【精彩连载】企业安全建设指南 | 安全架构（九）

---

安小圈

第606期

企业 · 安全建设指南

编者按：

《企业安全建设指南 金融行业安全架构与技术实践》——聂君 李燕 何扬军 编著，资深信安专家十余年实战经验的结晶，安全领域多位专家联袂推荐。

本书系统化介绍金融行业中企业信息安全的架构与技术实践，总结了作者在金融行业多年的信息安全实践经验，致力于解决金融企业信息安全“最后一公里”问题，内容丰富，实践性强。

---

第一部分 安全架构

第九章 安全认证

从事安全工作之后，或多或少会接触一些安全认证，根据认证对象不同，可以分为对机构的认证和对个人的认证。对机构的认证主要是ISO（GB/T）系列，如ISO27001、ISO20000等，对个人的认证包括：（ISC）2的CISSP、ISACA的CISA、思科公司的CCIESecurity等。本章将介绍面向个人的认证体系。

9.1 为什么要获得认证

为什么要获得安全认证，或者说获得安全认证有哪些好处?一般来说，获得安全认证的需求来自于以下几点：

·通过认证，提升自身安全知识和技能。这是最朴素的需求，安全行业知识更新很快，绝大多数安全从业人员要想在激烈竞争中不被淘汰，就要通过获得认证，在短时间内快速提升自身安全知识和技能，

特别是补全自己的知识短板，逼迫自己主动学习。笔者刚毕业时，给自己定的目标也是一年至少通过一个重量级安全认证，以此来促使自己主动学习和提升。

·工作需要。很多公司，特别是乙方公司，需要安全证书持有者，用于项目投标等。有的公司为了鼓励员工考取认证，甚至会给予通过认证的员工一定数额的加薪和补助。而很多甲方公司招聘时，在岗位要求中会明确“具有信息安全认证XXX者优先”。以下是几大著名招聘网站，出现相关安全证书岗位数，

如图9-1所示。

图9-1招聘网站出现的安全证书岗位数

·其他需要。有些人考取难度很高、拥有数量极少的认证，纯粹是为了挑战、兴趣等；有人将认证培训当生意，自身首先通过并引入国内。这类需求虽然很少，但也确实存在。

9.2 认证概述

9.2.1 认证分类

安全认证分成以下六类，第三、四、六类我们平常接触较多，最近几年第一、二类认证也逐步开始多起来，第五类参与的人比较少。

第一类：Hacking&Pen Testing certifications

主要是与渗透测试有关的认证，包括：

· Mile2 CPTC-Certified Penetration Testing Consultant

·Mile2 CPTE-Certified Penetration Testing Engineer

·CompTIA Security+(Introduction/Beginner)

·ISACA CSX CYBERSECURITY FUNDAMENTALS CERTIFICATE

(Introduction/Beginner)

·ISACA CSX PRACTITIONER

·7Safe CSTA-Certified Security Testing Associate(British CEH)

·GIAC/SANS GIAC Penetration Tester(GPEN)

·Offensive Security Certified Professional–OSCP

·Offensive Security Wireless Professional–OSWP

·Offensive Security Certified Expert–OSCE

·Offensive Security Exploitation Expert–OSEE

·EC-Council CEH-Certified Ethical Hacker

·EC-Council ECSA-EC-Council Certified Security Analyst

·IACRB Certified Expert Penetration Tester(CEPT)

·IACRB Certified Penetration Tester(CPT)

·ISFCE Certified Computer Examiner(CCE)

·Logical Operations CyberSec First Responder(CFR)

第二类：ComputerForensicscertifications

主要是与计算机取证有关的认证，包括：

·Mile2 CDFE-Certified Digital Forensics Examiner

·Mile2 CNFE-Certified Network Forensics Examiner

·GIAC/SANS GCFA:GIAC Certified Forensic Analyst

·GIAC/SANS GCFE:GIAC Certified Forensic Examiner

·GIAC/SANS GREM:GIAC Reverse Engineering Malware

·GIAC/SANS GNFA:GIAC Network Forensic Analyst

·GIAC/SANS GASF:GIAC Advanced Smartphone Forensics

·ISC2 CCFP-Certified Cyber Forensics Professional

·EC-Council CHFI-Computer Hacking Forensic Investigator

·EnCe:EnCase Certified Examiner.

·IACIS Certified Forensic Computer Examiner(CFCE)

·CyberSecurity Forensic Analyst CSFA

第三类：Management/Otherscertifications

主要是与信息安全管理有关的认证，包括：

·Mile2 CISSO-Certified Information Systems Security Officer

·Mile2 CIHE-Certified Incident Handling Engineer

·Mile2 CHISSP-Certified Healthcare IS Security Practitioner

·CompTIA CASP CompTIA Advanced Security Practitioner

·GIAC/SANS GSLC:GIAC Security Leadership

·GIAC/SANS GISP:GIAC Information Security Professional

·GIAC/SANS GCPM:GIAC Certified Project Manager

·GIAC/SANS GCIH:GIAC Certified Incident Handler

·ISC2 SSCP-Systems Security Certified Practitioner

·ISC2 CISSP-Certified Information Systems Security Professional

·ISC2 CCSP-Certified Cloud Security Professional

·ISC2 CSSLP-Certified Secure Software Lifecycle Professional

·ISC2 HCISPP-HealthCare Information Security and Privacy Practitioner

·EC-Council CCISO-Certified Cheif Information security Officer

·IACRB Certified SCADA Security Architect(CSSA)

