指南与标准规范
頻出约 42 分钟6 个术语过去问 10 题
本单元目标
- 能够分辨本单元的各规范文件分别由谁阅读、为保护什么而制定。
- 能够说明作为信息安全管理基准核心的两项基准，以及它在组织检查自身工作和审计中的用法。
- 能够区分各领域的文件是以整个供应链、IoT 设备还是银行卡支付为对象。
术语总表（6 个）
术语
信息安全管理基准（情報セキュリティ管理基準）是由经济产业省编制的基准，作为组织建立和运行 ISMS（信息安全管理体系）时的衡量尺度。
它以 JIS Q 27001 和 JIS Q 27002 的内容为依据，核心是两部分：规定如何用 PDCA 循环（计划、执行、检查、改进的反复）运转 ISMS 的管理体系基准（マネジメント基準），以及列出要实施的对策的管理措施基准（管理策基準）（2025 年的修订版还加入了用于确立信息安全治理的治理基准（ガバナンス基準），共三部分）。组织检查自身工作时、在信息安全审计（情報セキュリティ監査）中判断好坏时，都以它为依据。此外还有 ISMS 符合性评价制度（ISMS 適合性評価制度），由外部认证机构审查组织的 ISMS 是否符合标准并予以认证。
类比就像体检的检查项目表。无论是自己回顾身体状况，还是医生诊察，都以同一张项目表为尺度。
记法经济产业省还有一份《信息安全审计基准》（情報セキュリティ監査基準）。审计基准是审计人员的行为规范，信息安全管理基准则是审计时对照的尺度，两者按作用区分。
考点
- 常考在 ISMS 的 PDCA 中，根据审计结果采取纠正措施（是正処置）等、使体系不断变好的活动属于 A（改进，改善）阶段。
- 常考在与人相关的管理措施（管理策）中，不仅要求本公司员工，也要求业务外包方落实符合组织方针和程序的信息安全。在事件管理（インシデント管理）中，要预先确定报告对象和联络方式，以便能立即通报异常。
- 常考ISMS 的内部审计（内部監査）不仅判定是否符合标准和组织自己规定的要求事项，还判定 ISMS 是否在组织中有效发挥作用。
该术语的过去问 2 题 情報セキュリティ管理基準 →
网络安全经营指南（サイバーセキュリティ経営ガイドライン）是经济产业省与 IPA 为把应对网络攻击作为经营课题来推进而编制的面向经营者的指南。
它由经营者应当认识的3 项原则，以及应向对策负责人 CISO（首席信息安全官）等下达指示的重要 10 项（重要 10 項目）构成。对策所需费用被视为面向未来的投资。
类比就像船的航海方针。船长即使把掌舵和瞭望交给船员，驶向哪里、防备哪些危险仍由自己决定并负责。
记法名称中间的“经营”（経営）表明了读者是谁。可以记成放在总经理办公桌上的文件。
考点
- 常考网络安全经营指南（サイバーセキュリティ経営ガイドライン）不是法律而是指南，与作为法律的网络安全基本法（サイバーセキュリティ基本法）是两回事。
- 常考在该指南下，经营者不把对策完全交给 CISO 或负责部门，而是亲自发挥领导力（リーダーシップ）来推进。
该术语的过去问 1 题 サイバーセキュリティ経営ガイドライン →
中小企业信息安全对策指南（中小企業の情報セキュリティ対策ガイドライン）是 IPA 为使人手和预算有限的中小企业能从容着手对策并逐步扩大而编制的指南。
它既涉及经营者应做的事，也涉及在公司内推进对策的实务步骤，采取从能做的对策开始、经过组织层面的行动、再到正式建立体制的分阶段方式。与此相关，IPA 设立了 SECURITY ACTION（安全行动）制度，由中小企业自主宣告开展对策。宣告分为两级：致力于“信息安全 5 条”（情報セキュリティ5か条）这 5 项基本内容的一星，以及通过自我诊断确认现状、制定并公开基本方针的二星。
