CISA — szkolenie + przygotowanie do egzaminu w 2026 | EITT

Czym jest certyfikat CISA i co potwierdza

CISA (Certified Information Systems Auditor) to międzynarodowy certyfikat zawodowy dla osób, które badają systemy informatyczne i oceniają, czy mechanizmy kontrolne wokół nich rzeczywiście działają. Certyfikat nadaje ISACA — organizacja, która porządkuje praktykę audytu IT, nadzoru nad technologią i zarządzania ryzykiem informatycznym.

Certyfikat CISA potwierdza trzy rzeczy naraz. Pierwsza to znajomość metodyki: audytor wie, jak zaplanować badanie, jak wyznaczyć zakres na podstawie ryzyka i jak zebrać dowód, który obroni się przed kierownictwem oraz przed audytorem zewnętrznym. Druga to zrozumienie technologii na poziomie wystarczającym, aby ocenić mechanizm kontrolny, a nie tylko odnotować, że ktoś go opisał w procedurze. Trzecia, w praktyce najtrudniejsza, to umiejętność przełożenia ustalenia technicznego na język ryzyka biznesowego — rekomendacja, której zarząd nie rozumie, nie zostanie wdrożona.

Dlatego szkolenie CISA nie jest kursem narzędziowym. Nie uczy obsługi jednego systemu ani jednej technologii. Uczy sposobu patrzenia: od celu kontrolnego, przez ryzyko, do dowodu. Ten sam sposób patrzenia pracuje potem w audycie wewnętrznym, w badaniu zgodności i w rozmowie z dostawcą usług chmurowych.

Pięć domen egzaminu CISA

Egzamin CISA jest zorganizowany w pięć obszarów tematycznych. Program kursu jest ułożony dokładnie wzdłuż tych domen, żeby po szkoleniu dało się odnieść własne luki do struktury egzaminu, a nie do przypadkowej kolejności slajdów.

Proces audytu systemów informacyjnych

Fundament całego certyfikatu. Standardy i wytyczne zawodowe, etyka, niezależność i obiektywizm audytora. Planowanie oparte na ryzyku, ustalanie zakresu, dobór próby, techniki zbierania dowodów, dokumentowanie pracy, raportowanie ustaleń i monitorowanie działań naprawczych. To domena, w której najczęściej mają kłopot kandydaci z silnym tłem technicznym: znają systemy, ale nie znają rygoru procesu audytowego i piszą raporty, w których obserwacja nie jest odróżniona od dowodu.

Nadzór i zarządzanie IT

Jak organizacja decyduje o technologii i kto za te decyzje odpowiada. Struktura organizacyjna IT, podział obowiązków, strategia technologiczna w relacji do celów biznesowych, polityki i standardy wewnętrzne, zarządzanie ryzykiem, zgodność regulacyjna, nadzór nad dostawcami i usługami zewnętrznymi. Tutaj pojawiają się ramy, do których audytor odnosi swoje ustalenia: COBIT 2019 jako model nadzoru, ISO/IEC 38500 jako perspektywa ładu korporacyjnego nad technologią, ISO 31000 i ISO/IEC 27005 jako języki ryzyka.

Nabywanie, rozwój i wdrażanie systemów

Audyt projektu, a nie tylko systemu produkcyjnego. Uzasadnienie biznesowe, studium wykonalności, zarządzanie projektami, mechanizmy kontrolne wbudowane w cykl życia systemu, testowanie, migracja danych, testy akceptacyjne, przegląd powdrożeniowy. Praktyczna wartość tej domeny jest prosta: taniej jest wskazać brak kontroli na etapie projektu niż po wdrożeniu produkcyjnym.

Eksploatacja systemów i odporność biznesowa

Codzienna praca IT widziana oczami audytora. Realizacja i wsparcie usług, zarządzanie zmianą i konfiguracją, monitorowanie wydajności i dostępności, zarządzanie incydentami, kopie zapasowe i odtwarzanie danych, ciągłość działania, odtwarzanie po awarii oraz testowanie planów. W tej domenie bardzo szybko widać różnicę między planem, który istnieje, a planem, który ktokolwiek przetestował — i jak tę różnicę udokumentować. Normą odniesienia dla ciągłości działania jest ISO 22301, dla zarządzania usługami ISO/IEC 20000.

