Understand the certification
Certified Information Systems Auditor（CISA）是 ISACA 从 1978 年就开始颁发的 IT 审计认证，迄今全球累计持证人数超过 15 万，是所有 IT 审计类认证里历史最长、雇主认可度最高的一张，也是 ANSI 按 ISO/IEC 17024 标准官方背书的审计专业认证。
CISA 不是"考过就能拿"的证。它有三道门槛：
门槛一：5 年专业审计经验（硬性资格）
ISACA 要求考生在 信息系统审计、控制、保障或安全 相关领域累计 5 年带薪全职工作经验。可以用学历替代一部分：4 年制本科可抵 2 年，硕士抵 1 年，另外持有相关证书（如 CISM、CIA、CPA）也可抵 1 年。最低实际要求是 3 年。没经验的人可以先考试、5 年内补齐经验再申请认证 — 考试成绩 5 年内有效。
门槛二：150 题 / 4 小时 / 450 分通过
CISA 是传统的线性考试（不是 CAT 自适应）— 150 道选择题，4 小时，200-800 分制，450 分通过。看似分数线不高，但 ISACA 的评分是 scaled score，不是原始百分比，实际原始正确率需要在 70%-75% 左右才能过线。考试可以在 PSI 考试中心或远程在线监考进行。
门槛三：费用与续证成本
报名费 ISACA 会员 $575 USD / 非会员 $760 USD（会员年费 $135，考生通常会先入会省钱）。考过之后每年要攒 至少 20 个 CPE、3 年累计 120 个 CPE，外加每年 $45（会员）/ $85（非会员）AMF 维护费。断了就失效。
5 大考试领域（2024 年新版考纲权重）
- Protection of Information Assets — 27%（信息资产保护，最重）
- Information Systems Operations and Business Resilience — 23%（运营与业务韧性，含 BCP/DRP）
- Information Systems Auditing Process — 21%（审计流程，ISACA 审计标准）
- Governance and Management of IT — 17%（IT 治理与 COBIT）
- Information Systems Acquisition, Development and Implementation — 12%（SDLC 审计，权重最低）
注意：27% + 23% = 一半考题集中在资产保护和运营韧性。很多人按旧考纲把重点放在"审计流程"上，结果吃大亏。
Exam at a glance
- Exam code
- CISA
- Provider
- 其他
- Format
- Single choice / Multiple select
- Language
- English
- Validity
- 3 years
- Exam fee
- $575
Skills in focus
Learning outcomes
- 获得 ISACA CISA 官方认证
- 掌握 CISA 考试核心知识和技能
- 提升专业领域竞争力
Who this is for
- 希望获得 ISACA CISA 认证的 IT 专业人员
- 网络工程师和系统管理员
- 希望提升专业技能的 IT 从业者
- 计算机科学/网络工程专业学生
Before you start
- 了解基本的网络安全概念
- 有相关领域的工作经验
- 建议先通过相关入门级认证
Consider another path if
- 纯红队 / 渗透测试 / 技术安全岗 — OSCP / CRTO / CISSP 更对口
- 想做安全架构或 CISO 路线 — CISSP 比 CISA 更有分量
- 0-2 年工作经验的应届生 — 先考 Security+ 或 ITCA 打基础
- 不打算长期走审计 / GRC / 合规方向的人
- 不愿意每年攒 20 CPE + 交年费的人 — CISA 是终身维护成本
Your learning path
9 chapters
Plan your preparation
- Learning hours
- 80h
- With relevant experience
- 10-14 weeks
- Starting from scratch
- 16-24 weeks
- Daily study
- 1.5-2.5h
Included in your preparation
- 9 个系统化学习章节
- 1457 精选练习题，每题附详细解析
- 仿真模拟考试
- 错题本 + 智能复习，薄弱环节针对性突破
- 学习进度可视化追踪
- 同步官方最新考纲
1. 第一阶段：通读 ISACA CISA Review Manual（4-6 周）
