閱讀提示：CISSP認(rèn)證是目前世界上最權(quán)威、最全面的國(guó)際化信息系統(tǒng)安全方面的認(rèn)證。CISSP認(rèn)證已成為IT行業(yè)的十大資質(zhì)認(rèn)證之一。
信息系統(tǒng)安全專業(yè)人員CISSP資格認(rèn)證
CISSP簡(jiǎn)介
CISSP認(rèn)證是目前世界上最權(quán)威、最全面的國(guó)際化信息系統(tǒng)安全方面的認(rèn)證。CISSP認(rèn)證已成為IT行業(yè)的十大資質(zhì)認(rèn)證之一。目前，全球已經(jīng)有13000多人通過(guò)CISSP 專業(yè)認(rèn)證，其中亞洲區(qū)有3000多人，覆蓋60多個(gè)國(guó)家和地區(qū)，其權(quán)威性得到了國(guó)際上企業(yè)、金融、學(xué)術(shù)、政府等多個(gè)行業(yè)的認(rèn)可。在香港，政府部門、金融機(jī)構(gòu)等已明確規(guī)定了他們的信息系統(tǒng)安全從業(yè)人員主管級(jí)以上的必須獲得CISSP專業(yè)資格認(rèn)證，目前香港已擁有800多名CISSP，而且參加考試的人士還在不斷呈上升的趨勢(shì)，而中國(guó)目前只有30多名，遠(yuǎn)遠(yuǎn)不能滿足實(shí)際需求，CISSP 目前是中國(guó)緊缺之才，前景美好。
隨著全球性信息化的深入發(fā)展，信息網(wǎng)絡(luò)技術(shù)已廣泛應(yīng)用到企業(yè)商務(wù)系統(tǒng)、金融業(yè)務(wù)系統(tǒng)、政府部門信息系統(tǒng)等，由于Internet具有開放性、國(guó)際性和自由性等特點(diǎn)，因此為保護(hù)機(jī)密信息不受黑客和間諜的入侵及破壞，各系統(tǒng)對(duì)網(wǎng)絡(luò)安全的問題日益重視，在此方面的投資比例亦日趨增大。為此，建立一套統(tǒng)一的標(biāo)準(zhǔn)，培養(yǎng)合格的信息安全專業(yè)人員來(lái)應(yīng)付網(wǎng)絡(luò)安全的需要顯得尤為迫切。 CISSP（Certified Information Systems Security Professional，信息系統(tǒng)安全專業(yè)人員資格認(rèn)證）正是為了滿足此方面的需求發(fā)展而來(lái)，并在信息系統(tǒng)安全領(lǐng)域發(fā)揮了極為重要的作用。CISSP由國(guó)際信息系統(tǒng)安全認(rèn)證協(xié)會(huì)(ISC)2組織和管理，(ISC)2在全世界各地舉辦考試，符合考試資格的人員在通過(guò)考試后被授予CISSP認(rèn)證證書。
CISSP可以證明證書持有者具備了符合國(guó)際標(biāo)準(zhǔn)要求的信息安全知識(shí)水平和經(jīng)驗(yàn)?zāi)芰?，提升其專業(yè)可信度，并為企業(yè)和組織提供尋找專業(yè)人員的憑證依據(jù)，目前已經(jīng)得到了全世界廣泛的認(rèn)可，在很多跨國(guó)公司的職位說(shuō)明書上已經(jīng)明確要求應(yīng)聘者需要具備CISSP等相關(guān)資質(zhì)。
（ISC）2機(jī)構(gòu)簡(jiǎn)介
國(guó)際信息系統(tǒng)安全認(rèn)證協(xié)會(huì)（International Information Systems Security Certification Consortium），簡(jiǎn)稱(ISC)2 ，于一九八九年由多個(gè)組織在北美共同設(shè)立，是一個(gè)全球性的非營(yíng)利組織，其成立的宗旨是為信息安全行業(yè)發(fā)展出一套業(yè)界承認(rèn)的標(biāo)準(zhǔn)，并致力于國(guó)際標(biāo)準(zhǔn)的信息安全專家和從業(yè)人員認(rèn)證和培訓(xùn)，
◆維護(hù)一個(gè)關(guān)于信息安全的公共知識(shí)體系（Common Body of Knowledge）
◆依照一套國(guó)際性的信息安全標(biāo)準(zhǔn)來(lái)認(rèn)證安全專家（CISSP）和從業(yè)者（SSCP）
◆ 管理培訓(xùn)和認(rèn)證考試，并通過(guò)持續(xù)教育來(lái)確保證書的實(shí)效性目前(ISC)2頒發(fā)的證書有兩種：
