网络安全等级保护测评师💠 数字职业

职业信息

所属中类：信息传输、软件和信息技术服务人员

职业编码：4-04-04-07

职业分类路径：社会生产服务和生活服务人员 › 信息传输、软件和信息技术服务人员 › 信息通信网络运行管理人员 › 网络安全等级保护测评师

“守住底线的人，心里装着千万家的门。”

一句话定义

网络安全等级保护测评师是专门给各类网络系统做安全体检的人，按照国家定的规矩，用技术手段和管理手段检查系统有没有漏洞、会不会被攻击、出事扛不扛得住，最后给出能不能过关的结论。

常见叫法：等保测评师。业内常说等保，是等级保护的简称，指国家对网络系统按重要程度分级别管理的那套制度。

似曾相识

就像小区定期请消防队来检查灭火器、逃生通道、应急灯一样，这行是给银行、医院、政务平台这些关键地方的电脑系统做同样的安全排查。

要是没有这行，很多单位的系统被人摸进来偷数据、改账目、锁文件，自己可能还蒙在鼓里；出了事再找补，损失往往已经捂不住了。

常被误会成修电脑的或者写病毒的，其实不帮人装系统、不帮人杀毒、也不帮人写代码抓坏人，只干一件事：按国家定的尺子量一量，你这系统到底结不结实。

主要工作任务

【摸清底子】用各种工具和技术手段，把测评对象的系统架构、设备清单、数据流向、管理制度这些基本信息摸清楚，相当于体检前先建档案。这样才能知道后面该重点查哪、不该漏哪。
【定方案】根据摸清楚的情况，写出这次测评具体怎么干、分几步、重点查什么，排好时间表和人员分工。测评不是千篇一律的，不同系统重要程度不同，检查的深浅、侧重点都得单独定。
【动手查】照着定好的方案，一条一条检查技术层面的东西：服务器有没有漏洞、访问控制严不严、加密靠不靠谱、日志留没留全；再查管理层面的东西：有没有专人负责、制度上墙没有、应急演练做过没有。技术和管理两条腿，缺哪条都算瘸子。
【挑毛病】把查出来的问题按严重程度分级，哪些是马上可能出事的、哪些是隐患、哪些只是不规范，提炼出最要命的那几条风险。这一步得把技术语言翻译成决策语言，让单位领导听得懂、知道该先修哪。
【交报告】把所有发现的问题、风险分析、整改建议写成正式报告，这是测评的最终交付物。报告要经得起复查、经得起打官司，所以每个结论都得有证据、有依据、有出处。

工作场景

这行的人常年在两种地方来回跑：一种是测评机构自己的办公室，写方案、跑工具、整理证据；另一种是被测单位的机房、会议室、运维中心，现场查设备、访谈人员、核实记录。

身边最常见的是成排的机柜、闪烁的指示灯、厚厚的制度文件，还有被测单位紧张兮兮的技术人员。有时候也得在堆满电脑的临时测评间里，对着七八块屏幕同时干活。

最常打交道的是被测单位的网管、安全负责人、分管领导，还有自己团队里分工不同的搭档。偶尔也跟监管部门的检查人员对接，确认标准理解没跑偏。

容易混淆的工种

协作工种

网络与信息安全管理员一起核对系统现状，对方提供配置、配合访谈，测评师才能拿到真实证据。

信息系统适配验证师系统改造或升级后，对方做功能适配测试，测评师同步做安全合规复查，两头印证。

工作时间

这行节奏跟着项目走，有活的时候集中攻坚，连续几周出差驻场、加班整理材料是常事；没项目的时候在机构里做研究、写工具、攒案例，相对规律些。

节假日反而是业务系统最闲、最适合测评的窗口期，所以春节、国庆这些时候出差测评并不稀奇，但也不是年年如此，看项目排期。

怎么入行

这行的人大多从网络安全、计算机相关专业毕业，进测评机构后从助理干起，跟着老测评师跑现场、学规矩。要正式独立出报告，得通过国家组织的等级保护测评师考试，考技术和管理两门，过了才能拿证上岗。也有不少人是从企业安全运维岗转过来的，懂技术但得重新学等保那套标准语言和流程。对身体没特别硬性的要求，但出差多、看屏幕久、熬大夜整理材料是常态，体力跟不上确实吃力。不同测评机构规模不一样，大机构分工细，小机构一人得顶好几摊，入行后的具体路子差别不小。