CISA 的官方教材是 ISACA CISA Review Manual (CRM)，27 版起对应 2024 新考纲。这本书是 ISACA 自己编的，所有考题的"标准答案"都从这里来 — 不读这本书纯刷题几乎不可能过。重点读 Domain 5（Protection of Information Assets）和 Domain 4（IS Operations & Resilience），这两章合计占考试 50%。每章末尾有 Knowledge Check 习题，正确率 70% 以下就回去重读。官方同时出 CISA Review Questions, Answers & Explanations (QAE) 数据库，1000+ 道题加解析，这是本阶段必备的刷题工具。
2. 第二阶段：按领域刷 QAE 题库 + 弱项回炉（3-4 周）
QAE 是 ISACA 官方出的题库，也是最接近真考风格的题库。每天 50-80 题，按 5 个 domain 分类刷 — 哪个 domain 低于 70% 就回去重读 CRM 对应章节。重点训练"审计思维"：CISA 的题几乎每道都在问 "作为审计师，你应该首先做什么 / 最关心什么 / 最需要记录什么"。正确答案永远是"按照审计准则、收集充分适当的证据、独立客观地评估" — 而不是"立刻修复漏洞 / 通知 IT 部门"。这个思维转换是通过的关键。
3. 第三阶段：COBIT + 审计准则专项（2 周）
COBIT 2019 框架是 Domain 2（IT Governance）的核心，几乎每场考试都会出 5-10 道直接考 COBIT 组件、原则、目标级联（goals cascade）的题。把 COBIT 的 5 个原则、7 个使能器（enablers）、40 个 governance and management objectives 背熟。同时把 ISACA IS Audit Standards（1001-1207 系列）过一遍，了解每个标准的适用场景。这一阶段还要把 BCP vs DRP、RTO vs RPO、热站/温站/冷站 这些高频概念用表格整理清楚 — 每场考试至少 5-8 道题直接考这些对比。
4. 第四阶段：全真模考冲刺（最后 2 周）
用 QAE 的 exam mode 或第三方题库（如 Pocket Prep、Gleim）做 至少 3 套 150 题 / 4 小时全真模考，稳定在 75% 原始正确率以上再去约考。模考最大的价值不是分数，而是训练 4 小时的专注力 — CISA 是线性考试，没有 CAT 那种"突然结束"的怜悯，你必须硬扛 240 分钟。考前 3 天停做新题，复习错题本，背关键数字（COBIT 的 5 原则、ISACA 标准编号、AES/RSA 密钥长度、常见 RTO/RPO 级别）。考前一晚正常作息 — 熬夜刷题的人第二天下午 2 点就开始脑子糊。
Career value
CISA 是 IT 审计这条赛道的默认证书
如果你要进 Deloitte / PwC / EY / KPMG 的 Risk Advisory 或 IT Audit & Assurance 部门，CISA 几乎是 senior consultant 升 manager 的硬要求。Big 4 内部的 IT audit 团队在讨论晋升时会直接看你有没有 CISA — 没有就卡在 senior 级别不动。这不是夸张，这是 Big 4 HR 系统里直接写进 promotion criteria 的。
真实薪资数据（2026）
根据 StationX、ZipRecruiter 和 ISACA 官方 2024 Pay Index 综合：
| 地区 | CISA 持证人中位年薪 | 金融/Big4 溢价 |
|---|---|---|
| 美国 | USD 108,000–149,000 | Big 4 / 银行 +15-25% |
| 澳洲 | AUD 135,000 | 四大行 + 政府 +20% |
| 英国 | GBP 65,000 | 伦敦金融城 +25% |
| 新加坡 | SGD 110,000 | MAS 监管机构 +20% |
ISACA 官方 Pay Index 给出的全球平均是 USD 149,000+，这个数字偏高是因为统计样本集中在有 5 年以上经验的持证人；ZipRecruiter 和 Payscale 给出的市场中位数在 USD 108k-110k 之间，更接近中级 IT auditor 的实际水平。
三类岗位最值得考 CISA
- Big 4 IT Audit / Risk Advisory — Deloitte、PwC、EY、KPMG 的 Cyber Risk 或 Internal Audit 部门，CISA 是晋升硬通货，不考就只能一直做 senior consultant。
