一、风险管理方向考什么
和风险"管理"这个名字对应，这个方向不考你怎么配防火墙，考的是：
- 信息安全风险评估方法（资产识别→威胁分析→脆弱性评估→风险计算）
- 安全策略制定（从公司级安全方针到具体配置基线）
- 合规管理（等保2.0、ISO27001、数据安全法、个人信息保护法）
- 安全度量指标体系（怎么向老板汇报"安全投入值不值"）
题型：单选70 + 多选10 + 简答3，满分120，84合格 。简答多半是"给个场景让你做风险评估"或"设计合规整改方案"，偏咨询顾问的日常输出物。
二、谁适合考
- 安全咨询顾问——给客户做等保整改、ISO27001咨询的，这个证+等保测评员是标配组合
- 等保测评机构人员——测评师自己持证，报告更有说服力
- 甲方安全架构师、合规岗——尤其金融、医疗、政务这些监管严的行业
- IT技术负责人想转安全管理的——不想卷技术深水区，往管理线走的
三、风险管理方向的"含金量"在哪
说实话，风险管理是五个方向里"最不技术"但也"最吃行业"的一个。它的价值不在"你会不会抓包、会不会写PoC"，而在三件事：
- 对接等保/ISO27001项目——你做咨询或测评，客户问"你团队有什么资质"，CISAW风险管理比随便一个厂商认证硬，因为是CCRC发的国家级。
- 甲方晋升安全架构师——IT主管想往安全负责人走，技术深度不够的情况下，合规+风险这张牌最好打。
- 和公司CCRC风险评估类资质挂钩——和集成/运维/应急一样，做风险评估服务的公司申请CCRC资质，团队里要有CISAW风险管理持证。
四、报考门槛
基础级同上（本科1年/专科3年）。
专业级：本科4年信息安全（其中至少2年风险管理方向）——"风险管理相关"怎么认定？等保测评、合规咨询、风险评估报告撰写这些都算，工作证明写细一点。
五、马老师建议
如果你是想往安全咨询/合规/测评这条路走，马老师给个组合拳建议：CISAW风险管理（基础级） + 等保测评员培训 + ISO27001 LA（审核员），这三张叠一起，在咨询圈基本能打。
如果只是甲方IT负责人想给自己贴个安全标签，那单考CISAW风险管理基础级就够了，复习压力小，和日常工作（等保对接、供应商安全评估）也对得上。
