TBJCSA1-2019 网络空间安全专业人员认证规范.docx

《TBJCSA1-2019 网络空间安全专业人员认证规范.docx》由会员分享，可在线阅读，更多相关《TBJCSA1-2019 网络空间安全专业人员认证规范.docx（57页珍藏版）》请在第一文库网上搜索。

1、ICS中国标准文献分类号:团体标准T/BJCSA12019网络空间安全专业人员认证规范CertificationSpecificationforCyberspaceSecurityProfessiona12023-12-30发布2023-1-1实施北京网络空间安全协会-七广东省网络空间安全协会发布前言III引言IV1 .范围12 .规范性引用文件13 .术语和定义14 .认证类别和级别划分44.1 认证类别44.2 级别划分45 .认证通用要求45.1基本要求45.2 初次申请资格要求45.3 再认证资格要求65.4 认证升级资格要求76.认证评价71. 1认证评价方式76. 2书面考试77.

2、 3书面评价78. 4面试评价79. 5认证批准810. 颁发证书与公告811. 7年度确认812. 8再认证86. 10暂停、恢免、撤销和注销认证8附录A（规范性）通用技术基础知识考试大纲10附录B（规范性）通用管理类知识考试大纲12附录C（规范性）网络安全规划设计考试大纲15附录D（规范性）信息系统安全集成考试大纲17附录E（规范性）信息系统安全运维人员考试大纲19附录F（规范性）软件安全开发方向考试大纲21附录G（规范性）网络安全风险评估考试大纲23附录H（规范性）网络安全应急处理考试大纲27附录I（规范性）云计算安全考试大纲30附录J（规范性）物联网安全考试大纲33附录K（规范性）人工

3、智能安全考试大纲35附录0（规范性）大数据安全考试大纲38附录P（规范性）工业控制系统安全考试大纲41附录Q（规范性）网络安全审计考试大纲43附录R（规范性）渗透测试考试大纲45参考文献47本标准按GB/T1.1-2023标准化工作导则第1部分：标准化文件的结构和起草规则给出的规则起草。本标准由网安联认证中心有限公司提出，北京网络空间安全协会归口。本标准起草单位：广东省网络空间安全协会、广东关键信息基础设施保护中心、广州华南信息安全测评中心、网安联认证中心有限公司、广发证券股份有限公司、联通（广东）产业互联网有限公司、深圳市计量质量检测研究院、广东计安信息网络培训中心、广东省东莞市凤岗医院、广

4、东中证声像资料司法鉴定所。本标准起草人：成珍苑、吴星火、林小博、陈彦彬、姚飞、周绍午、安创文、李炯彬、杜守红、谭祥明、杨文玲、王欢、徐伟、陈宁、贺锋、叶婷、曾幸钦、曾炽强、谭剑成、曾灶烟、李树湖、刘泽楠、周贵招、麦世能、卢焕镇。中华人民共和国网络安全法第三十四条和中华人民共和国数据安全法第二十条对从事网络空间安全人员安全教育、技术培训和技能考核等提出明确要求，同时鼓励相关组织、机构开展网络空间安全人员水平认证。目前对网络空间安全从业人员分级分类、专业知识和能力水平等评价认证缺乏相应的标准规范，制约了网络空间安全保障体系构建和发展。制定统一的标准，推进权威机构的网络空间安全专业人才资质能力考核、

5、认证工作，能够有效证明从业人员具备了相应的专业知识和能力、工作经验和业绩、以及较高的职业道德水平，从而为网络空间安全人才评价考核、选拔任用、职业进阶提供参考依据,推进网络空间安全人才的职业化和专业化发展。网络空间安全专业人员认证(CertiRCatiOnSpecificationforCyberspaceSecurityProfessiona1英文缩写CSCSP),针对网络空间安全从业人员进行水平认证，通过教育培训、技能考核及其他评价方式，认定获证人员具备了从事网络空间安全工作的个人素质和相应的技术知识与应用能力,规范网络安全专业人员知识、能力和行为准则,促进网络空间安全专业人才队伍建设,助力

6、国家网络空间安全保障体系构建。本规范规定了网络空间安全专业人员认证类别、专业方向和水平等级，明确认证要求和评价方式。网络空间安全专业人员认证规范1 .范围本规范规定了网络空间安全专业人员认证类别、专业方向和水平等级，明确认证要求和评价方式。本规范适用于从事网络空间安全工作专业人员。2 .规范性引用文件下列文件对于本规范的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。1) GB/T27203-2016合格评定用于人员认证的人员能力词汇2) GB/T27024-2014合格评定人员认证机构通用要求.术语和定义

7、网络空间安全(CyberSPaCeSecurity)网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。网络空间安全专业人员从事网络空间安全相关工作的所有人员，包括管理人员、运营人员、技术人员。工作经历取得相应学历后的所有工作历史,无论是有偿的还是无偿的,全职的还是兼职的,不包括实习经历。第三方认证机构具有可靠的执行网络空间安全认证制度的必要能力，并在认证过程中能够客观、公正、独立地从事认证活动的机构。关键信息基础设施关键信息基础设施，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技

8、工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等重要数据是指以电子方式存在的，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。个人信息以电子或者其他方式记录的与己识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息。网络安全规划设计综合运用计算机软、硬件技术、网络通信技术、密码技术、信息安全技术，在企业、系统或项目的设计规划阶段,提出综合性的解决方案，以保障网络系统及其所承载的数据的保密性、完整性及可用性。3.9信息系统安全集成按照信息系统的安全需求，采用信息系统安