- 大型银行 / 保险 / 监管行业内审 — 四大行、汇丰、AXA、AIA 这类机构的 Internal Audit department，IT auditor 岗几乎 100% 要求或强烈偏好 CISA。澳洲 APRA CPS 230 出台后，这条赛道的需求在 2025-2026 年明显上涨。
- 政府 / 公共部门 IT 审计岗 — 澳洲 ANAO（Australian National Audit Office）、美国 GAO、香港审计署、新加坡 AGD 的 IT audit 岗位都明确把 CISA 列为 preferred 或 required。政府合同的 IT audit 外包项目也会看团队里有几张 CISA 来决定 billing rate。
最适合考 CISA 的人：
- ✅ Big 4 做 IT audit 3-5 年的 senior consultant：你已经有经验，考 CISA 就是拿 manager 升职券。ROI 最高。
- ✅ 财务审计（CPA / ACCA）想转 IT 审计：你已经懂审计流程和职业怀疑精神，CISA 教你如何把这套方法论应用到 IT 系统上。Fishbowl 上经常能看到 Big 4 CPA 转 IT audit 的讨论，CISA 是最短路径。
- ✅ 银行 / 保险内审部门的内部转岗：从财务内审转 IT 内审，CISA 是官方认可凭证。
- ✅ 合规 / GRC 方向的分析师：SOX 402 IT General Controls 测试、COBIT 框架评估都是 CISA 的核心内容。
不适合考 CISA 的人：
- ❌ 纯技术路线的安全工程师 / SOC analyst / 渗透测试：CISA 对 hands-on 技术几乎没加成，CISSP / OSCP 更对口。
- ❌ 想做 CISO 或安全架构师：这条路 CISSP 比 CISA 含金量高，CISA 和 CISSP 有 40% 内容重叠但定位完全不同 — CISA 是"检查别人有没有做对"，CISSP 是"设计怎么做对"。
- ❌ 工作经验不足 3 年的应届生：可以先考 ISACA 的 ITCA（IT 基础）或 CompTIA Security+ 建立基础。CISA 硬考过了也要等 5 年内补够经验才能拿证。
- ❌ 不愿意每年攒 20 CPE + 交 $45-85 AMF 的人：这是终身成本。
- 澳洲
- AUD 115,000 – 175,000
- 美国
- USD 95,000 – 155,000
- 中国
- CNY 350,000 – 750,000
- 新加坡
- SGD 90,000 – 150,000
Preparation tips
- **报名时申请 ESL +30 分钟加时**：母语非英语的考生可以在 ISACA 官网报名时勾选 ESL accommodation，免费多 30 分钟（从 240 分钟变 270 分钟）。CISA 的题干普遍偏长且拗口，这半小时对非英语母语考生至关重要。
- **考试时按比例分配时间**：240 分钟 / 150 题 = 每题平均 96 秒。设定"第一遍 2 小时过 100 题，剩下 80 分钟处理 50 题 + 回头看 mark 的题"的节奏。超过 2 分钟还没思路就先 mark 跳过，不要死磕。
- **关键词敏感**：看到 FIRST / PRIMARY / MOST → 选最关键/最优先的那一个；看到 BEST → 选最符合审计准则的；看到 EXCEPT / LEAST → 找不属于的那个；看到 "auditor's PRIMARY concern" → 通常选涉及独立性、证据充分性或重大错报风险的选项。
- **永远选"按流程 / 按准则 / 通知管理层"的选项**：CISA 的思维里，审计师不是救火员。看到 "implement the fix immediately"、"investigate yourself"、"shut down the system" 几乎都是错的。正确答案通常是 "report to management"、"document the finding"、"refer to audit charter"。
- **COBIT 组件必背**：COBIT 2019 的 **5 个原则、7 个使能器、40 个 governance/management objectives** 是送分题。每场至少 3-5 道直接考这些概念。
- **加密算法数字背熟**：AES 128/192/256 位，RSA 最小 2048 位，SHA-256 输出 256 位，Kerberos 使用对称加密 + KDC。这些是选择题陷阱高发区。
- **考前一周停止熬夜**：CISA 是线性 4 小时线性考试，不像 CAT 可能提前结束。体力储备比临时抱佛脚重要。考前一晚不要再刷新题，只看错题本。
- **过了以后 5 年内申请认证**：考过 CISA 考试后成绩 5 年有效，如果你经验还没满 5 年，可以先把考试过了再慢慢补经验，最后提交 Application for Certification 找 CISA 持证人签字背书即可。
