استعد لاختبار ⁨CISSP⁩ بخطة مبنية على نتائجك.

مبني على: ISC2 CISSP Certification Exam Outline, effective April 15, 2024

ما الذي يغطيه امتحان ⁨CISSP⁩

يُبنى امتحان شهادة محترف أمن نظم المعلومات المعتمد (⁨Certified Information Systems Security Professional - CISSP⁩) على مخطط امتحان الشهادة (⁨Certification Exam Outline⁩) الذي نشرته ⁨ISC2⁩، والساري منذ 15 أبريل 2024. ويقسّم المخطط المحتوى إلى ثمانية مجالات (⁨Domains⁩) تغطي أمن المعلومات من الحوكمة والمخاطر إلى تطوير البرمجيات، ولكلٍّ منها وزن نسبي:

• الأمن وإدارة المخاطر (⁨Security and Risk Management⁩): 16%، وهو المجال الأثقل وزنًا. يشمل الأخلاقيات المهنية، والمفاهيم الأمنية، ومبادئ الحوكمة الأمنية (⁨Security Governance⁩)، والقضايا القانونية والتنظيمية، وأنواع التحقيقات، والسياسات الأمنية، ومتطلبات استمرارية الأعمال (⁨Business Continuity⁩)، وأمن الأفراد، ومفاهيم إدارة المخاطر، ونمذجة التهديدات (⁨Threat Modeling⁩)، ومخاطر سلسلة الإمداد، وبرامج التوعية الأمنية.
• أمن الأصول (⁨Asset Security⁩): 10%. يتناول تصنيف المعلومات والأصول، ومتطلبات التعامل معها، وتوفيرها بأمان، وإدارة دورة حياة البيانات، والاحتفاظ بالأصول، وتحديد ضوابط أمن البيانات ومتطلبات الامتثال.
• البنية الأمنية والهندسة (⁨Security Architecture and Engineering⁩): 13%. يغطي مبادئ التصميم الآمن، والنماذج الأمنية (⁨Security Models⁩)، واختيار الضوابط، وقدرات نظم المعلومات الأمنية، وتقييم ثغرات البنى، والحلول التشفيرية وأساليب مهاجمتها، وأمن المواقع والمرافق، وإدارة دورة حياة نظم المعلومات.
• أمن الاتصالات والشبكات (⁨Communication and Network Security⁩): 13%. يشمل تطبيق مبادئ التصميم الآمن في بنى الشبكات، وتأمين مكوناتها، وتنفيذ قنوات اتصال آمنة.
• إدارة الهوية والوصول (⁨Identity and Access Management (IAM)⁩): 13%. يتناول التحكم في الوصول المادي والمنطقي، واستراتيجية التعريف والمصادقة، والهوية الموحّدة (⁨Federated Identity⁩)، وآليات التفويض، ودورة حياة توفير الهوية والوصول، وأنظمة المصادقة.
• التقييم والاختبار الأمني (⁨Security Assessment and Testing⁩): 12%. يشمل تصميم استراتيجيات التقييم والاختبار والتدقيق، واختبار الضوابط، وجمع بيانات العمليات الأمنية، وتحليل نتائج الاختبارات وإعداد التقارير، وإجراء عمليات التدقيق.
• العمليات الأمنية (⁨Security Operations⁩): 13%. يغطي التحقيقات، والتسجيل والمراقبة، وإدارة الإعدادات، وحماية الموارد، وإدارة الحوادث (⁨Incident Management⁩)، وإدارة التصحيحات والثغرات، وإدارة التغيير، واستراتيجيات التعافي والتعافي من الكوارث (⁨Disaster Recovery⁩) واختبار خططه، وتمارين استمرارية الأعمال، والأمن المادي وسلامة الأفراد.
• أمن تطوير البرمجيات (⁨Software Development Security⁩): 10%. يتناول دمج الأمن في دورة حياة تطوير البرمجيات (⁨Software Development Life Cycle⁩)، وضوابط بيئات التطوير، وتقييم فعالية أمن البرمجيات وأثر البرمجيات المكتسبة، وإرشادات البرمجة الآمنة ومعاييرها.

صيغة الامتحان ومتطلبات الشهادة

• اللغة وطريقة التقديم: يُقدَّم الامتحان باللغة الإنجليزية بأسلوب الاختبار التكيفي المحوسب (⁨Computerized Adaptive Testing - CAT⁩)، أي أن صعوبة البنود تتكيف مع مستوى أدائك خلال الامتحان.
• المدة: حتى 3 ساعات.
• درجة النجاح: 700 من 1000.
• الخبرة العملية: تتطلب الشهادة خبرة عمل مدفوعة الأجر ذات صلة بمجالات المخطط. راجع ⁨ISC2⁩ لمعرفة المتطلب الدقيق والبدائل المتاحة لمن لم يستوفِه بعد.

ولأن الامتحان تكيفي، فإن الحسم والثقة في كل قرار جزء من المهارة المطلوبة. وتحقق من قواعد التنقل بين البنود وبقية التفاصيل الإجرائية في صفحة الامتحان الحالية لدى ⁨ISC2⁩ قبل الحجز.

كيف ترتبط المجالات ببعضها

لا يختبر ⁨CISSP⁩ التفاصيل التقنية بقدر ما يختبر التفكير الإداري لمختص الأمن. فالمجال الأول، الأمن وإدارة المخاطر، هو العدسة التي يُنظر من خلالها إلى بقية المجالات: كل ضابط تقني يُختار لأنه يعالج خطرًا محددًا في سياق أهداف المؤسسة ومتطلباتها القانونية.

