2024网络安全人才实战能力白皮书安全测试评估篇

网络安全人才实战能力白皮书—安全测试评估篇

第一章 网络安全测评状况综述

1.1 国内外网络安全测评政策法规

1.1.1 国际网络安全测评政策法规

• 美国

  • 1996年：《关键基础设施保护》行政令，强调关键基础设施保护。
  • 2002年：《国土安全法》和《联邦信息安全管理法案》，成立国土安全部统筹关键基础设施保护。
  • 2013年：《保护关键基础设施之安全和可恢复的总统令》和《增强关键基础设施网络安全》行政令，进一步明确国土安全部需定期评估关键基础设施安全状况。
  • 2017年：《增强联邦政府网络与关键基础设施网络安全总统行政令》，强化联邦政府、关键基础设施及国家整体安全风险管理。
  • 2021年：《基础设施弹性规划框架》首次发布，通过五个关键步骤帮助识别和评估关键基础设施风险。
  • 2024年：《网络安全框架》2.0版本新增“治理”功能，扩展适用范围。

• 欧盟

  • 2016年：《网络和信息系统安全指令》（NIS），要求关键基础设施运营商和数字服务提供商定期进行网络安全测评。
  • 2023年：《网络和信息系统安全指令2》（NIS2），进一步加强定期风险检测与评估要求。
  • 2018年：《欧盟通用数据保护条例》（GDPR），要求数据处理者采取技术措施保护个人数据，并进行数据保护影响评估。
  • 2019年：《网络安全法案》，赋予欧洲网络与信息安全局更大权力，确保一致的网络安全检测和合规管理。
  • 2023年：《网络团结法案》提案，建立欧洲网络护盾，强调欧盟层面的网络安全风险协同应对。

• 俄罗斯

  • 2000年：《信息安全学说》，强调对关键基础设施的持续风险检测和评估。
  • 2018年：《俄罗斯联邦关键信息基础设施安全法》，设定俄罗斯在网络安全领域的目标和重要事项。

• 亚太地区

  • 新加坡：2018年《网络安全法》，要求关键基础设施定期进行网络安全风险检测。
  • 日本：2014年修订《网络安全基本法》，强调漏洞管理和有效测评机制。

1.1.2 国内网络安全测评政策法规

• 1994年：《计算机信息系统安全保护条例》，规定公安部主管全国计算安全等级保护。
• 2003年：中央办公厅、国务院办公厅转发《国家信息化领导小组关于加强信息安全保障工作的意见》，明确建立信息安全等级保护制度。
• 2007年：公安部等四部委发布《信息安全等级保护管理办法》，规定信息安全保护的五个层级。
• 2010年：《中华人民共和国保守国家秘密法》，规定涉密信息系统的分级保护。
• 2017年：《中华人民共和国网络安全法》，明确规定国家实行网络安全等级保护制度。
• 2018年：《网络安全等级保护条例（征求意见稿）》，等级保护正式进入2.0时代。
• 2020年：《中华人民共和国密码法》，规定关键信息基础设施运营者应使用商用密码进行保护。
• 2021年：《中华人民共和国数据安全法》，强调数据安全风险评估和防范。
• 2021年：《关键信息基础设施安全保护条例》，规定关键信息基础设施安全检测和风险评估。

第二章 用人单位安全测评人才现状分析

2.1 用人单位安全测评人才分布情况

• 性别、年龄及学历情况

  • 数据未详细列出。

• 行业、地域及岗位情况

  • 行业：政府、企业、事业单位。
  • 地域：全国各地。
  • 岗位：安全测评工程师、网络安全攻防工程师、等级保护测评师、安全产品测评工程师。

• 安全测评人才资格认证情况

  • 资质认证情况未详细列出。

2.2 用人单位安全测评岗位实践情况

• 常用的安全测评方式、工具及技术

  • 包括渗透测试、漏洞扫描、代码审计等。

• 安全测评人才需求单位

  • 政府、企业、事业单位。

• 用人单位对安全测评人才的满意度情况

  • 满意度较高，但具体数据未列出。

2.3 用人单位进行安全测评的对象

• 政府

  • 关键基础设施、重要信息系统。

• 行业

  • 电力、交通、金融等行业。

• 企事业单位

  • 内部信息系统、关键业务系统。