类比就像面向初学者的力量训练。不会一上来就用重器械，而是从每天都能做的轻松运动开始，习惯后再加大负荷。
考点
- 常考SECURITY ACTION（安全行动）是中小企业自主宣告开展对策的制度，并非由外部机构审查后认定。
该术语的过去问 1 题 中小企業の情報セキュリティ対策ガイドライン →
「网络安全经营指南」与「中小企业信息安全对策指南」的区别
网络物理安全对策框架（サイバー・フィジカル・セキュリティ対策フレームワーク，CPSF）是经济产业省编制的框架，用于在网上的网络空间与现实的物理空间相互结合的产业社会中，确保整个供应链（从采购原材料到产品送达的企业链条）的安全。
← 图可左右滑动查看 →
它把产业社会分为企业与企业之间的连接、以物为媒介的物理空间与网络空间之间的连接、网络空间中数据的连接这三层来把握。按层整理应保护的对象和风险，提出不分行业都能使用的对策思路。
类比就像铁路网的安全计划。按公司之间的直通运营、线路与运行系统的连接、时刻表信息的交换这些连接方式，逐一找出危险。
记法CPSF 是 Cyber/Physical Security Framework 的首字母缩写。Physical 意为“摸得到的”，指工厂的机器和传感器等现实一侧。
IoT 安全指南（IoTセキュリティガイドライン）是总务省和经济产业省等为安全地制造、连接和使用联网的 IoT 设备及使用它的系统而编制的指南。
它沿着设备的生命周期，按方针、分析、设计、构建与连接、运行与维护 5 个阶段分别给出应采取的对策。IoT 设备有长年持续使用、用户难以顾及、被劫持后损害会波及现实设施和人身等特有风险，因此对策需要预先考虑出货后的更新和管理。
类比就像家电厂商的产品安全理念。在设计阶段就设想事故，卖出后也通过检查和维修持续负责。
记法IoT 是 Internet of Things，即“物联网”。连接的不是人而是物，所以设备容易在主人没察觉的情况下被搁置，这是思考的出发点。
考点
- 易混以三层连接把握整个供应链（サプライチェーン）的框架是 CPSF。IoT 安全指南（IoTセキュリティガイドライン）是专门针对 IoT 设备及其系统的指南。
「网络物理安全对策框架」与「IoT 安全指南」的区别
PCI DSS 是由国际卡组织设立的机构制定的、用于保护信用卡持卡人数据的银行卡行业安全标准。
对象是存储、处理、传输卡信息的特约商户和支付代理服务商等，要求包括网络防护、存储数据保护、访问限制、定期监控与测试等。它不是法律而是行业标准，但企业会通过与卡公司的合同被要求遵守。
类比就像各家银行共同约定的金库室规则。无论哪家银行，门锁、出入记录、定期检查都按同样的规定来守护。
记法PCI 是 Payment Card Industry（支付卡行业），DSS 是 Data Security Standard（数据安全标准）。把缩写展开，名称本身就说明了内容。
考点
- 常考PCI DSS 的对象是保管卡信息的企业，目的是保护持卡人数据。
- 易混PCI Express 拼写相似，但它是在计算机内部连接设备的扩展接口标准，与卡信息保护无关。
该术语的过去问 1 题 PCI DSS →
要点
- 信息安全管理基准是 ISMS 运行和检查的尺度，给出 PDCA 的推进方法和要实施的管理措施。
- 网络安全经营指南汇总了经营者亲自主导、防备网络攻击的原则和指示事项。
- 中小企业信息安全对策指南给出从能做的对策逐步扩大的推进方式，相关的 SECURITY ACTION 是中小企业自主宣告开展对策的制度。
- CPSF 以三层连接把握产业社会，是考虑整个供应链对策的框架。
- PCI DSS 是保护持卡人数据的行业标准，由处理卡信息的企业遵守。
查看这个领域的全部过去问 →