昨天提到「以證養證」的策略，讓自己持續進修考取下一張證照，同時更新之前持有的證照，聽起來是完美的策略，為何不是正解呢？又是如何開啟學分地獄，造成大家想逃到異世界去賺CPE學分呢？

考不過，怎麼辦？

要以證養證，首先必須在期限內考過第二張證照，既是額外的動力，也是額外的壓力，因為一但沒考過，必須在期限內再重考，直到考過為止，否則連帶前一張證照也會過期，如果時間安排不夠，一次兩次沒考過，離證照過期的期限太近，便要花時間一次補齊所有學分。尤其資安證照會持續改版，每次改版後並不會馬上有相關的學習資源，準備的壓力會隨著證照到期日接近倍增。

筆者自己的經歷是：當初為了更新CompTIA Security+，原先計畫考CompTIA的下一張CSA+證照，誰知道傳來即將從CSA+改版為CySA+的消息，接著社群紛紛有人回報新版和原本CSA+考試內容和方式都有差異，單憑原先的資料準備很難考過，所以等新版的書和線上課程出現又過了好幾個月，越等離證照過期越近，就算想重考一次Security+，也面臨它從Security+ SY0-401改版Security+ SY0-501，還是要重新準備(而且也要等新版資料)，面臨放棄以證養證，改為CE學分的情況，差點噴錢買CompTIA CertMaster CE的線上課程，短時間內補齊全部CE學分。當時剛好工作非常忙碌，即使買了課程也很難一下子有50小時可以坐下來慢慢看完課程，差點造成Security+證照失效。

公司期望與個人規劃

除了核發證照的單位改版，以證養證第二個極大的變數就是老闆。即使你將未來規畫得很好，預計持續考試更新證照，老闆可能會不時關心和指導，希望你考別的證照，畢竟一切以公司需求為先，公司需要你優先發展、學習某方面技能，自己計畫的發展往往得擱置。例如當時雖然在準備CySA+，主管卻希望我去學習(並考取)CCNA，但是即便考過CCNA也無法作為更新Security+的任何學分；後來主管覺得「雲端很重要是未來趨勢」，指示AWS或Microsoft關於雲端的幾個證照，那些證照也同樣也無法作為更新Security+的學分，只能說天威難測，天意難為，老闆依公司為出發點，以證養證卻是依自己本身需求規劃。

證照核發單位不同

最後，即便你與老闆溝通，平衡公司需求與個人規劃，順利以證養證，第三個問題會慢慢浮現，那就是你考過的證照可能來自不同證照核發單位，怎麼管理不同單位的學分需求？當你累積了一小時的學分申報給CompTIA，如果第二家證照核發單位不予計算，那要為了維持第二張證照另外累積學分，當你考過來自兩個、三個以上單位的資安證照，便開始變得複雜了。例如CompTIA Security+ 你可以考過CompTIA CySA+，或EC-Council CEH證照來更新；但是你知道(ISC)2是不能以證養證，藉由考過另一張資安證照來更新現有的(ISC)2證照嗎？

依據(ISC)2規定，考過證照，只能將準備考試學習的時數作為學分計算，且最多只能計入30 CPE學分。所以如果你原先有SSCP，就算你後來考過CISSP或任何其他家一張資安證照，還是要補齊剩下的CPE學分。

參考 (ISC)2 Frequently Asked Questions
https://www.isc2.org/Frequently-Asked-Questions