電子數據取證分析師

國家職業技能標準

（征求意見稿）

1職業概況

1.1職業名稱

電子數據取證分析師

1.2職業編碼

4-04-05-08

1.3職業定義

從事電子數據的收集提取、數據恢復及取證分析的人員。

1.4職業技能等級

本職業共設四個等級，分別為：四級/中級工、三級/高級工、二級/技師、一

級/高級技師。

1.5職業環境條件

室內、外，常溫。

1.6職業能力特征

具有較好的學習、觀察、分析、推理和判斷、表達、計算、色覺、視覺和行

為能力，動作協調，心理健康。

1.7普通受教育程度

高中畢業（或同等學力）。

1.8培訓參考學時

四級/中級工80標準學時；三級/高級工、二級/技師120標準學時;一級/

高級技師80標準學時。

1.9職業技能鑒定要求

1.9.1申報條件

具備以下條件之一者，可申報四級/中級工：

1

（1）取得相關職業①五級/初級工職業資格證書（技能等級證書）后，累計從

事本職業或相關職業工作3年（含）以上。

（2）累計從事本職業或相關職業工作5年（含）以上。

（3）取得技工學校本專業或相關專業②畢業證書（含尚未取得畢業證書的在

校應屆畢業生）；或取得經評估論證、以中級技能為培養目標的中等及以上職業學

校本專業或相關專業畢業證書（含尚未取得畢業證書的在校應屆畢業生）。

具備以下條件之一者，可申報三級/高級工：

（1）取得本職業或相關職業四級/中級工職業資格證書（技能等級證書）后，

累計從事本職業或相關職業工作4年（含）以上。

（2）取得本職業或相關職業四級/中級工職業資格證書（技能等級證書），

并具有高級技工學校、技師學院畢業證書（含尚未取得畢業證書的在校應屆畢業

生）；或取得本職業或相關職業四級/中級工職業資格證書（技能等級證書），并具

有經評估論證、以高級技能為培養目標的高等職業學校本專業或相關專業畢業證

書（含尚未取得畢業證書的在校應屆畢業生）。

（3）具有大專及以上本專業或相關專業畢業證書，并取得本職業或相關職業

四級/中級工職業資格證書（技能等級證書）后，累計從事本職業或相關職業工作

2年（含）以上。

具備以下條件之一者，可申報二級/技師：

（1）取得本職業或相關職業三級/高級工職業資格證書（技能等級證書）后，

累計從事本職業或相關職業工作4年（含）以上。

（2）取得本職業或相關職業三級/高級工職業資格證書（技能等級證書）的

高級技工學校、技師學院畢業生，累計從事本職業或相關職業工作3年（含）以

①相關職業：網絡與信息安全管理員、信息安全測試員、信息通信網絡運行管理員、信息通

信信息化系統管理員等。

②相關專業：司法鑒定(物證技術)電子數據鑒定、公安技術網絡安全執法、刑事技術(公安技

術)電子物證檢驗、信息安全、網絡空間安全、網絡信息安全、網絡與信息安全、信息安全與

管理、網絡安全與執法、保密技術、大數據技術與應用、電子技術應用、電子商務技術、電

子與計算機工程、電子與信息技術、工業互聯網技術應用、計算機程序設計、計算機科學與

技術、計算機網絡技術、計算機網絡應用、網絡工程、計算機系統與維護、計算機信息管理、

計算機應用技術、計算機應用與維修、計算機與數碼產品維修、空間信息與數字技術、區塊

鏈工程、人工智能技術服務、人工智能技術應用、軟件工程、軟件技術、軟件與信息服務、

數據科學與大數據技術、數字媒體技術、數字媒體技術應用、通信技術、通信網絡應用、通

信系統工程安裝與維護、通信運營服務、網絡安防系統安裝與維護、網站建設與管理、物聯

網工程、物聯網技術應用、物聯網應用技術、新媒體技術、虛擬現實技術、虛擬現實技術應

用、虛擬現實應用技術、移動應用技術與服務、移動應用開發、云計算技術應用、云計算技

術與應用、智能科學與技術等專業。

2

上；或取得本職業或相關職業預備技師證書的技師學院畢業生，累計從事本職業

或相關職業工作2年（含）以上。

具備以下條件者，可申報一級/高級技師：

取得本職業或相關職業二級/技師職業資格證書（技能等級證書）后，累計從

事本職業或相關職業工作4年（含）以上。

1.9.2鑒定方式

鑒定方式分為理論知識考試、技能考核以及綜合評審等三部分。理論知識考

試以筆試、機考等方式為主，主要考核從業人員從事本職業應掌握的基本要求和

相關知識要求；技能考核主要采用現場操作、模擬操作等方式進行，主要考核從

業人員從事本職業應具備的技能水平；綜合評審主要針對技師和高級技師，通常

