Associate of ISC2：那些考过了却没有经验的人所处的状态

没有五年经验就通过了考试，你得到的是 Associate of ISC2：这是一种会员资格， 不是认证，同时给你一段时间去补齐缺少的年限。在这些经历中，该话题以两种形式出 现：一种是发现考过并不等于拿证之后的失落，另一种是主动的选择——趁复习内容 还新鲜就早点考掉，之后再慢慢积累经验。关于这些规则的官方依据仍然是 isc2.org。

Associate of ISC2 状态是什么？

考过了考试却不满足经验条件的人，拿到的就是这个状态。这些经历中表述最清楚的一 条，来自一位会计与商业分析专业的应届毕业生，他完全没有安全从业经验，在一 百题时就通过了考试：

"Technically anyone can take it, but passing the exam without the required experience will only allow for an Associate of ISC2 membership without the certification (which is my case)."

“严格来说谁都可以考，但在没有所需经验的情况下考过，只能拿到 Associate of ISC2 的会员资格，没有认证（我就是这种情况）。”

有两点值得注意。这是一种会员资格，不是认证：CISSP 这个头衔并没有拿到 手，连部分都算不上。而且考试本身并不以经验设限——核查发生在下一步，也就是 endorsement。

不过 Associate 也不是没有义务。其中一位这样描述自己的处境："i will have to annually pay my membership maintenance and gather 15 CPE"（“我每年都要缴会 员维持费，并攒够十五个 CPE”）。他说明自己指望用 Security+ 从五年里抵掉一 年。确切的金额与数量都是 ISC2 的规则，须以官方公布的为准。

有多长时间来补齐经验？

这是这些经历中分歧最明显的一点。在同一个讨论帖里，两位成员给出了两个不 同的答案：

经历中的说法	原始表述	状态
5 年	"You can be an associate and you have 5 years to gain the 5 years of expierence"	无出处
6 年	"You actually have 6 years as an associate to gain your experience."	无出处，以纠正的口吻提出

两句话分别译为：“你可以做 Associate，有五年时间去取得那五年经验”，以及 “作为 Associate，你实际上有六年时间去积累经验”。

两条留言都没有指向任何官方页面，我们也不作判断：适用的期限以 isc2.org 上公布的为准。

这些经历对期限届满之后会发生什么同样只字未提——考试成绩是否作废、能否 延期、要不要重考：没有成员讲述自己走到过这个节点。

简历和 LinkedIn 上可以写什么？

这是社区态度最坚决的一点，也是它唯一明确与 ISC2 职业道德准则挂钩的一点：

"You are not a CISSP and you cannot refer to yourself as being a CISSP until you’ve been properly credentialed by ISC2. You can’t even put things like 'CISSP In Progress' or 'Passed CISSP exam' on your resume. At most, you can only put 'Associate of ISC2'. And quite frankly, most recruiters aren’t even going to know what that means."

“在 ISC2 正式给你发证之前，你不是 CISSP，也不能自称 CISSP。你甚至不能在简 历上写‘CISSP In Progress’或‘Passed CISSP exam’这类东西。最多只能写 ‘Associate of ISC2’。而且说实话，大多数招聘人员根本不知道那是什么意思。”

这一条同时排除了三种写法：头衔本身、“进行中”的说法，以及提及考试已通过。理 由是职业道德层面的——ISC2 的职业道德准则要求会员对自己的职业声明保持诚实， 其文本由 ISC2 公布。

在实际操作中，谨慎的考生把这条规则同样用在口头表达上。其中一位在 endorsement 之前参加求职面试，这样概括自己的做法："I was very careful to state that I had only provisionally passed CISSP"（“我非常小心地说明，我只是临时通过了 CISSP”）。

这个状态在招聘方眼里有价值吗？

要看谁在读：这些经历给出了两种相反的答案，而在各自的语境下两种都站得住。

在泛泛的评论中，怀疑占上风："most recruiters aren’t even going to know what that means"。理由很简单——没人认得的头衔起不到信号作用。与之相伴的还有一 条同样被广泛认同的提醒：CISSP 不是入门级证书，把它写成初级岗位“加分项”的招 聘启事是脱离实际的。

