分类我用英文：
    第一类：Encryption （加密）: 包括digital signature, public/private key, message digest, nonrepudiation, decryption, data integrity, hash, symmetric/asymmetric key, prehash code, digital certificate, PKI, RA, CA, CPS, session key, CRL, cryptographic hash, SSL, RSA, AES, ECC, dynamic key, PSK, IPSec, ESP, AH

第二类：Attack（攻击）：包括insider attack, DoS, DDoS,pharming, logic bomb,phishing,man-in-the-middle,hijacking,syn flood,SQL injection,social engineering, buffer overflow,brute force, war dialing, trojan horse, malicious code,viruses, worms, sypyware,malware,spoofing,port scanner, back doors, shoulder surfing, piggybacking,dumpster diving, impersonation, trapdoor, honeypot,traffic analysis, network analysis, leapfrog, NAK,masquerading,password sniffing,hacking, war driving, spam, replay, parameter ta/mpering, passive/active attack, cyber attack, penetration test/external test/internal test/blind or double blind test

第三类：IDS/IPS

第四类：Infrastructure（IT基础）：包括server, network/LAN/WLAN/WAN, VoIP,QoS, mobile devices, ARP, Ethernet, switch, router, server or network configuration, protocol analyzer, firewall, DHCP, NDMP, UDP, TCP, DNS, SNMP,Telnet, Paas, SaaS, HTTP, HTTPS, telecom, VPN, DSL, RFID, cable, software, OS,java, applet,patching,hardware,power lead,UPS。 即网络，服务器，通信，协议，软硬件，物理安全和防火，电力相关
这里大部分都是考IT知识，大部分我是靠死记的，虽然以前考过CCNA和MCSE，但基本都忘记了。

第五类：Access Control（访问控制）：包括MAC，DAC，Least Privilege Access, Role-based access, two-factor authentication, user account/accountability,password,PIN,admin login,ID, ACL, biometrics, FRR/CER/FAR/EER, authorization, guest ID, WPA2,SSID,VLAN, data owner,SSO, deadman door.

第六类：Auditing（审计），包括：compliance testing/substantive testing, discovery, stop-or-go, mapping, CAAT, statistical/judgment sampling, audit charter, organizational chart, audit committee, audit manager, walk-through, continuous auditing, trend/variance detection tool, SCARF, GAS, CSA, audit trail, log management tool, audit independence, audit planning, risk assessment,risk analysis, threat, vulnerability, impact, BIA, risk mitigation/acceptance/transfer, inherent risk, legal and regulatory requirement, fraudulent, audit logs, evidence, exception report, forensic, exit interview, preventive/detective/corrective control 等等
这一分类下的内容是CISA考试和学习的最精华的地方，即考点是在审计方面，而非IT技术方面的题目都可以放到这一分类下。CISA考试的重点之一就是考察各种情况的是否能根据审计思维选择正确的做法/方法/工具。   

我建议如果这一分类下的知识点尽量去理解，而不是死记。尤其是某个知识点出现两次及两次以上更要重点去掌握，这一分类下的题目最好能理解到70%以上，死记的占少部分。
常见的这一分类的问题举例如下：
      - 在风险分析阶段/在审计计划阶段/在审计退出会议上 碰到XXX情况下（或影响了审计独立性，发现违规违法情况下），审计师应该怎么做？/审计师第一步应该做什么?/审计师看什么地方最重要/等等
      - 在XX情况下，应该用什么测试，如符合性测试还是实质性测试
      - 审计章程的目标/内容包括

在这里顺便提一句，培训老师也强调过：在做题时要仔细审题，细读题干给出的背景，根据题干给出的背景选正确答案。（当然同时不要过度解读题干）
这么说有点抽象，我一开始看题的时候也是不注意题干的意思，就发觉很多题完发现做错的，在仔细比较题干以后，就会发现有不同。有时间我会举出一些例子来，给大家理解题干看起来都一样，而选项却不一样的例子，好让大家理解什么是仔细审题。

第七类：Data/Database/Data Warehouse/Data Center: data loss, data stolen or leakage, data backup, check digit, validity check, hash total, sample testing, automated system balancing, CRC, forward error control, shadow file processing, RAID, media reliability, data storage, data restoration, referential integrity,foreign key, data integrity, atomicity, consistency, accuracy, confidentiality, classification, data mapping, data disposal
这类下面是各种和数据有关的题目，涉及到不少IT知识，我的建议是对于比较基础的容易理解的就理解，比较难的不想花时间理解的就死记