Common mistakes
- **把"审计（audit）"和"评估（assessment）"搞混** — CISA 里审计是**独立、客观、按既定准则**的检查；评估可以是管理层自己做的、非正式的检查。题目里出现 "independent review" 几乎一定指审计，而 "risk assessment" 通常是管理层职责。认错一词可能丢 3-5 道题。
- **把"审计发现（finding）"和"证据（evidence）"搞混** — Finding 是审计师对证据的专业判断结论，Evidence 是支持这个判断的原始材料（文档、日志、访谈记录、观察）。题目问 "what is the auditor's PRIMARY concern when reviewing X" 时，永远先想"我手上的证据是否 sufficient and appropriate"，而不是"我发现了什么问题"。
- **职责分离（Segregation of Duties）原则搞不清** — SoD 的核心是"授权 / 执行 / 记录 / 资产保管 / 审核"这 5 项关键职能不能同时由一个人掌握。CISA 特别爱考"某某同时做了 A 和 B 有没有 SoD 问题" — 授权 + 执行 = 有问题，授权 + 审核 = 有问题，记录 + 执行 = 有问题。背熟这个矩阵。
- **BCP vs DRP 概念混淆** — BCP 是业务连续性计划，范围覆盖人员、流程、供应链、办公场所、IT；DRP 只是 BCP 里 IT 系统恢复那一部分，是 BCP 的子集。RTO（Recovery Time Objective）和 RPO（Recovery Point Objective）也要分清楚：RTO 是"多久能恢复"，RPO 是"能丢多少数据"。这四个概念组合的题每场至少 5-8 道。
- **只读 CRM 不刷 QAE** — CRM 是知识点，QAE 是考法。ISACA 的题目措辞和选项构造非常有特色（一道题 4 个选项经常"全都对"，让你选"最对的"），不刷 QAE 就完全不适应这种题型。至少刷 2 遍。
- **按旧考纲准备（2019 版以前）** — 2024 版考纲 Domain 5 权重从 25% 提到 27%，Domain 4 从 20% 提到 23%，Domain 3 从 18% 降到 12%。用旧资料备考的人会把精力放错地方。确认你用的 CRM 是 **27th edition 或更新版本**。
- **考过了就不攒 CPE** — CISA 每年至少 20 CPE、3 年 120 CPE。很多人考过就放着不管，第三年才慌。设日历提醒，每个月参加 ISACA 本地 chapter 的线上 webinar（通常 1-2 个 CPE/次），全年基本能自动凑够。
Before you register
What is the CISA exam format and passing criteria?
The CISA exam consists of 150 multiple-choice questions with a 4-hour (240-minute) time limit. It uses a scaled scoring system of 200-800, with 450 as the passing score. The exam is administered at PSI authorized test centers and also available via remote online proctoring. Exam fees are $575 USD for ISACA members and $760 USD for non-members.
What domains does the CISA exam cover and what are their weights?
The CISA exam covers five domains: Information Systems Auditing Process (21%), Governance and Management of IT (17%), Information Systems Acquisition, Development, and Implementation (12%), Information Systems Operations and Business Resilience (23%), and Protection of Information Assets (27%). Protection of Information Assets and IS Operations carry the highest weights and should be prioritized during preparation.
