CISSP自适应考试这么反人类吗……答得越好题越难?

CISSP 有一种很特别的心理杀伤力：你会怀疑自己在考场上崩了，但其实你正在被算法认可。

这件事的根源，是它的考试机制——CAT（计算机自适应测试）。

这篇把 CAT 讲透：它怎么运作、为什么每个人题量都不一样、为什么"题越来越难"其实是好消息，以及在这个机制下该怎么调整备考和考场策略。

01 先说一个关键时间点

ISC2在全球范围内的所有CISSP考试都以计算机化自适应考试(CAT)形式进行。

从2025年10月1日起，CC、CCSP和SSCP、CISSP也将只提供CAT形式的考试。

基于与线性固定形式考试相同的考试内容大纲，CAT是对您的能力更精确、更有效的评估。

你在网上看到的"考 250 道题""固定题量""靠背题"这类信息，已经过期了。

CISSP 现在的规则是：

• 题量：100 到 150 题之间浮动

• 时长：最长 3 小时（180 分钟）

• 及格分：700 分（满分 1000）

• 形式：全部语言统一 CAT

注意"100 到 150"这个区间，它是理解这个考试的第一把钥匙。

02 CAT 到底怎么运作

把它拆成一条流程，其实不复杂：

第一步：以中等难度的题目开场。

第二步：根据你的作答实时调整。

• 答对 → 下一题更难

• 答错 → 下一题更容易

第三步：算法持续估计你的"能力值"。

它做的不是"数你答对了几道题"，而是根据你答对的题的难度来估算你的能力水平。答对一道难题，对能力估计的贡献远大于答对一道简单题。

第四步：在某个时刻结束考试。

考试有三种结束方式：

• 算法达到统计置信度——它已经足够确定你在合格线之上还是之下，就结束

• 你做完 150 题——算法还没收敛，就按当前估计做最终判定

• 3 小时时间到——按已回答的题目判定

最低 100 题里，有 25 题是不计分的预试题（pretest）。 也就是说，理论上你最少要答对 75 道计分题才能通过。

关键：那 25 道预试题你无法辨认。 所以唯一合理的策略是——把每一道题都当计分题来答。

03 为什么有人 100 题就结束，有人做到 147 题

这是 CAT 最容易被误读的地方。

题量本身不说明你考得好还是差，它说明的是"算法收敛得快还是慢"。

• 表现稳定的人：算法很快就能确定你的水平，可能在 100 题左右就结束

• 表现波动的人（某些领域强、某些领域弱）：算法需要更多题目来确认你到底在哪条线附近，会做到接近 150 题

所以"题做得越多越危险"这个说法不准确，"题少就稳了"也不准确。

真实情况是：题量多通常意味着你卡在合格线附近，算法拿不准。但卡在线上的人，通过和没通过的都有。

04 最难受的一点：不能回头改

CAT 的另一个硬规则：答案一经确认就锁定，不能返回修改。

对一个习惯"先把会做的做完，回头再检查"的考生来说，这条足以改变整个做题策略：

• 没有"最后一轮检查"的机会

• 开局不能赶——因为你没法回头补救

• 每道题都要当成最终答案来交

这也是很多人第一次接触 CAT 时最不适应的地方。

05 "题越来越难"到底是好是坏

现在说到这篇的核心。

考场上最典型的心理崩溃是这样的：前 20 题还算顺手，从第 30 题开始，题目越来越难，越来越难，最后整个人都懵了——我是不是要挂了？

这个读法正好是反的。

题目越来越难，说明算法判断你的水平在合格线之上，正在往上探你的上限。

反过来想：如果你一上来就答错，算法会给你更简单的题——题目变简单不代表你会过，可能只是它在往下探。

有经验的考生总结过一句话："如果题目感觉一路都在往难里走，说明算法认为你可能在标准线以上，正在努力确认。"

把"题难"读成"我要挂了"，然后在心理上先崩掉——这是 CAT 考场上最可惜的失分方式，因为丢的不是知识，是心态。

06 分数怎么算：700 分不是 70%

这是另一个高频误解。

700 / 1000 是标度分（scaled score），不是"答对 70%"。

它是由难度加权的表现算出来的一个能力估计值。带来的直接结果是：

两个考生做的是完全不同的题目，但都可以以 700 分通过。 因为他们向算法证明的能力水平是等价的。

同时也意味着：考试过程中，你完全不知道自己在线上还是线下。 没有任何反馈告诉你"这题答对了""现在几分"。

你唯一能做的，就是把每道题答好，然后相信算法会在该结束的时候结束。

07 备考策略必须跟着变：不能押题，不能偏科

CAT 的机制决定了旧策略的失效。

为什么不能押题？

因为题库是动态抽取的，没有固定卷。你押中的概率极低。

为什么不能偏科？

这是更重要的原因——如果你在某个领域连续失分，算法会很快把你的能力估计往低压，然后把题目难度整体下调。 一旦被压到线附近，后面就要花更多的题去爬回来。

CISSP 覆盖八个领域，其中安全与风险管理、资产安全、安全评估与测试、软件开发安全这几块的权重分布在两位数，没有哪一块是可以放弃的。

所以备考的正确方向是：均衡覆盖，重点理解"决策逻辑"，而不是背控制点。 因为它的题目问的是"作为安全管理者，你会怎么选"，而不是"这个标准定义是什么"。

08 通过之后：背书和续证

通过考试只是第一步。

成绩当场可知，但正式认证还需要经过 (ISC)² 的背书审核：你会收到背书邮件，审核通常需要几周时间。

报考条件里有一条硬门槛：需要累积一定年限的相关工作经验（学历或已持有的相关认证可以减免部分年限）。经验不够的人可以参加考试，通过后成为 (ISC)² 的 Associate，等攒够年限再转正式会员。

拿到证书之后要维护：每 3 年需要累积 120 个 CPE（继续教育学分），并且每年缴纳年费。

费用参考：考试费约 749 美元（不同地区有差异），改期、取消各有费用，持证后年费约 135 美元。

写在最后

把 CISSP 的 CAT 机制压缩成四句话：

• 题量不固定：100 到 150 题，取决于算法什么时候确认你的水平

• 难度会跟着你走：答对变难，答错变简单

• 题越难往往是好信号：说明算法认为你在线上

• 不能回头改：所以每道题都要认真交

心态崩掉的人，通常不是知识不够，是误读了"题变难"这个信号。

所以进考场前，请把这句话记住：你不需要知道自己在不在线上，你只需要把眼前的这一题答好。

考过 CISSP 的朋友，欢迎留言说说你当时做到多少题——我很好奇，大家是不是都在 140 多题那一段最难受。