跳到正文
ITパスポート 過去問ノート
日中EN
设置

申报制度与公共支援机构

頻出约 41 分钟8 个术语过去问 6 题

本单元目标

  • 能分清三种申报制度分别向 IPA 申报什么内容。
  • 能说明 ISMAP 是为政府采购云服务而设的评估与登记制度。
  • 能说明 J-CSIP 和 J-CRAT 各自是做什么的机制。
  • 能说明 SECURITY ACTION 是由经营者自己宣言的制度。
术语总表（8 个）
术语一句话机制类型主要使用者・对象
コンピュータ不正アクセス届出制度向 IPA 申报非法访问造成的损害申报遭受损害（含未遂）的组织或个人
コンピュータウイルス届出制度向 IPA 申报发现或感染病毒的情况申报发现病毒的人、被感染的人
脆弱性関連情報届出制度向 IPA 申报产品或网站的安全弱点申报，并协调修复发现弱点的人
ISMAP评估并登记政府使用的云服务评估与登记云服务商和政府机关
J-CSIP参与组织之间共享网络攻击信息信息共享已参与的企业和团体
J-CRAT支援遭受定向攻击的组织进行应对应对支援前来咨询的组织
サイバーレスキュー隊J-CRAT 的日语称呼应对支援（与 J-CRAT 相同）前来咨询的组织
SECURITY ACTION中小企业等自己宣言将推进安全对策自我宣言中小企业、个体经营者等

术语

コンピュータ不正アクセス届出制度计算机非法访问申报制度

在术语表中打开 コンピュータ不正アクセス届出制度

计算机非法访问申报制度（コンピュータ不正アクセス届出制度）是遭受非法访问损害（含未遂）的组织或个人，把相关情况申报给 IPA（信息处理推进机构）的制度。

  1. 察觉受害
  2. 向 IPA 申报
  3. IPA 汇总申报并分析
  4. 公布手法趋势与对策

分析结果以安全提醒和对策信息的形式向社会公布。

4 / 4

IPA 是负责国家信息处理政策的独立行政法人，也是这项申报的受理窗口。申报并不是法律规定的义务，其目的是从收集到的案例中整理出攻击手法的趋势和对策并广泛告知，以减少同类损害。

类比就像把一个地区发生的入室盗窃信息集中起来标在地图上，就能看出哪类房子容易被盯上。

考点

  • 易混向 IPA 申报是为了分析受害趋势、防止再次发生而提供信息，与请求侦查和惩处犯人的报警咨询是不同的程序。

コンピュータウイルス届出制度计算机病毒申报制度

在术语表中打开 コンピュータウイルス届出制度

计算机病毒申报制度（コンピュータウイルス届出制度）是发现病毒或被病毒感染的人，把相关信息申报给 IPA 的制度。

即使没有被感染、只是发现了病毒，也属于申报对象。IPA 根据收集到的申报掌握正在流行的病毒种类和传播方式，用于发布安全提醒和对策信息。

类比类似于卫生部门根据医疗机构的报告掌握传染病的流行情况，再向当地居民发出提醒。

考点

  • 常考组织内怀疑感染病毒（ウイルス）时，最初的应对是把该终端从网络断开，并通知公司内部的管理负责人。不要凭自己的判断开始恢复作业。
  • 易混联系公司内部的管理负责人属于组织内部的报告，而向 IPA 申报是为在全社会共享信息而设的另一套机制。

该术语的过去问 1 题 コンピュータウイルス届出制度

脆弱性関連情報届出制度漏洞相关信息申报制度

在术语表中打开 脆弱性関連情報届出制度

漏洞相关信息申报制度（脆弱性関連情報届出制度）是发现者把软件产品或网站中发现的漏洞（安全上的弱点）申报给 IPA 的制度。

  1. 发现者向 IPA 申报
  2. JPCERT/CC（协调机构）联系开发者
  3. 开发者准备修复或规避方法
  4. 在 JVN（漏洞信息网站）上公布

产品相关的协调完成后，弱点内容和应对方法会登载在 JVN 上。

4 / 4

JPCERT/CC（JPCERT 协调中心）是负责国内事件应对和漏洞信息协调的组织，在软件产品的申报中担任与开发者之间的联络人。产品相关的协调完成后，弱点和应对方法会在 JPCERT/CC 与 IPA 共同运营的漏洞对策信息门户网站 JVN 上公布。如果是网站的弱点，则由 IPA 通知网站运营者并督促其修复。

类比就像有人发现了市售家电的缺陷，不先到处传播，而是告诉受理窗口，等厂家安排好修理之后再通知用户。

考点

  • 常考JVN 是给软件弱点及其应对方法的信息加上以“JVN#”开头的识别编号并予以公开的网站。

该术语的过去问 1 题 脆弱性関連情報届出制度

「计算机病毒申报制度」与「漏洞相关信息申报制度」的区别

比较点计算机病毒申报制度漏洞相关信息申报制度
关键申报的内容发现病毒或被感染产品或网站的弱点
申报后的主要流程IPA 汇总分析并发出提醒督促开发者或运营者修复（软件产品的弱点在 JVN 上公布）
受理窗口IPAIPA

ISMAPISMAP（政府信息系统安全评估制度）

在术语表中打开 ISMAP

ISMAP（政府信息系统安全评估制度） 是对政府机关使用的云服务进行事先评估，并把符合标准的服务登载到登记名册上的制度。

  1. 云服务商提出申请
  2. 审计机构确认管理措施的运行
  3. 经审查后登载到名册
  4. 政府机关从名册中选择

政府机关采购云服务时，从名册上的服务中选择。

4 / 4

评估时，由在 ISMAP 登记的审计机构确认符合政府安全要求的管理措施是否在实际运行。各府省原则上从登记名册中的服务里选择，因此能减少每次采购时单独确认安全性的工作。

