準備報考 CISSP，很多人最先關心的都是幾個問題：CISSP 難度到底有多高？700 / 1000 的合格分數應該怎樣理解？網上常見的 CISSP 合格率又是否可信？看過不少 CISSP 考試心得後，反而更容易被不同說法弄亂。
先講最容易被誤解的一點：ISC2 並沒有公開全球 CISSP 合格率，亦明確表示不會向培訓機構披露 pass-rate 資料。因此，網上流傳的「20%」「30%」或其他首次合格率，只能視為非官方說法，不應當成正式統計。真正可以由官方核實的，是 CISSP 現時採用 3 小時、100 至 150 題的 CAT 考試，合格標準為 700 / 1000，而亞太區標準考試費為 US$749。
1. CISSP 2026 考試重點一覽
先把考試形式、費用和合格標準放在一起看：
| 項目 | 2026 CISSP 考試資料 |
| 考試時間 | 3 小時 |
| 題目數量 | 100-150 題 |
| 考試形式 | Computerized Adaptive Testing (CAT) |
| 題型 | Multiple-choice 及 Advanced Item Types |
| 合格標準 | 700 / 1000 |
| 亞太區標準考試費 | US$749（實際稅項按考試地點計算) |
| 考試範圍 | 8 大 Domain |
| 考試中心 | ISC2 授權的 Pearson VUE Testing Centers |
CISSP 採用 CAT，代表每位考生遇到的題目數量和難度組合都可能不同。最低完成 100 題後，系統會根據能力估算及統計規則判定是否可以結束考試；因此不能只用「答對幾多題」去推算自己是否合格。
2. CISSP 考試費用是多少？
香港屬於 ISC2 的 Asia Pacific 收費區域。現時 CISSP 考試費用為 US$749；如需要改期，ISC2 現行收費為 US$50，取消考試則為 US$100。實際稅項會按考試地點而定。
如果第一次未通過，重考並沒有較低的「retake fee」。ISC2 FAQ 列明，每次重新應考都需要支付完整考試費，除非考生購買的 exam voucher 包含 Peace of Mind Protection。
現行重考等候期為：
- 第一次未通過：最少等待 30 日後才可再考
- 第二次未通過：由最近一次考試起等待 60 日
- 第三次及之後未通過：由最近一次考試起等待 90 日
- 同一項 ISC2 認證在 12 個月內最多可應考 4 次
所以，如果你正在計算 CISSP 的整體考試成本，除了第一次的 US$749，也值得把可能的重考費用和等待時間一併考慮。如果你準備在香港報考，亦可以先了解 香港 CISSP 考試報名流程與考場注意事項，確認 Pearson VUE 預約、考場及考試當日安排。
3. CISSP 合格分數及合格率是多少？
700 / 1000 是否代表答對 70%？
不是。ISC2 公布的 CISSP 合格分數是 700 / 1000，但這並不等於「答對 70% 題目就一定合格」。CISSP 使用 CAT，系統會根據考生在不同題目上的表現持續估算能力，再與合格標準比較。
完成考試後，考生會收到 Pass / Fail 結果，而不是一個實際數字分數。未通過的考生則會收到各 Domain 的能力水平資料，方便之後找出較弱範疇。
CISSP 考試合格率到底有多少？
如果你搜尋 CISSP 合格率、首次合格率或失敗率，網上會見到很多不同數字，但 ISC2 並沒有公布官方全球 pass rate。ISC2 亦明確提醒，培訓機構不應以所謂「高 pass rate」作保證，因為官方不會向培訓機構披露這類資料。
因此，比起追問一個沒有官方基礎的百分比，更有用的是了解自己的工作背景是否覆蓋 8 大 Domain，以及能否適應 CISSP 的管理判斷和 CAT 答題方式。
4. CISSP 難度高在哪裡？
CISSP 有一定難度，但「難」不代表每個人都難在同一地方。對 Network Security 工程師來說，通訊與網絡安全可能較熟悉；對 Technology Risk 或 Audit 背景的人士，Governance 和 Risk 可能較容易掌握，但 Security Architecture 或 Software Development Security 就需要補強。
