我在一个客户现场碰过这么一件事。做渗质他们安全主管拍着胸脯说，透测我们请了某某知名机构来做渗透测试，试需什资合同签了，做渗质报告也出了，透测全绿。试需什资我扫了一眼那份报告，做渗质发现里面连一个实际攻击payload都没有，透测全是试需什资“建议加强口令策略”这种废话。后来我私下问了那个机构的做渗质工程师，他说得很直白：我们没资质，透测不敢真打，试需什资怕打出事来担责。做渗质你看，透测这就是试需什资资质问题的核心——它不只是门槛，它直接决定你手里的活儿是“真渗透”还是“走过场”。

做渗透测试，法律层面最硬的一条是《网络安全法》。第二十六条写得很清楚，开展安全检测评估，要遵守国家有关规定。这个“规定”落到实操里，就是你得有法律依据去触碰别人的系统。你没资质，哪怕客户点头同意，你动了他们的生产服务器，出了事，法律上你就是“非法侵入计算机信息系统”。我见过一个真实案例，一个自由职业者接了个小公司的单子，没签正式授权书，就凭微信聊天记录去测，结果那公司内部有人报警，他差点被按“破坏计算机信息系统罪”起诉。最后虽然和解了，但他那半年基本没睡过整觉。所以，资质的第一层，是授权文件——书面、明确、留底，这比任何证书都优先。

再往下一层，是行业认可的认证。国内最主流的是CISP-PTE（注册信息安全专业人员-渗透测试工程师），这是中国信息安全测评中心发的，很多政府项目招标硬性要求。另一个是OSCP（Offensive Security Certified Professional），国际认可度高，考试是实打实打靶机，不背书，考过了基本说明你有真动手能力。我自己考OSCP的时候，连续五天泡在实验室里，中间还烧坏了一块主板。这俩不是二选一，你想在国企或者政企市场混，CISP-PTE是敲门砖；你想做外贸单子或者进外企，OSCP更吃香。还有些人考CISSP，那是管理方向的，跟渗透测试执行没直接关系，但如果你打算往安全负责人方向走，迟早得补上。

资质里还有个容易被忽略的坑——保险。你没听错，是职业责任险。欧美不少甲方在合同里会明确要求乙方必须购买渗透测试职业责任险，保额至少百万美元级别。为什么？因为渗透测试本质是“受控的破坏行为”，哪怕你技术再牛，也可能误删数据或者打崩某个遗留系统。国内甲方现在也开始学这套了，我去年接一个金融客户的单子，法务部直接甩过来一份保险条款清单，保额要求五百万人民币。你个人技术再强，没这个保险，合同根本签不下来。这玩意儿不是资质证书，但它是商业层面的硬资质。

最后说点不那么“官方”的。真正靠谱的渗透测试人员，其实还有个隐性资质——道德底线。这话听着虚，但实操里极其现实。我认识一个老哥，技术一流，什么证书都有，但他接单有个原则：不碰医疗系统和政府人口库。他说，这类系统一旦出问题，影响的是活生生的人，不是简单的数据泄露。他这话我一开始觉得矫情，直到后来看新闻里某医院系统被勒索病毒搞瘫，急诊室乱成一锅粥，我才明白他说的“资质”是什么意思——有些东西，不是证书能给你的，是你自己得想清楚边界在哪。

所以你要问我，做渗透测试需要什么资质？我的答案很直接：一纸明确授权的合同，一个行业认可的认证，一份兜底的职业保险，以及一颗知道什么能碰什么不能碰的心。缺了任何一个，你都是在悬崖边跳舞，而且没系安全绳。