◆CISSP（Certified Information Systems Security Professional）SSCP（System Security Certified Practitioner）
◆(ISC)2于1995年在加拿大多倫市多舉辦第一次公開CISSP考試，截至2002年12月底全球有60多個(gè)國(guó)家的13,397人獲得了CISSP證書。
(ISC)2 網(wǎng)址： http://www.isc2.org
CISSP考試
CISSP認(rèn)證要求信息系統(tǒng)安全從業(yè)人員對(duì)安全事項(xiàng)有廣泛的認(rèn)識(shí)。根據(jù)信息系統(tǒng)安全的共通知識(shí)CBK（Common Body of Knowledge），制訂CISSP資格考試。
CBK是一門國(guó)際性的專業(yè)知識(shí)，由十個(gè)領(lǐng)域組成：
◆ 安全管理實(shí)務(wù)(Security Management Practices)
◆ 訪問控制(Access Control Systems)
◆通信和網(wǎng)絡(luò)安全(Telecommunications and Network Security)
◆ 密碼學(xué)(Cryptography)
◆ 安全體系和模型(Security Architecture and Models)
◆運(yùn)作安全(Operations Security)
◆ 應(yīng)用程序與系統(tǒng)開發(fā)(Applications and Systems Development)
◆ 業(yè)務(wù)連續(xù)性計(jì)劃與災(zāi)難恢復(fù) (Business Continuity Planning and Disaster Recovery Planning)
◆ 法律、犯罪調(diào)查及道德規(guī)范(Law ,Investigations ,and Ethics)
◆物理安全(Physical Security)
CISSP考試的內(nèi)容覆蓋CBK的10個(gè)專業(yè)范疇，題目的范圍很廣但深度并不深。對(duì)于從事具體工作的專業(yè)人士，非常深入的掌握所有CBK覆蓋的知識(shí)是不現(xiàn)實(shí)的，并不要求考生是每個(gè)安全領(lǐng)域經(jīng)驗(yàn)豐富的專家，但應(yīng)該對(duì)信息安全所覆蓋的各個(gè)不同的知識(shí)點(diǎn)都必須了解。根據(jù)筆者的經(jīng)驗(yàn)，CISSP考試對(duì)物理安全、法律和密碼學(xué)部分不會(huì)出現(xiàn)非常深入的題目。
CISSP的考試由250道單項(xiàng)選擇題構(gòu)成，目前只有英文試題，需要在6個(gè)小時(shí)內(nèi)（上午9時(shí)至下午3時(shí)）完成，一般來(lái)說(shuō)沒有時(shí)間壓力。題目來(lái)自(ISC)2的題庫(kù)，每次考試題目都會(huì)有所變化，根據(jù)筆者的經(jīng)驗(yàn)，每次考試的題目都會(huì)有所側(cè)重當(dāng)前的安全熱點(diǎn)問題。在250道題目中只有225道題目計(jì)分，其余的25道題目是用于調(diào)查的目的，但這些題目并不明確的標(biāo)注出來(lái)。通過(guò)成績(jī)一般是答對(duì)計(jì)分的225題中的70%。
考試的題型比較簡(jiǎn)介，縮寫形式都會(huì)有注明，題目的設(shè)置是與廠商或操作系統(tǒng)無(wú)關(guān)的，不會(huì)出現(xiàn)基于某種具體應(yīng)用（如Windows或UNIX）的問題。由于參加考試的前提是考生至少具備3年的工作經(jīng)驗(yàn)，所以考試題目重視的是考核考生是否具備專業(yè)的實(shí)際經(jīng)驗(yàn)。雖然書面知識(shí)對(duì)于理解理論、概念、標(biāo)準(zhǔn)和法規(guī)等非常重要，但不能取代處理實(shí)際問題的能力。
CISSP考試的最大挑戰(zhàn)就在于每個(gè)考生并非對(duì)于安全的10個(gè)范疇都熟悉。比如一個(gè)考生可能對(duì)安全測(cè)試和攻擊手法非常精通，但他不一定熟悉物理安全、密碼學(xué)或安全管理。為迎接考試而準(zhǔn)備的學(xué)習(xí)，非常有助于拓展考生的安全知識(shí)領(lǐng)域。
CISSP考試資格
1、簽署及遵守(ISC)2的道德規(guī)范（Code of Ethics）
2、在CBK的10個(gè)領(lǐng)域中的一個(gè)或以上最少具備三年經(jīng)驗(yàn)
