本文目录导读：
关基安全CISP-MP市场行为准则”，这是一个非常具体且专业的概念组合，需要先为您澄清几个关键词，再给出详细的行为准则分析。
核心术语解析：
- 关基安全：指“关键信息基础设施安全”，涉及能源、交通、金融、政务等国家重要行业和领域的网络安全与数据安全。
- CISP-MP：即“注册信息安全专业人员-渗透测试方向”（Certified Information Security Professional - Penetration Testing），这是中国信息安全测评中心颁发的专业资质，专注于渗透测试领域。
- 市场行为准则：指持证人员（CISP-MP）在从事渗透测试、安全评估等商业活动中，应当遵守的职业规范、法律底线和道德要求。
国家或行业层面并未公开发布一份名为《关基安全CISP-MP市场行为准则》的独立、成文的规范文件，针对CISP-MP持证人员（特别是从事关键信息基础设施安全服务的人员），其市场行为必须严格遵循以下几个核心法规与准则的交叉要求：
核心行为准则框架（适用于关基安全领域的CISP-MP人员）
法律红线：严格遵守《网络安全法》与《关基保护条例》
- 禁止越权攻击：未经系统运营者书面授权，严禁对关基系统进行任何形式的网络扫描、渗透测试或漏洞验证，在关基领域，“白帽子”行为必须有明确的合同或法律授权支持。
- 数据不出境：测试过程中接触到的关基系统数据（包括配置、日志、漏洞详情、用户信息等），必须严格在国内存储和处理，严禁非法向境外传输。
- 泄露后果：泄露关基系统的高危漏洞、网络拓扑或运维细节，可能直接构成危害国家安全行为。
操作铁律：严禁在关基环境中“裸奔”或越位
- 业务规避：实施渗透测试时，必须使用专用的测试环境或采用严格的生产数据脱敏方案。不得直接在关键业务数据库、实时交易系统或核心控制网络上直接执行高危Payload（如删除、篡改、提权操作）。
- 应急预案：在关基系统操作前，必须与客户共同制定应急回退和熔断机制，一旦测试意外导致业务中断，应遵循“先恢复，后追责”的原则。
- 边界清晰：CISP-MP人员在市场活动中，不得声称自己拥有“无限授权”或“监管特权”，必须明确说明测试的边界（IP范围、业务功能、操作时段）。
市场宣传与商业道德准则（“负面清单”）
- 禁止“漏洞威胁”：不得利用在关基系统发现的漏洞，向客户暗示如果不购买后续服务就会“报告上级”或“公开威胁”，这是典型的违规胁迫行为。
- 禁止“能力欺诈”：市场宣传中不得虚构自己拥有“穿透国家防火墙”、“攻破某部委内网”等案例来获取客户信任，特别是在涉及关基项目时。
- 禁止“跳墙”行为：在竞标或提供关基安全服务时，不得私下勾结竞争对手或客户内部人员，通过恶意制造系统脆弱性来获取业务。
- 利益冲突规避：不得在同一时间内，为同一关基系统的攻击方（如红队）和防御方（如蓝队）同时提供核心知识或工具，除非有明确的第三方中立监督。
OSPF（开源与工具使用准则）
- 工具合法性：在使用Cobalt Strike、Metasploit或其他开源渗透框架进行关基项目时，必须持有合法来源。禁止使用从不明渠道获取的、带有“后门”的破解版或修改版工具，这本身就可能构成对关基系统的反向渗透。
- 痕迹管理：所有测试后的日志、截图、流量包，必须作为工作成果交付给客户，严禁私自留存用于未知目的。
CISP-MP在关基领域的“职业大忌”
如果你持有CISP-MP证书并计划服务于关键信息基础设施领域，以下行为会被直接视为违反职业道德甚至构成犯罪：
- 未授权渗透：对着国计民生的系统“扫一扫”并以此要挟。
- 数据违规：把关基系统的漏洞报告当成“个人研究成果”发到朋友圈或技术群。
- 没有刹车：在测试中没有回退或应急预案，导致业务中断。
建议： 如果您需要获取最权威、最详细的关基安全市场行为负面清单或职业操守文本，建议直接查询：
- 中国信息安全测评中心（CNITSEC）对CISP持证人员的纪律处分条款。
- 《关键信息基础设施安全保护条例》（国务院令第745号）中的属地责任与人员管理要求。
- 所在企业针对关基项目的《保密与测试安全管理办法》。
如果您是在准备某个特定机构的合规审查或投标文件,请提供更具体的上下文，我可以为您进一步细化条款。
