等级测评师培训和考试指南
网络安全等级评测师，等保评测师考试方法，怎么考。
⽹络安全等级评测师，等保评测师考试⽅法，怎么考。
最近发现⽹上关于等级保护评测师这个证书怎么考的资料很少，很多⼈想考也没有门路，这⾥我说明下这个证书的获取⽅式以及⽤途吧。
⾸先是⼲货怎么考：
答案就是你要挂靠单位才能去考，有考试资格的单位才能去给你报名。
并不能是培训机构，也就是你得是他们单位的员⼯才可以。
其次这个证书有⽤么，前景好不好。
不⽤质疑，肯定是有⽤的，随着等级保护的推⼴越来越多的单位需要做等级保护评测，算是⼀个⽐较有前景的⾏业吧，如果想在等级保护这个⾏业深⼊发展的话还是不错的，如果不是那就没啥⽤了，不建议去考了。
人才测评师职业技能等级考评标准
人才测评师职业技能等级考评标准近年来，随着人才测评行业的不断发展壮大，人才测评师这一职业也逐渐备受关注。
人才测评师作为人才测评行业的从业人员，其技能等级考评标准也尤为重要。
在这篇文章中，我们将从不同层面深入探讨人才测评师的职业技能等级考评标准，以期为从业者提供有价值的参考。
一、基本素养1.1 专业知识水平在人才测评师职业技能等级考评标准中，专业知识水平是其中至关重要的一环。
人才测评师需要具备扎实的心理学、统计学等相关专业知识，并且能够灵活运用于实际工作中。
这不仅包括对人才测评理论体系的深入理解，还需要不断更新自己的知识储备，跟进行业发展的最新动态，确保自己在专业知识上保持领先地位。
1.2 信息获取和分析能力另外，人才测评师还需要具备良好的信息获取和分析能力。
他们需要能够从大量的信息中迅速筛选出有效的数据，对其进行深入分析，并能够准确理解和评估。
只有这样，才能够保证其在人才测评过程中得出客观、准确的结论。
1.3 沟通协调能力沟通协调能力也是人才测评师的基本素养之一。
在与客户沟通或团队协作时，良好的沟通协调能力可以提高工作效率，减少沟通误解，确保工作顺利进行。
二、专业技能2.1 测评工具应用在专业技能方面，人才测评师需要熟练掌握各类测评工具的应用，包括但不限于性格测评、能力测评、兴趣测评等。
他们需要了解每种测评工具的适用范围和限制条件，并能够根据不同情境选择合适的测评工具进行使用，确保测评结果的客观性和准确性。
2.2 测评报告撰写另外，人才测评师还需要具备撰写测评报告的能力。
测评报告是人才测评结果的输出，其质量直接影响着测评师的专业水平和形象。
人才测评师需要能够清晰、客观地呈现测评结果，并提出合理的建议和改进建议。
2.3 测评结果解读人才测评师还需要具备测评结果的解读能力。
他们需要能够针对不同测评对象的特点，深入分析测评结果，为客户提供个性化的解读和建议。
只有这样，才能够充分发挥测评的价值，为企业和个人提供有针对性的发展方向和建议。
等级保护测评师培训及考试指南
等级测评师培训及考试指南为加强信息安全等级保护测评机构建设和管理，规范等级测评活动，保障信息安全等级保护测评工作的顺利开展，公安部下发了《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安[2010]303号），对等级测评工作、等级测评机构建设以及等级测评人员进行了规范和要求。
要求开展等级测评的人员参加专门培训和考试，并取得《信息安全等级测评师证书》（等级测评师分为初级、中级和高级）。
等级测评人员需持等级测评师证上岗。
公安部信息安全等级保护评估中心（以下简称“评估中心”）是由公安部为建立信息安全等级保护制度，构建国家信息安全保障体系而专门批准成立的专业技术支撑机构，评估中心受国家信息安全等级保护工作协调小组办公室委托，对从事等级测评的人员进行培训和考试，对考试合格人员颁发相应的《信息安全等级测评师》证书。
1．等级测评师的分类及能力要求信息安全等级测评师分为初级等级测评师、中级等级测评师和高级等级测评师三级。
其中，初级等级测评师又分为技术和管理两类。
三级等级测评师能力要求如下：•初级等级测评师o了解信息安全等级保护的相关政策、标准；o熟悉信息安全基础知识；o熟悉信息安全产品分类，了解其功能、特点和操作方法；o掌握等级测评方法，能够根据测评指导书客观、准确、完整地获取各项测评证据；o掌握测评工具的操作方法，能够合理设计测试用例获取所需测试数据；o能够按照报告编制要求整理测评数据。
•中级等级测评师o熟悉信息安全等级保护相关政策、法规；o正确理解信息安全等级保护标准体系和主要标准内容，能够跟踪国内、国际信息安全相关标准的发展；o掌握信息安全基础知识，熟悉信息安全测评方法，具有信息安全技术研究的基础和实践经验；o具有较丰富的项目管理经验, 熟悉测评项目的工作流程和质量管理的方法，具有较强的组织协调和沟通能力；o能够独立开发测评指导书，熟悉测评指导书的开发、版本控制和评审流程；o能够根据信息系统的特点，编制测评方案，确定测评对象、测评指标和测评方法；o具有综合分析和判断的能力，能够依据测评报告模板要求编制测评报告，能够整体把握测评报告结论的客观性和准确性。
信息安全等级测评师考试题
信息安全等级测评师考试题1、问答题AES算法采用什么结构？与DES算法结构有何区别？正确答案：AES算法采用SP网络结构，轮变换是由三个不同的可逆一致变换组成，称之为层。
不同层的选择建立在（江南博哥）宽轨迹策略的应用基础上每层都有它自己的函数。
这三层分别是线性混合层，非线性层和密钥加层。
而DES 采用的是Feistel网络结构，中间状态的部分比特不加改变简单转臵到下一轮的其他位臵。
2、问答题对分组密码的常见攻击有哪些？正确答案：唯密文攻击，已知明文攻击，选择明文攻击，选择密文攻击。
3、填空题定级指南》从（）、（）等方面提出了确定信息系统安全保护等级的要素和方法。
正确答案：业务信息安全；系统服务安全4、单选信息系统建设完成后，（）的信息系统的运营使用单位应当选择符合国家规定的测评机构进行测评合格方可投入使用。
A.二级以上B.三级以上C.四级以上D.五级以上正确答案：A5、多选主机安全是指对信息系统涉及到的哪方面进行主机系统安全保护。
（）A、服务器B、入侵检测C、工作站D、准入控制正确答案：A, C6、单选数字签名是指（）。
A、用户用自己的私钥对原始数据的哈希摘要进行加密所得的数据B、用户用公钥对原始数据的哈希摘要进行加密所得的数据C、用户用自己的私钥对已加密信息进行再加密所得的数据D、用户用公钥对已加密信息进行再加密所得的数据正确答案：A7、判断题在信息安全等级保护中，第三级信息系统和第四级信息系统都具有强制性。
正确答案：对8、单选基本要求》中技术要求分为物理安全、网络安全、主机安全、应用安全、数据安全及其（）五个方面。
A、数据恢复B、系统恢复C、信息恢复D、备份恢复正确答案：D9、多选三级信息系统的测试验收包括如下（）内容。
A、应委托公正的第三方测试单位对系统进行安全性测试，并出具安全性测试报告；B、在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告；C、应指定或授权专门的部门负责系统测试验收的管理，并按照管理规定的要求完成系统测试验收工作；D、应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认。
测量类考评员培训-授课版
二、命题技术与方法（工程测量员 ）
准备要求
• 考场准备
水准仪（1台）；塔尺（2根）；钢 圈尺（20m）；记录用纸及表格。
• 考生准备
穿戴测量马甲及基本的劳动保护用 品；记录用笔。
湖南交通职业技术学院
二、命题技术与方法（工程测量员 ）
考核要求
• • • • 本题分值 40分 考核时间 15分钟 考核形式 现场实际操作 具体考核要求 （1）定平圆水准、一次精密定平，
湖南交通职业技术学院
二、命题技术与方法（工程测量员 ）
3、操作技能试题的类型
• 实际操作：在实际生产环境中进行考核 • 模拟操作：使用与实际生产相同（相近）的设备、 工具、材料模拟实际状态操作 • 计算机仿真操作：用计算机表现实际生产环境进行 操作 • 现场答辩：在生产现场用语言或文字叙述操作方法 、步骤、要点 • 绘图：绘制工艺、设备、操作程序图 • 其它：其它可考核操作技能的方法
湖南交通职业技术学院
二、命题技术与方法（工程测量员 ）
4、编制理论知识鉴定要素细目表
• 鉴定范围的三个层次源于国家职业标准中的 “职业功能”、“工作内容”和“相关知识 ”，以及“基本要求”中的职业道德和基础 知识部分 • 鉴定点可以细分2－3个层次，直到最小的可独 立考核和测量的知识点 • 同一鉴定点在不同等级出现时名称要一致； 内容相同的鉴定点在同一级别内不能重复出 现