Ochrona aktywów informacyjnych

Najobszerniejsza część materiału. Klasyfikacja informacji, zarządzanie tożsamością i dostępem, kontrole dostępu logicznego i fizycznego, bezpieczeństwo infrastruktury, sieci i urządzeń końcowych, kryptografia z perspektywy audytora, prywatność i ochrona danych osobowych. Dla osób pracujących wcześniej z ISO/IEC 27001 i ISO/IEC 27002 to obszar najbardziej znajomy, a jednocześnie ten, w którym najłatwiej pomylić wymóg normy z celem kontrolnym badanym na egzaminie.

Jak przebiegają cztery dni szkolenia

Kurs CISA prowadzimy jako cztery dni pracy warsztatowej, w formie online albo stacjonarnej. Każdy dzień ma tę samą logikę: najpierw ramy i słownik domeny, potem przykłady z realnych audytów, potem ćwiczenie, w którym uczestnicy sami formułują cel kontrolny, dobierają dowód i zapisują ustalenie.

Nie przechodzimy przez materiał liniowo, od pierwszej strony podręcznika do ostatniej. Zaczynamy od procesu audytu, bo bez niego pozostałe domeny są zbiorem faktów technicznych bez zastosowania. Potem idą nadzór i zarządzanie IT, bo one dostarczają kryteriów oceny. Kolejne dni to obszary, w których najwięcej zależy od wcześniejszego doświadczenia uczestnika: cykl życia systemów, eksploatacja i odporność biznesowa, a na końcu ochrona aktywów informacyjnych.

Stałym elementem jest praca na pytaniach w stylu egzaminacyjnym. Nie jako test wiedzy, ale jako narzędzie diagnostyczne. Egzamin CISA konsekwentnie pyta o najlepszą odpowiedź z kilku poprawnych, a to wymaga ćwiczenia przez pryzmat priorytetów audytora, nie zapamiętywania definicji. Trener pokazuje, dlaczego odpowiedź, która brzmi dobrze technicznie, bywa błędna w logice egzaminu — i jak rozpoznać, o co pytanie naprawdę pyta.

Materiał jest prowadzony po polsku, ale z konsekwentnym używaniem angielskiej terminologii domen i pojęć kontrolnych. Egzamin operuje tą terminologią i tłumaczenie jej na własne określenia jest jednym z częstszych źródeł pomyłek.

Dla kogo jest ten kurs, a dla kogo nie

Szkolenie ma sens dla audytorów systemów informatycznych i audytorów wewnętrznych, którzy chcą uporządkować praktykę według uznanej metodyki. Dla specjalistów bezpieczeństwa IT, którzy przechodzą w stronę oceny i nadzoru, a nie wdrażania. Dla kontrolerów wewnętrznych i specjalistów zgodności, którzy coraz częściej muszą ocenić obszar technologiczny, choć nie wyrośli z IT. Dla menedżerów IT, którzy chcą rozumieć, czego będzie od nich wymagał audytor i jak przygotować obszar do badania.

Nie jest to dobry wybór dla osoby bez żadnego kontaktu z IT lub z kontrolą wewnętrzną. Materiał zakłada, że uczestnik rozumie, czym jest system produkcyjny, środowisko testowe, uprawnienie i procedura. Nie jest to również kurs dla kogoś, kto szuka szkolenia technicznego z konkretnej technologii — audytor ocenia rozwiązania, ale ich nie konfiguruje.

Jeśli nie masz pewności, czy Twoje doświadczenie wystarczy, opisz nam swoją rolę przez formularz obok. Odpowiemy wprost, czy ten kurs jest właściwym krokiem, czy lepszym punktem startu będzie audyt wewnętrzny systemu zarządzania bezpieczeństwem informacji albo podstawy zarządzania ryzyka i zgodności GRC.

