CISM คืออะไร — คู่มือเตรียมสอบฉบับสมบูรณ์ 2569

ถ้าคุณอยู่ในตำแหน่ง IT Security Manager หรือกำลังมุ่งหน้าสู่การเป็น CISO — CISM (Certified Information Security Manager) จาก ISACA คือ Certification ที่ถูกออกแบบมาสำหรับคุณโดยเฉพาะ ไม่เน้น Technical แต่เน้น Governance, Risk Management, และ Program Management บทความนี้จะพาคุณเข้าใจ CISM อย่างครบถ้วน

CISM คืออะไร

CISM (Certified Information Security Manager) เป็น Certification ระดับ Advanced ด้าน Information Security Management ที่ออกโดย ISACA (Information Systems Audit and Control Association) — องค์กรระดับโลกที่เป็นที่รู้จักจาก COBIT Framework และ Certification สาย IT Governance [1]

CISM ถูกออกแบบมาเพื่อรับรองว่าผู้สอบมีความสามารถในการ บริหารจัดการโปรแกรม Information Security ขององค์กร — ไม่ใช่แค่ทำเทคนิค แต่ต้องออกแบบ Strategy, จัดการ Risk, สร้าง Security Program, และบริหาร Incident Response ในระดับองค์กร

CISM ได้รับการรับรองตามมาตรฐาน ANSI/ISO/IEC 17024 และเป็นหนึ่งใน Certification ที่ได้รับความนิยมสูงสุดสำหรับตำแหน่ง CISO และ Security Manager ทั่วโลก [1]

เหมาะกับใคร

• IT Security Manager ที่ต้องการ Certification ระดับ Management
• Information Security Officer ที่บริหาร Security Program ขององค์กร
• IT Risk Manager ที่ดูแล Risk Assessment และ Risk Treatment
• IT Auditor ที่ต้องการเปลี่ยนสายมาด้าน Security Management
• CISO / ว่าที่ CISO ที่ต้องการ Certification รองรับตำแหน่ง
• ผู้ที่ทำงานกับ Compliance / Governance (ISO 27001, NIST, PCI DSS)

Prerequisites อย่างเป็นทางการ: ต้องมีประสบการณ์ทำงานด้าน Information Security Management อย่างน้อย 5 ปี ภายใน 10 ปีก่อนสมัครหรือ 5 ปีหลังสอบผ่าน โดยอย่างน้อย 3 ปี ต้องเป็น Management Role — สามารถลดได้สูงสุด 2 ปีด้วยการศึกษาหรือ Certification อื่น (เช่น CISSP, CISA, ปริญญาโท) [1]

ถ้ายังไม่มีประสบการณ์ครบ สามารถสอบผ่านก่อนแล้วมีเวลา 5 ปี ในการสะสมประสบการณ์ให้ครบ

ข้อสอบ CISM เป็นอย่างไร

4 Domains ของ CISM

Domain 3: Information Security Program มีน้ำหนักมากที่สุดถึง 33% — ครอบคลุมการสร้าง, บริหาร, และวัดผล Security Program ทั้งหมด

Domain 4: Incident Management ก็มีน้ำหนักสูง 30% — ครอบคลุมการวางแผนและบริหาร Incident Response, BCP/DRP

ลักษณะข้อสอบ

ข้อสอบ CISM เน้น Scenario-Based — ไม่ถามว่า “Tool X คืออะไร” แต่ถามว่า:

• “ในฐานะ Information Security Manager คุณควรทำอะไร เป็นอันดับแรก เมื่อ…”
• “สิ่งที่ สำคัญที่สุด ในการประเมินความเสี่ยงนี้คือ…”
• “Best course of action สำหรับ CISO เมื่อ…”

คุณต้องคิดแบบ Manager ที่ต้องตัดสินใจ — ไม่ใช่ Technician ที่ลงมือทำ

ค่าใช้จ่ายทั้งหมด

เคล็ดลับ: สมัครสมาชิก ISACA ($135) จะประหยัดค่าสอบ $185 + ได้ส่วนลด Study Material + ได้ CPE Credits จาก ISACA Activities [1]