二、命题技术与方法（工程测量员 ）
针对鉴定点编制试题
•
• •
填空题
程。
地面点到
铅垂距离称为该点的相对高
选择题 判断题
地面点到高程基准面的垂直距离称为该点 的（ ）。Ａ.相对高程； Ｂ.绝对高程；Ｃ.高差 等高线指的是将地面上高程相等的相邻点 连接起来所形成的闭合曲线。（ ）
等保测评师高级报考条件-概述说明以及解释
等保测评师高级报考条件-概述说明以及解释1.引言1.1 概述概述：等保测评师高级报考条件是指在等保测评师专业领域中，具备一定工作经验和专业知识的人员，可以通过符合一定条件的考试和评估来获得高级等级的认证。
高级等级的等保测评师通常拥有更深入的专业知识和工作经验，能够更好地应对各种信息安全挑战和问题。
本文将深入探讨等保测评师高级报考条件的要点，帮助读者了解如何提升自己的资质和能力，从而更好地在信息安全领域发展。
1.2 文章结构文章结构部分应包括对整篇文章内容的概括和组织安排。
在这篇文章中，可以描述整篇文章由引言、正文和结论三个部分组成。
其中，引言部分主要介绍了文章的背景、目的和概述；正文部分则详细阐述了等保测评师高级报考条件的要点；最后，结论部分总结了全文的内容，并提出了对等保测评师高级报考条件的建议和展望。
具体的文章结构可以帮助读者更好地理解文章内容的逻辑和脉络。
1.3 目的本文旨在介绍等保测评师高级报考条件，帮助读者了解该考试的相关信息和要求。
通过对高级报考条件的详细解读，读者可以更准确地评估自身是否符合报考要求，并为未来的考试备考做出有效的规划和准备。
同时，本文也旨在提供一些建议和指导，帮助读者顺利通过等保测评师高级考试，提升自身的专业水平和竞争力。
希望本文能为有意向报考等保测评师高级考试的人群提供帮助和指导，让他们在职业发展的道路上取得更大的成功。
2.正文2.1 等保测评师高级报考条件要点1等保测评师高级报考条件要点1：具有相关工作经验作为一名等保测评师高级考试的报考者，首先需要具备一定的相关工作经验。
这包括在信息安全领域或者IT领域有一定的工作经历，能够独立完成等保测评工作，并且具有一定的项目实战经验。
这些工作经验可以帮助考生更好地理解等保测评的职责和要求，提升其在实际工作中的能力和水平。
具备相关工作经验的考生往往能够更加深入地理解等保测评的理论基础，能够更好地应用这些知识和技能到实际工作中，提供更加专业的服务。
2023年软件评测师考试大纲
以下是2023年软件评测师考试大纲，希望对你有所帮助：
1. 考试要求：
- 熟悉计算机基础知识；
- 熟悉操作系统、数据库、中间件、程序设计语言基础知识；
- 熟悉计算机网络基础知识；
- 熟悉软件工程知识，理解软件开发方法及过程；
- 熟悉软件质量及软件质量管理基础知识；
- 熟悉软件测试标准；
- 掌握软件测试技术及方法；
- 掌握软件测试项目管理知识；
- 掌握C语言以及C++或Java语言程序设计技术；
- 了解信息化及信息安全基础知识；
- 熟悉知识产权相关法律、法规；
- 正确阅读并理解相关领域的英文资料。
2. 考试目的：通过本考试的合格人员能在掌握软件工程与软件测试知识的基础上，运用软件测试管理措施、软件测试方略、软件测试技术，独立承担软件测试项目；具有工程师的实际工作能力和业务水平。
3. 考试科目：包括软件工程与软件测试基础知识和软件测试应用技术，考试时间均为150分钟，笔试，题型分别为选择题和问答题。
网络安全等级测评师培训教材
网络安全等级测评师培训教材第一章网络安全等级测评师的角色和职责网络安全等级测评师（CER）是一个重要的职业，专门负责对网络系统进行安全性评估和测评。
网络安全等级测评师需具备深厚的网络安全知识和技能，能够评估和识别网络系统中的潜在风险，为企业提供安全建议和解决方案。
1.1 网络安全等级测评师的定义和背景网络安全等级测评师是指那些能够识别和评估网络系统漏洞、风险和威胁的专业人员，他们通过系统的检查、评估和报告，提供网络安全保障和改进建议。
1.2 网络安全等级测评师的职责和要求网络安全等级测评师的主要职责包括但不限于以下几个方面：- 进行安全威胁模拟和漏洞扫描，发现网络系统中的弱点和风险；- 分析和评估网络系统的安全性，包括网络架构、数据保护和访问控制等；- 准确报告网络系统中的漏洞和风险，并提供预防和修复措施；- 与相关部门和团队合作，共同推动网络系统的安全措施；- 不断学习和更新网络安全知识，与时俱进。
第二章网络安全等级测评师的技能要求网络安全等级测评师需要具备一系列的技能和知识，才能胜任这个职业。
本章将介绍网络安全等级测评师的技能要求，帮助学员全面了解自己需要具备的能力。
2.1 网络安全基础知识网络安全等级测评师需要了解网络安全的基本概念和原理，掌握网络协议、网络攻击与防御技术，了解网络设备和系统的工作原理。
2.2 安全评估和风险识别网络安全等级测评师需要能够有效评估网络系统的安全性，运用各类工具发现系统中的潜在威胁和漏洞，并准确评估其风险等级。
2.3 操作系统和数据库安全网络安全等级测评师需了解不同操作系统和数据库的安全特性和风险，具备操作系统和数据库的安全配置和管理能力。
2.4 网络安全技术网络安全等级测评师需要熟悉各种网络安全技术，包括网络防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）、虚拟专用网络（VPN）等，能够有效管理和维护网络安全设备和系统。
第三章网络安全等级测评的方法和流程网络安全等级测评是一项复杂而系统的工作，需要遵循一定的方法和流程。
网络安全等级测评师培训教材中级
网络安全等级测评师培训教材中级一、前言网络安全是当今信息社会中至关重要的一环。
随着互联网的普及和应用的广泛，网络安全问题日益突出。
为了提高网络安全防护的能力和水平，网络安全等级测评师培训应运而生。
本教材旨在提供网络安全等级测评师中级培训所需的详细指导。
二、课程概述1. 培训目标网络安全等级测评师中级培训的目标是培养学员具备扎实的网络安全理论知识和操作实践能力，能够独立进行中级网络安全等级测评工作。
2. 培训内容中级培训包括以下几个方面的内容：2.1 网络安全基础- 计算机网络基础知识- 密码学基础- 防火墙和入侵检测系统2.2 网络安全技术- 网络漏洞扫描和利用- 恶意代码分析和应对- 数据加密与解密技术2.3 网络安全管理- 安全策略与规划- 安全事件响应与处理- 安全审计与监控3. 培训形式为了提高学员的理论水平和实践能力，本培训采用理论授课与实践操作相结合的形式。
理论授课通过课堂教学进行，实践操作则通过实验室环境进行。
三、网络安全基础1. 计算机网络基础知识1.1 OSI七层模型- 物理层- 数据链路层- 网络层- 传输层- 会话层- 表示层- 应用层1.2 TCP/IP协议- IP协议- ICMP协议- TCP协议- UDP协议2. 密码学基础2.1 对称加密与非对称加密- DES加密算法- RSA加密算法2.2 数字签名与数字证书- 数字签名的原理与应用- 数字证书的生成与验证3. 防火墙和入侵检测系统3.1 防火墙- 防火墙的工作原理- 防火墙的策略配置3.2 入侵检测系统- 入侵检测系统的分类- 入侵检测系统的部署与配置四、网络安全技术1. 网络漏洞扫描和利用1.1 漏洞扫描工具- Nessus- OpenVAS1.2 漏洞利用技术- Metasploit框架- SQL注入攻击2. 恶意代码分析和应对2.1 恶意代码分类与特征- 病毒- 蠕虫- 木马- 特洛伊2.2 恶意代码应对策略- 反病毒软件的使用- 应急响应与处理流程3. 数据加密与解密技术3.1 对称加密算法- AES加密算法- Blowfish加密算法3.2 非对称加密算法- ECC加密算法- DSA加密算法五、网络安全管理1. 安全策略与规划1.1 安全策略制定- 安全目标的确定- 安全措施的选择1.2 安全规划实施- 安全规划的编制与审查- 安全规划的执行与更新2. 安全事件响应与处理2.1 安全事件分类与级别划分- 安全事件的种类- 安全事件的级别划分2.2 安全事件响应流程- 安全事件的发现与报告- 安全事件的分析与处置3. 安全审计与监控3.1 审计日志分析与监控- 审计日志的收集与管理- 审计日志的分析与报告3.2 网络流量监控- 网络流量监控的原理与工具- 网络流量的分析与查找六、总结本教材简要介绍了网络安全等级测评师中级培训的内容和形式。
