原文来自本人公众号文章：CISSP考试心得

CISSP考试通过了。

比较惭愧的是，这门考试考了两次，第一次是今年5月份，当时疫情严重，听说很多考试都取消，报名发现只有5月份最后一次，立马报名。我看的是CISSP All In One，也就是大家据说的AIO，当时只是看了一半，硬着头皮去考，后面章节基本上只看快速提示，挂了，挂在第一章和第七章，第六章基本合格，审计方面较弱，其它章节都没问题。原因是第一章和第七章的BCP这些东西不熟悉。到七月份才发现11月份又可以报名了，开始重新准备。这次是看时把重点摘抄出来做笔记，用一个半月基本看完和整理完笔记。这次过了。

从这两次考试试题来看，貌似试题是无章可循，两次试题大部分不同，甚至相同的题有不同的答案选项（第二次我们三人考之后，讨论起来发现的）。其实整个考试还是有章可循的。

从范围来看，考试基本集中在信息安全，也就是说，

1. 像物理安全基本不会考，除了救火（BCP要求）和机房管控（纵深防御要求）。
2. 管理安全一般只集中政策，公司内部的安全政策，主要是强调安全必须要获得管理层的支持，至于法律之类，不会考。
3. 重点是考逻辑安全，逻辑安全主要是强调资产安全。

从线索来看，以AIO为样本，考试是有主线的：

1. 安全是成本部门，需要了解识别资产，业务风险，评估风险和分析风险，选择保护措施，把这些换算为成本，得到管理层支持，建立各种安全策略和措施。这就是第一章的后半章内容，也是需要花时间来记熟的，很多情景题都是基于这出，考试时基本上最优选项都是在熟悉这块才选得中。前半章都是概念，只是理解，情景题基本没出现过，只是版权，商业秘密，专利这些也属于公司资产的才会有一两题。
2. 安全主要是保护资产，数据是资产，要对数据周期熟悉，要了解数据保护DLP，数据归档保护和数据销毁，如果出了问题，需要电子取证。这是第二章的内容。
3. 在确保数据之后，就需要安全防护，那么就需要纵深防御，就要建立安全模型和评估防护系统。这是第三章前半部分。
4. 建立纵深防御，重要是访问控制，而且逐渐云化，就会需要了解各种主体共享身份标识和权限的知识。这是第五章内容。
5. 在访问控制再具体化，就是数据在使用和归档状态下，需要加密。就要了解各种加密方法（只要了解应用场景）和各种加密框架机制，这是第三章后半章内容，数据在传输过程中如何加密，主要是集中在办公网，如wifi，网络应用的加密。这是第四章部分内容。
6. 有时候需要面对审计，这是第六章内容了。
7. 如果出了事，怎么应急响应和BCP，怎么电子取证，证明事情经过。这是第七章内容了。
8. 在建立纵深防御后，妥善部署防护措施，就需要熟悉各种攻击方法，这是所有章节提到的攻击

在主线外的内容基本没有考的：

1. 法律，每个国家都不同。所以不会考的
2. 操作系统，CPU架构，CPTED之类不会考。
3. 各种网络协议，IOT，无线网络，城域网，广域网，通信方式不会考。而且这些知识已经非常落后了，只是美国标准。
4. 物理访问控制不会考
5. 测试方法不会考
6. 物理安全不会考，人员安全不会考
7. 第八章除了配置管理，攻击方式要记得，其它都不会怎么考。这一章，第一次考，我只看快速提示，竟然是考得最好的一章。

个人看的书是全英的，之前看了一下第七版的中文版，看了两天还是看回英文。因为中文翻译得太烂了，比直接google翻译还要烂。英文是看得慢，但摘抄成笔记后，却是很容易列重点。我在大学里看过中文技术书，基本都是看不下。阻碍中国信息技术发展就是这些译著，编著的书，养活了一堆大学里的蛆虫。而且个人还是建议重要章节要看一下英文。因为考试试题翻译更烂，MD5竟然写成“消息摘要-5”。不是看英文，真的反应不过来。这只是其中一个。

那么刷题有没有用呢？我们三人去考，另外两人刷题，我只是做书中习题。他们考完都说刷题没什么用，要不是工作这么多年，这些东西日常操作多，都凶多吉少。我做书中习题，感觉考试还是比书中习题要难，而且书中习题已经过时了，甚至有些是错误的。

同时，祝备考的同学都考过。个人公众号会放上CISSP笔记，希望有需要的同学请关注我的公众号和转发。谢谢！