《CISSP完全认证手册(整理)参考》由会员分享，可在线阅读，更多相关《CISSP完全认证手册(整理)参考（8页珍藏版）》请在金锄头文库上搜索。
1、CISSP完全认证手册一、CISSP介绍 CISSP是（Certification forInformation System SecurityPro Fessional信息系统安全认证专家）的缩写，一种反映信息系统安全从业人员水平的证书，CISSP可以证明证书持有者具备了符合国际标准要求的信息安全知识和经验能力，目前已经得到了全世界广泛的认可，CISSP（Certified Information System Security Professional信息系统安全认证专业人员）是一种反映信息系统安全从业人员资质水平的证书，它可为从事信息安全领域工作的人士提高专业资历提供新的机会和更大便利。
2、CISSP认证考试由（ISC）2组织与管理，参加CISSP认证的人员需要遵守CISSP 道德规范（CodeofEthics），同时要有在信息系统安全通用知识框架（CBK）的十个领域之中的一个或一个以上领域中具有最少3年的直接工作经验。参考网址:http:/ http:/http:/二、CISSP认证机构（ISC）2介绍（ISC）2是信息安全领域的顶级认证机构之一，成立于1989年，到现在已经给超过120个国家的五万多名安全专家授予了相关认证。（ISC）2目前提供如下6种认证：SSCP（SystemSecurityCertificatedPractitioner）认证系统安全实践者CAP（Cer
3、tificationandAccreditationProfessional）认证和评估专家CISSP(CertificatedInformationSystemSecurityProfessional) 认证信息系统安全专家CISSP的升级版本CISSP-ISSAP(InformationSystemSecurityArchitectureProfessional) 信息系统安全架构专家CISSP-ISSMP（InformationSystemSecurityManagementProfessional）信息系统安全管理专家CISSP-ISSEP（InformationSystemSecur
4、ityEngineeringProfessional）信息系统安全工程专家（ISC）2同时也向公众提供信息安全方面的教育和咨询服务。（ISC）2提供的6种认证中，知名度最高和持有者人数最多的是CISSP。截至2007年4月底，全球共有48598名CISSP，其中人数最多的是美国，现有30385名，中国大陆有371名。因为CISSP的升级版本ISSAP和ISSMP要求考试的报名者必须是CISSP，而且有一定的相关领域工作经验要求，所以在国内除了香港18名台湾4名持有者之外，大陆还没有持有者。至于（ISC）2较为低端的SSCP和CAP认证，由于其定位和考核内容的原因，在国际上的接受程度不高，所以除
5、了美加两国外，其他国家的持有者都很少。CISSP认证是国际上最权威、最受认可的信息安全认证，它同时也是信息安全领域第一个通过ISO17024:2003标准的认证。CISSP主要的认证对象为在企业处于中高层:CISO(ChiefInformationSecurityOfficer)、CSO(ChiefSecurityOfficer)或高级安全工程师的信息安全专家。三、为什么要获的CISSP认证 信息安全是一个相对的概念，在安全威胁很低的情况下，安全专家通常是被人们所遗忘的对象。但随着信息技术的发展，当年只有精通系统和网络底层，推动技术进步的高手才能被称为黑客，现在随便一个会用网络的再随便找些入侵
6、工具也自称为黑客，技术门槛的降低和对技术的追求转化为对金钱的追逐越来越多的入侵事件、恶意软件的传播、还有时不时出现在媒体上的高智商犯罪等就是这些所谓“后起之秀”的杰作。面对越来越严重的安全威胁，不单在IT技术领域，在各行业的企业组织都越来越意识到信息安全的重要性，但单纯依靠技术方案来并不能解决如何保护企业信息资产的问题，所以市场对专业的信息安全人才的需求也在随之大大增加。而CISSP则可以证明持有者掌握国际公认的信息安全知识和标准、并拥有丰富的安全从业经验，保持CISSP认证的有效性还可以显示持有者对信息安全的发展和技术进步有很高的热情，并愿意为信息安全贡献自己的一份力量。此外，获得CISSP
7、认证还有其他的好处，比如：1、 适应市场中越来越热的对信息安全人才的需求2、 增加对信息安全的知识和概念的理解3、 为当前的工作增加信息安全的理念4、 在日益激烈的职场竞争中增强自身优势5、 在薪水增长和职务提升上更有优势 2004年（国内最早的CISSP之一）说起CISSP是国际上最权威的信息安全认证，CISSP其实是涵盖了信息安全的各个方面，着重突出了信息安全是由技术和管理构成的整体这一观点，不单巩固了和自己工作相关的Access Control、Operation Security 和Telecommunication & Network Security 三个CBK的知识，同时好好的补
8、充了其他七个CBK的知识，也对CISSP认证所强调的整体安全和管理高于技术两个观点有了深刻的体会。学习CISSP，本身就是一个对学习者安全知识体系进行完善的过程。CISSP都从事什么工作？国外的情况，以美国为例，刚拿到CISSP认证的人，在企业中大多从事安全管理员、安全产品的开发或安全服务的具体执行工作，头衔一般就是Security Administrator、Security Analyst或Security Engineer。随着工作经验的增加，CISSP会渐渐脱离具体的技术工作，转而从事更偏重管理、处于企业中层的工作，比如安全产品开发团队或安全服务团队的领导、安全咨询、安全培训讲师和安全