等保测评师考试要求
等保测评师考试要求
等保测评师是负责进行信息系统安全等级保护测评的专业人员，他们需要具备一定的专业知识和技能。
以下是等保测评师考试的一般要求：
1. 学历要求：通常要求本科及以上学历，相关专业优先，如信息安全、计算机科学等。
2. 理论知识：对信息安全的基本理论知识有一定的了解，包括密码学、计算机网络、操作系统、数据库等。
3. 技术能力：熟悉各种安全技术和方法，包括漏洞扫描、渗透测试、安全管理等。
4. 相关经验：对信息安全领域有一定的实际工作经验，例如从事过安全审计、安全策略制定、风险评估等工作。
5. 专业证书：持有相关的专业证书，如ISO27001国际信息安
全管理体系认证、CISM（信息安全经理）认证、CISSP（认
证信息系统安全专业人员）等。
6. 培训课程：参加过相关的培训课程，如信息安全测评师培训、等保测评师培训等。
7. 职业道德：具备良好的职业道德和工作态度，保守客户信息，能够按照职业准则进行工作。
以上是一般的等保测评师考试要求，不同国家或机构可能会有所不同。
具体考试要求还需根据相关机构的规定和要求来确定。
等级保护测评工程师 考试
选择题等级保护测评工程师的核心职责不包括以下哪项？A. 评估信息系统的安全保护等级B. 制定网络安全策略C. 实施安全测评和风险评估D. 编写安全测评报告答案：B国家实施网络( )战略，支持研究开发安全、方便的电子身份认证技术。
A. 信誉身份B. 认证身份C. 可信身份D. 安全身份答案：C在第三级系统安全管理中心类中，要求项“应保证系统范围内的时间由唯一确定的时钟产生”，在对涉及物联网的信息系统进行测评时，应查看哪类测评对象是否使用了唯一确定的时钟源？A. 集中管理系统B. 感知节点设备C. 系统中的网络设备和服务器D. 以上均包含答案：C以下关于等级保护的地位和作用的说法中不正确的是？A. 是国家信息安全保障工作的基本制度、基本国策B. 是开展信息安全工作的基本方法C. 是提高国家综合竞争力的主要手段D. 是促进信息化、维护国家信息安全的根本保障答案：C在第三级安全物理环境测评中，客户应为机房内的设备都设置了不易除去的标签，因此标签纸应该符合哪些性质？（多选）A. 防撕B. 防油C. 防水D. 防刮答案：A, C, D关于表分区的说法正确的有？（多选）A. 表分区存储在表空间中B. 表分区可用于任意的数据类型的表C. 表分区不能用于含有自定义类型的表D. 表分区的每个分区都必须具有明确的上界值答案：A, D填空题等级保护测评工程师在评估系统时，需根据《信息安全技术信息系统安全等级保护基本要求》的______等级要求进行测评。
答案：相应系统定级工作的第一步是确定企业信息系统的______保护等级。
答案：安全在第三级系统的产品采购管理进行测评时，需要采集的主要证据包括产品选型测试报告、产品技术白皮书以及______。
答案：候选产品清单数据在网络层传输可采用完整性保护措施，如______、校验技术和密码技术。
答案：消息认证码高风险即所谓的一票否决项，系统若存在高风险，则等级保护测评最后的结论直接为______。
等保高级测评师报考条件及要求
等保高级测评师报考条件及要求等保高级测评师是国家对信息安全工作人员从事等级保护测评工作的资质认定标准，具备等保测评技术专业能力的人员必须具备的条件和要求非常严格。
本文将深入解析等保高级测评师的报考条件及要求，帮助有志于从事这一行业的人员更好地了解相关信息。
一、等保高级测评师报考条件1.学历要求：应聘者须具有相关专业本科及以上学历，如计算机相关专业、信息安全专业、网络工程专业等。
2.工作经验：应聘者须具备相关领域工作经验，有信息安全相关工作经验3年以上，有大型网络建设、信息系统实施、信息系统安全管理等相关工作经验者优先。
3.专业知识：应聘者需具备扎实的计算机基础知识和网络安全知识，熟悉相关的等保测评标准和规范，了解信息安全技术和产品，具备丰富的信息安全工程实施经验。
4.证书要求：应聘者需要具备网络安全工程师（NSE）、信息系统安全工程师（ISSE）等相关资格证书。
5.政治素质：应聘者需要具备较好的政治素质和团队合作精神，遵守国家法律法规，热爱信息安全工作，具备强烈的责任心和使命感。
6.综合素质：应聘者需具有较强的学习能力、沟通能力、组织协调能力和团队合作精神。
7.其他要求：具备良好的职业道德和职业操守，无违法犯罪记录，身体健康，无传染性疾病。
以上是等保高级测评师的报考条件，要求应聘者在学历、工作经验、专业知识、证书要求、政治素质、综合素质、其他要求等方面都具备一定的要求，且非常严格。
下面将详细解析等保高级测评师报考要求。
二、等保高级测评师报考要求1.学历要求等保高级测评师报考要求须具备相关专业本科及以上学历，如计算机相关专业、信息安全专业、网络工程专业等。
这是为了保证应聘者具备扎实的计算机和信息安全专业知识，有较好的理论基础。
2.工作经验等保高级测评师报考要求应聘者具备相关领域工作经验，有信息安全相关工作经验3年以上，有大型网络建设、信息系统实施、信息系统安全管理等相关工作经验者优先。
由于等保高级测评师的工作主要是对信息系统进行安全测评和评估，需要应聘者具备丰富的实际工作经验，熟悉信息系统建设和运维。
等级保护初级测评师报考条件
等级保护初级测评师报考条件等级保护初级测评师，这可是个挺酷的事儿呢。
想报考的朋友啊，得先知道一些条件。
咱们先说说学历这方面吧。
一般来讲啊，你得有个大专或者以上的学历。
你想啊，等级保护测评这活儿，就像是在一个特别复杂的大迷宫里找路，你得有一定的知识储备才行啊。
大专学历就像是你手里的一个小地图，虽然可能不是特别详细，但至少能让你在这个迷宫里开始摸索了。
要是没有这个学历基础，就好像你在迷宫里连个基本方向都没有，很容易就晕头转向啦。
再说说工作经验。
你得有至少1年的信息安全相关工作经验。
这就好比你要去参加一场马拉松比赛，之前的工作经验就是你的热身训练。
你没跑过步就直接去参加马拉松，那不得累趴下呀？信息安全工作经验也是这个道理。
在这1年里，你接触过网络安全防护啊，数据安全管理啊之类的工作，这样你对等级保护测评里涉及到的安全问题就有了一些感性的认识。
比如说，你处理过公司网络遭受小黑客攻击的事儿，你就知道网络安全防护哪里容易出漏洞，那在测评的时候就能更敏锐地发现问题了。
还有个重要的事儿呢，就是你得参加由相关机构组织的等级保护初级测评师培训课程。
这培训课程就像是你的秘籍一样。
你自己闷头学啊，可能有些门道你就是摸不透。
就像练武，你自己瞎比划，没有师傅教你正宗的招式，你怎么能成为高手呢？这个培训课程里，有专业的老师给你讲那些等级保护的标准、流程、技术要点啥的。
他们会把那些干巴巴的知识变得生动起来，就像把一块生硬的面团揉成软软的面包，吃起来可口又好消化。
说到技能这一块，你得对计算机网络技术有一定的了解。
计算机网络就像一个超级大的蜘蛛网，里面有各种各样的线路和节点。
你要是不了解这个蜘蛛网的构造，你怎么能找到里面可能存在的薄弱环节呢？你得知道网络拓扑结构啊，IP地址分配啊这些基础知识。
这就跟你要去一个陌生的城市，你得知道路怎么走一样。
要是连路都不认识，你还怎么去检查这个城市的安全设施呢？另外啊，对信息安全标准和规范也得熟悉。
信息安全等级测评师考试条件
信息安全等级测评师考试条件主要包括以下几个方面：
1. 学历要求：通常要求考生具备本科及以上学历，计算机科学、网络安全等相关专业优先考虑。
2. 工作经验要求：考生需要具备一定的工作经验，通常要求在信息安全领域工作满一定年限，如2年以上。
3. 技能要求：考生需要掌握信息安全基础知识，熟悉等级保护、风险评估等相关标准和规范，具备等级测评工作的技能和经验。
4. 培训要求：考生需要参加相关的培训课程，并取得相应的培训证书。
5. 考试要求：考生需要通过信息安全等级测评师的考试，考试内容主要包括信息安全基础知识、等级测评技术、实际操作等。
除了以上提到的条件，信息安全等级测评师考试条件还包括以下几点：1. 具备良好的职业道德和职业素养，能够遵守相关的法律法规和行业规范。
2. 具备团队合作精神和良好的沟通能力，能够与其他人员协作完成测评工作。
3. 具备独立工作能力和解决问题的能力，能够独立完成等级测评工作。
总之，信息安全等级测评师需要具备全面的素质和能力，包括学历、工作经验、技能、培训和考试等方面的要求。
只有具备了这些条件，才能够胜任等级测评工作，保障信息系统的安全性和稳定性。
