大麻正变得越来越被接受。网络安全雇主会配合吗？

前联邦调查局局长詹姆斯·科米曾预见一个招聘难题，其关键在于大麻的合法性问题以及公众对吸食大麻的员工的看法。

“我必须招募一支优秀的团队来与那些网络犯罪分子抗衡，而其中一些年轻人在来面试的路上还想抽大麻，”他告诉 《华尔街日报》 2014年时如此表示。 

他受到质询是在 国会联邦调查局监督听证会 同一周。“你是否明白，这可能被解读为美国领导层轻视大麻使用严重性的又一个例子，从而削弱我们说服年轻人不要走上危险道路的能力？”时任参议员杰夫·塞申斯（阿拉巴马州共和党人）说道。 

科米批评的是联邦调查局一项长期执行的 毒品政策，该政策要求申请人在受雇于该机构前至少三年内不得使用大麻，无论大麻在申请人所在州是否合法。

针对塞申斯的质询，科米回应道：“我决心不失去幽默感，但不幸的是，当时我既要表现得严肃，又想带点风趣。” 

尽管科米的言论部分出于玩笑，但这一限制性毒品政策依然有效；其他安全相关领域也有类似要求，包括政府承包商或工业控制公司。这一取消资格的规定成为进入网络安全领域的又一道门槛，而该领域在公共和私营部门的人才需求均超过现有供给。 

根据Burning Glass Technologies的数据，总体而言，私营部门仅有5%至6%的网络安全岗位要求药物检测，而政府部门这一比例超过80%。 

大麻的合法性仅在州级层面得到解决，但形势正在变化。对某些地区法律上可接受的物质一概而论，可能会让求职者望而却步，不敢申请公共或私营行业的网络安全职位。  

“有一种对求职者的排斥感，但这种排斥未必真实或会显现出来，” Randori首席技术官兼联合创始人大卫·“穆斯”·沃尔波夫表示. 

在联合创立Randori之前，沃尔波夫职业生涯的大部分时间都投入在政府安全领域，包括在政府国防承包商Kyrus Tech担任红队负责人。“就我所从事的工作而言，我完全不被允许参与任何大麻文化。”

“在我几乎整个职业生涯中，我都是持有安全许可的专业人士……我曾与那些尝试过各种物质、几乎所有东西的人，在机密场所并肩工作过，”沃尔波夫说。科米的言论可能无意中给潜在求职者留下这样的印象：“因为我有这样的背景，所以我不能去做这件事。” 

毒品政策并非导致网络安全职位空缺的唯一障碍。 其他因素 ——如 不断更新的认证要求和缺乏多元化的代表性 ——导致了2020年全球约300万个职位空缺的差距， 根据 (ISC)². 的数据，这家研究公司估计 每10万家美国企业中，将有10,300名可用的网络安全专业人员。 

联邦政府的网络安全人员招聘和留任情况更为严峻。联邦政府网络安全岗位的年离职率为18%，而其他联邦IT岗位为14%， 根据Burning Glass Technologies的一份报告， 该报告于3月发布。 

报告称，在过去五年中聘用的联邦网络安全专业人员中，有27%在为政府工作一年内离职。尽管与私营行业相比，联邦工作对学位的要求较低，但文化上的障碍限制了更长的任职期限。 

"“我目前不常使用大麻，不过大学期间我偶尔会在社交场合吸食，”一位驻科罗拉多州的专业白帽黑客匿名向Cybersecurity Dive表示。“我确实在大学期间申请了一份政府相关的安全软件实习，并且获得了该职位。” 

该实习岗位要求初始药物检测，并在实习期间进行随机的后续检测。“为了确保自己符合资格，在能够进行药物检测之前，我确保自己没有接触大麻或参与吸食的人群。然后，在整个实习期间我都保持戒绝，”她说道。 

在她目前的职位上，公司不进行药物检测。“我认为只要工作质量不受影响，他们并不在意。” 

向Cybersecurity Dive私下透露消息的消息源这样做，是为了避免未来雇主将他们与非法物质联系在一起。

时代正在改变

娱乐用大麻的合法化 在过去十年中一直在上升。截至2020年11月，68%的美国人支持该药物的合法化， 根据盖洛普一项调查.

“当然，黑客和安全社区与常态偏离不大。他们只是在某些方面更加丰富多彩，”沃尔波夫说。 

联邦政府将大麻列为第一类管制药物，意味着该物质目前没有“公认的医疗用途”，并且具有“很高的滥用潜力”， 根据美国缉毒局的说法. 

