CISSP全称是Certified information System Security Professional, 注册信息系统安全专家认证，是目前世界上知名的的国际化信息系统安全方面的认证，由国际信息系统安全认证协会(ISC)²组织和管理 。取得CISSP认证，表明持有者拥有完善的信息安全知识体系和丰富的行业经验，以卓越的能力服务于各大IT相关企业及电信、金融、大型制造业、服务业等行业，截至目前获得CISSP 认证的专业人士近150,000名，遍布于160多个国家 。该认证已经得到了全世界广泛的认可 。该资质持有者目前供不应求。CISSP的工作能力值得信赖。
CISSP八大知识域
CISSP® (ISC)²® CBK® 知识域涵盖信息安全专业人士普遍关注的各种信息安全关键性议题，并每年更新一次，以反映全球最新的最佳实践。同时建立了一个信息安全概念和原理的通用框架，以供探讨、辩论、解决业内难题。
CISSP CBK包含以下八大知识域：（2015年4月15日起实施）
1）安全与风险管理
关键知识域：
A. 理解并应用保密性、完整性和可用性的概念、应用安全治理原则
B. 合规、理解与信息安全有关的法律和法规问题
C. 理解专业人员道德品质
D. 开发并实施文件化的安全策略、标准、规程和指南
E. 理解业务连续性要求
F. 个人安全策略
G. 理解并应用威胁建模
H. 建立并管理信息安全教育、意识和培训
2）资产安全
关键知识域：
A. 信息及支持性资产的分级（例如敏感性和关键性）
B. 确定并维持资产责任人（例如数据责任人、系统责任人、业务/使命责任人）
C. 隐私保护
D. 确保适当的保存
E. 确定数据安全控制（例如存储的数据、传输的数据）
F. 建立处置要求（例如敏感信息的标记、存储、分发）
3）安全工程
关键知识域：
A. 使用安全设计原则的工程过程的实施和管理
B. 理解安全模型的基础概念、基于系统安全评价模型选择控制和对策
C. 理解信息系统的安全能力（例如存储保护、虚拟化、可信平台模块、界面、容错）
D. 评估并减缓安全架构、设计和解决元素的脆弱性、评估并减缓基于Web（例如XML、OWASP）的脆弱性
E. 评估并减缓移动系统的脆弱性、评估并减缓嵌入设备和网络物理系统（例如物联网）的脆弱性
F. 应用密码
G. 在场所和设施的设计中应用安全原则、设计并实施物理安全
4）通信与网络安全
关键知识域：
A. 在网络架构（例如IP和非IP协议）中应用安全设计原则
B. 安全网络组件
C. 设计并建立安全通信渠道
D. 防护或减缓网络攻击
5）身份与访问管理
关键知识域：
A. 资产的物理和逻辑访问控制
B. 人员和设备的身份和鉴证管理
C. 作为一项服务整合身份（例如云身份）
D. 整合第三方身份服务
E. 实施并管理授权机制
F. 防护或减缓访问控制攻击
G. 管理身份和访问配置生命周期
6）安全评估与测试
关键知识域：
A. 设计并验证评估和测试战略
B. 管理安全控制测试
C. 收集安全过程数据（例如管理和运行控制）
D. 分析并报告测试输出（例如自动化手段、手工手段）
E. 实施内部和第三方审核
7）安全运营
关键知识域：
A. 理解并支持调查、理解调查类型的要求
B. 理解并应用基础的安全运营的概念、实施日志和监视活动
C. 资源配置安全、使用资源保护技术
D. 实施事件管理、运行并保持预防措施
E. 实施并支持补丁和脆弱性管理
F. 参与并理解变更管理过程（例如版本控制、基线、安全影响分析）
G. 实施恢复战略、实施灾难恢复过程、测试灾难恢复计划、参与业务连续性计划和演练
H. 实施并管理物理安全、参与解决个人安全问题
8）软件开发安全
关键知识域：
A. 在软件开发生命周期中应用安全
B. 在开发环境中加强安全控制
C. 评估软件安全的有效性
D. 评估获取软件的安全影响
2019年CISSP课程安排
|
模块名称 |
课程内容 |
课程内容 |
| 第一天 |
Domain 1
安全与风险管理 |
1、理解并应用机密性、完整性，和可用性的概念
2、应用安全治理原则
3、符合性
4、理解全球范围内属于信息安全的法律法规问题
5、理解职业道德
6、制定并实施文档化的安全策略，标准，过程，和指南
7、理解业务连续性需求
8、促成人员安全策略
9、理解并应用风险管理概念
10、理解并应用威胁建模
11、将安全风险考虑整合到采购策略并实践之
12、建立并管理安全教育，培训，和意识
|
Domain 2
资产安全 |
1、信息资产分级
2、信息资产所有权
3、隐私保护
4、确定合适的保存
5、确定数据安全控制
6、确定数据处理的需求
|
| 第二天 |
Domain 3
安全工程 |
1、依照安全设计原则执行和管理工程生命周期。
2、了解安全模型的基本概念。
3、依照信息系统安全标准挑选控制和对策。
4、了解信息系统的安全能力。
5、评价和抑制安全架构、设计和解决方案元素的脆弱性。
6、评价和抑制Web系统的脆弱性。
7、评价和抑制移动系统的脆弱性。
8、评价和抑制嵌入式设备和网络化物理系统的脆弱性。
9、应用密码技术。
10、把安全原则应用到场地和设施设计。
11、设计和执行设施安全。
|
| 第三天 |
Domain 4
通信和网络安全 |
1、将安全设计原理应用到网络架构
2、网络组件安全
3、设计和建立安全通信通道
4、预防或减轻网络攻击
|
Domain 5
身份与访问管理 |
1、资产的物理和逻辑访问控制
2、人员和设备的身份标识、认证和管理
3、身份作为服务(IDaaS)
4、集成的第三方身份认证服务
5、实施和管理授权机制
6、预防或减少访问控制攻击
7、管理身份和配置访问生命周期
|
| 第四天 |
Domain 6
安全评估和测试 |
1、设计和验证评估和测试战略
2、执行安全控制测试
3、收集安全过程数据
4、执行或支持内部和第三方审计
|
Domain 7
安全运营 |
1、理解和支持研究
2、理解研究类型的需求
3、行为记录和监控活动
4、通过配置管理安全的提供资源
5、理解和应用基本的安全操作概念
6、使用资源保护技术
7、实施事件响应
8、操作和维护防范措施
9、实施和支持补丁和漏洞管理
10、参与并了解变更管理流程
11、实施恢复策略
12、实施灾难恢复流程
13、测试灾难恢复计划
14、参与业务连续性规划工作
15、实施和管理物理安全
16、参与人员安全
|
| 第五天 |
Domain 8
软件开发 |
|
想要通过CISSP认证考试，必须具备以下几个条件：
1、签署并承诺遵守(ISC)²制定的职业守则（Code of Ethics）。
2、报考者必须具备至少五年的工作经验，拥有大学本科学历者需要四年工作经验，研究生学历仍需四年工作经验。工作经验应为信息系统安全通用知识框架CBK（Common Body of Knowledge）规定的8个知识域中的2个或多个范畴。
3、每3年需要重新认证，需要你在3年内获得120个Continuing Professional Education （CPE）信用分。
