以下是我在国盟安全月刊中发表过的一篇文章，拿来做第一篇日志

信息安全专家成长之路   

Great Gu  （CCIE CISA CISSP MCSE JNCIS）

自己认识和经验的一份拙作。

信息安全专家的职业领域是非常广博并且需要很强的技术经验。因此，一个信息安全专家必须在信息安全领域尽可能地

拓展宽度和深度（例如 物理安全，业务连续性和法律）。

I.获得实际的经验

作为一个技术专家，必须先建立一个基础。对管理和网络牢固的认知是一个良好的开始。然后再学习怎样加固普遍的操作

系统和使用一个易懂的黑客技巧。美国军方是一个很棒的地方去获得信息安全经验。当然国内我们也有很多黑客论坛和

学习小组去获得这样的经验。因为他们在黑客技术流行的很早以前已经致力于信息安全。

下一个步骤是加入著名安全组织的当地分部。ISSA信息系统安全协会将是首选。ISACA信息安全审计和控制协会和

Infragard也是非常可靠的组织。积极参加广泛的信息安全小组并且创造属于你自己的职业网站吧。

II.通过认证

通过获取认证增加你的知识和经验。找出你的盲点并且根除他们。不要填塞地去通过一个认证考试。你的同伴和经理将会

通过这张纸回溯你的过去。相反的，努力去学习知识并且赢得认证。集中于配置和管理一个综合的信息安全项目所需要的

技术。目前有两种基本类型的认证，管理和技术。我推荐先从CISSP开始。它是领先的信息安全管理认证。(ISC)2协会

允许申请者在缺乏申请证书所需的必要经验前提下参加CISSP考试。从那开始，候选人可以保持这样的模式直到他们满足

经验要求。通过学习CISSP，你将可以覆盖到信息安全职业领域所必需的广度并且发现你技术构建的弱点。CISM也是

一个类似的认证，可以考虑。从此开始，我建议在防火墙方面获得经验和认证。沿着这样的路径，你将获得一个管理认证

（“一英里宽一英寸深”）并且通过动手经验证明你的技术能力。SANS保持着牢固的技术安全认证。商业组织也为他们

各自的软件和操作系统提供认证。例如Cisco CCIE ；Microsoft  MCSE等。在获得CISSP证书和其它牢固的技术认证后，

可以选择参加CISA考试。因为它是一个非常具有代表性的IT审计认证。

III.采取控制
信息安全专家的成长之路是一个发现过程（是旅程，不是终点）。经过时间的变化你的需求和建议将随着你的发现，你在

技术和职业领域的职发展而变化。这样，你将开始蜕变成一个专项的专家。考虑到你对各个领域的兴趣和市场对拥有此项

技术人员的需求（例如 操作风险，业务持续和舞弊）。

IV.职业规划图

在以上的这个例子里，他的职业生涯以一个系统管理员为开端，进而转变为一个信息安全工程师的角色。在拥有五年经验

后，他通过了CISSP和CISM的考试。下一步他转移到信息安全审计的角色并且获得了CISA认证。在此时，我们的专家已

经获得了足够担任管理角色的经验。相反的，他也可以继续去获取信息安全职业领域的其它经验。比如信息隐私和操作

风险，伴随着有相应的认证（CIPP和CRP）。在这样的情况下，我们的专家已经在信息安全职业领域获得了足够多的经验

并且对他的职业生涯呈现多种选择。他可以转移到管理层，转换为业务操作层，或者离开去另一个组织，甚至步入独立咨

询的领域。这样的职业生涯并不是固定的。因为一些人可能会选择不同的路径，例如在取证和渗透测试方面获得非凡的

专业能力。但是重点是区别你和其它的竞争者，掌握和享受你的职业。

附录：当今安全界流行的认证

Cisco   CCIE-security

(ISC)2  CISSP CISSP-ISSAP,ISSEP,ISSMP SSCP CAP CSSLP

ISACA  CISA CISM CGEIT

SANS   GISP GCFW GCIA等

NSA INFOSEC Assessment Methodology (IAM)