CRISC認證針對具有IT風險管理以及IS控制設計、實施、監(jiān)督和維護經(jīng)驗的人員而設計。
三 (3) 年以上（含）信息技術(shù)風險管理及信息系統(tǒng)控制工作經(jīng)驗。不允許替代或免除工作經(jīng)驗。
| 考試語言 | 中文考試/英文考試 |
| 考試形式 | 在線機考 |
| 考試費用 | 詳詢艾威課程顧問 |
| 考試時間 | 隨約隨考（提前1-4周做報考） |
| 考試時長 | 4小時（國內(nèi)線下考場考試時間： 09:00-13:00/13:00-17:00） |
| 考試題型 | 150道單選題。 |
| 通過條件 | 獲得標準分 450 分通過（滿分 800 分），即110 題及格。 |
26%-領(lǐng)域1：治理
治理領(lǐng)域詢問您關(guān)于組織的業(yè)務和IT環(huán)境、組織戰(zhàn)略、目標和目的的信息的知識，并檢查IT風險對組織的業(yè)務目標和操作的潛在或已實現(xiàn)的影響，包括企業(yè)風險管理和風險管理框架。
| A-組織治理 1 組織戰(zhàn)略、目標和目的 2 組織結(jié)構(gòu)、角色和職責 3 組織文化 4 政策和標準 5 業(yè)務流程 6 組織資產(chǎn) | B-風險治理 1 企業(yè)風險管理和風險管理框架 2 三道防線 3 風險狀況 4 風險偏好和風險承受能力 5 法律、法規(guī)和合同要求 6 風險管理的職業(yè)道德 |
20%-領(lǐng)域2：IT風險評估
該領(lǐng)域?qū)⒆C明您對組織的人員、流程和技術(shù)面臨的威脅和漏洞的了解，以及威脅、漏洞和風險情景的可能性和影響。
| A-IT風險識別 1 風險事件(如促成條件、損失結(jié)果) 2 威脅建模和威脅前景 3 漏洞和控制缺陷分析(例如，根本原因分析) 4 風險情景開發(fā) | B-信息技術(shù)風險分析和評估 1 風險評估概念、標準和框架 2 風險登記冊 3 風險分析方法 4 業(yè)務影響分析 5 固有和剩余風險 |
32%-領(lǐng)域3：風險應對和報告
該領(lǐng)域處理關(guān)鍵利益相關(guān)方之間風險處理計劃的開發(fā)和管理、現(xiàn)有控制的評估和提高IT風險緩解的有效性，以及對適用利益相關(guān)方的相關(guān)風險和控制信息的評估。
| A-風險應對 1 風險處理/風險應對選項 2 風險和控制所有權(quán) 3 第三方風險管理 4 問題、發(fā)現(xiàn)和異常管理 5 管理新出現(xiàn)的風險 B-控制設計和實施 1 控制類型、標準和框架 2 控制設計、選擇和分析 3 控制實施 4 控制測試和有效性評估 | C-風險監(jiān)控和報告 1 風險處理計劃 2 數(shù)據(jù)收集、匯總、分析和驗證 3 風險和控制監(jiān)控技術(shù) 4 風險和控制報告技術(shù)(熱圖、記分卡、儀表板) 5 關(guān)鍵績效指標 6 關(guān)鍵風險指標 7 關(guān)鍵控制指標 |
22%-領(lǐng)域4：信息技術(shù)和安全性
在這一領(lǐng)域，我們探討業(yè)務實踐與風險管理和信息安全框架和標準的一致性，以及風險意識文化的發(fā)展和安全意識培訓的實施。
| A-信息技術(shù)原則 1 企業(yè)架構(gòu) 2 IT運營管理(例如，變更管理、IT資產(chǎn)、問題、事故) 3 項目管理 4 災難恢復管理(DRM) 5 數(shù)據(jù)生命周期管理 6 系統(tǒng)開發(fā)生命周期 7 新興技術(shù) | B-信息安全原則 1 信息安全概念、框架和標準 2 信息安全意識培訓 3 業(yè)務連續(xù)性管理 4 數(shù)據(jù)隱私和數(shù)據(jù)保護原則 |
任務
| 1 收集和審查關(guān)于組織的業(yè)務和IT環(huán)境的現(xiàn)有信息。 2 確定IT風險對組織的業(yè)務目標和運營的潛在或已實現(xiàn)的影響。 3 識別組織的人員、流程和技術(shù)面臨的威脅和漏洞。 4 評估威脅、漏洞和風險，以確定IT風險情景。 5 通過分配和驗證適當級別的風險和控制所有權(quán)來建立責任。 6 建立和維護信息技術(shù)風險登記冊，并將其納入企業(yè)范圍的風險狀況。 7 促進關(guān)鍵利益相關(guān)方確定風險偏好和風險承受能力。 8 通過促進安全意識培訓的發(fā)展和實施，促進風險意識文化。 9 通過分析IT風險情景并確定其可能性和影響來進行風險評估。 10 確定現(xiàn)有控制措施的當前狀態(tài)，并評估其降低IT風險的有效性。 11 審查風險分析和控制分析的結(jié)果，以評估IT風險環(huán)境的當前狀態(tài)和期望狀態(tài)之間的任何差距。 12 促進關(guān)鍵利益相關(guān)者選擇建議的風險應對措施。 13 與風險所有人合作制定風險處理計劃。 14 在控制措施的選擇、設計、實施和維護方面與控制措施所有者合作。 15 驗證風險響應已根據(jù)風險處理計劃執(zhí)行。 16 定義和建立關(guān)鍵風險指標(kri)。 17 監(jiān)控和分析關(guān)鍵風險指標。 18 與控制負責人協(xié)作確定關(guān)鍵績效指標(KPI)和關(guān)鍵控制指標(kci)。 19 監(jiān)控和分析關(guān)鍵績效指標(KPI)和關(guān)鍵控制指標(kci)。 20 審查控制評估的結(jié)果，以確定控制環(huán)境的有效性和成熟度。 21 向適用的利益相關(guān)方報告相關(guān)的風險和控制信息，以促進基于風險的決策。 22 評估業(yè)務實踐與風險管理和信息安全框架及標準的一致性。 |
* 以上內(nèi)容參考ISACA官方的CRISC考試內(nèi)容說明，原文內(nèi)容參見：點此>>
ISACA官方考試說明，在線預覽↓↓↓
ISACA-Exam-Candidate-Guide以我現(xiàn)在的基礎，考CRISC能考幾分？
CRISC考試難不難？通過率怎么樣？ 預約模擬自測