大麻二酚（CBD）相关产品在联邦层面是合法的，但更多关于大麻的州法律使政策变得复杂。大麻产品正变得越来越主流——即使在娱乐性大麻非法的州，杂货店过道里也出售软糖、油、含CBD的补充剂。

《 2018年农业改进法案 (（农业法案）在联邦层面将工业大麻和CBD销售合法化。虽然工业大麻产品仍需满足FDA要求 （尽管未受监管），但大麻衍生物被理解为含有低于0.3%的δ-9-四氢大麻酚（THC）。 周一，众议院通过了《 2021年安全银行法案》，该法案允许银行与大麻合法州的大麻企业开展业务。

随着越来越多的州通过允许大麻的法律，无论是用于医疗还是娱乐用途，联邦政府和私营企业都处于政策僵局。一些职业和行业正在调整公司政策，而另一些则停滞不前。

大麻合法州的公司正在摒弃零容忍毒品政策，转而关注基于绩效或安全审查的行为分析， 据Cybersecurity Dive的 姊妹出版物HR Dive报道. 

"人们不会放弃大麻，尤其是在各州趋向合法化的趋势下，"FisherBroyles合伙人Eric Meyer表示。"如果政府不改变其招聘做法，符合条件的（劳动力）供应将会缩减。" 

《 人事管理办公室（OPM）在二月份的一份备忘录中 就与大麻相关的联邦机构招聘政策进行了说明：候选人申请的职位是他们"完全合格"的，然而他们的大麻使用情况"在考虑个人是否适合该职位时，可能或不可能成为关注点，"OPM代理主任兼适任性执行代理Kathleen McGettigan在备忘录中表示。 

结论是，不要仅凭先前的大麻消费就取消候选人资格。相反，各机构应逐案关注候选人的行为，"以确定其对政府诚信和效率的影响（如有），"备忘录称。 

尽管政策可能对机构有所放宽，但麦盖蒂根指出了一些例外情况。“这份备忘录并未涉及在确定涉密信息访问资格或敏感国家安全职位聘用资格时对大麻使用的考量，因为国家情报总监办公室负责国家安全资格方面的指导。”

细则也 discourages 主动使用；根据备忘录，机构仍需要“证明不会再次使用的证据”。 

尽管招聘政策的修改有限，但人事管理办公室的信函是对各州法律变化的回应。 

药用案例的问题

由于大麻有多种形式，员工和雇主对其看法存在细微差别。“我完全不认为CBD和大麻属于同一类别，因为你甚至可以在杂货店买到它，所以我预计至少有些人会用它来缓解肌肉酸痛等，”这位科罗拉多州的黑客说道。 

去年，四分之一的HR专业人士在应对不断变化的医用和娱乐大麻法律方面感到“极为困难”， 根据2020年XpertHR的一项调查。HR政策必须与员工的州医疗权利保持一致，同时还要注意联邦法规和公司标准。如果大麻合规不符合州法律，HR部门可能会与 《美国残疾人法案》(ADA)产生冲突。 

“当我们开始谈论处方药导致的损伤时，事情就变得有点复杂了，” 他说。 南希·德洛古，Littler Mendelson律师事务所股东. “虽然雇主可以禁止员工在受损状态下上班，但个人有权使用合法药物治疗自身疾病，并且他们可能有权获得合理便利。” 

理论上，联邦法律允许的非处方CBD产品中微量THC在就业药物检测中无法被检出。然而，申请人使用CBD产品的情况 仍在审查中 ，涉及联邦调查局（FBI），而国防部则实行 零容忍CBD政策. 

“我认识很多朋友拒绝了[网络安全工作机会]，尤其是使用大麻来管理创伤后应激障碍症状的退伍军人，他们不愿接受工作，”因为政府的药物限制， Shutterstock高级应用安全工程师约翰·杰克逊表示. 