難點一 — 8 大 Domain，知識範圍廣
| CISSP Domain | 比重 |
| Security and Risk Management | 16% |
| Asset Security | 10% |
| Security Architecture and Engineering | 13% |
| Communication and Network Security | 13% |
| Identity and Access Management (IAM) | 13% |
| Security Assessment and Testing | 12% |
| Security Operations | 13% |
| Software Development Security | 10% |
ISC2 現行 Exam Outline 涵蓋以上 8 大 Domain。對很多考生來說，真正的挑戰不是完全不懂資訊保安，而是自己的工作經驗通常集中在其中幾個範疇。
例如做網絡的人未必熟悉 Software Development Security；做 Security Operations 的人可能較少接觸 Asset Classification；做 Audit 或 Risk 的人士亦可能需要補足 Architecture、IAM 或 Network Security。CISSP 因此很難只靠單一強項應付。 如果你想按 8 大 Domain 分配溫習時間，可延伸閱讀 CISSP 備考攻略 2026：90 天溫習計劃與 8 大領域重點。
難點二 — 不只是技術題，而是技術＋管理判斷
CISSP 面向有經驗的資訊保安從業員、經理及管理人員，ISC2 對認證的定位亦同時強調技術與管理知識。這代表題目不一定只問「哪個技術控制最強」，很多時候更重要的是判斷：在目前角色、風險、政策及業務背景下，哪一個做法最合適？
例如遇到安全事故，技術人員可能直覺想立即隔離系統或修改設定；但情境題亦可能要求你先考慮事故應變流程、證據完整性、管理責任或業務影響。這也是不少純技術背景考生在 CISSP 題目中最需要適應的地方。
難點三 — CAT 提交答案後不能回頭
CISSP 的 CAT 會根據之前的作答重新估算考生能力並選擇下一題，因此一旦提交答案，就不能返回查看或修改。這與不少可以先跳題、最後再檢查的考試很不同。
ISC2 亦解釋，CAT 會選擇預計考生大約有 50% 機會答對的下一題，因此即使整體表現不錯，考試過程仍可能持續覺得題目很有挑戰性。考生需要習慣在有限資訊下作出判斷，答完便繼續下一題。
5. CISSP 難不難考？先看自己的背景
與其只看網上的 CISSP 合格率，不如先問自己三個更實際的問題：
- 8 大 Domain 中，有多少是自己的工作強項？如果經驗集中在一至兩個技術範疇，就要預留更多時間補其他 Domain。
- 做情境題時，是否經常直接跳到技術解決方案？如果是，就要加強 Risk、Governance、Process 及 Management Perspective。
- 是否習慣不能回頭改答案的 CAT 節奏？如果平時依賴「先跳過、最後再看」，正式考試前尤其需要調整。 如果你仍在比較不同資訊保安認證的方向，也可以參考 CISA、CISSP、CISM 應該怎樣選？，再按自己的工作背景決定是否以 CISSP 為優先。
至於 CISSP 報考資格、香港 Pearson VUE 報名流程、備試時間及自學安排，建議分開按「報考」與「備試」兩個階段準備；相關延伸閱讀已在上文按需要連結。
至於 CISSP 報考資格、香港 Pearson VUE 報名流程、備試時間及自學安排，建議分開按「報考」與「備試」兩個階段準備；相關延伸閱讀已在上文按需要連結。
6. 有意準備 CISSP 考試？
KORNERSTONE 現時的 CISSP 課程為 48 小時 Instructor-led Training，涵蓋現行 8 大 Domain，並包括 Real Case Study Analysis、Mock Exam 及 Exam Drill 等培訓內容。如果你更關心取得認證後可以怎樣配合資訊保安工作的發展，可再看 CISSP 職業發展路徑。
如果你想了解更多有關 CISSP 課程、上課時間、費用或備試安排，歡迎透過 Course Enquiry 聯絡我們的培訓顧問。
