《等级测评师培训大纲doc》由会员分享，可在线阅读，更多相关《等级测评师培训大纲doc（12页珍藏版）》请在金锄头文库上搜索。
1、CSPEC-PXKS02等级测评师培训大纲公安部信息安全等级保护评估中心二0-0年四月等级测评师培训大纲为贯彻落实关于推动信息安全等级保护测评体系建设和开展等级测评工作 的通知（公信安2010303 号）的精神，在全国开展信息安全等级保护测评体 系建设工作，对开展等级测评工作的测评人员进行专门的培训和考试，特制定本 大纲。本大纲以信息安全等级保护相关标准为基础，结合信息安全等级测评工作 实际需要，明确了开展等级测评工作的人员能力要求，用以指导信息安全等级测 评师的培训和考试工作。1 培训对象信息安全等级测评师培训是针对等级测评机构中的测评人员进行的培训，初 级、中级和高等级测评师与等级测评机构
2、中的测评员、项目负责人（或项目组长） 和技术负责人（或技术总监）三个工作岗位相对应，通过初级、中级和高级等级 测评师培训和考试后，颁发相应的等级测评师证书，等级测评人员需持等级测评 师证上岗。1）初级等级测评师 初级等级测评师的培训对象是网络安全、主机安全、应用安全、安全管理 和工具测试人员等。报考人员需要具备信息安全基础知识和信息安全相关工作经验 ,熟悉TCP/IP 网络协议，了解标识与鉴别、访问控制等安全技术及原理，熟悉主流服 务器操作系统、路由器、交换机、防火墙等设备的操作与配置。2）中级等级测评师中级等级测评师的培训对象是项目负责人（或项目组长）。报考人员需要具备信息安全理论基础，对系
3、统安全、网络安全、应用安全 和攻击测试等有深入了解,作为项目负责人组织实施过信息系统安全测评项目， 熟悉国内外信息安全相关产品特性，具有较丰富的测评实践经验、良好的沟通协 作和文字表达能力。3）高级等级测评师高级等级测评师的培训对象是技术负责人（或技术总监）。报考人员需要具备信息安全理论基础，具有信息安全理论、信息安全技术的 研究和实践经验，从事过信息安全方面的测评、规划、设计、实施、运维等工作。 熟悉信息安全标准和产品特性，熟悉信息安全技术发展动向。2 培训方式评估中心组织对报考初、中和高级等级测评师考试的人员进行专门的培训， 通过培训后方可参加相应的等级测评师考试。人员培训采用网络培训和集
4、中培训 相结合的方式。网络培训要求学员通过互联网登录培训系统在线接受培训。网上 培训完成后，参加集中培训。集中培训以重点内容、复习、现场答疑和考前辅导 为主。3 初级等级测评师3.1 培训目标 了解信息安全等级保护的相关政策、标准； 掌握等级测评方法，熟悉网络、主机、应用、安全管理测评内容、要求和方法，能够根据测评指导书客观、准确、完整地获取各项测评证据； 熟悉信息安全产品分类，了解其功能、特点，熟悉主流产品安全配置方法； 掌握测评工具的操作方法，能够合理设计测试用例获取测试数据； 能够按照报告编制要求整理测评数据，开展等级测评工作。3.2 培训内容3.2.1 信息安全等级保护政策 信息安全等
5、级保护制度的主要内容目标要求：了解等级保护基本政策，包括国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327 号）、关于印发信息安全等级保护管理办法的通知（公通字2007 43 号）、关于印发关于信息安全 等级保护工作的实施意见的通知（公通字2004 66 号）、关于印送关于 开展信息安全等级保护安全建设整改工作的指导意见的函（公信安20091429 号）、关于推动信息安全等级保护测评体系建设和开展等级测评 工作的通知（公信安2010303 号）等。信息安全等级保护政策体系 目标要求：了解等级保护基本政策体系以及相关文件的作用。 等级保护工作的具体内容和要求 目标要求：了解信息