采取審閱申報材料、答辯等方式進行全面評議和審查。

理論知識考試、技能考核和綜合評審均實行百分制，單項成績皆達60分（含）

以上者為合格。

1.9.3監考人員、考評人員與考生配比

理論知識考試中的監考人員與考生配比為1︰15，且每個考場不少于2名監

考人員；技能考核中的考評人員與考生配比不低于1︰5，且考評人員為3名（含）

以上單數；綜合評審委員為3人（含）以上單數。

1.9.4鑒定時間

理論知識考試時間不少于90分鐘，技能操作考核時間不少于120分鐘，綜

合評審時間不少于20分鐘。

1.9.5鑒定場所設備

理論知識考試在標準教室進行；技能操作考核在具有必備的電子數據取證分

析設備、軟硬件、設施完善的場所進行。

3

2基本要求

2.1職業道德

2.1.1職業道德基本知識

2.1.2職業守則

（1）遵紀守法，愛崗敬業。

（2）勤奮進取，忠于職守。

（3）認真負責，團結協作。

（4）愛護設備，安全操作。

（5）誠實守信，講求信譽。

（6）勇于創新，精益求精。

（7）忠于事實，忠于科學。

（8）拒絕誘惑，保守秘密。

（9）流程管控，保護隱私。

（10）履行義務，保護數據。

2.2基礎知識

2.2.1計算機相關知識

（1）計算機硬件基礎知識。

（2）計算機軟件基礎知識。

（3）操作系統基礎知識。

（4）數據庫基礎知識。

（5）計算機網絡基礎知識。

2.2.2相關法律、法規、標準知識

（1）《中華人民共和國勞動法》的相關知識。

（2）《中華人民共和國民法典》的相關知識。

（3）《中華人民共和國網絡安全法》的相關知識。

（4）《中華人民共和國數據安全法》的相關知識。

（5）互聯網相關法律法規、管理規定、標準的相關知識。

（6）電子數據取證相關法律法規、管理規定、標準的相關知識。

4

3工作要求

本標準對四級/中級工、三級/高級工、二級/技師、一級/高級技師的技能要求

和相關知識要求依次遞進，高級別涵蓋低級別的要求。

3.1四級/中級工

職業

工作內容技能要求相關知識要求

功能

1.1.1能夠使用錄像錄屏設備

對電子數據取證行為進行記錄，1.1.1電子數據保全相關

保證證據司法有效性法律法規

1.1電子數據保1.1.2能夠使用工具對電子數1.1.2電子數據保全相關

全據進行保全保證數據一致性、完流程與操作知識

整性1.1.3電子數據校驗相關

1.1.3能夠使用工具對電子數據知識

存在環境進行保全

1.2.1針對存儲介質、數

1.2.1能使用工具對目標存儲

據制作鏡像的相關知識

介質、數據進行鏡像制作并保證

1.2.2存儲介質復制相關

1.2計算機數據數據的完整性和一致性

知識

1.提取和固定1.2.2能使用工具將目標存儲

1.2.3存儲介質、鏡像等

介質、數據復制到其他存儲介質

電子數據一致性與完整性校驗相

上并保證數據的完整性和一致性

數據關知識

提取1.3.1能對移動終端設備進行1.3.1移動終端取證軟件

固定鏡像制作和工具操作相關知識

1.3移動終端1.3.2能對移動終端設備進行1.3.2移動終端設備的備

數據提取和固定備份制作份和鏡像相關知識

1.3.3能使用工具對移動終端1.3.3移動終端程序的數

程序數據進行備份據備份相關知識

1.4.1針對工控設備制作

1.4.1能夠使用工具對常見目

鏡像的相關知識

標工控設備進行鏡像制作并保證

1.4.2工控設備數據復制

1.4工控設備數據的完整性和一致性

相關知識

數據提取和固定1.4.2能使用工具將常見目標工

1.4.3工控設備鏡像、

控設備上的數據復制到存儲介質

數據一致性與完整性校驗相

上并保證數據的完整性和一致性

關知識

2.1.1簽名恢復和文件系

統刪除恢復的概念

2.1.1能使用工具基于文件系2.1.2常用文件簽名的相

2.1文件的數統進行恢復關知識

據恢復2.1.2能使用工具基于文件簽2.1.3已刪除文件基于文

2.名進行恢復件系統的恢復方法

電子2.1.4已刪除文件基于文

數據件簽名的恢復方法

恢復2.2.1數據庫操作的基礎

2.2.1能使用常用的數據庫操知識

2.2數據庫恢作工具對數據庫進行操作2.2.2數據庫恢復工具的

復2.2.2能使用工具對簡單的數操作方法

據庫進行數據恢復2.2.3數據庫的數據存儲

相關知識

5

3.1.1能使用取證軟件或工具

對移動終端備份進行數據分析3.1.1移動終端備份解析

