一、三种资质的对照

先说清楚三种资质分别是什么：

三种资质的用法完全不同：

• ① 信息安全管理考试（SG）是【入门证书】，考的是管理流程，不要求你会配设备。
• ② 支援士是日本的【名称登录制】资格，注册后要持续交 CPE，它的价值就在【要一直维持】这件事本身。
• ③ CISSP 是【国际通用】，最强的地方是那 5 年经验的硬门槛。

这张表里最有信息量的一行是【有效期】：

SG 是【考过就永久有效】，支援士和 CISSP 都要持续更新。 这个差别不是设计随意，而是因为它们要证明的东西不同——SG 证明【你学过管理流程】，这件事不会因为时间流逝而失效；支援士和 CISSP 要证明【你持续在一线】，这必须靠不断更新的证据来维持。

由此可以推出一条选证的实用建议：如果你的目标是【让 HR 认这张纸】，选有效期长的；如果你的目标是【让客户相信你一直在做这一行】，选需要更新的。 反过来说，维持成本本身也是资质价值的一部分——一个不用维持的证书，含金量会随时间被稀释。

第七条【人数口径】也要读对：支援士约 2.4 万人、CISSP 17 万人以上——这个数量级的差别反映的是【日本 vs 全球】的覆盖范围，不是难度差别。 同样一张纸，在日本的稀缺度和在国际上的稀缺度可以完全不同。

二、动手 Demo：CISSP 的 5 年经验怎么算

CISSP 的报名门槛是三种资质里唯一【硬性要求工作经验】的，而它的算法比想象的复杂：

# 节选自本节 Demo 脚本 d13()：CISSP 的 5 年经验怎么算
people = [
    ("A", [(6.0, 2), (2.0, 3)], False),
    ("B", [(3.0, 1), (1.0, 2)], False),
    ("J", [(8.0, 1), (1.0, 2), (1.0, 3)], False),
    ("L", [(3.0, 1), (1.0, 2)], True),
    # ... 共 12 人
]
for name, segs, deg in people:
    years = sum(s[0] for s in segs)       # 累计年数
    doms = len(set(s[1] for s in segs))   # 覆盖的域数
    cut = 1.0 if deg else 0.0             # 有学位可减免 1 年
    ok = (years + cut >= 5.0 and doms >= 2)

实跑输出：

==================================================================================================
二、CISSP 的 5 年经验怎么算
==================================================================================================
  候选人    累计年数    覆盖域数    减免    合计      判定
  A         8.0 年      2           0.0     8.0 年    达标
  B         4.0 年      2           0.0     4.0 年    不达标
  C         5.0 年      2           1.0     6.0 年    达标
  D         4.0 年      1           0.0     4.0 年    不达标
  E         6.0 年      1           0.0     6.0 年    不达标
  F         5.0 年      3           1.0     6.0 年    达标
  G         5.7 年      2           0.0     5.7 年    达标
  H         5.0 年      2           0.0     5.0 年    达标
  I         4.0 年      1           0.0     4.0 年    不达标
  J         10.0 年     3           0.0     10.0 年   达标
  K         4.9 年      2           0.0     4.9 年    不达标
  L         4.0 年      2           1.0     5.0 年    达标

  7 人达标、5 人不达标（共 12 人）。五个不达标分成三种情况：
    B 与 I：都差在年数上（各 4.0 年），差的那一年补上就够。
    D 与 E：D 只有 4 年、E 有 6 年，但两人都只在 1 个域里干过 ——
             E 是最值得看的一个：年数最长，却是被【只在一个领域】卡住的。
    K     ：4.9 年，离 5 年只差 0.1 年，差一个多月的工时。
  → 门槛不是【干过多久】，是【在几个不同领域里干过多久】，两个条件都要满足。

读这个输出：

• 最值得看的是 E 和 K 这两行。E 有 6 年经验，比 C、F、H 都长，却因为【只在一个领域】被卡住；K 差 0.1 年，也就是差一个多月的工时。这两行说明同一件事：这类门槛是【与条件】不是【加权总分】——两个条件必须同时满足，单项再强也补不上另一项。
• C 和 L 这两行展示了【学位减免】：同样 4 到 5 年经验，有学位就能减 1 年。这条规则的实际含义是：教育背景被当成一种【经验的替代证明】——它假定系统学习能补上部分实战年限。
• 第 3 行的 D 和 I 都是 4.0 年，看起来最接近，但它们不是最难办的——真正难的是 E：6 年的经验已经很长，要补的却是【换一个领域重新积累】，这不是靠时间能解决的，是要换工作内容。 这条洞察可以推广到很多资格考试：凡是【与条件】的门槛，短板决定一切；凡是【加权分】的门槛，长板可以拉分。 看规则时先分清是哪一种，再决定补哪里。

三、日本的人才缺口

这张表里最值得注意的是最后两行：

一边是缺口 17 万人以上、目标是五年翻一倍，另一边是考试制度本身正在改（先是考试方式，后是科目体系）。 【现在去考，考的是一套正在改的规则】——这是 2026 年报考的人要接受的前提。

把这个缺口和 7-12 的战略放在一起看，会发现一件有意思的事：国家的战略方向（主动防御、韧性、人才与技术生态）每一根柱子都需要人来执行——而缺口是 17 万人以上，现有注册支援士只有约 2.4 万人。 这个比例说明了为什么【人才培养】被单独列为一个战略方向：它不是辅助措施，它是瓶颈。

对个人来说，这个缺口提供的是一条判断依据：在一个供给紧张且被写进国家战略的领域里，资质的价值不取决于它的难度，取决于【市场认不认】。 判断方法可以回到 7-4 那条经验：翻一翻你目标岗位的招聘要求，看里面写的是哪一张纸——写出来的才有用。

