CISSP 陳O銘

參訓課程：CISSP 資安系統專家認證

我目前從事資安健診相關工作，過去則是網頁開發工程師背景，因此對系統開發、網站功能、權限控管、弱點修補等技術面議題比較熟悉。在準備 CISSP 之前，我已經考過 CC、CSSLP、CCSP。這些證照對我來說各有幫助，CC 讓我建立資安基礎觀念，CSSLP 與我原本熟悉的軟體開發安全較有關聯，CCSP 則補強了雲端安全的架構。不過因為現在的工作需要從更高層次看待資安管理與風險判斷，所以後來決定繼續準備 CISSP，希望把過去偏技術、偏開發、偏雲端的知識，整理成更完整的資安管理架構。

我是在四月底上完 AIN 全智網的 CISSP 假日班，五月接著參加總複習班，六月底參加考試並順利通過。整體準備時間並不算長，所以這段期間對我來說相當密集，也更能感受到課程架構和總複習整理的重要性。CISSP 的範圍很大，如果完全靠自己摸索，可能會花很多時間在零散內容上，也不一定能判斷哪些觀念需要深入理解、哪些細節只要掌握基本方向即可。透過假日班先建立八大領域的整體觀念，再透過總複習班把容易混淆的重點重新收斂，讓我在有限時間內能比較有效率地完成準備。

實際準備過程中，我最大的感受是，所謂「師父引進門，修行靠個人」，課程可以幫助建立方向和架構，但最後仍要靠自己反覆整理、吸收和練習判斷。CISSP 的考題涵蓋範圍很廣，有些地方也可能考得很細，不可能期待把所有題目或考點都完整背完。實際考試時，也會遇到部分題目並非上課教材或講師課堂中會逐一提到的內容，因此準備方向不能只放在記憶講義，而是要先掌握資安管理的核心觀念，再搭配自己的複習與延伸閱讀來補足細節。

對我來說，比起把大部分時間花在死背各種 ISO 文件編號或連接埠號，更重要的是理解最小權限的精神、風險分析的目的、威脅建模的意義，以及不同安全活動在實務上能帶來什麼效益。我原本有技術背景，所以一開始看到題目時，很容易直覺從工具、設定或修補方式去思考答案；但 CISSP 更重視的是在特定情境下，什麼做法最符合組織目標、風險管理原則與營運需求。

這些核心觀念如果只靠自己看書，容易停留在名詞解釋；透過老師上課時的整理、說明與提醒，才比較能把零散的知識轉成考試和實務上都用得到的判斷方式。這也是我覺得 AIN 全智網課程最有價值的地方。這次能順利通過 CISSP，除了靠自己持續複習，也很感謝假日班和總複習班在觀念建立、重點收斂和考前準備上給我的幫助。