6、系统定级、备案、安全建设整改、等级测评、监督 检查各阶段具体工作内容和要求。3.2.2 等级保护相关标准应用 等级保护标准体系及主要标准 目标要求：了解等级保护相关标准的定位、主要内容等。 信息安全等级保护概述 目标要求：了解等级保护工作过程及标准应用。3.2.3 网络安全测评 网络全局安全测评 目标要求：能够进行安全体系架构分析，熟悉安全区域划分、边界访问控制、入侵检测和恶意代码防范等实现机制。 网络设备安全测评 目标要求：掌握主流交换机、路由器等网络设备的安全配置方法，熟悉设备自身安全防护、访问控制、身份认证和安全审计等安全实现方法。 安全设备安全测评 目标要求：掌握主流防火墙、入侵检测系
7、统、安全审计系统、身份认证系统等安全设备的工作原理，熟悉设备自身安全防护、访问控制、身份认证 和安全审计等安全实现方法。3.2.4 主机安全测评 Windows 操作系统安全测评目标要求：熟悉WINDOWS操作系统的安全功能及其原理，掌握系统安 全配置方法及最佳安全实践，掌握 WINDOWS 操作系统的安全等级测评内 容，熟悉 Windows 操作系统自身安全防护、访问控制、身份认证和安全审计等安全实现方法。 类UNIX/Linux操作系统安全测评目标要求：熟悉 UNIX/LINUX 操作系统的安全功能及其原理，掌握系统 帐号管理、访问控制、资源和网络安全管理等的安全配置及最佳安全实践。 掌握
8、UNIX/LINUX操作系统的安全等级测评内容，熟悉类UNIX/Linux系统 自身安全防护、访问控制、身份认证和安全审计等安全实现方法。3.2.5 应用和数据安全测评 应用系统安全测评目标要求：熟悉典型的Web服务器软件、中间件软件等主流商用应用系 统的安全测评方法。理解并掌握应用安全包括的主要内容和测评方法。 数据库安全测评目标要求：熟悉数据库的基本安全机制、安全管理，熟悉主流数据库安全基本配置，掌握数据库安全测评内容和方法。 数据安全测评目标要求：熟悉数据传输、存储、备份的安全实现技术和原理，掌握数 据安全测评内容和方法。3.2.6 安全管理测评 安全管理测评过程目标要求：掌握安全管理测
9、评的基本流程和方法，能够合理运用管理测 评方法对安全管理内容进行测评。 安全管理测评方法与技巧目标要求：熟悉安全管理测评的内容和方法，能够根据实际情况，合理安排资源，有效获取安全管理测评各项证据。 物理安全测评过程目标要求：掌握物理安全测评的基本流程和方法，能够合理运用物理测 评方法对物理安全内容进行测评。3.2.7 工具测试方法 工具测试方法目标要求：熟悉漏洞基本知识、熟悉网络安全漏洞扫描器基本原理、熟 练操作网络安全漏洞扫描器、测试点选取，能够对扫描结果进行分析。渗透测试方法目标要求：熟悉渗透性测试的一般流程、熟悉黑客攻击的常用工具和技 术、熟悉防范和检测黑客攻击的工具和技术。4 中级等级
10、测评师4.1 培训目标 熟悉信息安全等级保护相关政策、法规；正确理解信息安全等级保护标 准体系和主要标准内容，能够跟踪国内、国际信息安全相关标准的发展； 熟悉信息安全等级测评方法，并熟悉测评指导书的开发、版本控制和评 审的流程和方法； 熟悉测评项目的工作流程和质量管理的方法； 能够根据信息系统的特点，编制测评方案，确定测评对象、测评指标和 测评方法； 能够依据测评报告模板要求编制测评报告，能够整体把握测评报告结论 的客观性和准确性； 了解等级保护各个工作环节的相关要求。能够针对测评中发现的问题， 提出合理化的整改建议。4.2 培训内容4.2.1 信息安全等级保护政策 信息安全等级保护制度的主要