9、全工程的方法和理论，将安全单元、产品部件进行集成的统一和协调的系统之中，使资源达到充分共享，实现集中、高效、便利的管理，从而使建设完成后的信息系统满足建设方或使用方的安全需求而开展的活动。3.10信息系统安全运维为保障和提升服务对象的信息系统安全防护能力，及时解决出现的网络安全问题，由服务机构通过管理与技术手段提供的网络安全服务，主要包括安全巡检、病毒查杀、备份和恢复、安全审计、安全优化、渗透测试、风险评估等。3.11网络安全应急处理在突发重大网络安全事件后对包括计算机运行在内的业务运行进行维持或恢复的各种技术和管理策略与规程。3.12软件安全开发为解决软件产品的漏洞问题，而将安全活动集成到系

10、统开发和软件质量保证活动中，在软件开发的每个关键点嵌入安全要素，通过安全需求分析、安全设计、安全编码、安全测试等专业手段，解决各阶段可能出现的安全问题，有效减少软件产品潜在的漏洞数量提高软件产品安全质量的活动。3.14网络安全风险评估依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性,并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。3.15大数据安全数据在整个系统中，从诞生到收集、清洗、存储、分析、消费、存档以及销毁这个生命周期中，其机密性、完

11、整性和可用性不被破坏。3.16云计算安全云计算安全或云安全指一系列用于保护云计算数据、应用和相关结构的策略、技术和控制的集合。3.17网络安全审计网络安全审计是指按照一定的安全策略，利用记录、系统活动和用户活动等信息，检查、审查和检验操作事件的环境及活动，从而发现系统漏洞、入侵行为或改善系统性能的过程。3.18工业控制系统安全通过管理与技术手段保护工业控制系统的软硬件、网络及其中数据，使其不因偶然的或者恶意原因而遭受破坏、更改泄露，保障工业控制系统连续正常的运行所提供的一系列防护策略和手段，主要包括工业控制系统调研、工业控制系统风险评估、安全解决方案设计、安全加固与防护实施、运维管理体系建设等

12、。3.19渗透测试模拟黑客攻击的手法，进行的非破坏性的攻击性测试，以期发现可能被黑客利用对系统进行入侵的安全漏洞和隐患及攻击路径，并将入侵的过程和漏洞细节产生报告给服务对象，提出详细、合理的修复建议，指导其进行整改，清除安全隐患，降低安全风险，为服务对象信息系统的平稳运行提供安全保障。3.20物联网安全能够对物联网络的访问加以控制、确定用户（如抽象的有权限的账号、人、物联网终端、物联网端节点或物联网接入网关）身份真实有效以及私密性、保证用户行为不可抵赖、保证传输和存储数据的机密性、完整性、保证物联网的可用性、防止网络、业务遇到偶然的、被动的和主动的威胁以及病毒的扩散的技术和管理措施，以及对影响

13、网络、业务的意外事故的应对措施。3 .认证类别和级别划分3.1 认证类别网络空间安全专业人员共分两个类别，包括管理类、技术类；涵盖以下方向：关键信息基础设施保护、重要数据保护、个人信息保护、网络安全管理、网络安全规划设计、软件安全开发、安全集成、安全运维、风险评估、应急处理、网络安全审计、工业控制系统安全、数据安全、物联网安全、云计算安全等。3.2 级别划分网络空间安全专业人员共设置四个级别，包括一级（初级）、二级（中级）、三级（高级）、四级（专家级），一级最低、四级最高。4 .认证通用要求4.1 基本要求获证人员应满足如下基本要求；a）具有独立的民事行为能力，具备承担法律责任的能力；b）近三

14、年内未受过刑事处罚；c）遵守网络空间专业人员认证相关文件的规定；d）符合有关法律法规的规定，不存在法律法规禁止从业的情形。4.2 初次申请资格要求5.2.1教育及工作经历5.2.1.1一级认证人员（初级）认证资格要求获证人员应满足下面要求：教育部发布的“具有普通高等学历教育招生资格的高等学校名单”中的院校的在校生、应届毕业生或全国研究生招生计划中研究生招生单位在校研究生、应届毕业生等。5.2.1.2二级认证人员（中级）教育及工作经历要求专业要求：无专业要求限制。获证人员工作经历应至少满足下面一项要求：a）本科（含）以上学历，1年以上从事网络空间安全有关工作经历；b）专科毕业，2年以上从事网络空

15、间安全有关的工作经历；c）中等专科毕业，4年以上从事网络空间安全有关的工作经历；d）具有丰富的项目经验，5年以上从事网络空间安全有关的工作经历。5.2.1.3.三级认证人员（高级）教育及工作经历要求专业要求：网络空间安全、信息安全、通讯、计算机相关或相近专业，非以上专业的人员，需首先通过二级人员认证。获证人员工作经历应至少满足下面一项要求：a）硕士研究生（含）以上学历，2年以上从事网络空间安全有关工作经历，其中至少1年以上项目经理经验；b）本科毕业，4年以上从事网络空间安全相关工作经历，其中至少2年以上项目经理经验；c）专科毕业，5年以上从事网络空间安全有关工作经历，其中至少2年以上项目经理经验；d）7年以上从事网络空间安全有关工作经历，其中至少2年以上项目经理经验。5214.四级认证人员（专家级）申请资格要求5. 2.1.4.1四级认证人员（专家级）教育与工作经历要求专业要求：网络空间安全、信息安全、通讯、计算机相关或相近专业；获证人员工作经历应至少满足下面一项要求：a）硕士研究生（含）以