📚 CISM 完整溫書 Notes
Certified Information Security Manager｜ISACA
150 題 4 小時 合格分數 450/800 4 個 Domain ⚠️ 2026年11月3日大更新
Certified Information Security Manager｜ISACA
| 項目 | 詳情 |
|---|---|
| 📝 題數 | 150 題多項選擇題 |
| ⏱️ 考試時間 | 4 小時 |
| ✅ 合格分數 | 450 / 800 分 |
| 🗂️ Domain 數目 | 4 個 |
| 🧠 考試思維 | 管理者角度，唔係技術人員角度 |
| 💰 考試費用 | 會員 USD $575 / 非會員 USD $760 |
| 📅 報名方式 | 全年開放，隨時可報 |
| Domain | 名稱 | 佔分 | 約題數 |
|---|---|---|---|
| Domain 1 | Information Security Governance | 17% | ~25 題 |
| Domain 2 | Information Security Risk Management | 20% | ~30 題 |
| Domain 3 | Information Security Program | 33% | ~50 題 |
| Domain 4 | Incident Management | 30% | ~45 題 |
考你點樣建立同維護一套完整的資訊安全管治架構，確保安全策略同組織業務目標對齊，並符合法規要求。
| 術語 | 全寫 | 解釋 |
|---|---|---|
| ERM | Enterprise Risk Management | 企業整體風險管理框架 |
| COBIT | Control Objectives for Information and Related Technologies | IT 管治框架，最常考 |
| CMM | Capability Maturity Model | 衡量組織流程成熟度 |
| SOX | Sarbanes-Oxley Act | 美國財務資料保護法規 |
| KGI | Key Goal Indicator | 目標達成指標 |
| KPI | Key Performance Indicator | 績效表現指標 |
| KRI | Key Risk Indicator | 風險水平指標 |
| ISO 27001 | — | 國際資訊安全管理標準 |
| NIST CSF | NIST Cybersecurity Framework | 美國國家網絡安全框架 |
考你識唔識識別、評估同回應風險。重點係理解 Risk Appetite（風險承受能力），並選擇合適的 Risk Treatment。
| 術語 | 全寫 | 解釋 |
|---|---|---|
| RTO | Recovery Time Objective | 業務恢復時間目標（最長可接受停機時間） |
| RPO | Recovery Point Objective | 資料恢復時間點目標（最多可接受資料損失） |
| AIW | Acceptable Interruption Window | 可接受中斷時限 |
| SLA | Service Level Agreement | 服務水平協議 |
| TCO | Total Cost of Ownership | 擁有總成本 |
| BIA | Business Impact Analysis | 業務影響分析，係 BCP/DRP 的基礎 |
| ALE | Annualized Loss Expectancy | 年化損失預期值 |
| SLE | Single Loss Expectancy | 單次損失預期值 |
| ARO | Annualized Rate of Occurrence | 年化發生率 |
考你點樣設計、執行同管理一個完整的 Information Security Program，包括整合唔同部門、制定政策、培訓員工、管理供應商，以及持續衡量成效。
| 術語 | 全寫 | 解釋 |
|---|---|---|
| SDLC | System Development Life Cycle | 系統開發生命週期，需嵌入安全要求 |
| PKI | Public Key Infrastructure | 公鑰基礎設施，用於加密認證 |
| SIEM | Security Information and Event Management | 安全事件管理系統 |
| DLP | Data Loss Prevention | 資料外洩防護 |
| MDM | Mobile Device Management | 流動裝置管理 |
| ISO 27001 | — | 資訊安全管理系統國際標準 |
| NIST SP 800 | — | 美國國家標準安全指引系列 |
| 級別 | 例子 | 保護程度 |
|---|---|---|
| Public（公開） | 公司網站、宣傳資料 | 最低 |
| Internal（內部） | 內部通告、員工手冊 | 一般 |
| Confidential（機密） | 客戶資料、財務報告 | 高 |
| Restricted（高度機密） | 密碼、加密金鑰、核心源碼 | 最高 |
考你對事故的準備、應對、調查同事後改善能力。要識區分 Event vs Incident，並懂得整合 IRP、BCP、DRP 三大計劃。
| 術語 | 全寫 | 解釋 |
|---|---|---|
| IRP | Incident Response Plan | 事故應對計劃 |
| BCP | Business Continuity Plan | 業務持續計劃（業務層面） |
| DRP | Disaster Recovery Plan | 災難復原計劃（IT 系統層面） |
| BIA | Business Impact Analysis | 業務影響分析，係三大計劃的共同基礎 |
| RTO | Recovery Time Objective | 最長可接受停機時間 |
| RPO | Recovery Point Objective | 最多可接受資料損失時間點 |
| APT | Advanced Persistent Threat | 高階持續性威脅 |
| IMT | Incident Management Team | 事故管理團隊 |
| CSIRT | Computer Security Incident Response Team | 電腦安全事故應對團隊 |
重點：針對安全事故的即時回應
目標：快速識別、遏制、恢復
層面：安全事故即時處理
重點：確保業務在災難中持續運作
目標：維持關鍵業務功能
層面：業務運作層面
重點：恢復 IT 系統及數據
目標：最小化停機時間及資料損失
層面：IT 系統層面（係 BCP 的一部分）
| 框架 / 標準 | 主要用途 |
|---|---|
| ISO 27001 | 資訊安全管理系統（ISMS）國際標準 |
| NIST CSF | 網絡安全框架，五大功能：Identify / Protect / Detect / Respond / Recover |
| COBIT | IT 管治框架，連接 IT 目標與業務目標 |
| ITIL | IT 服務管理最佳實踐 |
| PCI DSS | 支付卡行業資料安全標準 |
| GDPR | 歐盟個人資料保護法規 |
| 概念 | 分別 |
|---|---|
| Policy vs Procedure vs Guideline | Policy = What（做咩）｜ Procedure = How（點做）｜ Guideline = 建議性（可跟可唔跟） |
| Threat vs Vulnerability vs Risk | Threat = 潛在威脅 ｜ Vulnerability = 漏洞 ｜ Risk = Threat × Vulnerability × Impact |
| BCP vs DRP | BCP = 業務層面持續運作 ｜ DRP = IT 系統恢復 ｜ DRP 係 BCP 的一部分 |
| Risk Appetite vs Risk Tolerance | Appetite = 整體風險取向 ｜ Tolerance = 具體可接受上限 |
| RTO vs RPO | RTO = 最長可接受停機時間 ｜ RPO = 最多可接受資料損失量 |