Gdzie kończy się szkolenie, a zaczyna proces po stronie ISACA

To rozróżnienie jest ważne i mówimy o nim wprost, bo bywa źródłem nieporozumień.

Szkolenie jest przygotowaniem merytorycznym. Uczestnik wychodzi z uporządkowaną wiedzą o wszystkich domenach, z rozpoznanymi lukami i z materiałem do dalszej pracy własnej. To wszystko, co szkolenie może dać, i w naszej ocenie wystarczająco dużo, żeby uznać je za sensowną inwestycję czasu.

Certyfikat CISA nadaje ISACA, nie EITT. Rejestracja na egzamin, jego termin i forma, wniosek certyfikacyjny oraz potwierdzenie wymaganego doświadczenia zawodowego to proces, który uczestnik prowadzi bezpośrednio z ISACA. Aktualne warunki przystąpienia, zasady utrzymania certyfikatu oraz obowiązujące opłaty publikuje ISACA i tylko tam należy ich szukać. Nie przepisujemy ich na tę stronę, bo każda taka kopia zaczyna się starzeć w dniu publikacji, a nieaktualny warunek wprowadza w błąd skuteczniej niż brak informacji.

Czego szkolenie nie załatwia: nie zastępuje nauki własnej po zajęciach, nie zdaje egzaminu za uczestnika i nie zastępuje doświadczenia zawodowego, którego ISACA wymaga przy wniosku o certyfikat.

Ile kosztuje szkolenie CISA i od czego zależy wycena

Aktualna cena szkolenia w formule otwartej jest podana w panelu obok, razem z czasem trwania, poziomem i kodem szkolenia. Trzymamy ją w jednym miejscu świadomie: cennik bywa aktualizowany i wolimy, żeby na stronie nie stały dwie różne liczby, z których jedna jest nieprawdziwa.

Na wycenę szkolenia zamkniętego dla zespołu wpływa kilka rzeczy: liczebność grupy, forma zajęć, lokalizacja przy zajęciach stacjonarnych oraz zakres dopasowania programu. Jeżeli zespół pracuje w konkretnym otoczeniu regulacyjnym albo ma już wdrożony system zarządzania bezpieczeństwem informacji, część przykładów i ćwiczeń można oprzeć na jego własnym kontekście. To zmienia nakład pracy przygotowawczej, a więc i wycenę — w obie strony, bo czasem upraszcza program.

Osobną kwestią jest finansowanie. Szkolenia z tego obszaru bywają objęte dofinansowaniem ze środków publicznych dla pracodawców; informacje o dostępnych mechanizmach znajdziesz w sekcji o dofinansowaniu niżej na tej stronie.

Jednej rzeczy ta strona celowo nie rozstrzyga: dokładnego zakresu świadczenia przy zgłoszeniu. Jeśli chcesz wiedzieć, co dokładnie obejmuje udział, zapytaj przy ustalaniu terminu — dostaniesz to na piśmie w ofercie, a nie w formie ogólnej obietnicy na stronie. Najprościej napisać przez formularz obok albo zadzwonić pod numer podany w panelu.

Jak przygotować się do egzaminu po szkoleniu

Cztery dni intensywnej pracy porządkują materiał, ale egzamin CISA sprawdza również wyćwiczony odruch wyboru najlepszej odpowiedzi. Dlatego po szkoleniu warto trzymać się kilku zasad.

Pracuj domenami, nie całością. Po kursie wiesz, które obszary masz słabsze — zacznij od nich, a nie od pierwszej strony materiału. Wracaj do pytań egzaminacyjnych regularnie i krótkimi seriami. Po każdej serii czytaj uzasadnienia również dla odpowiedzi, które wybrałeś poprawnie, bo tam najczęściej kryje się trafienie przypadkowe, które na egzaminie się nie powtórzy.

Tłumacz każde zagadnienie na własną organizację. Jeśli uczysz się o zarządzaniu zmianą, ustal, jak zmiana przebiega u Ciebie, kto ją zatwierdza i gdzie zostaje ślad. Wiedza przypisana do konkretnego przykładu jest trwalsza niż definicja i znacznie lepiej odpowiada na egzaminacyjne pytania sytuacyjne.