3.1.2能使用取證軟件或工具工具使用方法

對移動終端鏡像進行數據分析3.1.2移動終端鏡像解析

3.1移動終端3.1.3能使用取證軟件或工具工具使用方法

取證分析對移動終端備份中的特定文件進3.1.3移動終端鏡像中特

行查看和導出定文件查看與導出相關知識

3.1.4能使用取證軟件或工具對3.1.4移動終端備份中特

移動終端鏡像中的特定文件進行定文件查看與導出相關知識

查看和導出

3.2.1能使用取證軟件或工具

3.電

對在線計算機系統進行數據分析3.2.1計算機系統在線數

子數據

3.2.2能使用取證軟件或工具據分析方法

分析

3.2計算機取對磁盤、U盤、光盤等存儲介質進3.2.2存儲介質數據分析

證分析行數據分析方法

3.2.3能使用取證軟件或工具3.2.3存儲介質鏡像數據

對磁盤、U盤、光盤等存儲介質鏡分析方法

像進行數據分析

3.3.1能使用相關取證工具生

成取證報告

3.3電子數據3.3.1電子數據取證分析

3.3.2能參考國家相關規定編寫

取證分析報告編報告的編寫規范相關知識

符合規范的電子數據分析報告

寫3.3.2電子數據取證分

3.3.3能編寫完整的電子數據取

析報告內容相關知識

證分析報告

6

3.2三級/高級工

職業

工作內容技能要求相關知識要求

功能

1.1.1第三方備份工具使

1.1.1能利用第三方備份工具用方法

備份數據1.1.2服務器備份方法

1.1計算機數

1.1.2能對服務器進行備份1.1.3服務器制作鏡像方

據提取和固定

1.1.3能對服務器制作快照法

1.1.4能對服務器制作鏡像1.1.14服務器制作快照

方法

1.2.1能獲取常見操作系統日1.2.1常見操作系統日志

志相關知識

1.2日志及數1.2.2能獲取常見數據庫日志1.2.2常見服務應用日志

據庫提取和固定文件相關知識

1.2.3能獲取常見服務應用日1.2.3常見數據庫應用日

志文件志相關知識

1.3.1能使用工具對遠程1.3.1主流操作系統遠程

1.3遠程服務

Windows服務器進行鏡像登錄服務方法

器數據提取和固

1.3.2能使用工具對遠程服務1.3.2服務器遠程鏡像制

定

的Linux服務器進行鏡像作方法

1.4.1能使用工具對安卓設備

1.中的應用程序進行數據提取和固

定

電子

1.4.2能使用工具對iOS設備

數據中的應用程序進行數據提取和固

提取定

1.4.1第三方備份工具使

固定1.4.3能使用工具對鴻蒙設備

1.4智能終端用方法

中的應用程序進行數據提取和固

數據提取和固定1.4.2智能終端廠商提供

定

的應用助手程序使用方法

1.4.4能使用工具對其他智能

設備常見操作系統中的應用程序

進行數據提取和固定

1.4.5能使用主流設備廠商提供

的應用助手程序進行數據提取和

固定

1.5.1能夠使用工具對常用SIM

卡進行數據提取和固定1.5.1SIM卡數據提取固

1.5智能芯片

1.5.2能夠使用工具對常見的定方法

數據提取和固定

IoT芯片進行數據提取和固定1.5.2常見存儲芯片數據

卡取證

1.5.3能夠使用工具對常見的提取和固定方法

存儲卡芯片進行數據提取和固定

1.6.1能獲取常見工控設備系1.6.1工控設備日志獲取

1.6工控設備統日志方法

數據提取和固定1.6.2能獲取常見工控設備系1.6.2工控設備應用數據

統應用數據獲取方法

2.1.1能使用工具對破損的結2.1.1結構化文件知識

2.構化文件進行恢復2.1.2文件修復工具使用

電子2.1文件修復2.1.2能使用工具對多媒體文方法

數據件進行修復2.1.3數據存在性判斷方

2.1.3能判斷數據在文件中的法

7

恢復存在性

2.2.1數據結構特征恢復

2.2.1能判斷數據庫中數據的基礎知識

2.2數據庫恢存在性2.2.2數據庫恢復工具使

復2.2.2能夠通過日志和備份對用方法

數據庫進行恢復2.2.3數據庫日志和備份

相關知識

3.1.1字符串處理、文件

3.1.1能使用讀寫、XML、JSON等數據結

Python/Java/C/C++/C#等編程語構存儲

3.1基礎編程

言中一個或者多個進行簡單的程3.1.2鏈表、隊列、樹等

序開發常見數據結構

3.1.2能使用簡單的數據結構3.1.3遞歸、排序、查找

等常見算法

3.2.1能對數據進行清洗和預

3.

