
: 大概在去年我就发现了科系相关的工作没前途的事实，於是在家人跟师长的建议下去巨匠
: 补了网路管理相关的课程但随着接触越深，开始对资讯安全有些兴趣，也做了一些功课了
: 解资安工作与网管的差异，在104也发现普通网管的薪资其实跟其他产业的一般职位差别
: 不会太大，资安相对薪资待遇更好、能应徵的工作更广
: 我知道资安需要的硬实力要求肯定比较高，想问资安这块是不是真的值得我再多花一点时
: 间跟钱好好学，或是有没有更好的路可以走？想知道版上各位大大的看法，谢谢!
这可以讲很多面，简单说解决资安问题最符合成本效益的方式，就是工作流程的改变。而不是靠什麽高科技技术。
以 身份验证 Authentication 来说:
外行人：要学密码学。
实际： 限制使用者密码长度，复杂度，简单有效。强制定期更改密码，简单省钱又有效。
还不够安全，就上多因子验证。
多次验证只有你知道的机密，简单便宜有效。
以 权限管理 Authorization 来说 :
外行人：要学很多 access control，zero-trust
实际：需要资讯安全的地方，先把所有权限都关了，慢慢申请。简单有效。
以资料完整性来说 Integrity：
学术界：一堆新演算法，特殊场景的protocal
实际：你研发的演算法，不是国际标准，根本不合规，谁知道有没有暗藏什麽黑箱或漏洞。所以直接用便宜免费的国际标准做法，反而是最好的做法。
以入侵恐吓来说：
理想：找专家来解决根因
实际：报警请免费的人来调查。
以窃取企业资料来说：
理想：装最先进的DLP，例如把公司所有档案加密，监控员工电脑所有行为。
实际：zip档，pdf档加密，便宜有效。
以code security 来说：
教科书：一堆injection, buffer overflow
实际：这几年新的开发工具，自动防范Injection
所以在资安领域，正确的流程，一直都比技术重要。而这些流程，经过几十年来，都形成了固定的招式，甚至一堆国际标准，例如最基本的：
ISO 27001，BS7799。 比较大的公司都会定期请"顾问"导入一堆资安流程。
因为政府的标案标案，以及政府的法律规定特殊产业，金融，军事，公营，财团法人，都必须符合国际资安标准流程。且定"期验"证。
所以在台湾唯一稳定赚钱，永远被法律保护赚钱的产业，就是资安顾问业。专门导入资安流程与解决方案的顾问业。
专门赚这种钱的有：
国外顾问业，例如IBM，做金融产业比较多
国内资讯服务业：上市柜那几家，以及自己出来开公司的一些老人。最政府案子比较多。
顾问业：例如常说的四大会计师事务所。政府金融都做。
财团法人：财团法人的一些组，有时也会接案去做政府的资安政策技术制定。(也是偏向顾问，而非技术研发)，早期资策会那一票人，都做到当官了。
政府与金融业要导入流程，
可能需要要采购资安软硬体设备，通常都是买国外大牌子，因此赚钱的是代理商，或原厂。
像趋势就主要是赚这种To B客户的钱。稳定，但吃不饱。
资安软硬体国外品牌设备代理商或原厂虽然有工程师，但是只要熟自己产品就好，不用太懂技术底层，也不用开发资安产品。
台湾资安产业，稳定赚钱的剩下顾问业了。
而且其实饼还蛮大的，这几年政府大洒钱，我认识的一堆人又升官了。
资安顾问要赚钱，有人要高薪聘你，考证照只是基本。到最後可能不是你技术要有多强，而是你"有经验，有人脉，有关系"，能搞定政府流程与金融法规流程而已。
简单说台湾资安产业，整体不是靠 "技术研发"赚钱，要走就走流程导入的顾问业，可以稳定吃饭一辈子。
比较知名那几家，很挑学校名称，吃绩效分红的，硕士毕业很快可破百，5年後年薪大概在150左右。但成长到200左右，要突破就要去混产官学关系了。
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 42.73.200.125 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Tech_Job/M.1695827247.A.3C6.html
1F：推 dildoe : 政策推动需求阿，靠对的人推动政策阿，这很管理阿XD 09/27 23:57
2F：推 jamo : 你讲的这些赚钱路子,都不是一个连资安前景都要上网 09/28 00:05
3F：→ jamo : 问的人,能走的路子~ 09/28 00:05
4F：推 Brioni : 等於是说最赚钱的那块就靠嘴、靠关系 09/28 00:15