What work experience is required for CISA certification?
CISA certification requires a minimum of 5 years of professional experience in information systems auditing, control, assurance, or security. Certain substitutions are permitted: a 4-year degree can replace up to 2 years of experience, and a master's degree can replace up to 1 year. Candidates must apply for certification within 5 years of passing the exam.
How do I maintain my CISA certification? What are the CPE requirements?
CISA holders must earn a minimum of 20 CPE (Continuing Professional Education) credits annually, with at least 120 CPE credits over each 3-year cycle. An annual maintenance fee is also required ($45 for ISACA members, $85 for non-members). Holders must comply with ISACA's Code of Professional Ethics and IS Auditing Standards.
What is the market value and career outlook for CISA certification?
CISA is one of the most globally recognized IT audit certifications, accredited by ANSI under ISO/IEC 17024. Common job titles for holders include IT Auditor, Information Security Manager, Compliance Analyst, and Risk Management Consultant. Industry salary surveys indicate CISA holders earn an average annual salary of $110,000-$150,000 USD, with particularly strong demand in finance, healthcare, and government sectors.
How long should I study for CISA and what are the best preparation strategies?
A systematic study period of 3-6 months at 10-15 hours per week is recommended. The suggested learning path is: first read through the official ISACA CISA Review Manual, then reinforce understanding with practice questions, and finally validate readiness with mock exams. Focus on mastering audit frameworks (such as COBIT), risk assessment methodologies, IT governance structures, and disaster recovery/business continuity planning concepts.
Learner experiences
Loading reviews…
我本来做 financial audit 3 年，想转 IT audit 跟我们 Cyber Risk 组。组长直接说"先把 CISA 考下来我再跟 partner 谈"。我完全没 IT 背景，CRM 读了两遍，第一遍几乎没懂，第二遍才开窍。最难的是 Domain 5 Protection of Information Assets — 加密、防火墙、IAM 这些概念对财务背景的人完全陌生。QAE 刷了 3 遍，最后一周做模考稳定 72%-76%。考试当天 4 小时体力真的扛不住，最后 20 题脑子已经糊了全靠审计直觉选。过了之后直接从 senior consultant 升 manager，加薪约 18%。
M. Chen
Senior IT Audit @ Big 4 悉尼办公室（CPA 转 IT Audit） · 通过（约 560 分） · 14 weeks
我在银行内审部做了 7 年，前 5 年做财务内审，最近 2 年转 IT 内审。CISA 对我来说资格没问题，难的是英文题干 — 日本人读 150 道英文长题 4 小时真的要命。我申请了 ESL +30 分钟加时，强烈推荐母语非英语的人都申请这个，免费的。备考策略是 CRM 精读 + QAE 刷满 3 遍。最大的坑是 证据类型题 — ISACA 对"充分（sufficient）"和"适当（appropriate）"的定义跟财务审计几乎一样但措辞不同，做题时一定要按 ISACA 的措辞选，不能凭 CPA 经验。
K. Tanaka
Internal Audit Lead @ 东京某国际银行 · 通过（约 620 分） · 16 weeks
ANAO 给所有 IT audit 岗位报销 CISA 考试费。我是从商业 IT 咨询转政府内审，有 6 年经验。备考时我踩的最大的坑是 忽略了 BCP 和 DRP 的区别 — 早期做题总是把两者混为一谈。BCP 是业务层面的整体计划（包括人员、办公场所、供应链），DRP 只是 BCP 下面 IT 那一块的恢复计划。这个概念 CISA 至少考 3-5 道题，每次混淆就丢一题。另一个坑是 职责分离（Segregation of Duties） 的考法 — CISA 的标准答案永远是"谁都不能同时做授权 + 执行 + 记录 + 审核"这四件事中的任何两件。记住这个原则做题基本不会错。
R. Gupta
政府 IT 审计师 @ 澳洲联邦审计署（ANAO） · 通过（约 510 分） · 18 weeks
Start with the first chapter.
2 free chapters · Full preparation from $39