11、内容目标要求：理解等级保护基本政策，包括国家信息化领导小组关于加 强信息安全保障工作的意见（中办发200327 号）、关于印发信息安全等 级保护管理办法的通知（公通字2007 43 号）、关于印发关于信息安全 等级保护工作的实施意见的通知（公通字2004 66 号）、关于印送关于 开展信息安全等级保护安全建设整改工作的指导意见的函（公信安 20091429 号）、关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知（公信安2010303 号）等。信息安全等级保护政策体系 目标要求：理解等级保护基本政策体系以及相关文件的作用。 等级保护工作的具体内容和要求 目标要求：理解信息系统定级、备
12、案、安全建设整改、等级测评、监督 检查各阶段具体工作内容和要求。4.2.2 等级保护相关标准应用 等级保护标准体系及主要标准 目标要求：理解等级保护相关标准的定位、主要内容等。 信息安全等级保护概述 目标要求：理解等级保护工作过程及标准应用。4.2.3 信息系统安全等级保护基本要求 基本要求体系结构 目标要求：熟悉标准结构、编写背景、过程。 基本要求主要内容 目标要求：熟悉不同级别系统之间的差别、熟悉各级安全要求内容。4.2.4 信息系统安全等级保护测评方法 等级测评方法 目标要求：掌握单元测评方法、整体测评方法，能够熟练运用单元测评方法和整体测评方法进行测评。 能够开发测评指导书 目标要求：
13、掌握测评指导书编制方法，能够根据测评指导书编制方法正确编制测评指导书。 能够设计测评方案 目标要求：掌握测评方案编制方法，能够根据信息系统的特点，正确编 制测评方案，确定测评对象、测评指标、测评方法，合理选择测试点。 能够编制、审核测评报告 目标要求：掌握并熟练运用测评报告的编制方法，能够根据测评报告模版要求熟练编制测评报告，能够整体把握测评报告结论的客观性和准确性。4.2.5 信息系统安全等级保护测评实施等级测评工作流程目标要求：熟悉等级测评的工作要求，掌握等级测评的基本工作过程和 方法，能够根据等级测评的工作要求编制测评项目管理流程，并进行测评项 目的管理。 等级测评实施主要内容 目标要求
14、：熟悉等级测评各个工作环节的主要内容，正确理解并熟练掌握单元测评各项要求内容、能够熟练运用标准指导测评过程。4.2.6 项目管理目标要求：熟悉项目管理的主要内容和关键环节。掌握项目质量管理、 进度管理、风险管理方法。5 高级等级测评师5.1 培训目标 熟悉和跟踪国内、外信息安全的相关政策、法规及标准的发展； 对信息安全等级保护标准体系及主要标准有较为深入的理解； 熟悉等级保护工作的全过程，熟悉定级、等级测评、建设整改各个工作 环节的要求； 熟悉质量体系和制度建设的主要内容和方法。 能够把握信息安全技术的发展方向，引导本测评机构人员研究、探索和 实践信息安全测评技术和方法。5.2 培训内容5.2
15、.1 信息安全等级保护政策 信息安全等级保护制度的主要内容 目标要求：理解等级保护基本政策，包括国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327 号）、关于印发信息安全等 级保护管理办法的通知（公通字2007 43 号）、关于印发关于信息安全等级保护工作的实施意见的通知（公通字2004 66 号）、关于印送关于开展信息安全等级保护安全建设整改工作的指导意见 的函（公信安20091429 号）、关于推动信息安全等级保护测评体系建设和开展等级测评 工作的通知（公信安2010303 号）等。信息安全等级保护政策体系 目标要求：理解等级保护基本政策体系以及相关文件的作用。 等级保护工作的具体内容和要求 目标要求：理解信息系统定级、备案、安全建设整改、等级测评、监督 检查各阶段具体工作内容和要求。5.2.2 等级保护相关标准应用 等级保护标准体系及主要标准 目标要求：理解等级保护相关标准的定位、主要内容等。 信息安全等
