去年有个朋友接了个渗透测试的渗透活儿，客户是测试本地一家做电商的中型企业。他干了五年安全，资质技术没得说，渗透结果签合同前被对方法务一句话卡住了：“你们公司有CNITSEC的测试资质吗？”他当时就愣了。最后这单子被一家技术不如他、资质但手里攥着信息安全服务资质证书的渗透公司拿走了。这事说明一个很现实的测试问题——渗透测试这行，技术是资质入场券，资质才是渗透通行证。

国内做渗透测试，测试最硬的资质一张牌是人社部颁发的“信息安全测试员”职业技能等级证书。这属于国家职业资格目录里的渗透正经东西，分四个等级，测试从四级到一级。资质很多甲方招标文件里直接写明“项目负责人须持有信息安全测试员二级及以上证书”。没这个，你连标书都递不进去。另一个常见的是中国信息安全测评中心（CNITSEC）颁发的CISP（注册信息安全专业人员）和CISP-PTE（渗透测试工程师）。CISP-PTE偏实操，考试要现场做靶机渗透，通过率不算高，业内认它的人多。

但个人证书只是第一步。真正决定你能不能接活的，是公司层面的资质。信息安全服务资质（安全工程类）分一级、二级、三级，由中国信息安全测评中心评审。一级最高，能接国家级项目；三级最低，但至少证明你公司有基本的安全服务能力。没有这个资质，你以公司名义签渗透测试合同，严格来说属于超范围经营。有些地方通管局查得严，直接按无证经营处理。

还有个容易被忽略的：等保测评机构资质。如果你做的是等保相关的渗透测试，那必须由具备等保测评资质的机构出具报告。普通安全公司做的渗透测试报告，在等保测评环节不被认可。我见过一个团队，技术很强，渗透测试报告写得比测评机构还细，但就因为机构没等保资质，客户拿去送审被打了回来，白干。

公安备案这事也得提。很多省份要求做渗透测试前，必须到属地公安网安部门备案。备案时要提交测试方案、时间范围、目标IP、参与人员资质。没备案就开干，被检测到异常流量，甲方和你都得进去喝茶。去年江苏有个案例，一家安全公司给客户做未备案的渗透测试，触发了运营商告警，最后按“非法侵入计算机信息系统”立案，虽然最后没判，但折腾了半年。

国际资质方面，OSCP（Offensive Security Certified Professional）在圈内认可度很高，考试是24小时实操，拿证的人技术底子一般都不差。但OSCP在国内招投标里基本不加分，甲方只认国内那几张证。CREST和CHECK是英国体系，国内更用不上。所以别花冤枉钱，先把国内的证拿到手。

说回我那个朋友。他后来去考了CISP-PTE，又挂靠了一家有信息安全服务资质二级的公司，现在接活顺畅多了。他跟我说了句大实话：“技术决定你能不能干，资质决定你能不能签。”这话糙，但把渗透测试这行的门槛说透了。你要是准备入行或者接私活，先查清楚目标客户招标文件里要求什么资质，再决定考哪个证、挂哪家公司。别等合同摆在面前了，才发现自己少一张纸。