在資訊安全威脅日益升高、企業數位轉型加速的今天，單純的技術能力已無法滿足企業對資安領導者的需求。如何建立完善的資訊安全治理架構、有效管理風險並制定長期資安策略，成為企業高階主管最重視的能力之一。而 CISM（Certified Information Security Manager） 正是全球公認的資訊安全管理權威證照。

CISM 由 ISACA 主辦，是全球資訊稽核與資安治理領域最具影響力的專業組織之一。CISM 認證專注於「資訊安全管理」與「風險導向治理」，適合希望晉升資安主管、IT 經理或 CISO 的專業人士。

在本次公佈的最新變化中，最受關注的莫過於將於 2026 年 11 月 3 日正式啟用的新版考試大綱（ECO）。新版大綱將在現有的四大領域基礎上，深度整合「企業架構」與「資訊安全架構」的概念。具體而言，資訊安全治理領域的權重將調整為 17%，重點強化安全策略與業務目標的一致性；資訊風險管理佔 20%，強調動態風險評估的重要性。變動幅度最大的是資訊安全計畫開發與管理（33%）以及資訊安全事件管理（30%），這兩大部分將納入更多關於雲端安全治理、供應鏈風險管理以及自動化事件響應的細節。此舉旨在考驗候選人是否能在快速變化的數位轉型環境中，建立具備彈性且符合成本效益的安全框架。

這次內容的更新對全球資安市場具有深遠影響。由於 CISM 認證與企業高層管理決策密切相關，考試內容的調整將直接引導企業在招募資安主管（CISO）時的評判標準。業界專家指出，納入安全架構的要求，意味著未來的資安經理不僅需要具備管理思維，更需理解技術底層如何支撐整體業務流程。對於考生而言，這不僅是考試難度的提升，更是職業競爭力的重塑。隨著企業對合規性與資料隱私的要求日益嚴苛，持有最新版 CISM 認證的專業人士將在薪資議價與職位晉升中佔據絕對優勢。

一、CISM 是什麼？為什麼含金量這麼高？

CISM 是專為資訊安全管理層設計的國際認證。與偏重技術操作的資安證照不同，CISM 強調：

• 資安治理（Governance）

• 風險管理（Risk Management）

• 安全計畫管理（Security Program Management）

• 事件應變管理（Incident Management）

企業需要的不是只會設定防火牆的工程師，而是能夠「制定策略、控管風險、建立制度」的管理者。CISM 正是驗證這種能力的標準。

在金融業、政府機構、跨國企業與大型上市公司中，CISM 被視為資安管理職的黃金證照。

---

二、CISM 考試架構與內容詳解

目前 CISM 考試共分為四大領域，題目以情境題為主，強調決策優先順序與管理思維。

1️⃣ Information Security Governance（資訊安全治理）

• 建立資安策略與政策

• 與企業目標對齊

• 建立 KPI 與績效衡量

• 資安組織架構設計

此領域重點在「如何從高階管理角度規劃整體資安方向」。

---

2️⃣ Information Risk Management（資訊風險管理）

• 風險識別與評估

• 風險分析與排序

• 風險處理策略（避免、轉移、降低、接受）

• 持續監控機制

CISM 很強調「風險導向思維」，幾乎每一題都圍繞風險優先順序展開。

---

3️⃣ Information Security Program（資訊安全計畫管理）

• 建立安全框架

• 安全架構設計

• 資源分配與預算規劃

• 第三方風險管理

這部分是考試中比例較高的內容，務必熟悉。

---

4️⃣ Incident Management（事件管理）

• 事件應變流程

• 通報機制

• 數位鑑識

• 業務持續性（BCP）與災難復原（DR）

常考「第一步該做什麼」與「最佳管理決策」。

---

三、CISM 考試資訊

• 題數：150 題選擇題

• 時間：4 小時

• 評分：200–800 分

• 通過分數：450 分

考試為全球統一標準，全年可預約考試。

四、CISM 與 CISA 差異比較

比較項目	CISM	CISA
證照定位	資安管理	資訊稽核
核心思維	治理與決策	控制與審計
適合對象	資安經理	IT 稽核師

若你未來目標是管理職，CISM 更加合適。

五、CISM 備考攻略

1️⃣ 建立完整框架思維

不要死背定義，要理解治理邏輯與風險排序。

2️⃣ 熟悉「最佳答案」模式

很多題目沒有絕對對錯，而是選「最優先」或「最有效」。

3️⃣ 大量練習情境題

CISM 非常重視題感與判斷力，建議至少完成 1500 題以上模擬題。建議參照考證寶（KaozhengPro）CISM考古題進行練習。

六、CISM 通關建議讀書時程（8 週計畫）

第 1–2 週：建立四大領域基礎
第 3–5 週：深入理解風險與治理邏輯
第 6–7 週：搭配考證寶（KaozhengPro）考古題密集刷題
第 8 週：錯題整理＋模擬考衝刺

建議考前模擬成績穩定達 75% 以上再上場。

七、CISM 值得考嗎？

如果你符合以下條件，CISM 非常值得投資：

✔ 想往資安管理職發展
✔ 希望提升薪資與職位
✔ 想建立國際認可專業身份
✔ 企業要求管理層具備國際證照

CISM 不只是考試，而是一種資安治理思維的養成。

總結

CISM 是全球資訊安全管理領域的頂級證照，由 ISACA 主辦，專注於治理與風險管理能力。相較於技術型證照，CISM 更適合希望晉升管理層的專業人士。

想順利通過 CISM，關鍵在於：

• 理解風險導向邏輯

• 熟悉管理決策優先順序

• 大量練習情境題

• 搭配高品質考證寶考古題系統化刷題

展望未來

ISACA 表示 CISM 的持續進化是為了因應人工智慧（AI）與機器學習在資安領域的應用。雖然 2026 年的新大綱已納入多項前瞻性議題，但隨著技術迭代速度加快，未來的考核標準可能會更頻繁地融入關於 AI 治理與倫理安全的內容。對於現有的認證持有者或計畫應考的專業人士，建議密切關注官方釋出的新版考試指南與實務案例研究，以確保專業知識能持續引領行業發展。