CISP是国内信息安全行业认可度最广的认证。信息安全治理这块是CISP考试的理论重头，选择题和案例分析都爱考。这篇文章把治理框架、风险管理、ISO27001、等保2.0这几个核心考点一次讲透。

一、CISP知识体系长什么样

CISP全称注册信息安全专业人员，由中国信息安全测评中心组织考试和发证。它是国内信息安全行业认可度最广的一张证，政府、央企、金融机构的安全岗招聘里经常写着优先考虑。CISP下面分两个主流方向：CISP-PTE侧重技术实操，CISP-IRE侧重应急响应和渗透。但不管哪个方向，知识体系都要考六大块：信息安全保障、信息安全治理、信息安全架构、信息安全运维、信息安全开发、应急响应。

这六大块在考试中的分值分布不一样。治理和保障这一块理论性强，选择题出得最多；架构和运维偏技术，案例分析爱考；开发和应急在新大纲里占比在上升。备考的时候不能只抓技术，治理这块理论分拿稳了，考试通过率才有保障。

再说说CISP考试形式。培训加考试一般是四天集中培训加一天考试，考试是闭卷选择题，满分100分，70分及格。培训是强制要求，必须先上授权机构的培训课拿到学时证明，才能参加考试。这也是为什么大家都报培训班，自学没法直接报名。

考试通过之后拿的证书叫CISP证书，三年有效，到期需要续证。续证不是再考一次试，而是按规定积累继续教育学分，比如参加安全会议、发表文章、完成培训。续证流程不复杂，但你得提前安排，别等到期了才想起来。

二、信息安全治理框架

信息安全治理是CISP考试最爱考的概念之一。你先记住一句话：治理是董事会和高管层的责任，不是安全工程师一个人的事。治理要回答的问题是：我们的安全战略是什么？安全预算怎么分？安全风险怎么向董事会报告？

治理和管理的区别是高频考点。治理决定做什么，管理决定怎么做。董事会和高管层是治理层，负责定方向、批预算、监督执行；中层经理是管理层，负责把战略拆成流程和制度；一线员工是执行层，负责按制度干活。这个三层结构选择题反复考。

一个完整的安全治理框架包含几个要素：安全战略、安全组织架构、安全政策制度、风险管理体系、合规管理、绩效考核。CISP教材里把治理框架拆得很细，考试喜欢考"以下哪项不属于治理范畴"这种题。判断标准很简单：凡是跟定方向、定责任、定政策有关的，都是治理；凡是跟具体操作、具体技术有关的，都是管理或者执行。

政策制度这块还要记一个金字塔结构。最顶层是安全总方针，由董事会批；往下是管理制度，比如访问管理规定、数据安全管理办法；再往下是操作流程，比如员工入职离职怎么开通权限；最底层是操作记录和审计日志。考试经常问你"某公司发布了一份《员工U盘使用管理规定》，这属于哪一层制度"，答案是操作流程层。

治理框架里还有一个考点是三道防线。第一道防线是业务部门，自己管自己的安全风险；第二道防线是安全和合规部门，制定制度和监督执行；第三道防线是内部审计，独立检查前两道防线有没有失效。这个模型在企业治理和监管检查里经常用，CISP考过多次。

考试里还有一种出题套路，给你一个企业案例：安全事故发生了，董事会说这是安全部门的事，安全部门说这是业务部门违规操作。问你治理哪里出了问题。答案一般是：治理层没有把安全责任落实到业务部门，只靠安全部门单打独斗是失效的。这个考点背后的理念是安全是全员责任，不是安全部门一家的事。

三、ISO27001和风险管理

ISO27001是国际上最通用的信息安全管理体系标准，CISP考试把它作为治理框架的核心参考。ISO27001的核心逻辑是PDCA循环：计划、执行、检查、处置。企业先做风险评估，再选控制措施，再运行体系，再审计改进。

风险管理是治理的核心流程，CISP必考。完整的风险管理分四步：第一步风险识别，把资产、威胁、脆弱性都列出来；第二步风险评估，算清楚每个风险发生的可能性和影响大小；第三步风险处置，决定怎么处理；第四步风险监控，持续跟踪残余风险。