等级保护初级测评师报考条件及要求
等级保护初级测评师报考条件及要求好啦，咱们今天聊聊“等级保护初级测评师”这个报考条件的事儿。
你要问，这个职业是什么，咋听起来这么专业？嗯，简单来说，等级保护测评师就是负责检查和评估咱们国家网络安全的“守门员”。
想象一下，咱们国家的信息安全就像一个大铁门，而这些测评师，就是在门外守着，看看有没有坏人试图闯进来。
哎，你以为就这么简单吗？可没那么轻松，得有些硬本事才行。
首先说说这个“初级”二字。
这是个入门级别的职位，大家看到了不一定要吓一跳，说是初级，其实要求也不低哦。
你可得有一定的网络基础，不然还真不好做。
像是什么计算机、网络技术啊，这些必须得懂个七七八八，最好还能动手搞点儿小项目。
你要说“我只会打游戏”，那就不行，毕竟这个工作需要你脑袋清楚，思维敏捷。
好啦，说到报考条件，最基础的，当然是学历啦。
报考这类职业，基本要求得是大专及以上的学历。
当然了，越高越好，像本科、研究生啥的，分数肯定也会更高。
不过话说回来，学历只是一个门槛，靠它你只能进得了考场，想得分，得靠真本事。
不是学历高就能一马平川的哦。
你要是真心想学，别管你是大专还是本科，关键是能不能把东西学扎实。
咱们得聊聊工作经验。
咋说呢，很多刚毕业的同学会觉得“我刚从学校里出来，啥经验都没有”，别急，国家还是很照顾新人的。
等级保护初级测评师这个职位，它并没有要求你有几年工作经验，很多人都是从实习做起，边做边学。
你要有个基本的基础，就能跟着有经验的人混，慢慢摸索，积累经验。
当然了，没经验也不能啥都不懂，你得有些基本的理论知识，理解什么叫做网络安全，什么叫做数据保护。
懂这些基础的，你就能跟上前辈的步伐，学得更快。
接着嘛，就是对你个人能力的要求了。
其实网络安全这块，单纯的技术能力已经不够了。
你得有一定的沟通能力和写作能力，尤其是做测评报告的时候，必须得写得清楚明了。
这就好像写作文一样，没个几百字你根本说不清楚事儿。
而且报告不仅要写清楚，还得有条理，条条框框不能乱。
信息安全等级测评师培训讲义(PDF 123页)
24
测评方式-访谈-访谈对象
各方面负责人（物理安全、人事、系统 建设、系统运维）
主要针对机构信息安全各个具体方面的问题 进行总体式提问
主要集中在：人员安全管理、系统建设管理、 系统运维管理、物理安全
25
测评方式-访谈-访谈对象
各类管理人员（系统安全管理员、网络 安全管理员等）
测评方式
访谈 检查
29
测评方式-检查
检查——不同于行政执法意义上的监督 检查，是指测评人员通过对测评对象进行 观察、查验、分析等活动，获取证据以证 明信息系统安全保护措施是否有效的一种 方法。
30
测评方式-检查
检查方式 检查对象 检查与访谈的关系
31
测评方式-检查-检查方式
文档查看 现场察看
15
测评方法和流程
主要测评工具 测评方式 测评工作前期准备 现场测评流程
16
测评方法和流程-主要测评工具
安全管理测评作业指导书 物理安全测评作业指导书
17
测评方法和流程-测评方式
访谈 检查
18
测评方式-访谈
访谈——测评人员通过与信息系统有关人 员（个人/群体）进行交流、讨论等活动， 获取相关证据表明信息系统安全保护措施 是否落实的一种方法。在访谈的范围上， 应基本覆盖所有的安全相关人员类型，在 数量上可以抽样。
8
测评依据
信息系统安全等级保护基本要求 GB/T 22239-2008
信息系统安全等级保护测评要求（报批 稿）
信息系统安全等级保护测评过程指南 （报批稿）
9
测评依据-标准中管理要求形成思路
政策和制度
限制
指导
机构和人员
Scratch等级考试编程题操作指南！
Scratch等级考试编程题操作指南！本考试指南适⽤于全国青少年软件编程（预备级-Scratch编程 1~4级）等级考试！⼀、考试环境1.基于Web IDE 考试环境，通过⽹页⽅式实现在线考试；⼆、试题说明1. 题型：客观题、编程题2. 题量：35-40个题3. 满分：100分三、评分⽅式由测评师PC端完成评分四、登录考试流程1.请考⽣输⼊⾝份证号、密码和验证码登录后台2.请点击“参加考试”3.客观题答题页4.编程题答题页阅读程序题作品要求，点击“开始编程”即打开 IDE 环境，开始答题5.IDE 功能区：舞台区、⾓⾊区、代码区6.代码编辑完后，可对代码进⾏保存；在“提交答卷”之前，可对之前保存过的代码再次编辑，提交答卷后⽆法再对代码进⾏修改7.保存完代码后，点击右上⾓“X”，可关闭编程页⾯8.关闭编程页⾯后，此处会显⽰“此题已作答”五、作答指南1. 审题：代码区题⽬要求展⽰题⽬的信息，包含作品要求，准备⼯作、功能实现等信息。
编写代码前⼀定要仔细阅读题⽬，避免出现理解误差。
2. 代码编写：完成审题后，可在代码区对⾓⾊区的⾓⾊进⾏代码编写。
对不同⾓⾊的任务要求，应在这个⾓⾊所对应的代码区进⾏代码编写。
IDE环境提供了每2分钟⾃动保存代码的功能。
为了防⽌代码丢失，请不要刷新整个页⾯，如果遇到异常情况需要刷新页⾯，请先点击右上⾓【保存】。
3. 调试：代码编写完成后，可以对代码进⾏调试。
点击舞台区的【开始】按钮后，程序开始运⾏执⾏，在舞台区检查代码运⾏效果是否满⾜题⽬要求。
在向答题系统“提交答卷”前，考⽣可以通过不断【运⾏】代码，检查代码运⾏效果，完成对代码的调试。
4. 保存答案点击右上⾓的【保存】按钮后，IDE会将代码区的代码进⾏保存并将这个代码作为这道题⽬的答案。
在保存答案前尽量完成题⽬要求，题⽬要求完成越多得分越⾼。
5. 返回试卷页⾯点击右上⾓“x”，关闭代码编辑页⾯，回到试卷页⾯，此时程序题显⽰“此题已作答！”。
网络安全等级测评师培训教材初级
网络安全等级测评师培训教材初级第一章网络安全概述网络安全等级测评作为一项重要的工作，需要专业人员进行培训和指导。
本教材将介绍网络安全等级测评师的基本知识和技能，包括网络安全概述、测评方法和实践案例等。
1.1 网络安全概念网络安全是指保护网络系统和数据免受未经授权的访问、破坏、干扰、泄露和破坏的一系列技术、政策和措施的综合体。
网络安全的重要性在于防止黑客入侵、数据泄露、恶意软件攻击等安全威胁。
1.2 网络安全等级测评的意义网络安全等级测评是评估网络系统安全性的一种方法，通过对网络系统进行全面、系统的安全测试和评估，为企业和组织提供科学、客观的安全风险评估，帮助其制定合理的安全预防和保护措施。
第二章网络安全等级测评体系2.1 网络安全等级测评概述网络安全等级测评是按照一定的规则和标准，对目标系统的安全性进行评估和测试，以确定其安全等级。
网络安全等级测评包括等级划分、评估标准和评估要求等内容。
2.2 网络安全等级划分网络安全等级划分是按照一定的指标和标准，对不同的网络系统进行分级，确定其相应的安全等级。
等级划分主要根据系统功能、敏感程度、保护需求等因素进行判断，并结合相关法规和标准进行参考。
2.3 网络安全评估标准网络安全评估标准是衡量网络系统安全性的依据，包括技术标准和管理标准。
技术标准主要包括密码学算法、访问控制、漏洞管理等方面的要求；管理标准主要包括信息安全管理制度、安全管理措施和安全培训等要求。
第三章网络安全等级测评方法3.1 网络安全等级测评方法概述网络安全等级测评方法是指评估和测试网络系统安全性的一系列技术和手段。
常用的测评方法包括脆弱性扫描、漏洞利用、安全隐患评估等。
3.2 脆弱性扫描脆弱性扫描是通过扫描目标系统中的漏洞和安全隐患，识别系统存在的安全问题，并提供修复建议。
脆弱性扫描主要针对系统的软件、操作系统、服务等进行检测。
3.3 漏洞利用漏洞利用是指通过对目标系统漏洞的利用，获取未经授权的权限或对系统进行攻击。
等级保护测评师初级技术考试
