CISSP 备考的核心痛点：从“技术执行”到“管理思维”的跨越

CISSP 考试常被戏称为“万金油”认证，但真正让很多技术骨干折戟沉沙的，并非知识点本身的晦涩，而是思维模式的剧烈转换。绝大多数备考者具备深厚的安全技术背景，习惯了从“如何修补漏洞”的技术视角出发，而 CISSP 考察的是“如何管理风险”的管理视角。这门课程正是为了解决这一核心矛盾而设计。它不旨在重新灌输技术细节，而是重点拆解考试思路，特别是针对第 2 章和第 3 章涉及的风险评估与管理领域。如果你发现自己总是在“最安全”和“最可行”之间摇摆，或者无法准确描述漏洞与风险的关系，那么这门课就是为你准备的查漏补缺工具。

前置基础与重点突破路径

建议学习者具备至少 5 年的信息安全工作经验，或已掌握基本的网络安全概念。如果直接面对全量知识体系容易陷入细节泥潭，建议优先攻克视频 2-1 至 2-8 以及 3-1 至 3-3。这几部分构成了 CISSP 中风险管理的骨架：首先要学会科学地描述漏洞现象，厘清资产、漏洞与风险的定义边界；其次要掌握风险的量化计算方法及处置策略（如接受、规避、转移、降低）；最后理解安全管理工作的指导指标。这一逻辑链条是理解后续访问控制、安全架构等高阶章节的基础。切忌贪多求快，务必在每个能力点考察环节暂停视频，自行推导一遍风险计算公式，确保对“风险降低手段”有直观的工程理解，而非死记硬背。

学后产出与资料配合建议

完成本阶段学习后，你应该能够独立回答以下问题：如何依据资产价值计算风险敞口？在业务连续性受限时，应如何选择优先的风险处置方式？以及如何用管理者的语言向非技术背景的高管汇报安全隐患？为了巩固这些能力，请配合资料包中的练习题进行自我测试。不要仅满足于选项的对错，重点复盘错题背后的思维偏差——是因为混淆了“威胁”与“脆弱性”，还是误判了“管理层”与“执行层”的责任边界。通过将理论框架与实际案例对照，逐步内化 CISSP 要求的“最理想管理者思维”，从而在考试中快速识别出题人设置的陷阱，实现从被动应试到主动解构的进阶。

课程目录

1-1 [CISSP学习班] 本课程是否适合你 (10:30)
1-2 [CISSP学习班] 课程设计 (08:26)
1-3 [CISSP学习班] CISSP考什么和怎么考 (11:17)
2-1 [能力点考察] 如何科学的描述漏洞现象 (09:21)
2-2 [能力点考察] 什么是漏洞 (11:19)
2-3 [能力点考察] 关于资产的概念 (11:49)
2-4 [能力点考察] 风险的定义 (05:06)
2-5 [能力点考察] 风险的计算 (15:34)
2-6 [能力点考察] 风险的处置方式 (11:57)
2-7 [能力点考察] 风险降低的手段 (08:40)
2-8 [能力点考察] 本章小结 (07:52)
3-1 [管理能力考察] 安全管理考点的难点 (11:00)
3-2 [管理能力考察] 安全工作的指导指标 (06:55)
3-3 [管理能力考察] 安全工作的记录和传递方式 (09:44)
3-4 [管理能力考察] 安全管理工作总结 (05:08)
4-1 [认证和认可以及安全评估标准] 安全工作中的认证和认可 (08:19)
4-2 [认证和认可以及安全评估标准] TCSEC和ITSEC的熟悉 (09:11)
4-3 [认证和认可以及安全评估标准] 现行的国际评估准则 (12:54)
5-1 [重要知识点] 密码学重要知识点 (05:37)
5-2 [重要知识点] 路由协议 (05:54)
5-3 [重要知识点] ISO27001 (07:20)
5-4 [重要知识点] 数据清除 (06:56)
6-1 [安全架构模型] 安全模型的作用和来源 (06:41)
6-2 [安全架构模型] 基础安全模型 (10:39)
6-3 [安全架构模型] 主体和客体基础的安全架构概念 (10:52)
6-4 [安全架构模型] 机密性和完整性的模型 (17:25)
6-5 [安全架构模型] 无干扰模型和中国墙模型 (12:57)
6-6 [安全架构模型] Graham_dening模型 (08:21)
6-7 [安全架构模型] Clark Wilson模型 (10:35)
7-1 [访问控制] 控制的基础知识 (07:13)
7-2 [访问控制] 访问控制的作用 (09:53)
7-3 [访问控制] 现实中的访问控制实现方式 (07:52)
8-1 [业务连续性] 业务联系的基础概念 (10:12)
9-1 [总结] 串讲 (06:03)