等级测评师培训大纲Word格式.docx

1、中级等级测评师的培训对象是项目负责人（或项目组长）。报考人员需要具备信息安全理论基础，对系统安全、网络安全、应用安全和攻击测试等有深入了解,作为项目负责人组织实施过信息系统安全测评项目，熟悉国内外信息安全相关产品特性，具有较丰富的测评实践经验、良好的沟通协作和文字表达能力。3） 高级等级测评师高级等级测评师的培训对象是技术负责人（或技术总监）。报考人员需要具备信息安全理论基础，具有信息安全理论、信息安全技术的研究和实践经验，从事过信息安全方面的测评、规划、设计、实施、运维等工作。熟悉信息安全标准和产品特性，熟悉信息安全技术发展动向。2 培训方式评估中心组织对报考初、中和高级等级测评师考试的人员

2、进行专门的培训，通过培训后方可参加相应的等级测评师考试。人员培训采用网络培训和集中培训相结合的方式。网络培训要求学员通过互联网登录培训系统在线接受培训。网上培训完成后，参加集中培训。集中培训以重点内容、复习、现场答疑和考前辅导为主。3 初级等级测评师3.1 培训目标 了解信息安全等级保护的相关政策、标准； 掌握等级测评方法，熟悉网络、主机、应用、安全管理测评内容、要求和方法，能够根据测评指导书客观、准确、完整地获取各项测评证据； 熟悉信息安全产品分类，了解其功能、特点，熟悉主流产品安全配置方法； 掌握测评工具的操作方法，能够合理设计测试用例获取测试数据； 能够按照报告编制要求整理测评数据，开展

3、等级测评工作。3.2 培训内容3.2.1 信息安全等级保护政策 信息安全等级保护制度的主要内容目标要求：了解等级保护基本政策，包括国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号）、关于印发信息安全等级保护管理办法的通知（公通字2007 43号）、关于印发关于信息安全等级保护工作的实施意见的通知（公通字2004 66号）、关于印送关于开展信息安全等级保护安全建设整改工作的指导意见的函（公信安20091429号）、关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知（公信安2010303号）等。 信息安全等级保护政策体系了解等级保护基本政策体系以及相关文件的作用。

4、等级保护工作的具体内容和要求了解信息系统定级、备案、安全建设整改、等级测评、监督检查各阶段具体工作内容和要求。3.2.2 等级保护相关标准应用 等级保护标准体系及主要标准了解等级保护相关标准的定位、主要内容等。 信息安全等级保护概述了解等级保护工作过程及标准应用。3.2.3 网络安全测评 网络全局安全测评能够进行安全体系架构分析，熟悉安全区域划分、边界访问控制、入侵检测和恶意代码防范等实现机制。 网络设备安全测评掌握主流交换机、路由器等网络设备的安全配置方法，熟悉设备自身安全防护、访问控制、身份认证和安全审计等安全实现方法。 安全设备安全测评掌握主流防火墙、入侵检测系统、安全审计系统、身份认证

5、系统等安全设备的工作原理，熟悉设备自身安全防护、访问控制、身份认证和安全审计等安全实现方法。3.2.4 主机安全测评 Windows操作系统安全测评熟悉WINDOWS操作系统的安全功能及其原理，掌握系统安全配置方法及最佳安全实践，掌握WINDOWS操作系统的安全等级测评内容，熟悉Windows操作系统自身安全防护、访问控制、身份认证和安全审计等安全实现方法。 类UNIX/Linux操作系统安全测评熟悉UNIX/LINUX操作系统的安全功能及其原理，掌握系统帐号管理、访问控制、资源和网络安全管理等的安全配置及最佳安全实践。掌握UNIX/LINUX操作系统的安全等级测评内容，熟悉类UNIX/Lin

6、ux系统自身安全防护、访问控制、身份认证和安全审计等安全实现方法。3.2.5 应用和数据安全测评 应用系统安全测评熟悉典型的Web服务器软件、中间件软件等主流商用应用系统的安全测评方法。理解并掌握应用安全包括的主要内容和测评方法。 数据库安全测评熟悉数据库的基本安全机制、安全管理，熟悉主流数据库安全基本配置，掌握数据库安全测评内容和方法。 数据安全测评熟悉数据传输、存储、备份的安全实现技术和原理，掌握数据安全测评内容和方法。3.2.6 安全管理测评 安全管理测评过程掌握安全管理测评的基本流程和方法，能够合理运用管理测评方法对安全管理内容进行测评。 安全管理测评方法与技巧熟悉安全管理测评的内容和

