数据安全工程技术人员国家职业标准目录（2023年版）

职业
功能

工作内容

专业能力要求

相关知识要求

1.1.2 能按照数据资产管理要求进行数据资产识别

1.1.3 能编制数据资产清单

1.1.2 数据资产识别工具与技术

1.1.3 数据资产管理知识

1.2.2 能依据操作流程规范或使用工具完成数据分级任务

1.3.1 数据处理的合法、正当、必要原则和要求

1.3.2 密码技术知识

1.3.3 数据汇聚、分析的风险与管理要求

1.3.4 数据脱敏与匿名化知识

2.1.2 能基于已有数据安全基础方案调整输出不同业务的具体实施方案

2.1.2 数据安全行业应用知识

2.2.2 能根据访问控制策略和用户角色权限，制定数据安全的访问控制解决方案

2.2.3 能根据数据存储方式制定数据载体防护策略，设计数据载体安全管理与销毁解决方案

2.2.2 数据销毁知识

2.2.3 数据载体安全管理知识

2.3 数据安全工程建设实施

2.3.2 能熟知数据收集、存储、使用、加工、传输、提供、公开、删除全过程中安全建设技术工具参数标准，按照国家法律法规要求和业务场景制度流程要求实施数据收集、存储、使用、加工、传输、提供、公开、删除全过程中的安全建设