• أمن الأصول يحدد ما الذي نحميه وما قيمته، والبنية الأمنية والهندسة وأمن الاتصالات والشبكات يصفان كيف نصمم الحماية.
• إدارة الهوية والوصول تربط الأشخاص والأنظمة بالأصول وفق مبادئ مثل أقل الامتيازات.
• التقييم والاختبار الأمني يتحقق من أن الضوابط تعمل كما ينبغي، والعمليات الأمنية تديرها يوميًا وتستجيب حين تفشل.
• أمن تطوير البرمجيات يطبق المبادئ نفسها على البرمجيات منذ مرحلة المتطلبات.

ويتكرر في الامتحان مبدأ أن مسؤولية الأمن تبدأ من الإدارة العليا، وأن سلامة الأفراد تأتي أولًا، وأن الحل الأنسب هو الذي يوازن بين الخطر والكلفة وأهداف العمل. لذلك يُنصح بأن تفكر بعقلية المستشار أو المدير، لا بعقلية الفني الذي يبحث عن أقوى أداة.

خطة دراسة واقعية

المرحلة الأولى: خريطة المجالات. اقرأ المخطط كاملًا، وقيّم معرفتك في كل مجال بصدق. فمعظم المتقدمين أقوياء في مجالين أو ثلاثة بحكم خبرتهم، وأضعف في البقية.

المرحلة الثانية: الدراسة حسب الوزن والفجوة. ابدأ بمجال الأمن وإدارة المخاطر لأنه الأثقل وزنًا والأساس المفاهيمي لغيره، ثم وزّع وقتك بين المجالات وفق أوزانها ومدى ضعفك فيها. فالمجالات ذات الأوزان المتقاربة (13%) قد تستحق وقتًا مختلفًا بحسب خلفيتك.

المرحلة الثالثة: التدرب حسب المجال. تدرّب على مواقف مصنفة حسب المجال، واقرأ الشرح دائمًا. ركز على سبب كون خيار ما هو «الأفضل» أو «الأول» من بين خيارات قد تبدو كلها صحيحة، لأن هذا النوع من التمييز سمة متكررة في الامتحان.

المرحلة الرابعة: حلقات معالجة الضعف. سجّل أخطاءك حسب المجال والموضوع الفرعي، وعُد إليها بانتظام. وإن تكرر الخطأ نفسه، فالمشكلة غالبًا في زاوية النظر لا في المعلومة: هل اخترت حلًا تقنيًا حين كان المطلوب قرارًا إداريًا؟

المرحلة الخامسة: التحمل والتركيز. تدرّب في جلسات طويلة متواصلة تقترب من مدة الامتحان، لتعتاد الحفاظ على التركيز وجودة القرار حتى النهاية.

كيف تقيس جاهزيتك

مع ثمانية مجالات متقاربة الأوزان، يسهل أن تخفي النتيجة الإجمالية ضعفًا في مجال أو اثنين. لذا تابع أداءك في كل مجال على حدة، واحرص على ألا يبقى أي مجال متأخرًا بوضوح عن غيره، لأن الامتحان يغطي المجالات كلها.

ومن العلامات المهمة أن يكون أداؤك مستقرًا عبر عدة جولات متباعدة، وأن تستطيع تبرير اختيارك لكل إجابة بمنطق إداري واضح: ما الخطر؟ ومن صاحب القرار؟ وما الإجراء الذي يتسق مع السياسة؟ فإذا كنت تصيب في الإجابة دون أن تعرف السبب، فراجع المفهوم قبل الانتقال. وتذكّر أن الامتحان باللغة الإنجليزية؛ فإن كانت الإنجليزية لغتك الثانية، فاحرص على التدرب على قراءة السيناريوهات الطويلة بها بسرعة ودقة.

أخطاء شائعة في الاستعداد

• التفكير كفني لا كمدير: اختيار الإجراء التقني المباشر بدل الخطوة التي تتسق مع السياسة والحوكمة وتقدير المخاطر.
• الاكتفاء بالمجالات المألوفة: من يأتي من خلفية شبكات قد يهمل أمن البرمجيات أو الجوانب القانونية، والعكس صحيح.
• الحفظ المفرط للتفاصيل الدقيقة: المعرفة التقنية مطلوبة، لكن الامتحان يكافئ فهم المبادئ وتطبيقها أكثر من حفظ الأرقام والمنافذ.
• إغفال سلامة الأفراد والاعتبارات الأخلاقية: هذه الاعتبارات تتقدم في الغالب على حماية الأصول والأنظمة.
• القلق من طبيعة الاختبار التكيفي: لا تحاول تخمين أدائك من صعوبة البنود أثناء الامتحان؛ ركّز على كل بند بمفرده.
• تأجيل التحقق من شرط الخبرة: راجع متطلبات ⁨ISC2⁩ مبكرًا حتى تعرف موقفك قبل التقدم.

الخلاصة

يغطي امتحان ⁨CISSP⁩ ثمانية مجالات، أثقلها الأمن وإدارة المخاطر بنسبة 16%، تليها أربعة مجالات بنسبة 13% لكل منها، ثم التقييم والاختبار الأمني بنسبة 12%، ثم أمن الأصول وأمن تطوير البرمجيات بنسبة 10% لكل منهما. ادرس بعقلية إدارية، ووزّع وقتك حسب الأوزان وفجواتك الشخصية، واقرأ الشروح بعناية، واستعد لامتحان تكيفي باللغة الإنجليزية مدته حتى 3 ساعات ودرجة نجاحه 700 من 1000.