5F：推 Brioni : 原po想当的工程师恐怕就是吃屑屑 09/28 00:18
6F：→ VSshow : 懂资安可以做骇客吗？ 09/28 01:12
7F：推 luweber88 : 不会骇客算懂资安？ 09/28 01:33
8F：→ BoXeX : 没在管 zero-trust 只能说你们资料还没那麽有价值 09/28 03:21
9F：→ BoXeX : 真的有价值的资料 骇客是愿意花好几个月慢慢提权 09/28 03:23
10F：推 Kimheeche : 确实刚毕业破百，150 6左右就一个槛，200要靠升上st 09/28 03:27
11F：→ BoXeX : 你这帐号没权限 那就想办法搞到有权限的帐号就好 09/28 03:27
12F：→ Kimheeche : aff。阿不过直接进的了美商就250起跳惹 09/28 03:27
13F：→ BoXeX : 所以才需要 zero-trust，把内网电脑当外网防 09/28 03:30
14F：→ snoopy790428: 普通人都马资安操作员 跟网管没两样 09/28 04:10
15F：推 zaiter : 基本上看资安部是谁在搞 如果是公司it 技术底就还可 09/28 07:21
16F：→ zaiter : 以 不是找文科来搞就是做做样子要跟政府骗钱有做资 09/28 07:21
17F：→ zaiter : 安给个交代的 09/28 07:21
18F：推 butt1106 : 那几家会计事务所啊，垃圾，弄几个给你扫描完就结束 09/28 07:50
19F：→ BoXeX : 就买现成的弱点扫描工具 然後就开始赚钱啊 09/28 08:28
20F：→ BoXeX : 你公司真的重视资安 会找有骇客能力的来打 09/28 08:29
21F：→ BoXeX : 而不是这篇所说的那些靠关系仔 09/28 08:29
22F：嘘 yytseng : 力旺做的不是资安 09/28 08:46
23F：推 InfinitySA : 密码学 数学 这种其实是要研究资安措施的架构的 09/28 09:32
24F：→ InfinitySA : 要用 其实不太需要学 09/28 09:32
25F：推 lantimes : 调查局 前阵子不是po文徵人 09/28 09:36
26F：推 sonia1011 : 推这篇 09/28 11:58
27F：推 suckKobe : 推分享 09/28 12:16
28F：推 aegis91086 : 推分享 09/28 12:24
29F：推 gotozzz : 推 09/28 12:35
30F：→ water7278 : 流程导入的顾问业是指四大辅导iso或pcidss这类吗？ 09/28 12:41
31F：→ water7278 : 如果是的话这路线应该是最血海也最没成长性的路线 09/28 12:41
32F：→ water7278 : 一堆知其然而不知其所以然的资安管理顾问 09/28 12:41
33F：→ scott260202 : 这就是为什麽台湾一堆乱搞的顾问 09/28 13:23
34F：→ scott260202 : 目地不是资安，是过27001 09/28 13:24
35F：→ scott260202 : 然後还是被攻击成功 09/28 13:24
36F：推 wwndbk : protocol 09/28 17:32
37F：推 germun : 这篇就说明了为什麽台湾资安这麽鸟 XDDDD 09/28 22:56
38F：→ BoXeX : 这篇拿来应付老板还行啦 反正老板不愿意投资就这样 09/29 01:53
39F：→ yunf : 拿来唬唬文组的差不多 09/29 19:51
40F：→ yunf : 上次那个分享骇客讲解的也是被我找到破绽 09/29 19:54
41F：→ yunf : 看看这里有多少宅 09/29 19:56
42F：→ yunf : 要讲一个让大家都服气的说法真的不容易 09/29 19:56
43F：→ yunf : 真的有实力的人谁跟你在拿200k? 09/29 19:58
44F：→ Araiman : 这就是不注重软体的下场 核心技术掌握在人家手中 10/02 04:50
45F：→ Araiman : 跟对岸打信息战我看是很拼了 10/02 04:50