為保持其資格，CISSP持有人須每三年獲取120個(gè)持續(xù)專業(yè)教育（Continuing Professional Education）的學(xué)分, 或者重新參加考試。
考試、報(bào)名日程
由各授權(quán)考試中心計(jì)劃，向ISC2申請(qǐng)安排，基本上每年舉行5次。
CISSP CBK培訓(xùn)
CISSP CBK培訓(xùn)為業(yè)界最理想的CISSP考試輔導(dǎo)課程，課程是為期5天的密集式課程，涵蓋CBK的十個(gè)領(lǐng)域，每個(gè)范圍都設(shè)計(jì)信息安全的若干方面。培訓(xùn)教材根據(jù)信息安全專業(yè)的實(shí)踐制定，其中包括妥善的運(yùn)作實(shí)務(wù)及國(guó)際考慮因素。
認(rèn)證培訓(xùn)對(duì)象：
◆企業(yè)信息安全主管
◆信息安全業(yè)內(nèi)人士
◆IT或安全顧問人員
◆IT審計(jì)人員
◆安全設(shè)備廠商或服務(wù)提供商
◆信息安全類講師或培訓(xùn)人員
◆ 信息安全事件調(diào)查人員
一、CISSP 考試內(nèi)容
CISSP 的考試題目為250 題單項(xiàng)選擇題，均為英文試題，所有考題必須在6 小時(shí)之內(nèi)作答完畢，其范圍都與信息安全有關(guān)，包含信息安全管理、訪問控制、通信及網(wǎng)絡(luò)安全、計(jì)算機(jī)運(yùn)作安全、密碼學(xué)、應(yīng)用程序及 系統(tǒng)開發(fā)、信息安全架構(gòu)及模型、物理安全以及業(yè)務(wù)連續(xù)性規(guī)劃和災(zāi)難恢復(fù)、道德法律等共有十個(gè)領(lǐng)域(Domain)的專業(yè)知識(shí)。
二、學(xué)習(xí)考試總結(jié)
1.準(zhǔn)備
首先要花一些銀子購(gòu)買書籍、到網(wǎng)絡(luò)上搜集各種資源，包括訂閱郵件列表，到一些CISSP交流網(wǎng)站注冊(cè)用戶。CISSP考試是英文 考試，你的英語(yǔ)能力必須過(guò)關(guān)，不然會(huì)很痛苦（如果CISSP改成中文考試，我想通過(guò)的人會(huì)更多），不要寄希望考試時(shí)查字典。但是 參考書無(wú)所謂，只要對(duì)知識(shí)的描述沒有錯(cuò)誤，一些關(guān)鍵的地方最好還是參考英文描述。
制定學(xué)習(xí)計(jì)劃，重在堅(jiān)持。每個(gè)人從業(yè)和擅長(zhǎng)的領(lǐng)域不同，不熟悉的領(lǐng)域可以多花些時(shí)間。一般安全管理和加密方面的題目最難，考試中 的比例也不小。道德法律方面的題目一般很直觀，不要花時(shí)間去研究美國(guó)的法律。
我參考了《CISSP認(rèn)證考試指南》、《CISSP All in One》、《Handbook of Information Security Management》和《The CISSP Prep Guide》。CISSP認(rèn)證考試指南是colobaby翻譯的，比較直觀易懂，但是上面的知識(shí)組織形式還不錯(cuò)，可以先看看這本書，了解一下CISSP的十個(gè)領(lǐng)域。All in One里面的知識(shí)比較豐富，但很多考試用不上，不過(guò)還是全文通讀一下比較好，我看了兩遍。Prep Guide里面完全覆蓋ISC2的CBK（Common Body of Knowledge）知識(shí)點(diǎn)，比起ALL in One精煉很多，是一本很好的復(fù)習(xí)資料。Handbook of Information Security Management是一本關(guān)于信息安全管理方面的書，對(duì)CISSP的考試沒有針對(duì)性的幫助，但對(duì)于理解信息安全方面的一些知識(shí) 很有幫助，如果有時(shí)間，看看這邊書將獲益非淺。
有一本小冊(cè)子，叫做CISSP Exam Cram Book,很精練，可以用于臨陣磨槍，發(fā)現(xiàn)復(fù)習(xí)的遺漏點(diǎn)。
CISSP考的是廣泛的安全領(lǐng)域的知識(shí)，不可能有那一兩本書可以完全覆蓋。除了購(gòu)買考試書籍之外，對(duì)信息技術(shù)各個(gè)領(lǐng)域的知識(shí)獲取 對(duì)豐富知識(shí)面是很重要的。通過(guò)平時(shí)的工作實(shí)踐、閱讀各種安全雜志、郵件列表，或者通過(guò)網(wǎng)絡(luò)途徑與已經(jīng)獲得認(rèn)證的人的交流都是很重 要的。如果有信息安全方面兩年以上的工作經(jīng)驗(yàn)，我覺得準(zhǔn)備一到兩個(gè)月就差不多了。我實(shí)際準(zhǔn)備了兩周不到（呆在家看書，中間出了一 趟差）。