2.3.1 数据收集、存储、使用、加工、传输、提供、公开、删除全过程中安全建设技术工具知识

2.3.2 数据收集、存储、使用、加工、传输、提供、公开、删除全过程中安全建设制度流程及实施操作知识

3.1.2 能根据数据安全防护技术需求适配联调数据安全技术防护产品

3.1.3 能使用开源产品或库开发实现身份认证、访问控制等基础安全防护功能

3.1.2 网络安全、数据库安全、主机安全防护知识

3.1.3 数据处理活动各环节安全防护知识

3.2.2 能根据测试方案对数据安全措施的有效性进行测试

3.2.3 能基于各项测试结果撰写数据安全系统、组件和工具测试报告

3.2.2 数据安全风险测试方法应用和工具使用知识

3.2.3 数据安全措施测试方法应用和工具使用知识

3.3.2 能完成常用中间件的搭建及使用，编制数据安全技术防护类交付文档

3.3.3 能根据数据安全技术实施方案使用数据库审计，利用脱敏、数据防泄露、水印、密码学、隐私保护等技术工具实施数据安全基础防护

3.3.2 数据库审计、脱敏技术、数据防泄露技术、水印技术、密码学技术、隐私保护技术等数据安全防护技术工具使用知识

3.3.3 数据安全产品组网部署方法

3.4.2 能排查分析常见的数据安全产品故障

3.4.3 能按照部署手册完成系统升级

3.4.2 数据安全产品或设备的安装、配置知识

3.4.3 数据安全产品或设备的故障分析方法

3.4.4 日常数据安全运维工作流程和方法

4.1.2 能根据安全加固方案对漏洞进行安全加固和修复

4.1.3 能根据漏洞扫描结果形成数据安全漏洞扫描报告

4.1.2 漏洞扫描工具使用方法

4.2.3 能使用工具审计数据异常行为或状态

4.2.4 能撰写数据安全异常监测日志

4.2.2 网络攻击流程及渗透攻击知识

4.2.3 入侵检测技术原理

4.2.4 数据异常行为或状态审计方法和工具

4.2.5 数据安全异常监测日志编写方法

4.3.2 能根据数据安全应急响应预案，按照流程开展数据安全应急演练

4.3.3 能根据容灾计划，定期备份和迁移关键数据

4.3.4 能使用工具进行数据备份

4.3.2 数据安全事件应急演练知识

4.3.3 数据容灾备份知识

4.3.4 数据备份、迁移与恢复知识

5.1.2.能采用问卷调查、访谈、资料查阅等方式，对受评估方的人员情况、业务系统等基本信息进行调研

5.1.3 能识别、分析各业务系统的主要数据处理行为

5.1.4 能识别、分析第三方应用接口的个人信息和重要数据采集行为

5.1.5 能使用工具评估检测数据处理行为是否合规

5.1.2 业务系统数据处理分析方法

5.1.3 接口数据采集行为分析方法

5.1.4 个人信息和重要数据特征提取与识别方法

5.1.5 数据安全合规评估相关技术工具使用方法

5.2.2 能使用评估工具识别数据处理系统的漏洞

5.2.3 能根据风险分析模型，定性或者定量地评定数据安全风险程度

5.2.2 数据安全风险评估方法

5.2.3 数据系统安全风险评估工具使用方法

5.3.2 能确定数据跨境和境外接收方处理数据的目的、范围、方式

5.3.2 组织内部和外部数据收集流程和方法工具

5.3.3 数据安全出境评估的基本要求

职业
功能

工作内容

专业能力要求

相关知识要求

1.1.2 能对数据资产存储策略进行梳理

1.1.3 能对数据资产使用状况、安全责任人等进行梳理

1.1.4 能使用自动化工具识别数据资产属性

1.1.2 数据属性识别自动化工具

1.2.2 能基于数据资产清单进行数据分类分级体系设计

1.2.3 能制定数据分类分级流程规范

1.2.4 能编制重要数据目录

1.2.2 数据分类分级自动化软件工具

1.3.2 能从数据安全威胁角度开展数据安全需求分析

1.3.3 能从数据安全风险角度开展数据安全需求分析

1.3.2 数据安全威胁建模知识

1.3.3 数据安全框架模型知识

1.4.2 数据对外提供要求

1.4.3 数据安全管理知识

2.1.2 能根据数据分类分级和业务场景进行数据加密传输方案的设计

2.1.3 能根据数据源和数据特点，设计数据完整性校验和防篡改方案

2.1.4 能根据安全需求设计数据通信网络安全验证方案

2.1.5 能梳理数据传输接口，设计传输接口管控与审计方案

2.1.2 数据通信安全知识

2.1.3 传输通信加密知识

2.1.4 网络安全验证知识

2.1.5 接口调用日志知识

2.1.6 监控审计知识

2.2.2 能根据数据分类分级设计数据销毁安全技术方案

2.2.3 能根据数据分类分级制定数据加密策略，设计数据安全存储解决方案

2.2.4 能根据数据特点和业务需求，设计数据防泄漏方案

2.2.2 数据加密技术知识

2.2.3 数据签名技术知识

2.2.4 水印、密钥技术知识

2.2.5 数据丢失防护技术知识

2.2.6 数据内外部共享安全技术知识

2.3.2 能进行外部人员访问方案的设计

2.3.3 能对数据安全专职人员的行为进行安全审计

2.3.2 数据安全风险管理知识

2.3.3 数据安全行为状态审计知识

2.4.2 能熟练使用数据处理全过程中的
安全建设技术工具，并根据业务场景优化技术工具参数、研发技术工具

2.4.3 能理解并按照数据安全基础保障、处理活动、网络通信、防护体系等方案，有序开展数据安全工程建设实施工作和相应的人员及技术管理

2.4.2 数据处理全过程中安全技术工具研发知识

2.4.3 数据处理全过程中安全建设技术工具知识

3.1.2 能根据数据安全技术防护建设方案开发相应的技术工具

3.1.3 能根据开发需求和功能要求选择对应的密码技术以及开发基础密码库的功能接口