第八类,Security:涉及安全方面的题目,主要是information security policy, security awareness, 
这一部分主要是理解信息安全的一些基本要求，大部分以理解为主，不要死记

第九类：BCP/DRP：BCP和DRP是不可分割的，官方教材把它俩好基友没天理的分开了，大家复习的时候把它们放一起复习，包括BIA，paper test, preparedness test, full operation test, RTO,RPO, functional test, tabletop exercise, hot/warm/cold/mobile/redundancy site， reciprocal agreement
这部分也是CISA考试的一大重点类，大部分80%以上以理解为主而不是死记。

第10类，Segregation of duties：各类职责分离的题目，就是考在某一情况下，两个角色能否由同一个人来做的问题。
关于这一类题目，如果没有相关工作经验，有不少即不好理解也不容易记忆。有些角色的职责分离连培训老师也说不清楚。背官方教材那个职责分离的表估计我花一年时间也记不住。只能从现有的相关题目中找规律去记，只需要记忆蓝皮书和原题集中出现过的职责分离的题即可，不需要把官方教材的每种职责都记了。职责分离的题目在上次考试中出现有三题左右。
比如我发现一个规律，基本上开发人员(developer/programmer)或开放工作(programming)出现在职责分离题的备选答案中，这个一定是正确选项，大家可以自己验证一下。

第11类：Project：这里主要涵盖IT项目阶段尤其是软件开放项目期间的各类考点，包括:各类项目阶段说做的testing类型，black/whitebox testing, regression testing, alpha/beta testing, UAT, QA testing,stress testing, parallel testing, sociability testing, integration testing, system testing, top-down/buttom-up testing,ITF, 还包括项目相关角色的职责以及项目的阶段流程工具方法论等,end users, system owner, user management/business unit management, project steering committee, project sponsor, project manager, project security officer, QA, project performance criteria, project portfolio management, project scope management, project management approach, project resource plan, project initiation, project planning, design phase, feasibility study, requirement definition, post project review, post implementation review, software escrow, Gantt Chart, EVA, PERT, FPA, prototyping, SDLC, RAD, object-oriented, component-based development, waterfall life cycle, agile development, parallel/phased/abrupt changeover, timebox management, CMM, certification and accreditation, code signing,等等
这一类题目对于没有软件系统开放经验的同学有一定难度，因为知识点众多，而又没有一个完整的overview的话，容易在多个概念知识点混淆。需要记忆和理解相结合。

第12类，业务系统business applications:software baselining, ERP, CRM，expert system, EFT, EDI, banking app, payment system, DSS, POS等
这一部分我大部分都是死记，因为工作中几乎没接触过，比较难于理解。

第13类：SLA/Outsource/Vendor：关于SLA，外包类的问题，这一部分理论上应该是以理解为主，不过有部分题目存在所谓的ISACA标准答案，面对不能理解的，只能死记。

第14类：IT Governance/IT BSC/Strategy/KPI:这一类也不包含IT技术知识，是一些战略方面的理解，基本原则就是IT的治理与战略要向企业总体战略对齐。
这部分重点放在理解上。

第15类：Incident/Change/Problem类别，主要是在变更管理，事件管理处理和问题管理方面的一些处理方法方式。
对这部分不是很有相关经验的同学可以在理解的基础上加上部分记忆。

第16类：其他。。。把不好归类的都归到这吧，其中包括和员工相关的一些题型。

分类完毕，共16类，可以看到我的这种分类不见得很完美或者有逻辑性，给大家一个参考，主要目的是按同类别进行复习，比较同类型的题目和答案，复习起来能提高效果。另外分类的一个难点我之前说过，大概有200道左右题目的考点是跨类别的，这个就增加了一定的难度。

16类题目分别在蓝皮书中1150题大约占比如下：

6%     第一类：Encryption
5%     第二类：Attack
0.5%  第三类：IDS/IPS
9%     第四类：Infrastructure
8%     第五类：Access Control
15%   第六类：Auditing
12%   第七类：Data/Database/Data Warehouse/Data Center
2%     第八类,Security
12%   第九类：BCP/DRP
2.5%  第10类，Segregation of duties
15%   第11类：Project
2.5%   第12类，业务系统business applications
2.5%   第13类：SLA/Outsource/Vendor
3.5%   第14类：IT Governance/IT BSC/Strategy/KPI
2%      第15类：Incident/Change/Problem
2.5%   第16类：其他。。。

以上内容转自某位2016年高分考生。