9、部门经理等，头衔则变为Senior Security Analyst/Engineer、Security Team Leader、Security Consultant、Security Manager等。最后， CISSP会进入企业管理高层，管理整个企业的信息安全或IT，头衔则变为Director of IT/Security department、Chief Security Officer或Chief Information Security Officer。国内的情况稍有不同，除了少部分CISSP做的是安全产品/服务的售前/售后和安全工程师外，有相当一部分CISSP是从事安全咨询、培训
10、方面的工作，更多的是处于企业中高层管理的位置，读者如果有兴趣了解更详细的情况的话，可以从(ISC)2官方站点上的Member Directory功能中查询。最后说说大家最感兴趣的CISSP薪水问题，在此就借用（ISC）2 2006年度的官方报告来说一下，CISSP薪水水平的分布成金字塔型，职务越高薪水越高，人数也越少。还是以美国为例，2006年CISSP的平均年收入为：IT Administrator： $45000-$55000Information Security Administrator：$75000Security Analyst/Engineer：$80000Manager， I
11、nformation Security : $100000CISO, CSO ：$150000 及以上另外，国内和国外相同的一点是，拿到CISSP认证之后通常待遇都会有所提升。四、参考条件参想要通过CISSP认证考试，必须具备以下几个条件： CISSP的道德守则就是要求CISSP有诚实的品质，大家按自己的真实情况进行填写即可。a、遵守（ISC）2的规章制度（详细内容可以参考www.isc2.org）。 b、在信息系统安全CBK（Common Body of Knowledge）规定的10个考试领域中的一个或多个中工作3年以上。你可以是信息安全相关领域的从业者、审计员、咨询者、客户、投资商或教师
12、，要求你在工作中直接应用信息系统安全知识。3年的实际工作可以是累加的。 c、每3年需要重新认证，需要你在3年内获得120个Continuing Professional Education （CPE）信用分。 d、关于英语：对于非英语国家的考试，CISSP的考试是允许考生携带不含夹带或标注的字典。根据笔者的观察，国内考生未能通过考试的很大一部分原因在于英语基础薄弱，一方面未能准确理解题目，另一方面造成做题速度慢而影响水平的发挥。虽然在某些考试时允许使用无存储功能的电子翻译器（如文曲星），但扎实的英语基础和丰富的专业英语词汇是顺利通过考试的一个重要条件。如果读者对CISSP认证很有兴趣，但工作经
13、验又达不到（ISC）2的要求，怎么办？ 不要气馁，（ISC）2专门为这种情况的考试者设立了一个称为“Associate of (ISC)2”的头衔，考试者在通过CISSP考试，在实际工作中积累足够年限的工作经验，便可向(ISC)2申请升级为正式的CISSP。 e、不过要注意:(ISC)2在五月份修改了CISSP认证考试对报名者的工作经验要求，从2007年的10月1日开始，原来的4年全职工作经验要求增加到5年，工作中要涉及到的CBK数目的要求则从至少一个增加为至少两个。报名者依然可以通过学历和认证证书来减少1年的工作经验要求，认证证书列表和年限放宽的限制和原来一样。CISSP认证考试的报名者在填
14、写报名表之前，还需要同意(ISC)2的认证考试的付款、退款、重付款的规则和考试保密协议及试卷的版权协议，还有最重要的，(ISC)2的CISSP道德准则(Code of Ethic)。另外，报名者在填写报名表时，还需要回答4个关于是否有犯罪记录背景的问题。 F、从2002年6月1日起，（ISC）2把取得CISSP的过程划分为两个步骤：认证和考试。通过考试之后，还必须取得第三方的认可才可以最终获得CISSP证书，第三方可以是参考者的雇主、或者是其他已获得认证的专业人士。这一举措增加了获得CISSP的难度，但也更明确了CISSP和其他安全认证的区别，保持了CISSP的权威性。五、相关资质介绍以下几种
15、资质是与信息安全相关，目前国内可以申请的专业资质：* CISA ：Certified Information Systems Auditor，认证的信息系统审计师，由ISACA管理，为安全专业人士关注的另外一个国际普遍认可的专业资质。CISA所需掌握的知识大量涉及到IT安全，约占CBK的70%左右，但更侧重审计流程、方法等方面。具体内容参考www.isaca.org* CISP：注册信息安全专业人员，英文为Certified Information Security Professional (简称CISP) 是我国信息安全产品测评认证中心发展的一种专业认证。其考核内容、认证流程、维护方式非常类似 (ISC)2，但有一定的强制性。六、关于再认证（Recertification）和持续教育在专业认证特别在IT领域，很多的证书都有时效性，需要在一段时间后重新认证，以促使持有者关注所在专业的最新动向。CISSP资质的有效期为3年，3年后可以通过重新参加考试的方式进行再认证，但(ISC)2支持持续专业教育积分（Continuing Professional Education -CPE）计划，CISSP资质持有者在3年内获得120个持续专业教育（CPE）积分，同时每年交纳85美元的年度维护费用（maintenance fee），便可保持其CISSP资质。CPE计分主要来自直接的安全相关