Pilnuj perspektywy. Egzamin pyta z pozycji audytora, nie administratora i nie właściciela systemu. Jeśli w pytaniu da się wybrać między „sprawdź, czy istnieje dowód” a „napraw problem”, odruch audytora stoi po stronie dowodu i oceny mechanizmu kontrolnego. Ta jedna zasada rozstrzyga zaskakująco dużą część pytań.

Nie ucz się w izolacji. Rozmowa z kimś, kto przeszedł ten proces, oszczędza tygodnie — korzystaj z czasu na zajęciach, żeby skonfrontować z trenerem wątpliwości z własnej praktyki, a po kursie znajdź osobę albo grupę uczącą się do tego samego egzaminu.

Czym CISA różni się od CRISC i od audytu wiodącego ISO/IEC 27001

Trzy popularne ścieżki w obszarze GRC łatwo pomylić, bo zakresy częściowo się nakładają.

CISA jest certyfikatem audytora. Odpowiada na pytanie, czy mechanizmy kontrolne wokół systemów informatycznych są zaprojektowane poprawnie, czy działają w praktyce i jak to udowodnić. Perspektywa jest badawcza i dowodowa: audytor nie naprawia, audytor ocenia i dokumentuje.

CRISC, również nadawany przez ISACA, jest certyfikatem ryzyka. Odpowiada na pytanie, jakie ryzyko informatyczne organizacja ponosi, jak je ocenić, czym je ograniczyć i jak monitorować skuteczność tych działań. Perspektywa jest decyzyjna, bliższa właścicielowi ryzyka niż audytorowi. Dla wielu osób CRISC jest naturalnym kolejnym krokiem po CISA, bo opiera się na tej samej wiedzy o kontrolach, ale używa jej do podejmowania decyzji, a nie do ich badania.

Audyt wiodący ISO/IEC 27001 to z kolei kompetencja audytowania konkretnego systemu zarządzania wobec konkretnej normy, z pełnym rygorem prowadzenia audytu certyfikacyjnego. Zakres jest węższy niż w CISA, ale głębszy w obrębie normy i jej załącznika. Jeśli Twoim celem jest doprowadzenie organizacji do certyfikacji systemu zarządzania bezpieczeństwem informacji, ta ścieżka będzie bliżej codziennej pracy niż CISA.

W praktyce te kompetencje się uzupełniają, a kolejność zależy od roli: audytor IT zwykle zaczyna od CISA, menedżer ryzyka od CRISC, a osoba odpowiedzialna za system zarządzania — od ścieżki normatywnej.

Co wyróżnia nasze podejście

Podejście EITT opiera się na bezpośrednim doświadczeniu i praktycznych ćwiczeniach. W ciągu czterech dni intensywnego szkolenia uczestnicy pracują na realnych przykładach i scenariuszach, co pozwala nie tylko zrozumieć teorię, ale przede wszystkim nabrać wprawy w jej stosowaniu.

Zajęcia prowadzą praktycy audytu, nie wykładowcy teoretyczni. W praktyce oznacza to, że na pytanie „a co, jeśli dostawca nie chce udostępnić logów” dostaniesz odpowiedź z własnego doświadczenia trenera, razem z informacją, jak taki brak udokumentować w raporcie, żeby ustalenie się obroniło.

Ten kurs jest jednym z ponad 2500 szkoleń w ofercie EITT, co w tym przypadku ma konkretny skutek: dalszą ścieżkę po CISA — ryzyko, normy, audyt wewnętrzny — da się poukładać u jednego dostawcy, zamiast szukać każdego kolejnego kroku osobno.

Nie obiecujemy wyniku egzaminu, bo nie my go przeprowadzamy i nie od nas on zależy. Obiecujemy rzetelnie przepracowany materiał wszystkich pięciu domen, uczciwą informację o tym, czego jeszcze brakuje, oraz kontakt z osobą, która na co dzień pracuje w audycie.

Szukasz szkolenia dopasowanego do potrzeb Twojego zespołu? Skontaktuj się z nami — przygotujemy program dostosowany do Twoich wymagań.