目的： 奠定安全基础，理解风险。
做什么： 理解和应用安全治理原则（如 CIA 三要素：机密性、完整性、可用性）；制定、传达和维护安全策略、标准、程序和指南；理解并应用合规性要求（法律、法规）；进行风险管理（识别、评估、处置风险）；理解业务连续性 (BC) 和灾难恢复 (DR) 要求；理解并应用安全控制框架（如 ISO 27001, NIST CSF）；理解职业道德规范。
2.资产安全 (Asset Security – 数据是核心)：
目的： 识别和保护核心资产。
做什么： 识别和分类信息与资产（所有者、管理者、用户）；确定和维护信息与资产的拥有权；制定保护隐私的要求和策略；确保数据安全（生命周期的各个阶段：创建、存储、使用、传输、归档、销毁）；建立资产保留策略；确定数据安全控制（如加密、DLP）；处理资产处置（介质清理、销毁）。
3.安全架构与工程 (Security Architecture and Engineering - 技术防线中枢)：
目的： 设计安全的基础架构和系统。
做什么： 理解和应用安全设计原则（如最小特权、纵深防御、失效安全）；理解安全模型（如 Biba, Bell-LaPadula）；评估和缓解系统漏洞（基于架构、设计、解决方案元素）；理解并应用密码学（PKI、数字签名、抗抵赖协议…）；设计和实施物理安全措施（站点选址、设计、设施安全）；设计和规划安全工程（如可信计算基、安全能力）。
4.通信与网络安全 (Communication and Network Security – 安全护盾)：
目的： 保护网络和通信安全。
做什么： 设计和保护网络架构（如 OSI/TCP/IP 模型、SDN, 云网络）；确保网络组件安全（路由器、交换机、防火墙、IDS/IPS、VPN、负载均衡器）；实施安全通信通道（如 TLS/SSL, IPsec, VoIP 安全）；理解和防护网络攻击（如 DDoS, MiTM, 端口扫描）。
5.身份与访问管理 (Identity and Access Management – IAM，零信任的基石)：
目的： 控制“谁能访问什么”。
做什么： 控制对资产的物理和逻辑访问；识别和认证用户/设备/服务（如 MFA, 生物识别）；管理身份生命周期（供应、维护、回收）；实施访问控制模型（如 DAC, MAC, RBAC, ABAC）；管理访问授权机制（如单点登录 SSO, Federation）；实施并管理身份存储库（如目录服务）；管理会话；实施和管理特权账号管理（如 PAM）。
6.安全评估与测试 (Security Assessment and Testing – 有效性验证)：
目的： 验证安全措施的有效性。
做什么： 设计和执行安全评估策略；进行安全控制测试（如渗透测试、漏洞扫描）；收集安全过程数据（如日志监控、审计跟踪）；进行内部和第三方审计；分析测试输出和生成报告；实施软件安全保证（如代码审查、动态/静态分析）。
7.安全运营 (Security Operations – 日常防御)：
目的： 日常监控、检测与响应。
做什么： 理解并支持调查（如证据收集、处理、电子取证）；实施日志记录和监控活动（如 SIEM）；执行配置管理（如基线、变更管理）；应用基础安全操作概念（如特权分离、职责分离、最小特权）；实施资源保护技术；实施事件管理（检测、响应、报告、恢复、补救）；实施预防措施（如防病毒、沙箱）；实施补丁和漏洞管理；理解并参与灾难恢复 (DR) 和业务连续性 (BC) 运营；管理物理安全运营；管理人员安全（如安全意识培训）。
8.软件开发安全 (Software Development Security – 内建安全)：
目的： 在软件生命周期中内建安全。
做什么： 理解并应用安全在软件开发生命周期 (SDLC) 中的集成（如敏捷、瀑布、DevSecOps）；识别和缓解软件环境的安全风险；定义和应用安全编码标准和准则；识别和评估软件安全漏洞（如 OWASP Top 10）；评估软件采购的安全性；理解并应用安全的软件配置、部署和运维实践。
说一下这8个知识域的关系。它们并非孤立存在，而是按“治理层→资产层→架构层→访问层→网络层→运营层→内生层→验证层”的逻辑构成防御链：
核心思想
价值驱动：所有信息安全活动最终目标都是最大化信息系统对业务的价值，支撑战略决策和业务目标，确保业务的连续性和稳定性（尤其是确保数据的安全）。
全面安全管理：覆盖从战略治理到技术落地的全生命周期，包含了密码学、安全漏洞、身份验证、灾难恢复、软件开发安全、通信安全…等21个企业都会遇到的安全议题。
技术与管理并重：既注重安全技术的应用，如加密技术、访问控制技术等，也强调安全管理的重要性，如安全策略制定、人员培训等。
03 学CISSP - CBK到底有哪些用处？
1.标准化的知识框架，消除认知壁垒
CBK 涵盖 8 大领域（安全与风险管理、资产安全、通信与网络安全等），是行业内首个统一的 “安全知识字典”。无论从业者背景（开发、运维、管理），都能通过 CBK 建立共识，避免 “各说各话” 的沟通成本。
2.解决实际问题的 “方法论工具箱”
不同于理论化的教材，CBK 强调 “实践导向”：例如在 “安全与风险管理” 领域，不仅讲解风险评估模型，更提供 “如何平衡业务灵活性与安全合规” 的落地思路；在 “身份与访问管理” 中，直接给出 “零信任架构的实施路径”。
3.职业进阶的 “知识地图”
CBK 的知识模块与信息安全岗位体系高度匹配：技术岗可聚焦 “通信与网络安全”“安全工程”；管理岗可深耕 “安全与风险管理”“治理与合规”；架构岗则需贯通全领域 —— 帮助从业者精准定位能力短板，规划成长路径。
04 为什么学CISSP - CBK，而不是其他体系？
信息安全领域存在多种知识体系和框架，但CISSP - CBK具有其独特的优势：
覆盖范围更全面，不 “偏科”
CBK 是唯一覆盖 “技术 + 管理 + 合规 + 架构” 的信息安全全领域知识体系，其框架覆盖八大核心领域，内容最为完整和系统化，是行业里的“事实标准”。
权威性与时效性领跑行业
由全球顶尖专家持续修订CBK知识体系，2025 年最新版本已纳入 “AI 安全治理”“量子计算威胁”“元宇宙数据保护” 等前沿领域，权威性和时效性方面领跑整个行业。
全球认可的 “通用语言”
其他体系多存在地域或行业局限，而 CBK 作为 (ISC)² 的核心框架，已成为跨国团队协作的 “默认知识标准”。 无论你是从事国内企业的安全管理，还是跨国公司的信息安全事务，CBK都能帮助你建立适应全球环境的信息安全管理知识。
4.企业招聘优先门槛
众多全球企业将 CISSP 列为技术高管（CISO/安全总监）及核心岗位的必备或优先条件，显著提升职业天花板。
总结一下：
CISSP-CBK的核心价值在于：为你提供系统的信息安全思维、通用的专业语言和前人的宝贵经验，最终提升你成功实施信息安全项目的能力，并增强你个人在信息安全领域的职业价值。
CISSP在艾威长期有开课，欢迎评论区留言或者私信咨询！！返回搜狐，查看更多