GB／T 36959 测评机构人员能力要求中文版 测评师持证条件.docxVIP

GB/T36959测评机构人员能力要求中文版测评师持证条件

在测评机构的所有能力要素中，人是最难量化、也最难替代的。设备可以采购，体系可以编写，唯独能独立对系统作出专业判断并为此负责的人，需要长期培养。因此人员能力要求从来不是一张证书清单，而是一套从入口筛选、过程培养到授权使用的机制。

很多机构把持证理解为终点，考完证就安排上项目，结果在现场被问及判定依据时答不上来。证书证明的是知识基线，能力证明的是判断质量。理解两者的差别，是读懂人员要求的前提。以下从能力模型、持证条件、考试评价、持续维持与机构管理五个层面展开。

一、能力模型：知识、技能与素养

测评师的能力可以拆成三层：知识是底座，技能是表现，素养是边界。三层缺一不可，但评估时的可见度不同：知识最容易验证，素养最难考察却最影响结论可信度。

（一）知识层

包括网络安全基础、等级保护制度、测评方法与指标、密码应用、风险管理、相关法律法规。知识会过时，因此标准通常不规定具体知识点清单，而要求机构建立知识更新机制。

（二）技能层

包括方案设计、访谈提问、配置核查、工具使用、证据固定、风险判定、报告撰写。技能只能在项目中形成，培训只能缩短入门时间。评估时通过项目档案与现场提问判断，而不是看培训证书。

（三）素养层

包括客观独立、谨慎勤勉、保密意识、边界意识。素养缺失的典型表现是：为了让客户满意而弱化问题、超出授权范围测试、把客户拓扑