电子数据取证分析师（中级） 三色笔记

这个职业的官方定义只有一句：从事电子数据提取、固定、恢复、分析等工作的人员。四个动词就是四个动作，也对应本册要讲的三个职业功能，最后落到一份取证分析报告上。

电子数据取证的特殊性在于两头都要成立：技术上要可复现，法律上要可采信。同一份数据，取法不规范，技术上再漂亮也可能不被采纳；反过来，程序再完备，数据读错了同样没有价值。

四级站在职业序列的起点，考核重点因此落在「手脚干净」四个字上：工具会用、步骤不错、记录不缺。

四级的全部内容，压缩成一张三行表。背表不是背名词，是背每个功能下的动作顺序。

三行表背完，再往每行里填细节：提取与固定是「保、镜、备、取」，恢复是「停、镜、找、拼」，分析是「看、导、写」。

权重表回答两个问题：考什么、各占多少。理论知识与技能要求分开计权，两张表都按职业功能分块，合计都是一百。

理论知识权重（%）

技能要求权重（%）

四级的分布很有指向性：理论里提取与固定、恢复各占三成，分析只占两成；技能里提取与固定、恢复各占四成，分析同样只占两成。换句话说，四级把七成以上的分数压在前两个功能上，分析只是收尾。

培训与指导一栏是横杠，说明四级不考带人；职业道德与基础知识合计只占两成，属于「必须拿、但拉不开差距」的部分。

国标列了六条职业守则：遵纪守法、爱岗敬业；爱护设备、安全操作；诚实守信、保守秘密；勇于创新、精益求精；管控流程、保障隐私；履行义务、保护数据。六条不是口号，每一条都对应取证现场的具体动作。

诚实守信落在取证上，就是不做选择性提取：不能只取对自己一方有利的数据，也不能因为「反正没人看」就跳过校验。保守秘密意味着案件信息、当事人隐私、商业秘密都不能带出工作场所。

管控流程与保护数据是这一行最特殊的两条：取证必然接触大量个人信息，所以要坚持最小必要——只取与委托事项相关的数据，取完及时封存，流转每一步留痕。

基础知识考两块：计算机基础与法律规范。前者决定你能不能看懂检材，后者决定你取到的东西算不算证据。

计算机部分包括硬件、软件、操作系统、数据库、网络。学的时候要带着取证视角：文件系统怎么存文件、操作系统留下哪些日志、数据库的数据页怎么组织、网络协议在哪些层留下痕迹。

法律部分包括刑法、治安管理处罚法、劳动法、民法典、网络安全法、密码法、数据安全法、个人信息保护法，以及与电子数据取证相关的管理规定和标准。记法条不如记边界：什么可以取、什么必须审批、什么绝对不能碰。

这是四级的第一个功能，也是整条证据链的起点。四个工作内容按对象分：电子数据本身、计算机、移动终端、工控设备。

共同目标只有一个：让取到的数据完整、一致、可追溯。完整是没漏，一致是没变，可追溯是每一步都能说清是谁做的、怎么做的。

四个对象的难度递增：数据保全最抽象，计算机最常规，移动终端受系统限制，工控设备受生产约束。但方法逻辑一致——先控制现场，再固定数据，最后校验封存。

恢复解决的是「数据看不见了，但可能还在」的问题。两个工作内容分两层：文件恢复处理文件系统层面的删除与丢失，数据恢复处理更底层的结构损坏。

这一块最容易被误解成「用工具点一下」。实际决定成败的是前置动作：有没有停写、有没有在镜像上做、有没有记录恢复前后的校验值。工具人人会用，规范不是人人守得住。

四级的恢复只要求常规情形：主流文件系统、常见文件类型、结构基本完好的存储。复杂情形留给三级。

分析是证据链的出口：前面取什么、恢复什么，最终都要在这里变成能读懂的结论。三个工作内容按对象与产出分：计算机、移动终端、报告。

四级的分析是「读」而不是「挖」：把镜像挂起来看文件、把备份解析出来看应用数据、把特定文件导出来，再用规范的语言写成报告。不要求建模，也不要求逆向。

这一块最考验习惯：看什么、按什么顺序看、看完怎么记。随手翻、随手点，最后写报告时就会发现自己说不清结论从哪来。

四级的边界由标准自己划出：能做单点，不做体系。同样面对一台设备，四级要求「按方法做完」，三级要求「在没有方法时找出方法」。

边界的现实含义：四级对这一份检材有没有被规范地固定和读取负责，三级对这份数据里还藏着什么负责。跨过这条线，考的是「找不到现成工具时怎么办」。

⭐ 记忆抓手：四级会做——有工具、有步骤、有记录；三级会找——没工具也能找到数据。

来源说明：本册取自《电子数据取证分析师国家职业技能标准》四级/中级工部分。职业编码 4-04-05-08，职业定义、职业环境、能力特征、普通受教育程度、申报条件、鉴定方式、三个职业功能及各条技能要求与相关知识要求，均取自标准原文；本册只做压缩与串联，未改动条目含义。

等级说明：该标准只设四级、三级、二级、一级四个等级，不设五级。本册对应题库中的「中级」，即四级/中级工；题库中的「高级」「技师」「高级技师」分别对应三级、二级、一级，另册讲解。

数值说明：权重表中的百分比为标准原文数据；培训学时、申报年限、考试时长等数值，正文以文字表述代替，具体数字请查标准原文。

结构说明：「★必背速记」「本等级能力边界」为本册自编的教学辅助，不属于标准条文。