如果你從事 IT Audit、Cybersecurity、Technology Risk 或資訊保安管理，相信對 CISA、CISSP 和 CISM 這三項專業認證都不會陌生。
CISA、CISSP、CISM 有甚麼分別？本文從考試難度、工作重點、適合人士及發展方向比較三大資訊保安認證，助你按自己的工作背景選擇合適認證。
如果你從事 IT Audit、Cybersecurity、Technology Risk 或資訊保安管理，相信對 CISA、CISSP 和 CISM 這三項專業認證都不會陌生。
三者經常被放在一起比較，適合的工作範疇亦有一定重疊，但實際上各有不同重點。到底 CISA vs CISSP、CISA vs CISM、CISM vs CISSP 有甚麼分別？哪一張較適合自己？其實沒有哪一張一定「最好」，關鍵是看你的工作內容，以及下一步想向哪個方向發展。
1: CISA、CISSP、CISM 有甚麼分別？
先簡單看看三者的核心定位：
1.1 CISA：IT Audit、Control 與 Assurance
CISA（Certified Information Systems Auditor）由 ISACA 頒發，主要涵蓋資訊系統審計、IT Governance、Risk、Control 及資訊資產保護。
如果你的工作涉及 IT Audit、Technology Risk、Internal Control 或 Assurance，CISA 通常較貼近日常工作。
1.2 CISSP：涵蓋較廣泛的資訊保安知識
CISSP（Certified Information Systems Security Professional）由 ISC2 頒發，涵蓋技術及管理兩方面，目前共有 8 大 Domain，由 Security & Risk Management、Security Architecture 到 Network Security、IAM 及 Security Operations 等。
如果你本身是 Security Engineer、Security Architect，或希望進一步走向 Security Management，CISSP 的知識範圍會較全面。
1.3 CISM：著重資訊保安管理
CISM（Certified Information Security Manager）由 ISACA 頒發，主要涵蓋 Information Security Governance、Risk Management、Security Program 及 Incident Management。
如果你已經負責資訊保安管理，或者正準備由技術職位走向管理層，CISM 會較切合。
2. CISA vs CISSP vs CISM
表格：CISA vs CISSP vs CISM －從四大範疇全面比較
| 對比維度 | CISA (資訊系統審計師) | CISSP (資訊系統安全專家) | CISM (資訊保安經理) |
|---|---|---|---|
| 工作重點 | 審計、評估、控制、監察 (Focus: Audit & Control) |
設計、實施、管理資訊保安方案(Focus: Security Operations & Architecture) | 管治、風險管理、合規策略 (Focus: Governance & Strategy) |
| 知識領域 | 5 大知識域（偏重審計流程及 IT 管治） | 8 大知識域（技術內容最深入，涵蓋範圍最廣） | 4 大知識域（偏重業務目標及風險管理） |
| 考試難度 | ★★★★☆ 難點在邏輯判斷，需要具備審計思維 |
★★★★★ 普遍被視為最難，情境題較多，知識點亦較多 |
★★★★☆ 題目較著重管理思維，需要具備較豐富的管理經驗 |
| 適合人士 | IT 審計師、內部審計、四大會計師事務所顧問 | 資訊保安工程師、資訊保安架構師、IT 總監 | IT 經理、CIO、風險總監 |
資料來源：綜合 ISACA 及 (ISC)² 官方考試指引。
CISA、CISM、CISSP 難易度：哪個比較難？
不少人在比較 CISA CISM CISSP 難易度時，最常問的都是：「到底哪一張最難考？」
一般來說，CISSP 的備考範圍較廣。考試涵蓋 8 大 Domain，而且同時涉及技術及管理知識，所以需要掌握的內容較多。
CISA 的難點則較集中於 Audit、Risk 及 Control 的思考方式。如果本身一直從事技術工作，較少接觸審計，可能需要時間適應題目的判斷邏輯。
至於 CISM 難度，內容較集中於資訊保安管理，但很多題目會從 Governance、Risk、Security Program 及 Incident Management 的角度出發。如果沒有相關管理經驗，同樣有一定挑戰。
所以 CISA vs CISSP difficulty 其實沒有一個適用於所有人的答案。
如果你本身是 Auditor，可能會覺得 CISA 較容易理解；相反，如果一直從事 Cybersecurity 技術工作，CISSP 的部分內容可能反而比較熟悉。
3: CISA、CISSP、CISM 可以一齊考嗎？
3.1 可以同時持有這些認證嗎？
當然可以。這種組合在不少資深 IT 管理人員之中亦相當常見，三項認證的方向雖然不同，但本身並不互相排斥。
3.2 常見的發展路向
以下只作方向參考，並不是固定的升職路線。
例子1： CISSP → CISM （由技術職位轉向資訊保安管理）
如果你本身有較廣泛的 Cybersecurity 背景，之後逐步走向管理層，CISSP + CISM 會是一個合理的組合。
前者建立較全面的資訊保安知識，後者則較集中於 Governance、Risk 及 Security Management。
例子2： CISA → CISSP （由審計／科技風險發展至高級審計或資訊保安顧問管理）
對同時接觸 IT Audit、Control 與 Cybersecurity 的人士來說，CISA 和 CISSP 有一定互補性。
CISA 偏向 Audit、Assurance 及 Control；CISSP 則進一步涵蓋 Security Architecture、Network、IAM、Security Operations 等更廣泛的資訊保安範疇。
As yo隨着職責轉變，從業員可因應不同階段的需要，適時考取相應認證。ur responsibilities change, the certification that is most useful to you may change as well.
4. CISA、CISSP、CISM 應該怎樣選？
選擇沒有絕對的對錯，最重要的是選擇較配合自己工作和發展方向的認證：
- 如果你的目標是進入會計師事務所 (Big 4)、銀行內部審計部，或你的工作主要涉及合規檢查，可優先考慮CISA 。
- 如果你是技術或 Cybersecurity 背景，希望進一步證明自己在網絡安全、加密及架構設計方面的專業能力，那麼 CISSP 認證 會更適合你。
- 如果你已經是管理層，希望加強自己在資訊保安管治方面的知識框架，CISM 會是相當合適的選擇。
如果仍未拿定主意，歡迎透過 Course Enquiry 聯絡我們的培訓顧問，我們會根據你的履歷和發展方向，為你度身訂造學習計劃。