處理3.2.1表數據副本的篩

電子3.2.2能根據數據獲取人員自選、增加、刪除、修改、查

數據3.2數據統計然屬性找

分析及挖掘3.2.3能根據數據獲取人員關3.2.2表數據的整理

系基本模式3.2.3數據統計分析方法

3.2.4能根據數據分析數據間3.2.4數據規律整理方法

規律與統計信息

3.3.1能使用程序模擬運行環3.3.1程序模擬運行工具

3.3模擬仿真境，并運行程序以獲取行為信息3.3.2程序行為獲取方法

分析3.3.2能對手機模擬器進行勘3.3.3手機模擬器的勘驗

驗分析分析方法

8

3.3二級/技師

職業

工作內容技能要求相關知識要求

功能

1.1.1能對網絡流量進行固

1.1.1網絡流量抓包的

定

1.1計算機數方法

1.1.2能對計算機的內存數

據提取和固定1.1.2計算機內存數據

據進行鏡像，并保證數據的完

進行提取和固定的方法

整性和一致性

1.2.1安卓智能終端

1.2.1能獲取安卓智能終端

Recovery模式提取物理

基于Recovery模式物理鏡像

鏡像的方法

1.2.2能通過iOS智能終端

1.2.2iOS智能終端通

備份提取數據

過備份提取和固定數據的

1.2.3能通過安卓備份提取

1.2智能終端方法

數據

數據提取和固定1.2.3安卓智能終端通

1.2.4能通過鴻蒙系統備份

過備份提取和固定數據的

工具提取數據

方法

1.2.5能通過其他智能設備

1.電1.2.4鴻蒙等其他智能

常見操作系統數據備份工具提

子數設備系統備份工具提取數

取數據

據提據方法

取固1.3.1能對常見芯片進行數

據提取和獲取1.3.1常見芯片數據提

定1.3.物聯網

1.3.2能對智能家居設備進取和解析的方法

設備數據提取和

行數據提取和固定1.3.2常見物聯網設備

固定

1.3.3能對智能穿戴設備進接口協議和數據獲取方法

行數據固定和提取

1.4.1能對工控設備流量進1.4.1網絡流量抓包的

1.4工控設備行提取和固定方法

數據提取和固定1.4.2能對工控設備中存儲1.4.2工控系統流量存

的流量日志進行提取和固定儲位置相關知識

1.5.1能對加密文件進行識

1.5.1常用加密算法

別和查找

1.5.2.加密特征和識別

1.5.2能利用工具對密碼進

1.5數據解密方法

行解密

1.5.3.密碼解密相關工

1.5.3能解密加密磁盤、容

具

器和系統。

2.1.1能對硬盤進行開盤修2.1.1硬盤開盤修復的

復方法

2.1基于物理2.1.2能對存儲芯片焊接并2.1.2存儲芯片焊接和

修復的恢復提取其中數據數據提取的方法

2.電

2.1.3能對移動設備的JTAG2.1.3移動設備JTAG

子數接口數據進行提取接口數據提取的方法

據恢2.2.1能對RAID進行重組恢

2.2.1RAID恢復知識

復復

2.2數據還原2.2.2集群恢復知識

2.2.2能對集群進行恢復

恢復2.2.3內存數據分析相

2.2.3能從內存鏡像中恢復

關知識

數據

9

3.1.1能對計算機主流操作3.1.1計算機主流操作

系統文件系統，應用文件存系統文件系統，存儲方式

3.1計算機電

儲、數據存儲進行分析分析方法

子數據分析