风险处置有四种策略，选择题爱考：风险降低，加控制措施把概率和影响降下来；风险转移，买保险或者外包给第三方；风险接受，风险小到可以不管；风险规避，干脆不做这个业务。考试经常给你一个场景，问你用了哪种策略。你只要抓住"这个企业最后干了什么动作"就好判断：加措施是降低，掏钱是转移，不管是接受，停业务是规避。

ISO27001还有一个考点是控制措施分类。教材里列了上百个控制措施，按组织、人员、物理、技术四大类分。你不用全部背下来，但要知道常见的比如访问控制、加密、备份、审计这些属于哪一类。考试考的是分类判断，不是默写。

风险管理这块再补一个概念：残余风险。企业加了一堆控制措施之后，风险并没有归零，还会剩下一部分残余风险。残余风险要由管理层签字接受，不能装作不存在。考试里经常问"风险处置完是不是就没有风险了"，答案是否定的，残余风险始终存在，需要持续监控。

还有资产分类。风险管理第一步是资产识别，资产要按价值分类，核心业务系统、客户数据、办公终端，价值不一样，保护力度也不一样。资产价值评估一般用保密性、完整性、可用性三个维度打分，简称CIA三元组。这个概念整个CISP都贯穿，必须背熟。

考试里CIA三个字母经常考。问你"客户密码被泄露，破坏了哪个属性"，答案是保密性。"订单金额被篡改，破坏了哪个属性"，答案是完整性。"系统宕机用户访问不了，破坏了哪个属性"，答案是可用性。

四、等保2.0合规要点

等保2.0是国内信息安全合规的硬骨架，CISP考试绕不开。网络安全等级保护把信息系统分成五级，第一级最低，第五级最高。大部分企业业务系统在二级或三级，三级以上需要每年做等级测评，四级以上每半年测一次。

等保2.0跟1.0比，最大的变化是覆盖范围扩大了。原来主要管传统信息系统，现在云计算、移动互联、物联网、工业控制系统都纳入等保管理。你在考试里看到"某企业云平台需要做等保"，不要怀疑，云平台一样要过等保。

等保流程分五步：定级、备案、建设整改、等级测评、监督检查。定级是企业自己定专家评审；备案是把定级报告送到公安部门；建设整改是按等保要求把系统改到达标；测评是找有资质的测评机构出报告；监督检查是公安机关日常抽查。这个流程选择题和案例分析都考过。

除了等保，CISP治理部分还要掌握网络安全法、数据安全法、个人信息保护法这三部法的基本框架。不用背法条原文，但要知道哪部法管什么、违规了罚多重。比如数据安全法管数据分类分级和重要数据出境，个保法管个人信息处理，网安法管网络运行安全。

考试里三部法经常放在一起考。比如问你"企业收集用户身份证号用于营销，违反了哪部法"，答案是个保法。"企业把未分类的重要数据传到境外，违反了哪部法"，答案是数据安全法。"企业不做网络安全等级保护，违反了哪部法"，答案是网络安全法。三部法的边界分清楚了，这类题就是送分题。

还有一个考点是关键信息基础设施，简称关基。关基运营者在网络安全法里有额外要求，比如专门安全管理机构、年度应急演练、采购网络产品的国家安全审查。考试看到关基两个字，就要想到它的要求比一般企业严格一档。

备考CISP治理这块，最忌讳光背概念不做题。治理部分的选择题特别绕，一个选项换个说法你就认不出来。建议每学完一章，马上做对应章节的真题，做错的题回到教材找原文，印象才深。

优培东方CISP培训用全职老师授课，紧贴最新考试大纲，治理这块配了大量真题演练。机构从2011年做到现在，广州慧翔企业管理咨询有限公司旗下品牌，全国性布局。两年学籍免费重学，7天无理由退费。咨询电话400-956-6153，官网www.hxtdpx.com。

五、常见问题

问题1：治理和管理有什么区别？

答1：治理定方向和战略，管理做执行和流程，治理层是董事会，管理层是部门经理。

问题2：风险处置有哪几种策略？

答2：降低、转移、接受、规避四种，按场景判断用哪一种。

问题3：等保2.0分几级？

答3：分五级，第三级以上每年测评，第四级每半年测评。

问题4：CISP考试多少分及格？

答4：满分100分，70分及格，选择题为主，部分方向有实操。