反过来，一位二十岁的考生完全接受自己的状态："I know, associate of isc2 works for all of my immediate goals though"（“我知道，不过 Associate of ISC2 足以满足我眼下所有的目标”）。他的雇主只要求考过考试——在那些出钱资助 认证、或按合同要求持证的机构里，这种情形很常见。

关于这位考生要补充一点，因为他在本站另一处以另一个角度出现过：两处说的是 同一位作者，也就是“Failed at 100, passed at 100”那个帖子的作者。这位考生 自述有约三年网络安全经验；他第一次尝试时十九岁，在第一百题失败，原因是 把全部赌注押在管理者思维上而忽视了技术面，随后第二次尝试时二十岁通过。 我们收集的没有网络安全经验的考生记述 里引用的是那次最初的失败，而让他在这里获得 Associate 状态的是那次通过。同 一个人的一段经历、两个阶段——不是结果矛盾的两个人。

因此，这个状态的价值取决于谁在读它：面对通用型招聘人员几乎为零，面对了 解这套机制的雇主则确实有价值。考生的经历中没有任何地方量化过 Associate 状 态对薪资或面试的影响——那些关于立竿见影的回报、招聘方主动接触和加薪的记 述，涉及的全都是已完成全部 endorsement 的考生；它们汇集在 持证者的职业发展总结。

应该早点考，还是等到有经验再考？

这场争论在论坛上一直有，而且没有定论。考生经历中记录到的双方论点如下：

• 早点考：趁复习内容还新鲜就把考试拿下，Associate 状态的倒计时与经验的 积累同时进行，而且有些雇主只看是否考过。最引人注目的案例是一位靠 4.5 年 经验加 SSCP 抵免、23 岁就完成全部 endorsement 的考生：他当时在找比自己更 年轻的人，并指出 "many were still Associates of ISC2 rather than fully certified CISSP holders with verified experience"（“很多人还只是 Associates of ISC2，而不是经验经过核实、完整持证的 CISSP”）。
• 等一等：相反的立场是针对同一则记述提出的，依据是这张认证的初衷。 "CISSP was not meant for a 23-year-old. […] the intent of this certification was for seasoned professionals not for someone that can pass a test."（“CISSP 不是为二十三岁的人设计的。［……］这张认证的用意是面向经验丰 富的专业人士，而不是面向一个会考试的人。”）同一个帖子里马上有人拿出反 例：一位 22 岁通过、同时持有 PMP 的女性考生。

还要加上一条技术性的论点：一线运维经验未必能让人为这场考试做好准备，因为考试要 求的是管理者的思路。"5 years of experience is great, but if it’s not in that managerial role then it won’t be as useful as you think." 因此，等到攒满五 年经验并不保证考试考得更好。

考生的经历并未在这些立场之间分出高下，也没有任何按工作年限比较通过率的数 据。

怎样从 Associate 变成正式的 CISSP？

把缺少的经验积累起来，再走 endorsement 流程让它得到认可——这套流程与一开始 就满足条件的考生完全相同。然而这恰恰是这些经历中记录最少的部分：所分析的五 十份经历里有几位成为了 Associate，却没有任何一份详细讲述转为正式 CISSP 的过程。不过仍有两点比较明确：

• 那一年的抵免在这个计算中依然可用，多位 Associate 表示指望它（Security+、 SSCP）；
• 在此期间，Associate 需要维持自己的会员资格：年费与 CPE。

至于其余部分——重新打开申请、更换 endorser、已积累 CPE 的去向、期限届满而经 验仍未凑齐——应遵循 ISC2 所描述的做法。

要评估你目前的经历离五年还有多远，见 CISSP 的经验要求。 关于这些经历的来源及其局限，见 我们的方法，全部主题见 博客或 Cybridia。