FBI的药物政策同样适用于药用用途；无论是否有处方，大麻使用都“不能作为减轻因素，”政策如此规定。 

“我觉得这令人沮丧，”杰克逊说，他在成为安全专业人士之前曾在科罗拉多州一家医用大麻药房担任店员。根据他的经验，客户患有“相当严重的疾病……[他们]不只是持有医用大麻卡想寻求快感的人。他们在寻求缓解，”他说。 

对杰克逊来说，出于医疗用途的药物筛查显得不公平。而那些因健康原因使用大麻的人会选择放弃行医执照，因为这会记录在案。"我从信息安全专业人士那里听到的是，'如果我想在某个时候为政府承包工作怎么办？'"杰克逊说。 

根据Burning Glass Technologies的数据，与其他IT工作相比，网络安全岗位要求药物检测的可能性是其他岗位的两倍。然而，更广泛地看各个职业和行业，网络安全工作提出药物检测要求的可能性反而较低。

根据纽约州和新泽西州的法律，如果申请人大麻检测呈阳性，不能将其排除在求职考虑之外。雇主不得仅基于大麻使用而采取"不利雇佣行动"。 

新泽西州的法律于2月签署生效，但尚未正式实施，该法律将任何不利行动定义为 "拒绝雇用或聘用个人，禁止或解雇个人就业，要求个人从就业中退休，或在薪酬或任何雇佣条款、条件或特权方面歧视个人。" 

这一附带条件是与工作场所接受大麻相关的首例。德洛古表示，这是"我们正在开启的一个全新局面"。

谁在参与大麻文化 

了解谁在使用大麻产品并非一门精确的科学。 

"关于大麻使用以及大麻与其他非法药物联合使用对就业的影响，研究结果也是喜忧参半，" 根据2015年的一项研究 作者：Ioana Popovici，诺瓦东南大学社会行为与行政药学系助理教授；Michael T. French，迈阿密大学健康管理与政策系教授兼系主任。 

研究人员表示，使用模式的不一致和劳动力市场的差异是导致关于大麻与就业影响"缺乏研究共识"的因素。 

目前没有与网络安全行业大麻使用相关的具体统计数据，但"我认为使用很普遍，至少从黑客的角度来看是这样，"Jackson说。"他们中没有人供职于政府，"但他们都受雇于私营企业。 

在对待大麻文化方面，职业黑客和安全从业人员与其他专业人士并无不同。围绕安全从业者有一些刻板印象和成见，但这并不影响雇主对他们的信任。 

""我发现这在大多数情况下是人们不太谈论的话题，"这位驻科罗拉多州的黑客说。大麻在她所在的州是合法的，虽然她不确定同事们是否参与大麻文化，但"我确实有一些安全行业的朋友偶尔会抽大麻。" 

这并不是说私营行业不要求药物检测，只是其政策比政府或与政府相关的组织更为宽松。

一位在医疗行业工作的安全专业人士，常驻休斯顿，每年接受一次检测，尽管他在2012年后已戒烟。在那之前，“我绝对不会为任何进行药物检测的人工作，”他在匿名条件下说道。 匿名.

多位消息人士称，如果公司所在行业不受联邦法规监管，它们很可能采取“不问不说”的政策。根据2018年的数据，70%的大麻使用者，或那些在30天内使用过大麻的人，都是全职员工，数据来源于 全国家庭药物滥用调查 （NHSDA）。 

迈耶表示，如果员工“想在晚餐时喝一两杯酒，或者晚上使用大麻，只要不影响他们在工作中的表现，对大多数雇主来说这真的不是问题。” 

相比之下，联邦调查局对下班后饮酒的容忍度也在一定程度上受到监控。根据2015年司法部的一份审查报告，饮酒以及吸毒或“臭名昭著的不当行为”都是安全审查的考量因素， 该审查报告指出。每一项被审查的行为都被视为可能妨碍员工表现或为他人提供利用机会的潜在因素。   

审查报告称：“毒品和酒精一样，会损害判断力和冲动控制能力，但非法使用毒品对员工以及负责执行和起诉违反联邦毒品法律行为的司法部的诚信和信誉更具破坏性。” 

与政府不同，在政府中，酒精或毒品可能是“其他不当下班行为的先兆”，雇主不一定担心大麻使用问题；他们关注的是工作中的能力受损。 

根据摄入量，个人需要等待六到八小时才能参与安全相关活动， 据科罗拉多州政府称. 