·ISACA Certified in Risk and Information Systems ControlTM(CRISCTM)

·ISACA Certified Information Security Manager®(CISM®)

·ISACA Certified in the Governance of Enterprise IT®(CGEIT®)

第四类：AuditingCertifications

主要是与信息安全审计有关的认证，包括：

·Mile2 CISMS-LA-Information Security Management Systems Lead Auditor

·Mile2 CISMS-LI-Information Security Management Systems Lead Implementer

·GIAC/SANS GSNA:GIAC Systems and Network Auditor

·ISACA Certified Information Systems Auditor(CISA)

第五类：WebApplicationsSecuritycertifications

主要是与Web安全有关的认证，包括：

·Mile2 CSWAE-Certified Secure Web Application Engineer

·Offensive Security Web Expert-OSWE

·GIAC/SANS GWEB:GIAC Certified Web Application Defender

第六类：Vendor'scertifications

主要是思科、CheckPoint、Juniper等厂商推出的认证，包括：

·Cisco CCNA Cyber Ops

·Cisco CCNA Security

·Cisco CCNP Security

·Cisco CCIE Security

·Fortinet Network Security Expert(NSE)1 to 8

·Check Point Certified Security Administrator(CCSA)

·Palo Alto Accredited Configuration Engineer(ACE)

·Palo Alto Networks Certified Network Security Engineer(PCNSE)

·Symantec Certified Specialist(SCS)

·Blue Coat X-Series Certified Specialist(BCXCS)

·Blue Coat X-Series Certified Expert(BCXCE)

·Juniper Networks Certified Specialist Security(JNCIS-SEC)

·Juniper Networks Certified Professional Security(JNCIP-SEC)

·Juniper Networks Certified Expert Security(JNCIE-SEC)

9.2.2 认证机构

认证机构主要包括：(ISC)2、CompTIA、OffensiveSecurity、ISACA、GIAC、Mile2、EC-Council等，认证机构和其推出的认证如表9-1所示。

表9-1认证机构及其推出的认证

9.3 选择什么样的认证

2012年7月1日，国际标准化组织(ISO)发布了新修订的ISO/IEC17024标准《合格评定人员认证机构通用要求》。简单说，17024是各类认证官方机构的遵从标准。符合17024的证书列表见图9-2。

图9-2符合17024的证书列表(参见网址 https://www.ansi.org/Accreditation/credentialing/personnel -certification/ALLdirectoryListing?menulD=2&prgID=201&statusID=4)

美国国防部的证书要求见图9-3。

图9-3美国国防部的证书要求

各种热门安全认证排名见图9-4。

图9-4各种热门安全认证排名

从招聘岗位对证书的需求、热门认证排名等综合来看，CISSP、CISA、CISM、CEH等证书的需求和 含金量都不错。 另外像 CCSP 这样推出时间短，又属于新兴领域（云安全）的证书，含金量也是很高的，值得推荐。

安全认证，要结合自身实际情况选择。

9.4 如何通过认证

获得安全认证一般分为两个步骤。先通过认证考试，然后申请证书。大部分厂商颁发的证书(对应第六类认证)在通过认证考试后即可获得，无须申请。有的证书有有效期，有效期之后需要每年维持一定的CPE积分才能保持证书持有资格，比如CISSP、CISA等。鉴于CISSP证书的知名度和影响力，下面以CISSP为例介绍获得证书的基本过程。CISSP证书的持证比例每年都在增长，见图9-5,已成为安全从业人员的首要认证。

图9-5CISSP证书持证增长情况

1.考前准备

根据不同情况，一般复习准备时间约为半年，因人而异。备考资料ALLINONE+官方学习指南。大部分安全从业者英语可能都不太好，因此建议ALLINONE选择看中文版，每章后面都有一个总结，对全章的知识点进行提炼，一定要仔细认真看，这是全章的精华部分。看完中文版之后开始看对应的英文 版，因为中文版是翻译英文版的，看英文版的时候把中文版放在旁边，有不认识的英文长句和英文单 词，直接看中文版，比查字典快。 如果没有时间通读英文版，就只看全章知识点的那部分英文。 具体时间分配： 2个月ALLINONE,2个月官方学习指南，2个月练习题和回顾知识点，最后10天冲刺，最好能够请一周假，全力冲刺。

部分认证是需要参加官方培训才可以报名参加考试，大部分不需要参加官方培训。还有一种方式是借助第三方培训机构。第三方培训机构能够快速传授认证的知识点和关键信息，但具体的知识内容还是需要自己花时间去学习、理解和掌握。第三方机构能够为你节约准备复习材料和报名考试、申请认证 (很多认证都需要英文网站报名和证书申请)的时间，如果自己英文不是很好，时间也不充裕的话，可以考虑第三方机构培训。

资源方面，一般买书之后会附赠一些Onlinetestbank,如图9-6所示。

图9-6买书附赠的一些Onlinetestbank

( https://testbanks.wiley.com )

论坛： http://www.techexams.net/

练习题资源： http://www.briefmenow.org/isc2/

笔者2012年通过了CISSP认证考试并申请获得了证书，根据亲身经历做了总结回顾，感兴趣的读者可以阅读附录A.1“我的CISSP之路”。

2.考试

考试类型：250道选择题。考试语言：中英文。

考试时间：360分钟。

考试中心：北上广深、香港都有考点。及格分数：700(满分1000分)。