职业道德与行为准则（Ethics & Codes of Conduct）

来源：Chapter 19 · Ethics 域：Domain 8 Security and Risk Management（安全与风险管理）模板：原书定义+对比表 / 真实案例 / 考试怎么考

① 一句话秒懂

安全从业者手握巨大信任，道德准则（ethics）不是法律，而是 profession 的最低行为底线——尤其 (ISC)² 的四条准则，CISSP 考生必须签署并遵守。

核心区分：Ethics（道德/伦理）≠ Law（法律）。道德是”应有的行为标准”，法律是”强制的底线”。准则不是法，但是 CISSP 持证的条件。

(ISC)² 职业道德四大准则（Canons）——必背：

编号	准则	中文要义
I	Protect society, the common good, necessary public trust and confidence, and the infrastructure	保护社会、公共利益、公众信任与基础设施
II	Act honorably, honestly, justly, responsibly, and legally	诚实、公正、负责、合法地行事
III	Provide diligent and competent service to principals	向委托人提供勤勉、胜任的服务
IV	Advance and protect the profession	推进并保护本职业

投诉资格（Standing）按准则区分：

其他重要伦理框架（考试常考出处）：

框架	出处/机构	性质
RFC 1087 “Ethics and the Internet”	IAB（1989）	列出”不道德”行为清单（未经授权访问、破坏使用、浪费资源、破坏信息完整、泄露隐私）
Ten Commandments of Computer Ethics	Computer Ethics Institute	计算机伦理”十诫”（勿用计算机害人、勿偷、勿作伪证等）

四条准则像”医生希波克拉底誓言”：先保护大众（I）、诚实负责（II）、对病人尽责（III）、推动医学进步（IV）。违背任何一条，执照（认证）可能被吊销。

(ISC)² 投诉与制裁：会员若被认定违反准则，投诉须为书面宣誓书（sworn affidavit），(ISC)² 正式调查，最重可撤销认证（revocation of certification）。这体现”准则虽非法律，但有强制力后果”。
美国政府服务道德准则（Code of Ethics for Government Service, 1980）：写入联邦法律，要求”将忠诚置于最高道德原则与国家之上”“揭露腐败”——是组织道德准则的范本。

组织道德准则（Organizational Code of Ethics）：几乎每家企业都有，多为高层级指导，辅以具体政策。如美国政府的服务道德准则。

Preamble（序言）核心句：”社会安全与公共利益、对委托人的责任、彼此的责任，要求我们坚持最高道德标准。严格遵守本准则是认证的条件。”——CISSP 考生须访问 isc2.org/Ethics 通读全文并签署同意。

道德 vs 法律 vs 政策：

维度	Ethics	Law	Policy
强制力	行业自律	国家强制	组织内部
违反后果	撤销认证	刑罚/赔偿	纪律处分
范围	最低专业标准	行为底线	具体操作规定

题干：”Which (ISC)² canon requires protecting society and the common good?” → 答 Canon I。混淆：Canon II 是诚实合法行事。
题干：”Who may file a complaint under Canon III?” → 答 Employer or contracting party。混淆：Canon I/II 任何公众可提。
题干：”RFC 1087 is significant because…” → 答 it is the root of most codes of ethics / lists unethical Internet activities。混淆：它不是法律，是 IAB 政策声明。
题干：”Ethics are: laws / minimum standards / policies?” → 答 minimum standards for professional behavior（非法律）。