T/CESA 1158-2021 信息技术服务 从业人员能力评价指南 信息安全服务

ICS35.080

CCSL77

团体标准

T/CESA1158—2021

信息技术服务从业人员能力评价指南

信息安全服务

Informationtechnologyservice—Guidesforcapability—Information

securityservice

2021-04-26发布2021-07-26实施

中国电子工业标准化技术协会发布

T/CESA1158—2021

目  次

前言................................................................................III

1范围................................................................................1

2规范性引用文件......................................................................1

3术语和定义..........................................................................1

4信息安全职业序列....................................................................1

5信息安全咨询设计....................................................................3

6信息安全开发实施...................................................................10

2信息安全测试.......................................................................17

3信息安全运维.......................................................................23

4信息安全监理.......................................................................30

5信息安全审计.......................................................................37

6信息安全管理.......................................................................43

7信息安全培训.......................................................................48

8评价过程...........................................................................53

附录A（资料性）通用基础知识词典......................................................54

附录B（资料性）信息安全专业知识词典..................................................57

附录C（资料性）通用相关知识词典......................................................62

附录D（资料性）通用基本技能词典......................................................64

附录E（资料性）信息安全专业技能词典..................................................66

附录F（资料性）软技能词典............................................................72

附录G（资料性）能力培养..............................................................76

II

T/CESA1158—2021

前  言

本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起

草。

本文件与T/CESA1154-2021《信息技术服务从业人员能力评价指南设计与开发服务》、T/CESA

1155-2021《信息技术服务从业人员能力评价指南集成实施服务》、T/CESA1156-2021《信息技术服

务从业人员能力评价指南运行维护服务》和T/CESA1157-2021《信息技术服务从业人员能力评价指

南云计算服务》构成了信息技术服务从业人员能力评价团体标准系列文件。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由中国电子工业标准化技术协会信息技术服务分会提出并归口。

本文件的起草单位：成都安全可靠信息技术联合会、四川久远银海软件股份有限公司、成都信息化

技术应用发展中心、四川中电启明星信息技术有限公司、成都安美勤信息技术股份有限公司、成都中科

慧创科技有限公司、四川国讯网络安全信息技术研究院、四川中锐信息技术有限公司、四川无声信息技

术有限公司、成都国信安信息产业基地有限公司、成都勤智数码科技股份有限公司、四川川大智胜软件

股份有限公司、成都大学、四川邮电职业技术学院、东软集团股份有限公司、大连东软教育科技集团有

限公司、中软总公司计算机培训中心、南京道格软件科技有限公司、成都职业技术学院、广东番禺职业

技术学院、西南石油大学、大连软件行业协会、中国电子技术标准化研究院、成都东软系统集成有限公

司、四川灵先创科技有限公司、灾备技术国家工程实验室西南分院、金陵科技学院、上海首创信息科技

有限公司、深圳云塔信息技术有限公司。

本文件的主要起草人：但强、孙佩、谢尚飞、郭美山、朱海萍、武艳、赵象元、杨明、周平、尹宏、

潘纯峰、王勇、万国根、黎忠文、何志鹏、赵仕成、谢诚、张军、张磊、杜川、唐志强、郭朗、彭天炜、

宋牧、吴宝辉、张丽丽、冯志、张娜、陈驰、刘剑、陈小东、陈冬、向科、黄晓波、宋卫平、杨海涛、

张勇、张明英、熊健淞、赵振文、李印杲、邓海波、王勇、刘颋、邵峰、贾璐、李林娟、曹谢东、李智

斌、宋丹、阎浩、孙军、季忠、张树玲、杨军。

III

T/CESA1158—2021

信息技术服务从业人员能力评价指南信息安全服务

1范围

本文件给出了信息安全服务从业人员的职业序列，以及该职业序列中每个部分包含的职业等级和职

业能力要素等级信息，提出了各职业等级从业人员的基本条件和能力评价准则建议。

本文件适用于提供信息安全服务的企业及相关组织进行能力管理、能力评价和技能培训等。

2规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于标准。

凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T37696-2019信息技术服务从业人员能力评价要求

3术语和定义

下列术语和定义适用于本文件

3.1

信息安全informationsecurity

保护、维护信息的保密性、完整性和可用性，也可包括真实性、可核查性、抗抵赖性、可靠性等性

质。

[来源：GB/T25069-2010，定义2.1.52]

3.2

信息安全服务informationsecurityservice

面向组织或个人的各类信息安全保障需求，由服务提供方按照服务协议所执行的一个信息安全过程

或任务。

注：通常是基于信息安全技术、产品或管理体系的，通过外包的形式，由专业信息安全人员所提供

的支持和帮助。

[来源：GB/T30283-2013，定义3.1]