2.學(xué)習(xí)
CISSP考試不存在僥幸，如此大的題量不允許任何的投機(jī)，雖然有些題不算分，但期望你不會(huì)的題都是不算分的題也有點(diǎn)夸張。不過(guò) 有計(jì)劃地刻苦學(xué)習(xí)，加上端正的態(tài)度和扎實(shí)的基礎(chǔ)，還是有可能在短時(shí)間內(nèi)取得很好的效果。
技術(shù)方面的知識(shí)沒有什么好說(shuō)的，有清晰的概念就可以了，要注意增加一些近期新技術(shù)方面的知識(shí)。但是安全管理方面的題目就不只是概 念的問題了，這種題目有一定的靈活性，有的是場(chǎng)景題。
自己不擅長(zhǎng)的領(lǐng)域一定要多用時(shí)間，弄清楚關(guān)鍵概念，要勤翻書，勤查資料。幾種資料在一起對(duì)比著學(xué)習(xí)，可以加深理解。但有的問題可 能幾種資料說(shuō)法不一，需要請(qǐng)教有經(jīng)驗(yàn)的同事或者專家。一定要在考試之前確保沒有遺漏，因此執(zhí)行計(jì)劃是最重要的。
3.練習(xí)和模擬考試
CISSP的考試書籍往往會(huì)有一定的練習(xí)題，不過(guò)這些練習(xí)一般是根據(jù)書籍本身而定的。在剛讀完一個(gè)Domain后，做這一章的練 習(xí)就會(huì)覺得太簡(jiǎn)單。All in One的題目太少而且簡(jiǎn)單，Prep Guide的題目難度適中，Boson的考試模擬機(jī)還不錯(cuò)，可以用來(lái)檢驗(yàn)一下準(zhǔn)備的情況，我用的是5.3的版本，有三套題，第一 套是完全針對(duì)All in One里的知識(shí)點(diǎn)，做一邊等于復(fù)習(xí)一下，第二套是參考Handbook of Information Security Management做的考題，如果沒看過(guò)這本書，你會(huì)信心大減（準(zhǔn)確率會(huì)比較低），不過(guò)沒關(guān)系，通過(guò)這套題你可以學(xué)到一些知識(shí) ，第三套題是參考其它資料，主要就是Prep Guide。做完BOSON的題，應(yīng)該對(duì)鞏固CBK的知識(shí)點(diǎn)很有幫助，但大家不要希望在考試中會(huì)有類似題目，實(shí)際考試中，直接考 察知識(shí)點(diǎn)的題很少，大多是要你理解概念，需要你分析情況得出最好的答案。
4.考試
考試前的報(bào)名準(zhǔn)備工作要提前進(jìn)行，包括正確充分的報(bào)名材料。收到確認(rèn)函后，到考試地點(diǎn)的交通和住宿，一定不要出錯(cuò)。如果通過(guò)考試 ，確認(rèn)函上面的ID就是你的CISSP證書ID。
六個(gè)小時(shí)筆試考試比較辛苦，一定要做好充分的準(zhǔn)備，可以帶一本英漢字典（不能是電子的）。
考試答題卡的填寫一定不要自己隨意填，在監(jiān)考人員的指導(dǎo)下進(jìn)行，時(shí)間足夠的：）
所有的題目均為單選，選擇最恰當(dāng)?shù)拇鸢浮?/p>
考試中的技巧自不多言，根據(jù)自己的習(xí)慣和實(shí)際情況。
5.等待
等待考試結(jié)果和CISSP證書的到來(lái)。
CISSP考試總分1000分，700分通過(guò)，但老外的計(jì)分標(biāo)準(zhǔn)和中國(guó)不太一樣，考過(guò)托福就能理解。而且考試時(shí)有四套題，根據(jù)難 度，計(jì)分標(biāo)準(zhǔn)也不一樣。如果考試結(jié)束后收到的郵件里告訴你考試的分?jǐn)?shù)，那就需要再考一次了：（。
這次考試結(jié)果出來(lái)非?？?，我在4月7日就收到了郵件。一般結(jié)果會(huì)在3周內(nèi)給出，如果到時(shí)沒有收到，可以去ISC2問詢。收到郵件 后，需要找一位CISSP進(jìn)行推薦，然后ISC2會(huì)寄給你證書。
附：參考資料
書籍：
CISSP Exam Cram Book
Handbook of Information Security Management
The CISSP Prep Guide
網(wǎng)站：
rr.sans.org
聯(lián)系客服
