簡短答案：值得，但前提是你處於職業生涯的適當階段
我本人持有 CISSP 認證，所以我會給你我真實的想法，而不是外交辭令：值得，但只有在你處於這項認證所設計的職業階段時才值得。如果你在資安或 IT 風險工作領域已有五年以上經驗，並正朝著管理、架構或 CISO 職涯路線發展，CISSP 是英國和國際上最受認可的認證之一，它確實會為你打開大門——招募人員和聘僱委員會對它的重視程度，很少有其他認證能相比。
如果你還在職業生涯早期，誠實的答案就不一樣了：CISSP 還不是你的下一步，不是因為它沒有價值，而是你還未達到持有該完整認證的經驗要求，且其內容假設了你可能還未接觸過的資安管理知識水準。
CISSP 實際上改變了什麼
根據我自身的經驗以及我看到完成 CISSP 學員的情況，CISSP 做了三件事：
- 開啟高階對話。 它表明你能夠跨越治理、風險、架構和技術領域進行操作，而不只是專注於某一個狹隘的領域。這正是招募委員會在分析師級別以上職位所尋求的特質，通常是被篩選出短名單和被邀請參加經理或領導職位面試的分水嶺。
- 提升薪資談判的上限。 它不會單獨讓你的薪水翻倍，但它經常被列為英國資安經理和顧問職位的要求或強烈偏好，這些職位的薪資通常遠高於分析師級別。我交談過的招募人員把它視為「這個人已經通過了某一等級的審查」的真正速記法，當你在談判時這很重要。
- 強制建立廣度。 即使你在技術上很強，CISSP 的八個領域會迫使你理解治理、法律/法規考量和業務連續性——這些是技術專家經常忽視的領域。我見過非常能幹的工程師在考試的這個部分掙扎，不是因為教材晦澀難懂，而是他們從未必須將資安視為一個業務功能，只從技術角度考慮過。
幾乎沒人提到的陷阱
通過考試和持有 CISSP 不是一回事。ISC2 要求最少累積五年的有薪工作經驗，涵蓋至少八個領域中的兩個（相關學位或其他核准認證可以抵銷一年）。未達到經驗要求就通過考試，你會成為「ISC2 助理」，直到你累積經驗並正式獲得認可。我見過有人學習數月、通過確實困難的考試，然後驚訝地發現他們還不是「CISSP」——在投入學習時間前，要先讀清楚要求，而不是之後。
誰應該先等等
- 進入資安職業生涯不足三到四年的任何人——你還離經驗要求太遠，目前沒有意義。
- 任何未接觸過資安管理、治理或風險概念的人——這些領域會感到抽象，而非根植於你所做過的任何事。
- 任何希望用它來代替基礎技術知識的人——先用 Security+ 或實際操作來建立那些基礎。
我對學員說的話
我指導參加 CISSP 考試的學員幾乎總是有真實經驗的人——方案經理、IT 主管、經驗豐富的系統管理員——他們正進入資安領導職位，而不是試圖從零開始進入這一領域的人。我告訴他們 CISSP 是一項廣度考試，而不是深度考試：它獎勵那些能夠對整個資安方案進行權衡推理的人，而不是那些已經記住了定義的人。最佳準備不只是教科書，而是將每個領域與你在工作中實際做過的真實決策聯繫起來。
若要直接比較何時 CISSP 有意義與 Security+ 的對比，我已在此處詳細說明：CISSP vs Security+。
常見問題
CISSP 需要學習多長時間？
大多數經驗豐富的候選人花三到六個月進行持續學習。重點不在原始小時數，而是將教材與你已有的經驗相聯繫——擁有更多這類經驗的人通常需要較少的純粹記憶時間。
沒有管理職位頭銜，CISSP 值得考嗎？
值得，如果你在做管理相鄰的工作，即使沒有頭銜——領導事件回應、擁有風險登記冊、設計控制措施。該認證認可的是工作，而不是你合約上的職位名稱。
英國的 CISSP 考試費用是多少？
ISC2 設定並定期更改考試價格，所以請查看官方 ISC2 頁面了解當前費用，而不是依賴舊數字。
CISSP 是否比網路安全碩士學位更好？
它們不可互換——碩士學位是學術深度，CISSP 是與真實工作經驗相關的實踐者認證。英國許多資深專業人士既不獨佔；許多人同時持有兩者。
隨著產業變化，CISSP 會過時嗎？
ISC2 會定期修訂考試內容以反映當前實務，而 CPE 要求會讓持有人始終與業界保持聯繫以維持該認證。這不是一個你通過考試當天就會過時的一次性證書——持續的 CPE 要求是保持其在雇主心中信譽的原因之一。
如果 CISSP 在你的中期目標內，而你想要一份圍繞你的實際經驗而非通用方案的學習計劃，預約試聽課程，我們會搞清楚你目前現實上的位置。