目录等级保护政策和相关标准应用部分中华人民共和国计算机信息系统安全保护条例国务院令147号计算机信息系统实行安全等级保护;安全等级的划分标准和安全等级保护的具体办法,由公安部会同有关部门制定国家信息化领导小组关于加强信息安全保障工作的意见中发办2003 27号要加强信息安全标准化工作,抓紧制定急需的信息安全管理和技术标准,形成与国际标准相衔接的中国特色的信息安全标准体系什么是等级保护工作信息安全等级保护工作是一项由信息系统主管部门、运营单位、使用单位、安全产品提供方、安全服务提供方、检测评估机构、信息安全监督管理部门等多方参与,涉及技术与管理两个领域的复杂系统工程等级保护制度的地位和作用是国家信息安全保障工作的基本制度、基本国策是促进信息化、维护国家信息安全的根本保障是开展信息安全工作的基本方法,有效抓手等级保护的主要目的明确重点、突出重点、保护重点优化信息安全资源的配置明确信息安全责任拖动信息安全产业发展公安机关组织开展等级保护工作的依据1.警察法规定：警察履行“监督管理计算机信息系统的安全保护工作”的职责2.国务院令147号“公安部主管全国计算机信息系统安全保护工作”,“等级保护的具体办法,由公安部会同有关部门制定”年国务院三定方案,公安部新增职能：“监督、检查、指导信息安全等级保护工作”机构公安部网络安全保卫局各省网络警察总队地市网络警察支队区县网络警察大队部分职责制定信息安全政策打击网络违法犯罪互联网安全管理重要信息系统安全监督网络与信息安全信息通报国家信息安全职能部门职责分工公安机关牵头部门,监督、检查、指导信息安全等级保护工作国家保密部门负责等级保护工作中有关保密工作的监督、检查、指导;并负责涉及国家秘密信息系统分级保护国家密码管理部门：负责等级保护工作中有关密码工作的监督、检查、指导工业和信息化部门：负责等级保护工作中部门间的协调定级备案建设整改测评监督检查关于信息安全等级保护工作的实施意见公通字2004 66号计算机信息系统安全保护等级划分准则GB17859-1999 简称划分准则信息安全等级保护管理办法公通字2007 43号简称管理办法信息系统安全等级保护实施指南简称实施指南信息系统安全保护等级定级指南GB/T 22240-2008 简称定级指南信息系统安全等级保护基本要求GB/T22239-2008 简称基本要求信息系统安全等级保护测评要求简称测评要求信息系统安全等级保护测评过程指南简称测评过程指南测评主要参照标准信息系统安全等级保护基本要求信息系统安全等级保护测评要求信息系统安全等级保护测评过程指南等级保护工作中用到的主要标准基础17859实施指南定级环节定级指南整改建设环节基本要求等级测评环节测评要求测评过程指南定级方法PPT61确定定级对象确定业务信息安全受到破坏时所侵害的客体综合评定业务信息系统安全被破坏对客体的侵害程度得到业务信息安全等级确定系统服务安全受到破坏时所侵害的客体综合评定系统服务安全被破坏对客体的侵害程度得到系统服务安全等级网络安全测评部分7个控制点33个要求项结构安全访问控制入侵防范边界完整性检查恶意代码防范设备防护安全审计检查范围理解标准：理解标准中涉及网络部分的每项基本要求明确目的：检查的最终目的是判断该信息系统的网络安全综合防护能力注意事项结构安全7点重要a 应保证主要网络设备的业务处理能力具备冗余空间,满足业务高峰期需要b 应保证网络各个部分的带宽满足业务高峰期需要c 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径d 应绘制与当前运行情况相符的网络拓扑结构图e 应根据各个部门的工作职能、重要性和所涉及信息的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原则为各个子网、网段分配地址段f 应避免将重要网段部署在网络边界处且直接连接外部信息系统,重要网段与其他网段之间采取可靠的技术隔离手段g 应按照对业务服务的重要次序来指定带宽分配优先级别,保证在网络发生拥堵的时候优先保护重要主机访问控制a 应在网络边界部署访问控制设备,启用访问控制功能b 应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力,控制粒度为端口级c 应对进出网络的信息内容进行过滤,实现对应用层HTTP 80、FTP 20 21、TELNET 23、SMTP 25、POP3 110 等协议命令集的控制协议需要记忆d 应在会话处于非活跃一定时间或会话结束后终止网络连接e 应限制网络最大流量数及网络连接数f 重要网段应采取技术手段防止地址欺骗g 应按用户和系统之间的允许访问规则,决定允许或拒绝用户对受控系统进行资源访问,控制粒度为单个用户h 应限制具有拨号访问权限的用户数量安全审计4项a 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录b 审计记录包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息c 应能够根据记录进行分析,并生成审计报表d 应对审计记录进行保护,避免受到未预期的删除、修改或覆盖等测评步骤1、网络全局性测评结构安全边界完整性检查入侵防范恶意代码防范2、网络设备、安全设备测评访问控制安全审计网络设备防护备份与恢复a 应提供本地数据备份与恢复功能,完全数据备份至少每天一次,备份介质场外存放b 应提供异地数据备份功能,利用通信网络将关键数据定时批量传送至备用场地c 应采用冗余技术设计网络拓扑结构、避免关键节点存在单点故障d 应提供主要网络设备、通信线路和数据处理系统的硬件冗余、保证系统的高可用性3、测评结果汇总整理对全局性检查结果和各单项检查结果进行汇总核对检查结果,记录内容真实有效,勿有遗漏主机安全部分主机安全测评1.主机按照其规模或系统功能来区分,可分为巨型、大型、中型、小型、微型计算机和单片机2.主机安全是由操作系统自身安全配置、相关安全软件以及第三方安全设备等来实现,主机测评则是依据基本要求对主机安全进行符合性检查3.目前运行在主机上流行的操作系统有windows linux sun_solaris ibm_aix hp_ux测评准备工作很重要1.信息收集服务器的设备名称、型号、所属网络区域、操作系统版本、IP、安装应用软件的名称、主要业务应用、涉及数据、是否热备、重要程度、责任部门信息收集的原则重要～完整性原则重要性原则安全性原则共享性原则代表性原则2.测评指导书准备根据信息收集的内容、结合主机所属等级、编写测评指导书身份鉴别访问控制安全审计剩余信息保护入侵防范恶意代码防范系统资源控制备份与恢复身份鉴别6项a 应对登录操作系统和数据库系统的用户进行身份标识和鉴别b 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点,口令有复杂度要求并要求定期更换c 应启用登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施d 当对服务器进行远程管理时,应采取必要措施,防止鉴别信息在网络传输过程中被窃听e 为操作系统和数据库的不同用户分配不同的用户名,确保用户名具有唯一性f 应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别身份鉴别共有6个检查项1.身份的标识2.密码口令的复杂度设置3.登录失败的处理4.远程管理的传输模式5.用户名的唯一性6.身份组合鉴别技术什么是双因子鉴别重要～个人所知道的信息个人所持有的物品个人的生理特征个人的行为特征访问控制7个检查项1.对系统的访问控制功能2.管理用户的角色分配3.操作系统和数据库系统管理员的权限分离4.默认用户的访问权限5.账户的清理6.重要信息资源的敏感标记设置7.对有敏感标记信息资源的访问和控制安全审计6个检查项1.审计范围2.审计的事件3.审计记录格式4.审计报表得生成5.审计进程保护6.审计记录的保护剩余信息保护2项1.鉴别信息清空2.文件记录等的清空入侵防范3项1.入侵行为的记录和报警2.重要文件的完整性保护3.最小安装原则恶意代码防范1.安装防恶意代码软件2.主机的防恶意代码库和网络防恶意代码库的差别3.防恶意代码软件的统一管理除了安装防病毒软件还有什么能解决重要～1安全补丁管理平台2防火墙3入侵检测系统4对系统和数据进行尝备份系统资源控制5项1.应通过设定终端接入方式、网络地址范围等条件限制终端登录;2.应根据安全策略设置登录终端的－超时锁定3.主机资源监控－应对重要服务器进行监视,包括监视服务器的CPU,硬盘,内存,网络等资源的使用情况4.单个资源利用－应限制单个用户对系统资源的最大或最小使用限度5.