当两份 CISSP 答案解析互相矛盾时，谁是对的？

当两份答案解析互相矛盾时，原因几乎总是这三者之一：版次不同、学理来源不同，或者一处真正 的编辑错误——知识体系本身是稳定的。分歧本来就是常态：在 2023 年至 2026 年间考生 分享、并为本专题重新审阅过的 138 道练习题中，有 13 道让社区长期分成两派，还有少数 几场争论确实仍未有定论。本文不复现任何题干，所引用的立场都是考生的看法，而非 ISC2 的 官方解析。

为什么两份官方答案解析会给出不同的答案？

因为“官方”涵盖了好几种东西：同一家出版方会推出学习指南、试题集、手机应用和复习题， 它们出自不同的作者，写于不同的时期，依据的是不同的学理来源。

考生的经验分享在一道业务连续性的题上给出了一个典型案例：下列哪项行动属于业务连续性计划？ 一本试题集把答案判给了一项容错措施，理由是连续性是主动的、恢复是被动的；ISC2 的官方 应用则把答案判给了切换到备用站点，理由是一项长期存在的预防性措施不会出现在一个需要被 激活的计划里。两种推理都站得住脚：它们分别出自对连续性与恢复之间边界的两种不同定义。

另外三种原因也反复出现。首先是版次上的错位：一道关于分配网络地址时所交换报文的题，被社区 认为写得不好，他们把它的答案视为一处从一版沿用到下一版的编辑失误——同时也承认，在题干的 另一种读法下，书上的答案仍然说得通。

其次是学理上的漂移。一道关于把一批仍然可用、仍在获得更新的设备成批更换的题，得到的答案 诉诸了停止支持；评论者回应说，仍在接收补丁的硬件并不是停止支持，而是计划性淘汰。该讨论串 的结论是：连口碑不错的资料也会出错。

最后是框架上的分歧。一道问该以什么依据来论证购买某项控制措施的题，把一个年度化的风险度量 和一个投资回报度量对立了起来：一派按风险管理推理，另一派按投资决策推理。两个框架都有人教， 而题目没有说明它调用的是哪一个。

due care 还是 due diligence：这道题有稳定答案吗？

没有。这是经验分享中最有教益的一个案例：同一道题在三年里出现了五次，几乎一字不差， 而已发布的答案解析在两个概念之间各执一词。被考的原则始终是同一个：某人准确、及时地履行 其职责的义务，应该怎么称呼？

有三个来源把答案判给 due diligence，只有一个判给 due care，而每一次都有一部分社区 成员质疑该答案。流传的助记法本身也是互相矛盾的：

“Due Diligence = Do Detect; Due Care = Do Correct”

这一条最为普遍，对于执行性的行动，它把人推向 due care。但在论证最充分的讨论串里 获得认同的那种解释，把视角反了过来：due care 是“理性人”的宽泛标准，而 due diligence 是 它的一个具体组成部分，即准确、按时地履行一项被委托的职责——这个表述几乎被原封不动地写进了 题干。

因此该采取的做法不是死记某个字眼，而是掌握分歧的轴线：一边是一般性的审慎标准，另一边是 对一项被指派职责的可核查履行。两派在一点上是一致的：当题目一字不差地照搬了某本教材的定义时， 对的是这本教材，而不是通行的行业用法。

社区质疑一份官方答案时该怎么办？

要区分两种截然不同的情形：是这份答案错了，还是这份答案对了、只是读者不接受它的理由。

考生的经验分享中有一个遭到大规模质疑的案例，关于软件供应链。一位负责文档审查的人员在某个 供应商处发现了严重的缺失，而答案期待她撤销该组件的运行授权。获赞最多的那些评论者认为， 一个评估者未经影响分析就单方面撤销一项关键授权是荒谬的；大多数人会出一份报告。这道题在 七个月后被重新贴出，结论相同：分歧在于评估者角色与决策者角色之间的分离，而它从未被裁定。

反过来，好几份一开始被判为错误的答案，在读完解释之后却显得很扎实。一位考生质疑一道关于 业务恢复演练准备度测试的答案，直到有人提醒他，在非生产环境中进行的脚本化演练并不会干扰 生产。另一位质疑一道关于管理权限的答案，他很有道理地指出它描述的是一种糟糕做法——但题目 设定了一条明确的约束，而这个答案回应了它。

用来分辨的测试只有两步核实。官方解释是否建立在一个可以归属到某个权威来源的定义之上？ 如果是，就为了考试采用它，哪怕你在办公室里并不这么做。它是否忽略了题干中的某条明示条件， 或者在同一章的不同题目之间自相矛盾？那就把它标记为可能的错误，然后放下不管。

有两位自称是 ISC2 命题人的参与者顺带提醒了到底考的是什么：

“As an exam writer for the CISSP, I can absolutely say that is NOT what we are looking for. Understanding the concepts and how to apply them, is.”