3.1.4 能调试并修复常见基础编程和网络应用开发漏洞

3.1.5 能根据数据安全防护方案开发身份认证、访问控制等功能接口

3.1.2 开源数据安全产品功能接口知识

3.1.3 编程语言、编程原理以及主流数据安全开发框架等知识

3.1.4 编程漏洞修复方法

3.1.5 密码函数库使用方法

3.1.6 自动化脚本开发知识

3.2.2 能配置实施风险规避措施

3.2.3 能进行特定业务的逻辑漏洞测试

3.2.4 能使用工具进行数据安全系统漏洞挖掘和代码审计，并给出通用性安全漏洞的修复建议

3.2.5 能使用工具对系统的数据安全防护措施进行白盒或灰盒测试

3.2.6 能编制数据安全测试报告

3.2.2 安全防御机制绕过方法

3.2.3 测试数据保护措施有效性的策略、方法、原理

3.3.2 能制定数据库审计、脱敏、数据防泄露、水印、隐私保护、人员审计的安全策略

3.3.3 能根据数据安全技术实施方案部署运行数据安全保护、检测、分析、溯源、评估、审计等数据安全工具

3.3.4 能部署实施数据安全管控策略

3.3.2 数据审计、脱敏、防泄漏、水印、隐私保护、加密工具的工作原理

3.4.2 能根据数据安全合规性检查结果进行建设整改

3.4.3 能针对数据安全风险、威胁开展数据安全运维工作

3.4.4 能持续改进数据安全运维流程

3.4.2 数据访问控制、加密、脱敏、备份和防泄漏等数据安全技术方面的应用知识

3.4.3 数据安全产品的原理和使用方法

4.1.2 能根据漏洞测试结果分析数据安全潜在风险

4.1.3 能对数据安全漏洞进行分析、验证，确定安全漏洞的类别和等级

4.1.4 能使用威胁情报系统、工具，收集、发现威胁情报并进行归类分析

4.1.2 漏洞检测工具开发方法

4.1.3 威胁情报收集、检测与分析方法

4.2.2 能根据系统日志等分析数据泄露、数据越权操作等异常行为

4.2.3 能判断数据安全异常事件的类别与级别

4.2.3 数据安全异常事件分类分级知
识

4.3.2 能制定有效控制数据安全事件影响扩大的措施

4.3.3 能制定消除数据安全事件影响的措施

4.3.4 能根据业务需求选择数据恢复策略进行数据恢复

4.3.2 数据安全事件分类分级知识

4.3.3 数据安全事件处置流程和方法

4.3.4 数据恢复管理与策略知识与方法

5.1.2 能设计数据安全合规检查的技术流程

5.1.3 能优化完善个人信息保护合规检查脚本、策略，开发个人信息保护合规检查工具

5.1.4 能优化完善重要数据合规检查脚
本、策略，开发重要数据合规检查工具

5.1.5 能分析企业数据安全管理现状，识别数据安全合规问题及改进项，提出数据安全合规建议

5.1.2 数据安全合规检查技术流程设计方法

5.1.3 合规检查脚本、工具开发方法

5.2.2 能开发数据安全风险自动化分析工具

5.2.3 能识别数据在不同处理环节、不同业务场景面临的安全风险

5.2.4 能根据风险分析模型综合评定数据安全风险程度

5.2.5 能基于风险分析结果，提出数据安全风险应对措施

5.2.2 数据安全风险评估工具开发方法

5.2.3 数据安全威胁场景分析知识

5.2.4 数据安全风险问题差距分析方法

5.2.5 数据安全风险控制方法和措施

5.3.2 能识别数据出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等的风险

5.3.3 能评估与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的文件等，是否满足数据安全保护要求

5.3.4 能明确数据境外存储的起止时间及到期后的处理方式，利用技术手段对其处理方式进行验证

5.3.5 能评估境外接收方履行责任义务的管理和技术措施、能力

5.3.6 能通过技术手段分析数据跨境通信链路涉及的国家和地区，研判是否存在由于数据缓存、内容分发等造成的数据跨境安全风险

5.3.7 能评估发生数据跨境安全事件时，采取补救措施的有效性及其对数据主体权益产生的影响

5.3.8 能研判数据安全维护渠道是否通畅

5.3.9 能分析数据流通和交易过程中数据来源，评估安全保护措施的有效性

5.3.10 能根据流通中的数据来源和数据生成特征，分析越权情况和越权风险，界定数据操作权限

5.3.2 常见数据加密传输协议

5.3.3 数据流量监测方法

5.3.4 跨境数据安全事件处理方法

5.3.5 数据跨境法律法规知识

5.3.6 数据流通和交易过程和典型应用场景知识

5.3.7 数据流通过程中数据权限管理和风险知识

职业
功能

工作内容

专业能力要求

相关知识要求

1.1.2 能将数据资产进行标签化处理

1.1.3 能建立一套符合数据安全驱动的组织管理制度

1.1.2 数据资产标签化的工具和技术

1.2.2 能对数据分类分级结果进行评审和完善

1.2.3 能对数据分类分级规则进行优化

1.2.2 数据分类分级结果评价方法

1.3.2 能开展数据安全需求分析的审计活动

1.3.3 能将数据安全需求分析纳入数据开发的整个生命周期

1.3.2 数据安全需求管理知识

1.4.2 能按照法律和政策要求制定数据传输管理方案

1.4.3 能按照法律和政策要求制定数据存储管理方案

1.4.4 能按照法律和政策要求制定数据使用管理方案

1.4.5 能按照法律和政策要求制定数据销毁管理方案

1.4.2 数据治理框架知识

1.4.3 数据治理流程设计与改进知识

2.1.2 能根据数据处理活动安全需求制定终端安全架构解决方案

2.1.3 能根据数据类型和等级设计数据安全风险监测框架