系统服务水平监控和报警机制－应能够对系统的服务水平降低到预先规定的最小值进行检测和报警;声光电色备份与恢复1项硬件冗余超级用户的特权划分为一组～应用测评部分开发商和用户对应用系统安全重视程度不够开发商安全意识普遍淡薄,开发中留有安全漏洞用户普遍对应用安全不重视,系统上线前不把关针对口令的攻击,如口令破解针对WEB的应用的攻击应用测评的特点安全功能和配置检查并重应用测评重不确定因素较多测评范围广,分析较为困难应用测评的方法通过检查查看是否进行了正确的配置如果条件允许,需进行测试双因子很重要应用测评里安全审计很重要抗抵赖通信完整性数据库身份鉴别数据库管理员是否采取措施保证远程管理数据加密传输双因子在数据库中部署比较困难访问控制ORACLE的检查方法Select limit from dba_profiles where profile='DEFAULT' and resouce_name='PASSOWRD_VERIFY_FUNCTION'查看是否启用口令复杂函数;检查中－－check for the mininum lentgh of the password 部份中lengthpassword<后的值SQL的检查方法Select from syslogins where password is null 查看是否存在空口令帐户数据审计ORACLE的检查方法Slect limit form dba_profiles where profile='DEFAULT' and resource_name='FAILED_LOGIN_A TTEMPTS' 查看值是否为unlimited 如果值不为该值则说明设置了登录失败尝试次数的限制Slect limit from dba_profile where profile='DEFAULT' and resource_name='PASSWORD_LOCK_TIME',查看其值是否为unlimited如果不为则说明设置了口令锁定时间;Select username,account_status from dba_users 询问每个帐户的用途,查看是否存在多余的,过期的帐户Select username from dba_users 检查是否安装ORACLE LABLE SECURITY 模块查看是否创建策略：select policy_name , status from DBA_SA_POLICIES查看是否创建级别：select FROM dba_sa_livels ORDER BY level_num查看标签创建情况：select from dba_sa_labels查看策略与模式、表的对应关系：select from dba_sa_tables_policies 判断是否针对重要信息资源设置敏感标签;查看用户的标签：select from dba_sa_user_labelsSQL的检查方法Select from dba_sa_user_labels安全审计SQL的检查方法1、在“企业管理器＝右键单击注册名称＝单击：“属性”＝安全性,查看每个注册的“审核级别”是否为“全部”2、询问数据库管理员,是否采取第三方工具或其他措施增强SQL Server的日志功能;3、用不同的用户登录数据库系统并进行不同的操作,在SQL SERVER 数据库中查看日志记录; ORACLE的检查方法Select value from v$parameter where name='audit_trail'Show parmeter audit_trail 查看是否开启审计功能Show parameter audit audit_sys_operations 查看是否对所有sys用户的操作进行了记录Select sel,uqd,del,ins from dba_obj_audit_opts,查看是否对sel,upd,del,ins操作进行了审计Select from dba_stmt_audit_opts,查看审计是否设置成功Select from dba_priv_audit_opts 查看权限审计选项审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等;用户可以通过alter system set audit_trail=none 并重启实例关闭审计功能,查看是否成功Sp_config 'remote login timeouts;,查看是否设置了超时时间查看空闲超时设置,select limit from dba_profiles where profile='DEFAULT and resource_name='IDLE_TIME'.应限制单个用户对系统资源的最大或最小使用限度;ORACLE的检查方法Select username,profile from dba_users确定用户使用的profile,针对指定用户的profile,查看其限制以default为例;Select limit from dba_profiles where profile='DEFAULT' and resource_name='CPU_PER_USER',查看是否对每个用户所允许的并行会话数进行了限制;Select limit from dba_profiles where profile='DEFAULT' and resource_name='CPU_PER_SESSION',查看是否对一个会话可以使用的CPU时间进行了限制;Select limit from dba_profiles where profile='DEFAULT' and resource_name='CPU_PER_IDLE_TIME',查看是否对允许空闲会话的时间进行了限制;备份与恢复应用和数据库应提供数据本地备份与恢复功能,完全数据备份至少每天一次备份介质场外存储考试要点1.应用系统的特点a测评范围较广和数据库、操作系统等成熟产品不同,应用系统现场测评除检查安全配置外,还需验证其安全功能是否正确b测评中不确定因素较多,测评较为困难需根据业务和数据流程确定测评重点和范围应用系统安全漏洞发现困难,很难消除代码级的安全隐患c测评结果分析较为困难应用系统与平台软件,如Web平台、操作系统、数据库系统、网络等都存在关联关系2.应用系统的测评方法a通过访谈,了解安全措施的实施情况和其他成熟产品不同,应用系统只有在充分了解其部署情况和业务流程后,才能明确测评的范围和对象,分析其系统的脆弱性和面临的主要安全威胁,有针对性的进行测评b通过检查,查看其是否进行了正确的配置有的安全功能如口令长度限制、错误登录尝试次数等需要在应用系统上进行配置,则查看其是否进行了正确的配置,与安全策略是否一致;无需进行配置的,则应查看其部署情况是否与访谈一致;c如果条件允许,需进行测试可通过测试验证安全功能是否正确,配置是否生效;代码级的安全漏洞在现场查验比较困难,则可进行漏洞扫描和渗透测试,如果条件允许,则可进行代码白盒测试;3.应用系统难理解的地方4.应用系统如何测评a身份鉴别应提供专用的登录控制模块对登录用户进行身份标识和鉴别；应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；应提供用户身份标识唯一和鉴别信息复杂度检查功能,保证应用系统中不存在重复用户身份标识,身份鉴别信息不易被冒用；应提供登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施；应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能,并根据安全策略配置相关参数;条款理解三级或三级以上系统要求必须提供两种两次口令鉴别不属于两种鉴别技术或两种以上组合的鉴别技术进行身份鉴别,在身份鉴别强度上有了更大的提高;检查方法询问系统管理员,了解身份鉴别措施的部署和实施情况;根据了解的情况,检查应用系统是否按照策略要求进行了相应的配置,在条件允许的情况下,验证功能包括应用口令暴力破解等测试手段是否正确;b访问控制要求项应提供访问控制功能,依据安全策略控制用户对文件、数据库表等客体的访问；访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作；应由授权主体配置访问控制策略,并严格限制默认帐户的访问权限；应授予不同帐户为完成各自承担任务所需的最小权限,并在它们之间形成相互制约的关系；应具有对重要信息资源设置敏感标记的功能；应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;条款理解三级系统要求访问控制的粒度达到文件、数据库表级,权限之间具有制约关系如三权分离,管理、审计和操作权限,并利用敏感标记控制用户对重要信息资源的操作;检查方法询问系统管理员,了解访问控制措施的部署和实施情况;根据了解的情况,检查应用系统是否按照策略要求进行了相应的配置,在条件允许的情况下,验证功能是否正确;c安全审计要求项应提供覆盖到每个