四、⚠️ 2026 现状

• 【考试制度正在被重编，这是最需要留意的一点】。 2026 年度起支援士考试 CBT 化（前期 2026-11、后期 2027-02），2027 年度起高度试验与支援士试验的体系本身要调整——也就是说，考试方式变了，科目体系也要变。对报考者的实际影响有两条：一是备考资料要与最新出题范围对齐；二是【考过之后制度还会改】，所以持续学习的机制（CPE）反而更重要。
• 【支援士与 CISSP 的维持成本是它们价值的来源，也是最容易被忽略的门槛】。 支援士每年要交 CPE 并参加讲习；CISSP 要求 3 年 120 个 CPE 加年费。这类要求的设计意图很明确：防止【考完就忘】。但实务中它带来一个现实问题：如果你不在一线工作，凑不齐 CPE 就是一件难事——所以这些资质更适合【持续从事相关工作的人】，而不是【为了简历考一张纸的人】。
• 【三种资质的组合，正在变成日本企业的标准配置】。 一个常见的人员结构是：管理层持 SG（懂流程与制度，对应 7-4 那套体系要求）、技术骨干持支援士（能落地技术与响应）、对外的顾问或架构师持 CISSP（国际认可）。 三层各管一段的特点，正好覆盖了一个组织需要的三种能力：制度、技术、对外信任。 这也给出了一个实用的选证方法：先看你在组织里负责哪一段，再选对应的证书——而不是看哪个听起来更厉害。
• 【这一章的收尾：资质是这套法律体系的最后一个环节】。 回头看整章的逻辑链条：法律规定了行为的边界（7-1 到 7-11）→ 国家战略决定了方向与投入（7-12）→ 资质决定了有没有人能把这件事做出来（本篇）。三个环节缺任何一个，其他两个都会空转：只有法律没有人才，规则落不了地；只有人才没有法律，工作没有依据。 这也解释了为什么安全从业者的岗位描述里，往往同时出现【熟悉个人信息保护法】【了解政府战略方向】【持有 XX 资质】这三类要求。 学完这一章，这三类要求背后的东西，你已经都见过了。

30 秒实验

今天做两个动作，各 15 秒：

1. 打开一个招聘网站，搜【网络安全工程师】，看岗位要求里写了哪些证书。 写出来的那些就是市场认的——没写的，再难也没用。
2. 再看一眼要求里的年限和领域描述。 这就是 CISSP 那个【5 年＋2 个域】门槛的现实版本——招聘要的不是【干过多久】，是【在哪几个方向上干过】。

这一节要带走的一句是：资质是别人在没有渠道了解你时，所能使用的最低成本的判断依据——它的价值不在难度，在认可度与维持成本。

常见误区

1. 错误：证书越难考越值钱，所以直接冲 CISSP。——纠正：值不值钱取决于【谁认】，不取决于【多难考】。具体说，三种资质面向的受众完全不同：SG 面向企业内部的管理与实务岗位；支援士面向日本国内的专家与顾问岗位；CISSP 面向跨国企业与国际项目。所以正确的顺序是：先确定你要进入的市场（国内企业、国际厂商、咨询公司），再看那个市场的招聘要求写的是什么。 一个实用的判断方法：看招聘启事里写的是【持证优先】还是【必须具备】——后者才是真的门槛。
2. 错误：考过就完了，资质是【一劳永逸】的。——纠正：支援士和 CISSP 都是维持制：支援士 5 年更新、要交 CPE 和参加讲习；CISSP 3 年一个周期、要求 120 个 CPE 加年费。这类制度的设计意图不是收钱，是逼从业者持续在一线。反过来说，它也筛掉了两类人：离开一线的人（凑不齐 CPE）和只想拿证装点简历的人。如果打算考这一类证书，先问自己一句：未来三到五年，我还会做这个方向的工作吗——答不出就是，那这张纸的收益会很低。
3. 错误：有经验就不需要证书。——纠正：经验解决的是【能力问题】，证书解决的是【信任问题】。对内部同事，你的经验可以通过共事被观察到；但对客户、对采购方、对没有共事过的人，证书是成本最低的判断依据（这正是 7-4 讲的【降低别人判断你的成本】）。所以更准确的说法是：如果你在同一个组织里工作很久、不需要对外证明自己，证书的边际价值低；如果你要换环境、接外部项目，它的价值就很高。
4. 错误：日本人才缺口 17 万人，所以安全岗位很好找。——纠正：缺口说明的是【需求大】，不等于【你能匹配上】。从数字上看，缺口 17~19 万人而注册支援士约 2.4 万人——这个悬殊说明市场急需的不是【持证的人】，是【能干活的人】。而且缺口集中在具体岗位上：安全运维、事件响应、云安全、OT 安全，而不是【泛泛的安全】。所以正确的读法是：把它当成一个方向信号，然后去问那个方向的具体要求是什么——这也是本章反复出现的那个方法：任何宏观数字，都要落到具体的岗位描述上才算数。

• ☑ 第七章 与安全相关的法律和制度 —— 已完结（7-1 ~ 7-13 共 13 篇）—— 规则（法律）→ 方向（战略）→ 能力（资质），三环齐备
• ☑ 全书完结 —— 《网络与信息安全》7 章 96 篇已全部读完 🎉

相关笔记

• 个人信息管理体制的认证制度 —— 组织的认证：同一逻辑的另一面
• 日本政府制定的安全战略和理念 —— 上一篇：战略最终要落到人身上
• 个人信息的管理 —— 本章开篇：法律界定行为的边界
• 最后一道防线是【人】 —— 人与制度的关系，本章的最后落点
• 🛡️ 网络与信息安全 · 索引 —— 全课路线图