資安風險管理師必備指南！ISACA CISM 考試通關全紀錄｜工作甘苦談

文/有為中年男子生活札記

每年總是告訴自己說除了工作能力要不斷提升外，也要持續累積專業證照，很開心在 2024/3/18 考過了 ISACA CISM 的考試，也記錄一下考試心得。

▲ISACA CISM 考試通關全紀錄，圖片來源: freepik

在去年參加了 WUSON CISSP 課程及通過 CISSP 考試後，在老師說明當完成 CISSP 後可以接續往 CISM / ISO 27001 / CEH / AWS 雲端等各面向領域證照前進，而我之前剛好就已經有完成後面三個領域的證照，因此就在 2023/7 加入了 ISACA 會員也同步買了考試券，大概在 2023 年 9 月開啟了準備考試的過程。

CISM 考試主要分為以下 4 個 Domain ，配分比重如下

1. INFORMATION SECURITY GOVERNANCE (17%)
2. INFORMATION SECURITY RISK MANAGEMENT (20%)
3. INFORMATION SECURITY PROGRAM (33%)
4. INCIDENT MANAGEMENT (30%)

由於去年有經過 CISSP 的洗禮，相較之下 CISM 看似都是在 CISSP 的涵蓋範圍，因此在準備考試方法我是選擇直接去做官方的模擬練習題，並透過每一題的解釋去了解為什麼這一題要選這個答案，同時註記有哪些題目是我做錯的。如果還是看不懂的話，就回去找一下官方的教材說明又或是將它硬啃進腦袋中。

老實說在接觸官方模擬練習題時，會有種「這四個答案應該都可以選」，又或者是「這四個答案我怎麼都選不出來」的情況，而在反覆練習的情況下慢慢的將 ISACA CISM 所解釋的觀念映入腦中，同時也搭配著 WUSON Jeff 教練的 CISM 筆記來加強深化觀念。

在 2023/12/25 號去新竹恆逸安排了第一次的考試，考試為 150 題，時間有 4 小時可以利用，但由於第一次考試未能有效掌握題意及又對自己過度自信，很多題目可說是秒讀秒選一個「順眼」的答案後就按下一題，在歷經 90 分鐘考試送出結果，得到的是「未通過」三個字在狠狠顯示螢幕上，回想自己應該呆滯了 10–15 秒吧，這也是人生第一次考試失敗。老實說挺挫折的，因為身邊大多數的朋友/同事都是初見殺即通過考試，我是初見被殺的那個人。

回來之後大概休息了一週，決定重新調整自己準備的方式，如果官方模擬題已經做完但還是不行的話，那就再找更多模擬題和資料來念吧，要確保自己的觀念變成了 ISACA 的頭腦。因此我上了 Udemy 額外買了 Thor 老師的 CISM 教材來看，同時也拿到 WUSON 娟娟教練、WUSON 2023/3月班同學額外支援提供了相關筆記給我參閱，此外也感謝神人 Kuro 提供了一些考試應答方式，最後再加上網路資料也有不少模擬題可以加強練習。

釋逢過年期間念書之際，在 2024/2/9 決定再買一次 CISM 的考試券，一開始是抓 4 月底做第二次的挑戰。後續因為公司工作的安排，必須在 4 月底前往國外出差一週，因此想了想那就再往前一下好了，這次就改到 3/25日。而就在 3 月中得知公司即將於 4/1 縮減考試的獎勵補助方式，若在 3/25 考試的話不一定可以在 4/1 前申請完畢，最後再次提前改到 3/18 上場考試。

第二次上場考試就有種似曾相似的感覺，很多題目都和第一次出現的類似，但這次考試我調整了考試的節奏，改以重覆閱讀三次題目再進行作答的方式來應考，以確保我能理解每一題在問什麼。這次就考了約 150 分鐘後進行交卷。交卷前的心情是很緊張複雜的，因為若再次沒考過對家人又是另一種負擔(太太帶小孩很辛苦)，等待了系統處理時間，這次順利的通過了考試 !!!

考完試之後就到官方的支援區找到了這題 QA，Certification Application: How do I apply for certification?

我是走獨立的認證說明頁面，就是上圖第 2.b 的連結，原則上就是做以下三件事，通過考試、付錢及提交年資證明文件，要取得 CISM 必須有 5 年相關經驗，若取得 CISSP 的話則可以折抵 2 年，因此工作經驗只要 3 年以上即可 ( 但我是老人惹，沒有證書我也沒這問題 XD)。

很快的在 2024/3/18 下午 16:30 左右通過考試，當晚便完成上述資格提交，在 2024/3/22 下班回家路上發現證書已經審完核發給我了。

最後還是謝謝 WUSON Bruce 老師營造這共好的讀書及學習環境，看著教練同學都在持續學習成長，自己也是要持續努力加油就是。

後記補充，這是收到正式成績通知的結果，雖說 Domain 3 分數還是沒有很高，但整體來說都有顯著進步了。