3.3

桌面及外围设备desktopterminalandperipheral

直接面向用户，具备计算、输入输出、数据通信、数据存储中一项或多项功能，用于使用或管理信

息系统应用的终端设备。

4信息安全职业序列

1

T/CESA1158—2021

4.1概述

信息安全职业序列基于信息安全行业的业务形态、信息安全发展和应用规律，从管理层、业务层、

支撑层3个方面分为八个类别：信息安全咨询设计、信息安全开发实施、信息安全测试、信息安全运维、

信息安全监理、信息安全审计、信息安全管理、信息安全培训，见图1。

信息安全服务职业目录

管理层信息安全管理信息安全审计

信息安全咨询设计

业信息

务信息安全开发实施信息安全测试安全

层监理

信息安全运维

支撑层信息安全培训

图1信息安全职业分类

4.2职业等级

本文件依据GB/T37696-2019信息技术服务从业人员能力评价要求中职业等级要求，在职业序列的

基础上，将信息安全职业等级划分为六个等级，见表1。

表1信息安全职业序列

职业序列

职级信息安全信息安全信息安全信息安全信息安全信息安全信息安全信息安全

咨询设计开发实施测试运维监理审计管理培训

资深信息资深信息

6级安全咨询---安全监理---

设计师工程师

资深信息

高级信息资深信息资深信息高级信息资深信息资深信息资深信息

安全开发

5级安全咨询安全测试安全运维安全监理安全审计安全管理安全培训

实施工程

设计师工程师工程师工程师师师师

师

高级信息

信息安全高级信息高级信息信息安全高级信息高级信息高级级信

安全开发

4级咨询设计安全测试安全运维监理工程安全审计安全管理息安全培

实施工程

师工程师工程师师师师训师

师

2

T/CESA1158—2021

表1（续）

职业序列

职级信息安全信息安全信息安全信息安全信息安全信息安全信息安全信息安全

咨询设计开发实施测试运维监理审计管理培训

初级信息信息安全信息安全信息安全初级信息

信息安全信息安全信息安全

3级安全咨询开发实施测试工程运维工程安全监理

审计师管理师培训师

设计师工程师师师工程师

初级信息

初级信息初级信息初级信息初级信息初级信息

安全开发

2级-安全测试安全运维-安全审计安全管理安全培训

实施工程

工程师工程师师师师

师

助理信息

助理信息助理信息助理信息助理信息

安全开发

1级-安全测试安全运维-安全审计安全管理-

实施工程

工程师工程师师师

师

4.3职业能力要素等级要求

本文件依据GB/T37696-2019《信息技术服务从业人员能力评价要求》中从业人员能力模型，按

知识、技能和经验三个维度提出了信息安全职业能力要素。

本文件对应职业等级，按知识要素等级、技能要素等级和经验要素等级三个维度提出了信息安全从

业人员职业能力要素等级体系。

4.4职业等级与职业能力要素等级的对应关系

4.4.1概述

职业等级与职业能力要素等级共同构成了信息安全职业序列。

4.4.2知识要素等级

知识要素包括基础知识、专业知识、相关知识，知识要素等级说明参见附录A、附录B和附录C。

4.4.3技能要素等级

技能要素包括基本技能、专业技能、软技能，技能要素等级说明参加附录D、附录E和附录F。

4.4.4经验要素等级

经验要素等级要求见各职业分类的职级对应的经验项。

5信息安全咨询设计

5.1职责要求

3

T/CESA1158—2021

依据不同的职业序列掌握以下对应的职责要求：

围绕组织信息系统所支持的业务和管理，通过知识传递、工作辅导、系统规划和设计等形式给组织

提供信息安全的服务。通常有：信息安全规划和设计、信息安全管理体系咨询、信息安全风险评估、信

息安全分析、信息安全应急管理咨询、业务连续性管理咨询、其他信息安全咨询服务。

5.2职业等级

信息安全咨询设计分4个等级，即：职级6级（资深信息安全咨询设计师）、职级5级（高级信息安

全咨询设计师）、职级4级（信息安全咨询设计师）和职级3级（初级信息安全咨询设计师）。

5.3基本条件

5.3.1职级6级

申请职级6级的人员，宜符合以下条件之一：

a）取得信息安全咨询设计从业能力等级5级2年，且近3年连续从事本专业；

b）取得信息安全咨询设计或相关专业博士学位，且近3年连续从事本专业；

c）取得国家计算机技术与软件专业技术资格（水平）考试相关高级资格，且近4年连续从事本专

业。

5.3.2职级5级

申请职级5级的人员，宜符合以下条件之一：

a）取得信息安全咨询设计从业能力等级4级2年，且近3年连续从事本专业；

b）取得信息安全咨询设计或相关专业博士学位，且近1年连续从事本专业；

c）取得信息安全咨询设计或相关专业硕士学位，且近3年连续从业本专业；

d）取得国家计算机技术与软件专业技术资格（水平）考试相关高级资格，且近2年连续从事本专

业。

5.3.3职级4级

申请职级4级的人员，宜符合以下条件之一：

a）取得信息安全咨询设计从业能力等级3级2年，且近2年连续从事本专业；

b）取得信息安全咨询设计或相关专业硕士学位，且近1年连续从业本专业；

c）取得信息安全咨询设计或相关专业学士学位，且近2年连续从事本专业；

d）取得国家计算机技术与软件专业技术资格（水平）考试相关中级资格，且近2年连续从事本专