“作为 CISSP 的命题人，我可以明确地说，那不是我们要找的东西。理解这些概念并知道 如何运用它们，才是。”

如何识别一道由 AI 生成的题或一份 brain dump？

考生的经验分享中有七道题，它们出自人工智能这一点，要么由发帖人自己声明，要么被评论者识别 出来。它们的特征相当稳定，可以列出来。

信号	它说明了什么
十行的场景，罗列出一整套完整的安全栈	生成出来的布景，与提问无关
两问合一的题目：既要风险又要推荐的控制措施	真实考试中不存在的题型
选项把某个风险与一个不对路的补救措施配在一起	自动生成、未经复核
题干内部自相矛盾	缺少专家审校
答案取决于角色，却没有给出任何角色	无法作答的题
纯定义题，入门级难度	难度校准远低于考试
没有引用任何来源，被追问出处	疑似 brain dump

评论者的判决很干脆：其中一道题被称作“AI slop”，另一道因为没有给出角色而被宣布无法 作答，第三道推荐用一个硬件安全模块来对付侧信道攻击——一个并不处理所述风险的补救措施。

brain dump 的情况更严重，因为它牵涉的既是效率也是职业操守。考生的经验分享至少记录了一道题， 版主指出它很可能来自一个盗版题库，这也终结了讨论。一个传播真实考题的题库违反了保密协议， 而它的答案没有任何教学价值。

还剩一个中间类别：认真但未经验证的社区题库，评论者称之为“非常难而且并未完全验证”。它们的 特征是：除非把题目重写一遍，否则谁也说不出它们的答案凭什么成立。对这些来源的甄别， 是我们的 CISSP 资源对比的主题， 那里采用的是同一条标准：题库的价值取决于它的解析。

哪些题目引发的分歧最多？

按领域的分布很有教益：领域 1“安全与风险管理”占了 138 道题中的 38 道，遥遥领先于安全运营 （24 道）、身份管理（21 道）和架构（18 道）。它同时也是分歧最集中的领域，原因很简单： 它的概念是定义性的，而它们的边界是约定俗成的。

五个方面集中了绝大部分争议。已经描述过的 due care / due diligence 之分。业务连续性与 灾难恢复之间的边界。责任链，其中的正确答案取决于所给的选项：当董事会没有被列出时，就取 可用选项中最高的那一级。安全治理的定义。以及硬件生命周期的词汇：停止销售与停止支持之别。

反过来，某些看似棘手的概念其实完全稳定：威胁、脆弱性与风险；控制基线的范围界定与裁剪； 事件响应的各个阶段；知其所需（need to know）。当你在这些概念上答错时，问题是知识缺口， 而不是一份可疑的答案。

最后一个参照：经验分享中有好几道题被认为过于钻技术细节，同时反复出现这句提醒—— “CISSP is NOT a technical exam”。一道过于技术化的题目上有争议的答案，很少构成翻开教材的理由。

有争议的概念该复习还是该放下？

从经验分享中得出的规则取决于频率，而不是难度。

如果这个概念在你的题库里反复出现——上面那五个方面就是如此——那它值得复习，但不是你以为的 那种复习：要做的不是记住一个答案，而是学会两种彼此竞争的定义，以及那个让天平倒向其中一边 的判据。

如果这道题是孤立的、写得很糟、自动生成的，或者来源不明，答案很干脆：跳过。这类题目的真实 代价不是丢掉的那一分，而是被消耗掉的时间和信心——而这两样资源，光是 考前需要做完的题量 就已经让它们紧绷了。死磕一份可疑的答案，也被列在 最常见的复习错误之中。 另外，把每道题放在它自己的真空里处理，不要试图调和各个来源。

最后还剩下那个让任何题库变得有用的动作：要求它给出解释。一份只是指出正确选项的答案， 甚至不能让人察觉它自己错了。这正是 Cybridia 采用的原则，它的 4,298 道题每一道都 配有一段解析，说明错误答案为什么是错的——这也是这批经验分享唯一毫无保留推荐的复习动作。

关于题干的阅读，见答题方法； 关于选项的排除，见 排除干扰项。 这批经验分享的局限，在我们的方法中有详细说明。