用户的安全审计功能,对应用系统重要安全事件进行审计；应保证无法单独中断审计进程,无法删除、修改或覆盖审计记录；审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等；应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能;条款理解三级系统强调对每个用户的重要操作进行审计,重要操作一般包括登录/退出、改变访问控制策略、增加/删除用户、改变用户权限和增加/删除/查询数据等;检查方法询问系统管理员,了解安全审计措施的部署和实施情况;重点检查应用系统是否对每个用户的重要操作进行了审计,同时可通过进行一些操作,查看应用系统是否进行了正确的审计;c剩余信息保护要求项应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中；应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除;条款理解该项要求是为了防止某个用户非授权获取其他用户的鉴别信息、文件、目录和数据库记录等资源,应用系统应加强内存和其他资源管理;检查方法询问系统管理员,了解剩余信息保护方面采取的措施;根据了解的情况,测试其采取的措施是否有效,如以某个用户进行操作,操作完成退出系统后系统是否保留有未被删除的文件等;d通信完整性要求项应采用密码技术保证通信过程中数据的完整性;条款理解该项要求强调采取密码技术来保证通信过程中的数据完整性,普通加密技术无法保证密件在传输过程中不被替换,还需利用Hash函数如MD5、SHA和MAC用于完整性校验,但不能利用CRC生成的校验码来进行完整性校验;检查方法询问系统管理员,了解通信完整性方面采取的措施;可通过查看文档或源代码等方法来验证措施是否落实;e通信保密性要求项在通信双方建立连接之前,应用系统应利用密码技术进行会话初始化验证；应对通信过程中的整个报文或会话过程进行加密;条款理解该项要求强调整个报文或会话过程进行加密,同时,如果在加密隧道建立之前需要传递密码等信息,则应采取密码技术来保证这些信息的安全;检查方法询问系统管理员,了解通信保密性方面采取的措施,分析其会话初始化过程是否安全;可通过抓包工具如Sniffer pro获取通信双方的内容,查看系统是否对通信双方的内容进行了加密;F抗抵赖要求项应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能；应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能;条款理解该项要求强调应用系统提供抗抵赖措施如数字签名,从而保证发送和接收方都是真实存在的用户;检查方法询问系统管理员,了解抗抵赖方面采取的措施;可通过查看文档或源代码等方法来验证措施是否落实;g软件容错要求项应提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；应提供自动保护功能,当故障发生时自动保护当前所有状态,保证系统能够进行恢复;条款理解为了防止SQL注入等攻击,软件应对用户输入数据的长度和格式等进行限制;检查方法询问系统管理员,了解软件容错方面采取的措施;可通过查看文档或源代码等方法来验证措施是否落实,并在界面上输入超过长度或不符合要求格式如hi’ or 1=1--的数据,验证其功能是否正确;h资源控制要求项当应用系统的通信双方中的一方在一段时间内未作任何响应,另一方应能够自动结束会话；应能够对系统的最大并发会话连接数进行限制；应能够对单个帐户的多重并发会话进行限制；应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；应能够对系统服务水平降低到预先规定的最小值进行检测和报警；应提供服务优先级设定功能,并在安装后根据安全策略设定访问帐户或请求进程的优先级,根据优先级分配系统资源;条款理解资源控制是为了保证大多数用户能够正常的使用资源,防止服务中断,应用系统应采取限制最大并发连接数、请求帐户的最大资源限制等措施;检查方法询问系统管理员,了解资源控制措施的部署和实施情况;根据了解的情况,检查应用系统是否配备了相应的功能,在条件允许的情况下,验证功能是否正确i数据完整性要求项应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施；应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施;条款理解该项要求强调不仅要保证管理数据、鉴别信息和重要业务数据传输数据的完整性,而且要保证存储过程中的完整性并且在检测到完整性受到破坏时采取恢复措施;检查方法询问系统管理员,了解数据完整性措施部署和实施情况;根据了解的情况,检查应用系统是否配备了相应的功能,在条件允许的情况下,验证功能是否正确;j数据保密性要求项应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性；应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性;条款理解该项要求强调不仅要保证管理数据、鉴别信息和重要业务数据传输数据的保密性,而且要保证存储过程中的保密性并且在检测到完整性受到破坏时采取恢复措施;检查方法询问系统管理员,了解数据保密性措施部署和实施情况;根据了解的情况,检查应用系统是否配备了相应的功能,在条件允许的情况下,验证功能是否正确;k备份和恢复要求项应提供本地数据备份与恢复功能,完全数据备份至少每天一次,备份介质场外存放；应提供异地数据备份功能,利用通信网络将关键数据定时批量传送至备用场地;条款理解该项要求对备份策略进行了明确的要求,即“完全数据备份至少每天一次,备份介质场外存放”,并且强调应提供异地数据备份功能;这部分主要检查文件型数据的备份和恢复方式;检查方法询问系统管理员,了解备份和恢复方面采取的措施;。
职业培训行业技能培训与证书考试方案
职业培训行业技能培训与证书考试方案第1章技能培训概述 (4)1.1 技能培训背景 (4)1.2 技能培训目标 (4)1.3 技能培训体系 (4)第2章培训课程设置 (5)2.1 课程体系构建 (5)2.1.1 理论课程 (5)2.1.2 实操课程 (5)2.1.3 案例分析与模拟演练 (5)2.2 课程内容设计 (5)2.2.1 职业技能培训 (6)2.2.2 证书考试辅导 (6)2.3 课程实施与评估 (6)2.3.1 教学方法 (6)2.3.2 师资队伍 (6)2.3.3 教学资源 (6)2.3.4 评估体系 (6)第3章培训方法与手段 (6)3.1 面授培训 (7)3.1.1 理论讲授：以专业理论知识为基础，结合行业实际需求，进行系统性的知识传授。
(7)3.1.2 经验分享：邀请行业内有丰富经验的专家和优秀从业者进行现场授课，分享实际工作经验，提高学员的职业素养。
(7)3.1.3 互动讨论：鼓励学员提问、发表观点，促进师生之间的交流与互动，提高学员的思考能力和解决问题的能力。
(7)3.1.4 实物演示：通过实物、模型等直观教具，使学员更加直观地了解所学知识，提高培训效果。
(7)3.2 在线培训 (7)3.2.1 网络课程：利用专业平台，提供丰富多样的网络课程资源，满足学员个性化学习需求。
(7)3.2.2 视频教学：通过录制高清教学视频，让学员随时随地学习，提高学习效率。
(7)3.2.3 在线互动：设置在线问答、讨论区等功能，方便学员与教师、学员之间进行实时交流，解答学习过程中的疑问。
(7)3.2.4 作业与测评：布置在线作业，提供在线测评，帮助学员巩固所学知识，实时了解学习进度。
(7)3.3 实践操作培训 (7)3.3.1 实训基地：建立专业实训基地，配置先进的设备，模拟实际工作场景，让学员在实际操作中掌握技能。
(7)3.3.2 企业实习：与行业内企业合作，安排学员到企业进行实习，了解企业运作模式，提高职业素养。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
CSPEC-PXKS01
等级测评师培训及考试指南
（V1.0）
公安部信息安全等级保护评估中心
二〇一一年一月