业。

5.3.4职级3级

申请职级3级的人员，宜符合以下条件之一：

a）取得信息安全咨询设计或相关专业硕士学位及以上；

b）取得信息安全咨询设计或相关专业学士学位，且近1年连续从事本专业；

c）取得国家计算机技术与软件专业技术资格（水平）考试相关中级资格。

4

T/CESA1158—2021

5.4能力评价准则

5.4.1知识

信息安全咨询设计的知识评价规则见表3。

表3信息安全咨询设计的知识评价规则

信息安全咨询设计

能力要素能力项资深信息安高级信息安信息安全咨

初级信息安全咨

全咨询设计全咨询设计询设计师（4

询设计师（3级）

师（6级）师（5级）级）

GK01计算机硬件基础知识K2K2K2K2

GK02计算机软件基础知识K2K2K2K2

GK03数据传输与通信基础知识K2K2K2K2

基础知识GK04网络相关基础知识K2K2K2K2

GK05项目管理基础知识K3K2K2K2

GK06信息安全知识K2K2K2K2

GK07质量管理知识K3K2K2K2

D-PK01应用安全知识K4K3K2K1

D-PK02网络攻防知识K4K3K2K1

D-PK03恶意代码防护知识K4K3K1K1

D-PK04数据安全及灾备知识K3K3K2K1

D-PK05基础软件系统安全知识K4K2K1K1

专业知识D-PK06物理环境安全知识K3K3K1K1

D-PK07密码学知识K4K3K2K1

D-PK08信息安全审计知识K3K2K1—

D-PK09信息安全测试技术K2K1K1—

D-PK10安全管理体系K3K2K1K1

D-PK11云计算及大数据安全知识K3K2K1K1

5

T/CESA1158—2021

表3（续）

信息安全咨询设计

能力要素能力项资深信息安高级信息安

信息安全咨询初级信息安全咨

全咨询设计全咨询设计

设计师（4级）询设计师（3级）

师（6级）师（5级）

D-PK12物联网安全知识K3K2K1K1

D-PK13工业控制系统安全知

K3K2K1K1

识

RK01营销、策划基础知识K2K2K1K1

RK02知识产权知识K1K1K1K1

相关知识

RK03劳动法知识K1K1K1K1

国家信息技术服务相

RK04K1K1K1K1

关法律、法规

5.4.2技能

信息安全咨询设计的技能评价规则见表4。

表4信息安全咨询设计的技能评价规则

信息安全咨询设计

能力资深信息安全初级信息安

能力项高级信息安全咨信息安全咨询

要素咨询设计师（6全咨询设计

询设计师（5级）设计师（4级）

级）师（3级）

BS01计算机硬件基础应用能力S2S2S2S2

BS02计算机软件基础应用能力S2S2S2S2

基本

BS03网络基础应用能力S2S2S2S2

技能

BS04文档撰写能力S4S4S3S2

BS05外语应用能力S2S2S2S1

专业

技能D-PS01信息安全测试S2S2S1—

6

T/CESA1158—2021

表4（续）

信息安全咨询设计

初级信息

能力要素能力项资深信息安全

高级信息安全咨信息安全咨询安全咨询

咨询设计师（6

询设计师（5级）设计师（4级）设计师（3

级）

级）

D-PS02信息安全风险评估S4S4S3S1

D-PS03需求分析S3S2S1—

D-PS04信息安全规划设计S3S2S1—

D-PS05安全管理体系建设S3S2S1S1

D-PS06系统建模及架构设计能力S3S2S1—

D-PS07信息化安全评估分析S4S3S2S1

D-PS08信息安全加固S2S1——

D-PS09工程项目管理S2S1——

D-PS10网络渗透测试S4S3S2—

专业技能

D-PS11信息安全态势分析S3S2S1—

D-PS12应急响应S3S2——

D-PS13渗透工具的使用及研发S4S3S2—

D-PS14信息安全审计S4S3S2—

D-PS15信息系统工程监理————

D-PS16安全产品设计————

D-PS17云计算及大数据安全S4S3S2S1

D-PS18物联网安全S4S3S2S1

D-PS19工业控制系统安全S4S3S2S1

SS01沟通能力S4S3S2S1

软技能

SS02学习能力S3S3S3S2

7

T/CESA1158—2021

表4（续）

信息安全咨询设计

能力要素能力项资深信息安全初级信息

高级信息安全咨信息安全咨询安全咨询

咨询设计师（6

询设计师（5级）设计师（4级）设计师（3

级）级）

SS03问题判断与解决能力S4S3S3S2

软技能SS04创新能力S2S2S1S1

SS05知识分享能力S3S3S2S1

5.4.3经验

信息安全咨询设计的经验评价规则见表5。

表5信息安全咨询设的经验评价规则

职位经验等级经验评价规则

a）专业从业年限

满足下列条件之一：

1）信息安全咨询设计及相关专业连续从业9年，且近3年连续从事本专业；

2）取得信息安全咨询设计从业能力等级5级2年，且近3年连续从事本专业；

3）取得信息安全咨询设计或相关专业博士学位，且近3年连续从事本专业；

4）取得国家计算机技术与软件专业技术资格（水平）考试相关高级资格，且近4年连续从事本专

业。

资深

b)项目经验

信息

安