CISSP—注册信息系统安全专家

CISSP概述

 
CISSP是一种反映信息系统安全专业人员水平的证书,可以证明证书持有者具备了符合国际标准要求的信息安全知识和经验能力,已经得到了全球范围的广泛认可。
CISSP认证考试由 (ISC)² 组织与管理,参加CISSP认证的人员需要遵守CISSP 道德规范(Code of Ethics),同时要有在信息系统安全通用知识框架(CBK)的十个领域之中拥有最少2个范围的专业经验5年;或者4年的有关专业经验及拥有学士资格或ISC2认可的证书。此外,CISSP应考者还需要得到另外一位持有有效ISC2认证的专业人士推荐确认(Endorsement)。有效的推荐人指任何持有CISSP、SSCP及CAP的专业人士。

       CISSP认证是国际上最权威、最受认可的信息安全认证,它同时也是信息安全领域第一个通过 ISO/IEC 17024 标准的认证。CISSP主要的认证对象为在企业处于中高层:CISO(ChiefInformationSecurityOfficer)、CSO(ChiefSecurityOfficer)或高级安全工程师的信息安全专家。

认证条件

 
想要通过CISSP认证考试,必须具备以下几个条件:
1、遵守(ISC)²的规章制度。
2、在信息系统安全CBK(Common Body of Knowledge)规定的8个考试领域中最少2个范围的专业经验5年。
3、每3年需要重新认证,需要你在3年内获得120个Continuing Professional Education (CPE)信用分。
只有具备了以上三个条件,你才能有资格参加CISSP的认证考试,是不是很苛刻呢?但门槛越高,意味着你将获得的能力也越高,付出和收获总是成正比的。
另外,从2002年6月1日起,(ISC)²把取得CISSP的过程划分为两个步骤:认证和考试。通过考试之后,还必须取得第三方的认可才可以最终获得CISSP证书,第三方可以是参考者的雇主、或者是其他已获得认证的专业人士。这一举措增加了获得CISSP的难度,但也更明确了CISSP和其他安全认证的区别,保持了CISSP的权威性。

报考要求

 
报考者必须具备至少五年的工作经验,拥有大学本科学历,需要四年工作经验,研究生学历仍需四年工作经验。工作经验应为CBK规定的8个知识域中的2个或多个范畴
签署并承诺遵守(ISC)²制定的职业守则(Code of Ethics)
支付699美元的报考费用,确定报考地点,参加长达6小时的CISSP考试

职业守则

 
(ISC)²要求每个考生在报考时签署并承诺遵守(ISC)²以下的职业守则,若违背守则,(ISC)²有权收回
CISSP资质:.保护社会、全体国民和国家基础设施(Protectsociety,thecommonwealth,andtheinfrastructure)
诚实、正直、公正、合理和合法的行为(Acthonorably,honestly,justly,responsibly,and legally)
对雇主提供勤勉和胜任的服务(Providediligentandcompetentservicetoprincipals)
发展和维护专家身份和荣誉(Advanceandprotecttheprofession)对于职业守则的理解,请参阅《信息安全专业人员职业守则导读》