3.1.2能對計算機的應用數3.1.2計算機應用數據

據進行分析和解析的分析方法

3.2.1能對智能終端文件系3.2.1智能終端文件系

3.2智能終端

統與存儲方式進行分析統，存儲方式分析方法

應用程序數據分

3.2.2能對智能終端的應用3.2.2智能終端應用數

析

數據進行分析和解析據的分析方法

3.3.1能對人員關系建立模

型，進行人物關系分析

3.3.2能對資金數據建立模3.3.1人員分析的方法

3.3構建電子型進行分析，包括資金流向，3.3.2資金分析的方法

數據分析模型轉賬規律等3.3.3地理位置數據的

3.3.3能對地理位置信息建方法

立數據模型并分析，包括往返

路徑、經常出現區域等

3.4.1程序的靜態分析

3.4.1能使用常見的工具對方法，能使用常用的靜態

3.電3.4逆向工程程序進行簡單靜態分析分析工具

子數分析3.4.2能使用常見的工具對3.4.2程序的動態分析

據分程序進行簡單動態分析方法，能使用常用的動態

析分析工具

3.5.1能使用工具啟動、還3.5.1服務器上網站代

原云服務及數據庫碼的獲取和功能分析方法

3.5.2能還原云服務的虛擬3.5.2各種云服務框架

網絡拓撲的啟動方式與代碼結構

3.5云服務功3.5.3能分析出數據庫的連3.5.3云服務網絡拓撲

能分析接地址和口令知識

3.5.4能對服務器上的網站3.5.4數據庫連接地址

代碼定位、修改并分析其功能和口令的分析方法

3.5.5能對數據庫的關鍵表3.5.5數據庫關鍵表的

進行定位和分析定位和分析方法

3.6.1虛擬貨幣相關知

3.6.1能對虛擬貨幣資金與

識

3.6區塊鏈數交易進行分析

3.6.2區塊鏈原理

據分析3.6.2能對虛擬貨幣資金交

3.6.3區塊鏈交易查詢

易記錄進行分析

方法

3.7.1能對音視頻進行合成

3.7.1視頻翻拍合成檢

檢測分析

測方法相關知識

3.7音視頻分3.7.2能對視頻進行篡改檢

3.7.2視頻篡改檢測方

析測分析

法相關知識

3.7.3能對生物特征圖像、

音視頻進行偽造檢測分析

4.1.1能制訂培訓工作計劃4.1.1本職業技能與理

4.1.2能編制和實施培訓方論基礎知識

4.培訓案4.1.2培訓工作計劃的

4.1培訓實施

指導4.1.3能編寫本職業培訓教制訂要求和方法

材、講義、課件4.1.3培訓方案編制和

4.1.4能進行本職業培訓宣實施的要求和方法

10

講4.1.4培訓教材、講

義、課件的編寫知識

4.1.5教學教法知識

4.1.6培訓質量管理體

系的要求和方法

4.2.1操作經驗和技能

4.2.1能對本職業三級/高級

總結方法

工及以下級別人員進行技能指

4.2.2技能和理論基礎

導

4.2技術指導知識水平考核的要求和方

4.2.2能對本職業三級/高級

法

工及以下級別人員技能水平進

4.2.3技能和理論基礎

行考核

知識水平考核的內容

11

3.4一級/高級技師

職業

功能工作內容技能要求相關知識要求

1.1.1能提出對前沿設備數據1.1.1電子設備漏洞挖

利用前沿技術提取的方案

掘技術相關知識

1.1.2能提出對小眾設備以及

1.1.2電子設備系統框

自定義設備于存在系統限制的情

