本文目录导读：
关基安全CISP-IP个人行为准则”，目前公开的官方文件中，并没有一份单独、明确命名为《关基安全CISP-IP个人行为准则》的文件，这可能是一个特定的内部管理规定，或者是将两个概念（关基安全、CISP-IP）的准则进行了合并理解。
为了帮助您理解相关问题,我将分别解释以下两个核心概念，并推测该问题可能指向的具体内容：
CISP-IP”
CISP-IP 是中国信息安全测评中心（CNITSEC）颁发的 “国家注册信息安全专业人员-渗透测试工程师” 证书。
- 作为CISP系列下的专业方向,其注册持证人员必须遵守 《CISP职业道德准则》 ，该准则是所有CISP持证人员（包括CISP-IP）的共同行为底线。
关基安全”
关基安全 指 关键信息基础设施（Critical Information Infrastructure，CII） 安全，涉及金融、能源、交通、通信、水利、政务等国家关键领域的网络安全防护，相关的法律法规包括 《关键信息基础设施安全保护条例》等。
推测的“关基安全CISP-IP个人行为准则”核心内容
由于渗透测试（IP方向）工作的敏感性（特别是针对关键信息基础设施目标），结合CISP职业道德和关基保护要求，该“行为准则”通常覆盖以下关键原则：
法律合规与契约精神
- 授权优先：严禁对任何未经书面授权的系统、网络或数据进行渗透测试，特别是针对关基目标，必须确认获得国家相关主管部门或单位最高管理层的明确授权。
- 遵循国家法规：严格遵守《网络安全法》《数据安全法》《个人信息保护法》以及《关键信息基础设施安全保护条例》，在关基环境下，任何越权行为都可能触犯刑法（如非法侵入计算机信息系统罪）。
职业操作与技术约束
- 最小必要原则：在测试中，仅获取完成任务所必需的数据和系统权限，严禁查看、下载、复制、泄露或篡改关基系统中存储的公民个人信息、行业敏感数据或国家秘密。
- 测试边界控制：
- 严格遵守测试范围（IP段、域名、时间段、手法限制）。
- 不得使用可能造成关基系统不可用的攻击手法（如大规模分布式拒绝服务攻击（DDoS）、危险漏洞的破坏性利用等），除非获得特别书面批准并制定完善应急预案。
- 发现高危漏洞（如无条件RCE）后，应立即停止利用，防止业务中断，并按规定流程报告。
- 数据处置规范：测试过程中产生的所有日志、抓包数据、漏洞详情、截图等，必须在交付报告后按规定流程彻底销毁，不得私留备份。
保密与隐私保护
- 绝对保密：对在测试过程中获知的关基系统架构、网络拓扑、业务逻辑、漏洞细节以及用户信息等，负有永久保密责任，未经客户书面同意，不得向任何第三方（包括同事、朋友、其他客户）透露。
- 防止隐私泄露：在利用漏洞进行验证时，如不可避免会接触到用户个人信息（如身份证号、手机号、登录凭据等），必须立即停止并更换验证方法，或确保数据脱敏处理。
报告与汇报准则
- 真实准确：报告中的漏洞必须真实可重现，严禁夸大或虚构漏洞风险，以避免引发不必要的决策误判。
- 风险评级客观：对关基系统的漏洞评级需结合业务影响进行综合评估，不能简单套用通用漏洞评分系统（CVSS）分数，要考虑其业务中断和社会影响。
- 协助整改：测试结束后，必须提供完整、清晰的修复方案，并在必要时应客户要求，提供复测验证。
廉洁自律
- 利益冲突回避：不得利用渗透测试过程中掌握的系统后门或管理员权限谋取私利（如植入木马、勒索病毒、或向黑产出售漏洞）。
- 拒绝诱惑：面对高额利益诱惑（如被要求“放水”掩盖高风险漏洞、或出售数据），必须坚决抵制并向监管机构或公安机关报告。
如果您正在为所在单位（特别是关基运营单位）或自己的职业行为规范寻找依据，可以直接引用《CISP职业道德准则》 作为基础，并叠加《关键信息基础设施安全保护条例》 中的特殊要求（如数据出境、安全检测与风险评估的合规性）。
建议操作：
- 查阅您或您所在单位签订的 《CISP-IP注册协议》（其中通常包含行为承诺）。
- 查阅 《关键信息基础设施安全保护条例》 第十一条、第十二条关于安全检测与风险评估的条款。
- 由单位安全管理部门制定内部 《关基渗透测试安全操作手册》，将上述原则具体化。
请务必牢记：针对关基系统的渗透测试，必须坚持“安全可控、业务优先、合规至上”的核心原则。