类比就像政府机关购买办公用品时，从事先通过审查的供应商名单中挑选。

记法MAP 是 Management and Assessment Program 的首字母缩写，可以理解为对管理（Management）状况进行评估（Assessment）的制度。

考点

  • 常考ISMS 认证（ISMS認証）是由第三方认可组织在运行管理和保护信息资产的机制，并不保证每个系统或产品本身的安全性。它与按每项云服务进行评估的 ISMAP 在对象单位上不同。
  • 常考ISMS 云安全认证（ISMSクラウドセキュリティ認証）是第三方认证，认可已获 ISMS 认证的组织也实施了云服务特有的管理措施，与面向政府采购的 ISMAP 是不同的制度。

该术语的过去问 2 题 ISMAP

J-CSIPJ-CSIP（网络信息共享倡议）

在术语表中打开 J-CSIP

J-CSIP（网络信息共享倡议） 是以 IPA 为中心、参与组织汇集网络攻击信息并相互共享的官民合作机制。

  1. 参与组织检测到攻击
  2. 向 IPA 提供信息
  3. IPA 隐去提供方后分析
  4. 共享给其他参与组织

分析后的信息送达其他参与组织，用于防范同样的攻击。

4 / 4

参与者是重要基础设施等领域的行业团体和企业，在保密约定下交换信息。把某个组织遭受的攻击手法尽快传递出去，其他参与组织就能防范同样的攻击。

类比就像附近来了可疑的上门人员时，居委会通过传阅通知大家，其他住户也随之加强门窗防范。

记法末尾的 IP 是 Information sharing Partnership 的首字母，可以理解为“共享伙伴”。

考点

  • 易混J-CSIP 是在参与组织之间传递攻击信息的机制，而帮助个别受害组织进行应对的活动由 J-CRAT 负责。

J-CRATJ-CRAT（网络救援队）

在术语表中打开 J-CRAT

J-CRAT（网络救援队） 是 IPA 的一项活动，接受遭受定向攻击的组织等的咨询，帮助其抑制损害扩大、切断攻击链。

定向攻击是瞄准特定组织、通过伪装成业务往来的邮件等手段试图入侵的攻击。J-CRAT 接受咨询后分析情况并提供建议，必要时还会到现场支援调查。

类比就像家里漏水时去咨询，专家查明原因并提出修理建议，但怎么修由房主自己决定。

记法CRAT 是 Cyber Rescue and Advice Team 的首字母缩写，可以理解为负责救援（Rescue）和建议（Advice）的队伍。

考点

  • 常考J-CRAT 是向前来咨询的组织提供建议和调查支援的活动，决定应对方针的是咨询组织自身。

该术语的过去问 1 题 J-CRAT

「J-CSIP（网络信息共享倡议）」与「J-CRAT（网络救援队）」的区别

比较点J-CSIP（网络信息共享倡议）J-CRAT（网络救援队）
关键主要职能在参与组织之间共享攻击信息支援受害组织进行应对
对象事先已参与的组织前来咨询的组织
启动的时机检测到攻击时即传递信息遭受损害或可能遭受损害时
运营IPAIPA

サイバーレスキュー隊网络救援队

在术语表中打开 サイバーレスキュー隊

网络救援队（サイバーレスキュー隊）是 IPA 的 J-CRAT 的日语称呼，两者指的是同一项活动。

两者的关系是：英语正式名称的缩写是 J-CRAT，用日语表达其职能的是网络救援队。正式名称 Cyber Rescue and Advice Team against targeted attack of Japan 中含有“针对定向攻击”这一意思的词句（against targeted attack），从名字上也能看出支援所针对的攻击。

该术语的过去问 1 题 サイバーレスキュー隊

SECURITY ACTIONSECURITY ACTION（安全行动）

在术语表中打开 SECURITY ACTION

SECURITY ACTION（安全行动） 是中小企业等宣言自己将推进信息安全对策的 IPA 自我宣言（自己宣言）制度。

阶段宣言前要做的事
一星落实“信息安全 5 条”
二星通过自我诊断掌握现状，制定基本方针并对外公开

开展工作的参考标准使用 IPA 的《中小企业信息安全对策指南》。宣言的经营者可以使用标志，从而向客户等展示自己在安全方面的态度。

类比就像店家自己在门口挂出“我们正在落实卫生管理”的牌子。

记法名字是 ACTION（行动）而不是 CERTIFICATION（认证），用英语单词来区分。

考点

  • 常考SECURITY ACTION 不是通过审查获得的，而是由经营者自己宣言开展相关工作而成立。
  • 常考能够宣言的并不限于营利企业，个体经营者和非营利法人等也包括在内。

该术语的过去问 1 题 SECURITY ACTION

要点

  • 非法访问、病毒、漏洞这三种申报制度的受理窗口都是 IPA。
  • 在漏洞申报中，软件产品的弱点经过与开发者的协调后，会连同应对方法一起在 JVN 上公布。
  • ISMAP 是事先评估政府机关使用的云服务并将其登载到名册上的制度。
  • 网络救援队是 J-CRAT 的称呼，负责支援遭受定向攻击的组织进行应对。
  • SECURITY ACTION 分为一星和二星两个阶段，中小企业等根据所开展工作的内容进行宣言。

确认题

从本单元的过去问中选 5 题

开始做确认题

查看这个领域的全部过去问