2.1.2 数据库安全技术知识

2.1.3 数据安全风险管理知识

2.2.2 能构建涵盖数据处理活动各环节的安全防护技术工具体系

2.2.3 能根据数据应用的业务需求，构建数据安全运营体系

2.2.2 数据安全威胁风险知识

2.2.3 数据安全技术与工具知识

2.3.2 能根据业务需求设计数据安全技术与工具管理方案

2.3.3 能根据组织数据安全策略，制定数据安全管理制度

2.3.4 能根据组织的安全管理策略，进行数据安全机构、人员岗位方案的设计

2.3.5 能制定数据安全相关技术规范，开展数据安全合规培训和宣传

2.3.2 数据安全技术与工具知识

2.3.3 数据安全技术管理知识

2.3.4 数据安全法、个人信息保护法等法律法规知识

2.4.2 能指导数据处理全过程中安全建设技术工具参数标准制定及工具研发、使用

2.4.3 能指导并管理有关人员按照数据安全基础保障、处理活动、网络通信、防护体系等方案有序开展数据安全工程建设实施工作，并统筹进行技术管理

2.4.2 数据处理全过程中安全建设技术管理知识

3.1.2 能根据数据安全防护方案，制定详细技术开发方案，编制研发计划和路线图

3.1.3 能基于基础函数库或接口，设计开发数据密码防护、权限管理等基本数据安全防护功能模块

3.1.4 能针对防护方案要求，设计与研发数字水印、密钥管理等数据安全技术

3.1.2 数据安全系统技术选型知识

3.1.3 复杂数据安全系统功能设计与研发

3.2.2 能自主编写测试工具，对目标工程源码进行代码分析

3.2.3 能编写用于指导测试实施工作的安全测试计划和安全测试技术指南

3.2.4 能评估数据安全测试工作的安全风险、规避措施，实施风险管控

3.2.2 数据安全系统源代码分析方法

3.2.3 数据安全测试风险评估方法

3.3.2 能制定数据安全技术实施的流程规范

3.3.3 能构建数据安全技术系统之间的关联分析策略

3.3.4 能持续改进数据安全技术并组织实施

3.3.5 能识别产品开发及上线运行中处理的重要数据等，并实施安全防护和安全合规策略

3.3.2 数据安全技术实施的框架构建方法

3.3.3 数据安全技术实施的流程规范制定方法

3.3.4 数据安全技术系统之间的关联分析策略构建方法

3.3.5 重要数据界定与识别知识

3.4.2 能评估和验证数据安全运维工作的有效性

3.4.3 能审计数据系统运行日志、数据访问日志、操作日志等，评估系统安全风险

3.4.4 能制定数据安全系统运维方案、流程和规范，编写数据安全技术运行管理手册，以及用户、管理员使用指南

3.4.2 数据安全运营平台方面的原理和使用方法

3.4.3 数据安全技术运行管理手册、用户手册、管理员手册编写方法

4.1.2 能评估数据安全相关漏洞的风险程度，制定加固措施或开发修复补丁

4.1.3 能正确归类、整合安全威胁，形成及时准确的数据安全威胁情报

4.1.2 漏洞风险评估方法

4.1.3 修复补丁开发方法

4.1.4 主要安全事件特征归类和分析方法

4.1.5 数据安全威胁情报分析方法

4.2.2 能针对数据安全风险点制定异常行为监测和临时管控策略

4.2.3 能对数据异常行为出现的关键环节进行加固或修复

4.2.4 能根据数据安全异常行为监测情况编制报告

4.2.2 异常行为建模、关联分析知识

4.2.3 数据异常行为监测和管控策略设计和部署方法

4.2.4 数据安全异常行为监测报告编写方法

4.3.2 能制定数据安全事件处置操作规程

4.3.3 能组织安全处置与业务间的协同联动，以保证业务连续性、数据备份与恢复计划和应急预案的实施

4.3.4 能对数据安全事件进行复盘，编写数据安全事件预防规范

4.3.5 能根据业务特性，制定合适的容灾计划

4.3.2 数据安全应急响应管理知识

4.3.3 数据安全事件应急处置实施方法

4.3.4 容灾管理知识

4.4.2 能梳理安全事件相关数据的流转与分布情况，合理推测还原事件的发生过程

4.4.3 能使用工具查找风险源、固定证据

4.4.4 能组织编写数据安全事件溯源取证报告

4.4.5 能根据取证溯源结果对数据服务相关的访问控制、合规性保障等数据处理活动，安全策略及其安全技术机制提出优化建议

4.4.2 数据安全溯源和取证工具使用方法

4.4.3 数据安全事件溯源取证报告编写方法

5.1.2 能依据工作方案，组织协调相关部门人员，开展合规评估

5.1.3 能对数据处理系统进行分析，制定数据处理活动各环节合规性评估的技术方案和实施标准

5.1.4 能对评估对象的数据安全组织架构和管理制度进行合规评估

5.1.5 能对合规评估结果进行综合分析形成评估报告，提供整改建议和优化方案

5.1.2 常见数据处理系统和应用的数据安全策略的执行逻辑

5.1.3 数据安全法律法规要求

5.1.4 数据安全不合规项优化整改措施

5.1.5 合规评估报告编写方法

5.2.2 能根据数据安全风险分析结果，提出风险处置建议，并编制评估报告

5.2.3 能制定数据安全风险评估管理制度，持续优化并改进风险评估管理机制

5.2.2 数据安全风险管理方法

5.3.2 能基于数据出境安全风险分析，撰写数据出境安全评估报告

5.3.3 能制定并组织落实数据出境合规整改方案

5.3.4 能制定并组织实施数据流通、交易安全评估方案

5.3.2 数据出境安全风险分析方法

5.3.3 数据出境安全评估报告编写方法

5.3.4 数据流通、交易风险评估知识

专业技术等级

项  目

初级（%）

中级（%）

高级（%）

专业技术等级

项目

初级（%）

中级（%）

高级（%）