ISACA Certified Information Security Manager (CISM)

Certified Information Security Manager（CISM）是 ISACA 从 2002 年开始颁发的信息安全管理认证，定位非常清晰 — 它只给"管"安全的人，不给"做"安全的人。全球累计持证人数约 7 万，数量远少于 CISSP（16 万）和 CISA（15 万），但在 CISO、Security Director、Head of Information Security 这类岗位的 JD 里出现频率比 CISA 更高，薪资中位数也是 ISACA 所有证里最高的。

CISM 不是你"读两本书就能考"的证。它有三道门槛：

门槛一：5 年安全工作经验，其中至少 3 年必须在"管理岗位"

ISACA 的要求比 CISSP 更严格也更挑岗位：

• 总共 5 年 信息安全相关带薪全职经验
• 其中至少 3 年 必须在 CISM 四大领域（治理、风险、计划、事件）里的管理岗位
• 可以用学历或其他证书抵扣最多 2 年（本科抵 2 年、硕士抵 1 年、持有 CISA/CISSP/CGEIT 等可抵 1 年），但这 2 年只能抵"总 5 年"里的部分，那 3 年管理经验不能抵扣

注意这个细节 — 很多人以为有 5 年 SOC Analyst 或 Security Engineer 经验就能拿 CISM，错。ISACA 会在 endorsement 阶段要求你的直线经理或 CISM 持证人签字证明你确实在"管理"职能（制定策略、管理团队、决定预算、向高管汇报），单纯做技术活的 senior engineer 是不符合的。没经验可以先考，考试成绩 5 年内有效，补齐再申请认证。

门槛二：150 题 / 4 小时 / 450 分通过（线性考试）

CISM 是传统线性考试，不是 CAT。150 道选择题，240 分钟，200-800 分制，450 分通过。可以在 PSI 考试中心或远程在线监考进行。评分是 scaled score，实际原始正确率通常要 70%+ 才稳。

门槛三：费用与维护

报名费 ISACA 会员 $575 USD / 非会员 $760 USD（会员年费 $135，第一次考试通常先入会更划算）。考过后每年至少 20 CPE、3 年 120 CPE，加上每年 $45（会员）/ $85（非会员）AMF。这是终身成本。

4 大考试领域（2022 年新版考纲权重）

1. Information Security Governance — 17%（治理、策略、与业务对齐）
2. Information Security Risk Management — 20%（风险评估、处置、监控）
3. Information Security Program — 33%（最重，安全计划开发、控制实施、资源管理）
4. Incident Management — 30%（事件响应、BCP/DRP、事后复盘）

注意 Program + Incident 合计 63% — 如果你只读 governance 和 risk 的理论，考场上会被打懵。ISACA 明确把考点从"知道是什么"转向"作为 manager 你会怎么做"。

CISM vs CISSP vs CISA 三证对比（最常见的选证问题）

| 维度 | CISM | CISSP | CISA | |------|------|-------|------| | 颁发机构 | ISACA | ISC2 | ISACA | | 定位 | 安全管理者 | 安全全栈（技术+管理） | IT 审计师 | | 适合岗位 | CISO、Security Director、Risk Manager | Security Architect、SOC Manager、Consultant | IT Auditor、GRC Analyst、Compliance | | 经验要求 | 5 年（含 3 年管理） | 5 年（任意 2 个 CBK） | 5 年审计相关 | | 考试 | 150 题 / 4 小时 / 线性 | 100-150 题 / 4 小时 / CAT | 150 题 / 4 小时 / 线性 | | 报名费 | $575/$760 | $749 | $575/$760 | | 技术深度 | 低（全是管理题） | 中（8 大 CBK 覆盖广） | 中（审计 + 技术） | | 全球持证 | 约 7 万 | 约 16 万 | 约 15 万 |

一句话选证：想走 CISO / 安全管理 → CISM；想做 Security Architect / 全栈安全 → CISSP；想做 IT Audit / GRC → CISA。CISM 和 CISSP 有约 30% 知识重叠（治理、风险、IR），但考法完全不同 — CISSP 会问"加密算法的 key length 是多少"，CISM 只会问"作为 ISM 你该如何向董事会汇报加密合规风险"。