认证优势

 
信息安全是一个相对的概念,在安全威胁很低的情况下,安全专家通常是被人们所遗忘的对象。但随着信息技术的发展,当年只有精通系统和网络底层,推动技术进步的高手才能被称为黑客,随便一个会用网络的再随便找些入侵工具也自称为黑客,技术门槛的降低和对技术的追求转化为对金钱的追逐——越来越多的入侵事件、恶意软件的传播、还有时不时出现在媒体上的高智商犯罪等就是这些所谓“后起之秀”的杰作。
面对越来越严重的安全威胁,不单在IT技术领域,在各行业的企业组织都越来越意识到信息安全的重要性,但单纯依靠技术方案来并不能解决如何保护企业信息资产的问题,所以市场对专业的信息安全人才的需求也在随之大大增加。而CISSP则可以证明持有者掌握国际公认的信息安全知识和标准、并拥有丰富的安全从业经验,保持CISSP认证的有效性还可以显示持有者对信息安全的发展和技术进步有很高的热情,并愿意为信息安全贡献自己的一份力量。此外,获得CISSP认证还有其他的好处,比如:
1、 适应市场中越来越热的对信息安全人才的需求
2、 增加对信息安全的知识和概念的理解
3、 为当前的工作增加信息安全的理念
4、 在日益激烈的职场竞争中增强自身优势
5、 在薪水增长和职务提升上更有优势
2004年(国内最早的CISSP之一)说起CISSP是国际上最权威的信息安全认证,CISSP其实是涵盖了信息安全的各个方面,着重突出了信息安全是由技术和管理构成的整体这一观点,不单巩固了和自己工作相关的Access Control、Operation Security 和Telecommunication & Network Security 三个CBK的知识,同时好好的补充了其他七个CBK的知识,也对CISSP认证所强调的整体安全和管理高于技术两个观点有了深刻的体会。学习CISSP,本身就是一个对学习者安全知识体系进行完善的过程。

从事职业

 
国外的情况,以美国为例,刚拿到CISSP认证的人,在企业中大多从事安全管理员、安全产品的开发或安全服务的具体执行工作,头衔一般就是Security Administrator、Security Analyst或Security Engineer。随着工作经验的增加,CISSP会渐渐脱离具体的技术工作,转而从事更偏重管理、处于企业中层的工作,比如安全产品开发团队或安全服务团队的领导、安全咨询、安全培训讲师和安全部门经理等,头衔则变为Senior Security Analyst/Engineer、Security Team Leader、Security Consultant、Security Manager等。最后, CISSP会进入企业管理高层,管理整个企业的信息安全或IT,头衔则变为Director of IT/Security department、Chief Security Officer或Chief Information Security Officer。
国内的情况稍有不同,除了少部分CISSP做的是安全产品/服务的售前/售后和安全工程师外,有相当一部分CISSP是从事安全咨询、培训方面的工作,更多的是处于企业中高层管理的位置,读者如果有兴趣了解更详细的情况的话,可以从(ISC)2官方站点上的Member Directory功能中查询。
最后说说大家最感兴趣的CISSP薪水问题,在此就借用(ISC)² 2006年度的官方报告来说一下,CISSP薪水水平的分布成金字塔型,职务越高薪水越高,人数也越少。还是以美国为例,2006年CISSP的平均年收入为:
IT Administrator: $45000-$55000
Information Security Administrator:$75000
Security Analyst/Engineer:$80000
Manager, Information Security : $100000
CISO, CSO :$150000 及以上
另外,国内和国外相同的一点是,拿到CISSP认证之后通常待遇都会有所提升。

课程内容

 
2015年起CISSP认证的考核的CBK方向从原来的十个改为了八个,分别是:
· 安全与风险管理 (安全、风险、合规、法律、法规、业务连续性)
· 资产安全 (保护资产的安全性)
· 安全工程 (安全工程与管理)
· 通信与网络安全 (设计和保护网络安全 )
· 身份与访问管理 (访问控制和身份管理 )
· 安全评估与测试 (设计、执行和分析安全测试)
· 安全运营 (基本概念、调查、事件管理、灾难恢复)
· 软件开发安全 (理解、应用、和实施软件安全)
补充说明:
· 新版考试知识域的内容偏向于新威胁、新技术和法律法规;
· 知识域也从原来的信息安全知识的传递转向于具体的信息安全工作实践;
· 知识域新增了两个:资产安全、安全评估和测试(其他的领域做了整合,见附件);
· 考试过程中还是不会考具体某家厂商的技术和产品,但是会考国际标准(ISO27001、TCP/IP等)
· 新版考试的时间:英语从2014年4月15日开始,中文从2015年7月1日开始;

推荐资料

  • CISSP认证考试指南(第7版)
  • CISSP官方学习指南(第7版)
  • Official (ISC)2 Guide to the CISSP CBK