1.1數據固定架核心知識

況下進行數據采集的方法

1.1.3能對智能汽車進行數據1.1.3智能汽車數據提

1.電子固定和提取取的相關知識

數據提

1.2.1能提出應用工具對主流

取固定

應用數據進行解密的方法1.2.1數據加密解密知

1.2.2能提出應用工具對主流識

1.2數據解密容器進行解密的方法1.2.2容器加密解密知

1.2.3能提出應用工具對前沿識

應用數據進行解密的方法

2.1.1主流數據庫系統

數據存儲原理以及恢復方

2.1.1能提出對主流數據庫系

法

統進行數據恢復的方法

2.1.2主流文件的存儲

2.1.2能提出對前沿數據庫系

結構以及恢復方法

統進行數據恢復的方案

2.1.3數據庫系統的基

2.1.3能提出損壞文件數據修

2．1數據恢復本概念

復的方法

2.1.4數據庫應用系統

2.1.4能提出通過備份、日志

的設計方法和開發過程

以及其他數據對數據庫進行恢復

2.1.5數據庫系統的管

2.電子的方法

理、維護方法及相關安全

數據恢

技術

復

2.2.1主流文件系統數

2.2.1能提出對前沿設備文件

據存儲原理以及恢復方法

系統文件刪除恢復的實施方法

2.2.2主流文件的數據

2.2.2能提出對主流文件系統

2.2文件恢復結構以及恢復方法

進行文件恢復的實施方法

2.2.3前沿文件系統的

數據結構以及恢復方法

2.3.1能提出對損壞的系統進2.3.1磁盤陣列相關知

行恢復的實施方法識以及重組方法

2.3系統恢復2.3.2能提出對磁盤陣列進行2.3.2主流設備工作原

恢復的實施方法理以及恢復方法

3.1.1數據挖掘與分析

3.1.1能使用多種數據模型完

知識

3.電子成數據的多維度分析

3.1.2數據庫應用系統

數據分3.1.2能對海量數據進行關聯

3.1數據可視的設計方法和開發過程

析化模型搭建碰撞分析

3.1.3數據庫系統的管

3.1.3能提出數據挖掘分析的

理、維護方法及相關的安

實施方法

全技術

12

3.2.1能提出分析程序的主要3.2.1程序源碼逆向原

功能的實施方法理知識

3.2程序功能3.2.2能提出監控程序行為的3.2.2程序監控原理知

分析實施方法識

3.2.3能提出對行為流量分析3.2.3程序行為流量監

的實施方法控原理以及實施相關知識

3.3.1機器學習相關知

3.3.1能夠對基于人工智能的識

3.3人工智能應用進行分析3.3.2圖像識別相關知

分析3.3.2能夠對偽造的生物特征識

進行分析3.3.3語音識別相關知

識

4.1.1培訓需求分析的

4.1.1能對培訓需求進行分析

要求和方法

4.1.2能編制培訓規劃

4.1.2培訓規劃編制的

4．1培訓實施4.1.3能組織編寫本職業培訓

要求

教材、講義、教案

4.1.3培訓預算與決算

4.1.4能進行本職業培訓宣講

的審核方法

4.培訓

指導4.2.1能對本職業各級別人員

技能進行指導4.2.1指導技能操作的

4.2.2能對本職業各級別人員知識

4.2技術指導

技能水平進行考核4.2.2技術改造與革新

4.2.3能組織開展技術改造、的方法

技術革新活動

13

4權重表

4.1理論知識權重表

技能等級四級/三級/