为加强信息安全等级保护测评机构建设和管理，规范等级测评活动，保障信息安全等级保护测评工作的顺利开展，公安部下发了《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安[2010]303号），对等级测评工作、等级测评机构建设以及等级测评人员进行了规范。
要求开展等级测评的人员参加专门的培训和考试，并取得《信息安全等级测评师证书》（等级测评师分为初级、中级和高级）。
等级测评人员需持等级测评师证上岗。
公安部信息安全等级保护评估中心（以下简称“评估中心”）是由公安部为建立信息安全等级保护制度，构建国家信息安全保障体系而专门批准成立的专业技术支撑机构，评估中心受国家信息安全等级保护工作协调小组办公室委托，对从事等级测评的人员进行培训和考试，对考试合格人员颁发《信息安全等级测评师》证书。
1．等级测评师的分类及能力要求
信息安全等级测评师分为初级等级测评师、中级等级测评师和高级等级测评师三级。
其中，初级等级测评师又分为技术和管理两类。
三级等级测评师能力要求如下：
1）初级等级测评师
●了解信息安全等级保护的相关政策、标准；
●熟悉信息安全基础知识；
●熟悉信息安全产品分类，了解其功能、特点和操作方法；
●掌握等级测评方法，能够根据测评指导书客观、准确、完整地获取
各项测评证据；
●掌握测评工具的操作方法，能够合理设计测试用例获取所需测试数
据；
●能够按照报告编制要求整理测评数据。
2）中级等级测评师
●熟悉信息安全等级保护相关政策、法规；
●正确理解信息安全等级保护标准体系和主要标准内容，能够跟踪国
内、国际信息安全相关标准的发展；
●掌握信息安全基础知识，熟悉信息安全测评方法，具有信息安全技
术研究的基础和实践经验；
●具有较丰富的项目管理经验, 熟悉测评项目的工作流程和质量管理
的方法，具有较强的组织协调和沟通能力；
●能够独立开发测评指导书，熟悉测评指导书的开发、版本控制和评
审流程；
●能够根据信息系统的特点，编制测评方案，确定测评对象、测评指
标和测评方法；
●具有综合分析和判断的能力，能够依据测评报告模板要求编制测评
报告，能够整体把握测评报告结论的客观性和准确性。
具备较强的
文字表达能力；
●了解等级保护各个工作环节的相关要求。
能够针对测评中发现的问
题，提出合理化的整改建议。
3）高级等级测评师
●熟悉和跟踪国内、外信息安全的相关政策、法规及标准的发展；
●对信息安全等级保护标准体系及主要标准有较为深入的理解；
●具有信息安全理论研究的基础、实践经验和研究创新能力；
●具有丰富的质量体系管理和项目管理经验，具有较强的组织协调和
管理能力；
●熟悉等级保护工作的全过程，熟悉定级、等级测评、建设整改各个
工作环节的要求。
2．培训及考试对象
信息安全等级测评师培训及考试对象是等级测评机构中从事等级测评工作的测评人员。
要求这些人员在具备信息安全基础知识及相关测评经验的前提下，参加初级、中级或高级等级测评师的专门培训和考试，从而满足等级测评工作岗位的需要。
1）初级等级测评师
初级等级测评师的培训对象是网络安全、主机安全、应用安全、安全管理和工具测试人员等。
报考人员需要具备信息安全基础知识和信息安全相关工作经验,熟悉
TCP/IP 网络协议，了解标识与鉴别、访问控制等安全技术及原理，熟悉主流服务器操作系统、路由器、交换机、防火墙等设备的操作与配置。
2）中级等级测评师
中级等级测评师的培训对象是项目负责人（或项目组长）。
报考人员需要具备信息安全理论基础，对系统安全、网络安全、应用安全等有深入了解,作为项目负责人组织实施过信息系统安全测评项目，熟悉国内外信息安全相关产品的特性，具有较丰富的测评实践经验、良好的沟通协作和文字表达能力。
3）高级等级测评师
高级等级测评师的培训对象是技术负责人（或技术总监）。
报考人员需要具备信息安全理论基础，具有信息安全理论、信息安全技术的研究和实践经验，从事过网络信息安全方面的测评、规划、设计、实施、运维等工作。
熟悉信息安全标准和产品特性，熟悉信息安全技术发展动向。
3．报名
3.1报名申请
各测评机构依照“岗位对应，比例协调”的原则组织本单位测评人员报名参加等级测评师培训和考试。
测评机构的一般测评人员、项目负责人（或项目组长）和技术负责人（或技术总监）三个工作岗位分别报考初级、中级和高级等级测评师。
测评机构按照65%、30%和5%的比例推荐本单位测评人员报名参加初、中、高级等级测评师的培训和考试（其中，初级等级测评师又分为技术和管理两类）。
例如，一个测评机构有测评人员15名，按照初级（技术）8名，初级（管理）2名，中级4名，高级1名的比例报名。
3.2报名确认
申报单位要确保报名人员信息填写真实、完整，并提供相关证明材料。
一旦发现弄虚作假、隐瞒情况等将取消报考资格。
评估中心将对测评机构的报名比例和人员信息进行核实。
3.3报名交费
培训和考试费以测评机构为单位，依据《等级测评师培训及考试收费标准》统一交纳。
报名交费可以采用汇款或支票的方式。
4．培训
评估中心组织对报考初、中和高级等级测评师考试的人员进行专门的培训，通过培训后方可参加相应的等级测评师考试。
人员培训采用网上培训和集中培训相结合的方式。
网上培训要求学员通过互联网登录培训系统在线接受培训。
网上培训完成后，参加集中培训。
集中培训以重点内容、复习、现场答疑和考前辅导为主。
评估中心提前公布集中培训计划，集中培训原则上根据报名情况具体安排培训时间和地点。
4.1培训课程安排
4.2参考教材
信息安全等级测评师培训主要参考教材:
●《信息安全等级保护政策培训教程》（电子工业出版社）
●《信息安全等级测评师培训教程（初级）》（电子工业出版社）
●《信息安全等级测评师培训教程（中级）》（电子工业出版社）
5．考试
5.1考试方式
1）初级等级测评师
初级测评师考试采用笔试的方式，满分100分,合格分数线为60分；笔试时间为120分钟。
2）中级等级测评师
中级等级测评师考试采用笔试加面试的方式，满分100分, 笔试和面试成绩各占50分，合格分数线为60分；笔试时间为120分钟，面试时间为15分钟。
评估中心组织专家对参加中级等级测评师考试的考生进行面试。
参加面试人员需要介绍本人参加过的系统测评项目的情况及承担的主要工作（5分钟），专家通过质询及评审相关材料对面试人员的能力进行考评。
（评审相关材料主要包括测评指导书和等级测评报告，等级测评机构派专人将面试人员负责编写的测评指导书和测评报告送达面试现场，面试结束后收回，做好报告在外出携带期间的安全保管。
）
3）高级等级测评师
高级等级测评师考试采用笔试加面试的方式，满分100分，笔试占40分，面试占60分；笔试时间为100分钟，面试时间为20分钟。
评估中心组织专家对参加高级等级测评师考试的考生进行面试。
参加面试人员需要提交本人工作总结，并简要介绍主要项目经历（5分钟）。
专家通过质询及评审相关材料对面试人员的能力进行考评。
5.2考试时间
等级测评师笔试时间安排在集中培训后进行，在笔试结束后进行中、高级等级测评师的面试。
评估中心将提前公布笔试及面试具体时间安排。
5.3成绩公布
考试结束五个工作日后，评估中心公布考试通过人员名单。
应考人员对考试结果有异议的，应当在考试结果公布之日起五日内向评估中心提出成绩查询申请。
评估中心按照成绩查询程序受理，并在五个工作日内反馈查询结果。
未通过考试的人员，可以免费参加一次集中培训，但参加考试需要重新报名和交费。
5.4考试纪律
考生参加考试时凭身份证和准考证入场，否则不允许参加考试。
考生应当遵守《等级测评师考试考场规则》，违反考场规则的，将依据《等级测评师考试违纪作弊处理规则》对其进行处理。
报名参加考试的人员，有违反考试规定或弄虚作假的，两年内不受理其考试报名申请；已经参加考试的，取消考试成绩。
6．证书
6.1证书获取
在考试结果公布后，评估中心统一印制并颁发《信息安全等级测评师证书》和《等级测评师证》。
证书颁发以测评机构为单位，通过测评机构转发给获证人员。
6.2证书使用
等级测评人员工作期间需佩戴《等级测评师证》，接受公安部门和评估委托单位的监督。
《信息安全等级测评师证书》和《等级测评师证》应当妥善保管，不得涂改、出借、出租和转让。
6.3证书换发
《信息安全等级测评师证书》和《等级测评师证》如有遗失，应当由所在测评机构出具证明，并向评估中心申请挂失。
《信息安全等级测评师证书》和《等级测评师证》因损毁影响使用的，可以向评估中心申请更换新证书，更换新证书的，原证书应当收回。
6.4证书查询
评估中心及时更新《信息安全等级测评师证书》持有人目录，并向社会公布，公众可以通过访问中国信息安全等级保护网：查询相关信息。