วิธีเตรียมตัวสอบ

แหล่งเรียนรู้ที่แนะนำ

Study Path ที่แนะนำ

1. อ่าน ISACA CISM Review Manual — เป็น Official Source ที่ข้อสอบอ้างอิง
2. เสริมด้วย Peter Gregory’s All-in-One — อธิบายเข้าใจง่ายกว่า Review Manual
3. ดู Hemang Doshi (Udemy) — สรุปเนื้อหาแต่ละ Domain ได้ดี
4. ทำ ISACA QAE Database — ใกล้เคียงข้อสอบจริงที่สุดเพราะมาจาก ISACA เอง
5. ทบทวน Domain ที่อ่อน → ทำ QAE อีกรอบ → สอบ

เทคนิคสำคัญ

• เมื่อเห็น “FIRST” หรือ “MOST IMPORTANT” — คำตอบมักเป็น Risk Assessment, ตรวจสอบ Policy, หรือ Report ให้ Management
• เมื่อเห็น “BEST” — เลือกคำตอบที่ Align กับ Business Objectives ขององค์กร
• คิดแบบ Manager — คำตอบที่ถูกมักเป็น Governance/Process ไม่ใช่ Technical Solution

คำแนะนำของบรรณาธิการ

คำแนะนำต่อไปนี้เป็นแนวทางเตรียมตัวของกองบรรณาธิการ ไม่ใช่คำพูดหรือประสบการณ์สอบที่ยืนยันจากผู้สอบรายใด และไม่รับประกันผลสอบ

• เชื่อม security strategy กับ business objectives, risk appetite และความรับผิดชอบของผู้บริหาร
• ฝึกกรณี incident management ตั้งแต่การเตรียมพร้อม การสื่อสาร ไปถึง lessons learned
• ใช้ practice questions เพื่อค้นหาหัวข้อที่ยังไม่เข้าใจ ไม่ใช้จำนวนรอบที่ทำหรือคะแนน mock เป็นคำรับประกันผลสอบ

การต่ออายุ CISM

CISM มีอายุ 3 ปี นับจากวันที่สอบผ่าน การต่ออายุต้อง [1]:

• สะสม CPE Credits (Continuing Professional Education) จำนวน 120 Credits ภายใน 3 ปี (อย่างน้อย 20 Credits/ปี)
• จ่ายค่า Annual Maintenance Fee ปีละ $45 USD (สมาชิก ISACA) หรือ $85 USD (ไม่เป็นสมาชิก)
• กิจกรรม CPE ที่นิยม: เข้าร่วม ISACA Chapter Meeting, Conference, อบรม, สอน, เขียนบทความ

CISM เปรียบเทียบกับ Certification อื่น

CISM vs CISSP — ควรเลือกอันไหน?

• เลือก CISM ถ้าคุณเป็น Manager ที่เน้น Governance, Risk, Compliance และต้องการ Certification ที่ Focus
• เลือก CISSP ถ้าต้องการ Certification ที่ ครอบคลุมกว้าง ทั้ง Technical และ Management
• สอบทั้งสองใบ — CISM + CISSP เป็น Combination ที่ทรงพลังที่สุดสำหรับ CISO

CISM vs CISA — แตกต่างกันอย่างไร?

• CISM → บริหารจัดการ Security Program (สร้าง, ดำเนินการ, วัดผล)
• CISA → ตรวจสอบ (Audit) ว่า IT Controls ทำงานถูกต้อง
• ถ้าอยู่ฝั่ง Management → CISM | ถ้าอยู่ฝั่ง Audit → CISA

🎯 ITSL ให้บริการอบรม Information Security Management พร้อม Workshop ฝึกจัดทำ Security Program และ Risk Assessment — ดูรายละเอียดหลักสูตร | เปรียบเทียบ Certification ทั้งหมด

แหล่งอ้างอิง

1. ISACA CISM Certification Official Page — ISACA
2. CISM Exam Content Outline — ISACA
3. CISM vs CISSP vs CISA — Certification Comparison — ITSL Knowledge Base