由于大型科技公司总部位于大麻合法州，制定相关政策可能很常见。对于在科罗拉多州和马萨诸塞州设有办公地点的Randori来说，没有相关政策。沃尔波夫只关心员工是否在工作中能力受损。 

“我们没有针对大麻的具体政策，”他说。“我的基本原则是，我不想了解你在个人时间做什么。别让它成为问题，它就不会成为问题。” 

对于并非专门从事安全行业、但提供安全服务或设有内部团队的公司，内部各类雇佣岗位可能都有统一的政策。如果是 安全敏感岗位 ，由药物滥用与心理健康服务管理局（SAMHSA）定义，则可能需要进行强制随机药物检测，而其他岗位则不受此约束。 

某些行业在发生身体事故或意外后进行药物检测是很常见的。在网络安全领域，可以说几乎每天都有事件发生，但在确保或证明员工清醒方面却没有明确的指导方针。 

有些州法律规定，如果员工非法药物检测呈阳性，他们有权获得康复治疗的机会。"没有任何州法律规定你有权重新检测，这有点像在说'有本事你来抓我'，"德洛古表示。 

然而，如果雇主继续检测大麻但不对检测结果采取行动，可能会面临管理疏忽的指控。"在我看来，这对雇主来说是一个非常大的风险，"德洛古说。员工非法药物检测呈阳性后未将其调离岗位，这种情况通常发生在受监管行业或操作重型机械的岗位上。 

Cybersecurity Dive联系了十几家科技和网络安全公司，以了解它们在州大麻法律方面的招聘和雇佣政策；这些公司均拒绝置评。 

"我现在就告诉你，原因在于这在联邦层面是非法的，"杰克逊说。各州没有统一的大麻相关政策，这使得公司不愿公开表态支持或中立对待一种联邦非法的药物。 

对于在州与联邦法律冲突中挣扎的公司来说，总统乔·拜登支持大麻非刑事化，但任何联邦立法可能都会被搁置。联邦政府的行动速度就是比州政策或公司政策慢。

"“我确实认为[大麻政策]让很多优秀人才被排除在劳动力市场之外，因为说实话，有些人下班后喜欢喝一杯，而另一些人则更喜欢抽一口，”这位医疗保健安全专业人士说道。“就是这么回事。” 

在高度监管的行业中，总会有需要检测的岗位，但网络安全行业是否永远必须遵守这些规则，目前还不得而知。“它们是联邦监管的行业。如果你是联邦承包商，你可能需要履行无毒品工作场所的义务才能成为联邦承包商，因此允许大麻检测呈阳性可能会成为问题，”迈耶说。 

虽然专业黑客并不指望联邦招聘政策会在短期内为网络安全行业做出改变，但这位医疗保健安全专业人士将科米的言论解读为一种认可： “这读起来就像，‘我们必须雇用这些优秀的人，而且，嘿，他们大多数都抽大麻，’”他说。 

2020年的吸烟情况

2020年，大麻的总体使用量有所增加；无论是由于更多独处在家时间、外部压力，还是仅仅因为更多合法化，美国人都转向了这种药物。当2020年3月中旬全国封锁开始时，大麻订单与之前几周相比增加了36%， 根据《2020年大麻状况报告》 （由Vangst、LeafLink和Flowhub联合发布）的数据。

申请者背景中没有大麻使用记录将越来越难以找到。"他们在寻找独角兽黑客，"杰克逊说。"这并不存在。我认识的信息安全专业人士中，很少有人没有使用过受控物质或一般物质，或者目前正在使用。"

无论哪一代人，社会上的流行度和接受度都很广泛。 从2019年到2020年，Z世代、千禧一代、X世代和婴儿潮一代的吸烟率都有所上升， 根据Headset发布的一份2020年大麻消费者行为报告。该报告使用了来自加利福尼亚州、科罗拉多州、内华达州和华盛顿州娱乐性大麻市场的汇总数据。

作为参考， 根据(ISC)²的数据，网络安全从业者中44%是千禧一代，其次是39%的X世代、13%的婴儿潮一代，以及1%的Z世代。根据皮尤研究中心 2019年的数据，千禧一代占美国整体劳动力的三分之一.  

去年大麻使用量的上升是公司过于安逸而忽视的另一个问题的一部分。"我认为有一些根本性的社会问题被我们忽视了。然后这些问题成为我们随后关注的其他行为的催化剂，"沃尔波夫说。 

网络安全领域的职业倦怠很常见；2020年的一项调查发现，18%的IT安全专业人士因倦怠或过度工作而离职。根据 特许信息安全协会的数据，至少25%的受访者本人或认识的人曾因此考虑过离职。. 

在2020年的背景下，“我们看到了隔离中的人们出现的一些应对机制”，沃尔波夫说。对他来说，这与其说是安全和风险问题，不如说是一个医疗保健问题。 “安全人员就是安全人员，但并不是说我们在本质上与商业领域的其他人有什么根本不同。”