7、方法，能够根据实际情况，合理安排资源，有效获取安全管理测评各项证据。 物理安全测评过程掌握物理安全测评的基本流程和方法，能够合理运用物理测评方法对物理安全内容进行测评。3.2.7 工具测试方法 工具测试方法熟悉漏洞基本知识、熟悉网络安全漏洞扫描器基本原理、熟练操作网络安全漏洞扫描器、测试点选取，能够对扫描结果进行分析。 渗透测试方法熟悉渗透性测试的一般流程、熟悉黑客攻击的常用工具和技术、熟悉防范和检测黑客攻击的工具和技术。4 中级等级测评师4.1 培训目标 熟悉信息安全等级保护相关政策、法规；正确理解信息安全等级保护标准体系和主要标准内容，能够跟踪国内、国际信息安全相关标准的发展； 熟悉信息安

8、全等级测评方法，并熟悉测评指导书的开发、版本控制和评审的流程和方法； 熟悉测评项目的工作流程和质量管理的方法； 能够根据信息系统的特点，编制测评方案，确定测评对象、测评指标和测评方法； 能够依据测评报告模板要求编制测评报告，能够整体把握测评报告结论的客观性和准确性； 了解等级保护各个工作环节的相关要求。能够针对测评中发现的问题，提出合理化的整改建议。4.2 培训内容4.2.1 信息安全等级保护政策理解等级保护基本政策，包括国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号）、关于印发信息安全等级保护管理办法的通知（公通字2007 43号）、关于印发关于信息安全等级保护工作的

9、实施意见的通知（公通字2004 66号）、关于印送关于开展信息安全等级保护安全建设整改工作的指导意见的函（公信安20091429号）、关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知（公信安2010303号）等。理解等级保护基本政策体系以及相关文件的作用。理解信息系统定级、备案、安全建设整改、等级测评、监督检查各阶段具体工作内容和要求。4.2.2 等级保护相关标准应用理解等级保护相关标准的定位、主要内容等。理解等级保护工作过程及标准应用。4.2.3 信息系统安全等级保护基本要求 基本要求体系结构熟悉标准结构、编写背景、过程。 基本要求主要内容熟悉不同级别系统之间的差别、熟悉各级安全

10、要求内容。4.2.4 信息系统安全等级保护测评方法 等级测评方法掌握单元测评方法、整体测评方法，能够熟练运用单元测评方法和整体测评方法进行测评。 能够开发测评指导书掌握测评指导书编制方法，能够根据测评指导书编制方法正确编制测评指导书。 能够设计测评方案掌握测评方案编制方法，能够根据信息系统的特点，正确编制测评方案，确定测评对象、测评指标、测评方法，合理选择测试点。 能够编制、审核测评报告掌握并熟练运用测评报告的编制方法，能够根据测评报告模版要求熟练编制测评报告，能够整体把握测评报告结论的客观性和准确性。4.2.5 信息系统安全等级保护测评实施 等级测评工作流程熟悉等级测评的工作要求，掌握等级测

11、评的基本工作过程和方法，能够根据等级测评的工作要求编制测评项目管理流程，并进行测评项目的管理。 等级测评实施主要内容熟悉等级测评各个工作环节的主要内容，正确理解并熟练掌握单元测评各项要求内容、能够熟练运用标准指导测评过程。4.2.6 项目管理熟悉项目管理的主要内容和关键环节。掌握项目质量管理、进度管理、风险管理方法。5 高级等级测评师5.1 培训目标 熟悉和跟踪国内、外信息安全的相关政策、法规及标准的发展； 对信息安全等级保护标准体系及主要标准有较为深入的理解； 熟悉等级保护工作的全过程，熟悉定级、等级测评、建设整改各个工作环节的要求； 熟悉质量体系和制度建设的主要内容和方法。 能够把握信息安全技术的发展方向，引导本测评机构人员研究、探索和实践信息安全测评技术和方法。5.2 培训内容5.2.1 信息安全等级保护政策5.2.2 等级保护相关标准应用5.2.3 信息系统测评基本概念与方法掌握系统测评的原理和方法以及测评过程。