نیازمندی های تجربی CISSP، واقعاً توضیح داده شده

اکثر مردم توسط CISSP گمراه می‌شوند نه به خاطر محتوای آزمون، بلکه به خاطر شرایط ریزچاپ شده‌ای که مربوط به این است که چه کسی واقعاً می‌تواند این اعتبار را حمل کند. خود آزمون برای تقریباً هر کسی که حاضر باشد هزینه را پرداخت کند باز است. گواهی یک داستان متفاوت است و این شکاف سردرگمی واقعی ایجاد می‌کند.

قانون پنج ساله، تفکیک شده

(ISC)² نیاز به پنج سال تجربه کاری تجمعی، دستمزدی در حداقل دو مورد از هشت حوزه CISSP دارد: Security and Risk Management، Asset Security، Security Architecture and Engineering، Communication and Network Security، Identity and Access Management، Security Assessment and Testing، Security Operations، و Software Development Security.

آن تجربه باید تمام‌وقت باشد و نیازی ندارد که از شغلی با "security" در عنوان آن نشأت گیرد. اگر شما یک sysadmin بودید که patching، firewall rules، و access reviews را مدیریت می‌کردید، این به سمت Security Operations و IAM محسوب می‌شود. یک توسعه‌دهنده که threat modeling و secure code review را به عنوان بخشی از نقشش انجام داد می‌تواند زمان را به سمت Software Development Security محسوب کند. حوزه‌ها عن‌طور قصدی گسترده هستند، بنابراین شرح حوزه‌ها را در وب‌سایت (ISC)² به دقت بخوانید قبل از این‌که فرض کنید شما واجد شرایط نیستید.

کار نیمه‌وقت و کارآموزی می‌تواند نیز محسوب شود، اما آن‌ها نسبت داده می‌شوند. (ISC)² فرمول خاصی منتشر می‌کند: 1,040 ساعت کار نیمه‌وقت برابر با شش ماه تجربه است، و 2,080 ساعت برابر با یک سال است. کارآموزی غیرمستاجر اصلاً محسوب نمی‌شود، صرف‌نظر از ساعات.

معافیت یک ساله

اگر شما یک مدرک کالج چهار ساله داشته باشید، یا یکی از اعتبارات موجود در لیست تایید شده (ISC)² (چیزهایی مثل CompTIA Security+، CISA، یا یک مدرک کارشناسی‌ارشد مرتبط)، یک معافیت یک ساله دریافت می‌کنید. این نیازمندی را از پنج سال به چهار کاهش می‌دهد. این معافیت یک بار اعمال می‌شود، نه برای هر اعتبار، بنابراین انباشتن سه گواهی واجد شرایط سه سال را از شما نمی‌گیرد.

لیست تایید شده را دوبار بررسی کنید قبل از این‌که فرض کنید گواهی شما واجد شرایط است. این در طول زمان تغییر می‌کند، و نه هر گواهی امنیتی در بازار روی آن قرار دارد.

اگر هنوز تجربه کافی ندارید چه اتفاق می‌افتد

اینجاست که تعیین Associate of (ISC)² اهمیت دارد. اگر آزمون را قبول کنید اما هنوز تجربه مورد نیاز را نداشته باشید، شکست نمی‌خورید یا دور نمی‌ریزید — شما یک Associate of (ISC)² می‌شوید. سپس شش سال زمان دارید تا تجربه مورد نیاز را جمع‌آوری کنید و آن را برای بررسی ارائه دهید.

این مسئله به طور مداوم مردم را گمراه می‌کند زیرا آگهی‌های شغلی "CISSP required" را فهرست می‌کنند بدون اینکه بین گواهی کامل و وضعیت Associate تمایز قائل شوند. اگر شما در آغاز دوران شغلی خود هستید، قبول آزمون و نگهداری وضعیت Associate همچنان یک سیگنال معنادار برای یک مدیر استخدام است. این به آن‌ها می‌گوید که شما این مطالب را می‌دانید حتی اگر هنوز سال‌ها را ثبت نکرده باشید.

مستند‌سازی و تایید تجربه شما

پس از قبول آزمون، شما درخواست تایید ارائه می‌دهید که تاریخچه کاری مرتبط خود را توضیح می‌دهد، حوزه به حوزه. این باید توسط یک متخصص تایید شده (ISC)² درحال خدمت تایید شود که بتواند تأیید کند تجربه شما دقیق است. اگر شما کسی را نمی‌شناسید که گواهی فعلی (ISC)² داشته باشد، خود (ISC)² می‌تواند به عنوان تایید‌کننده عمل کند، اگرچه این فرآیند بیشتر طول می‌کشد و بررسی بیشتری از تاریخچه ارائه شده شما را شامل می‌شود.

در نوشتار خود مشخص باشید. "مسئول امنیت شبکه" مبهم است و سؤالات پیگیری را دعوت می‌کند. "Palo Alto firewall rulesets را پیکربندی و نگهداری کردم، بررسی‌های دسترسی سه‌ماهه برای 200+ حساب کاربر انجام دادم، و پاسخ به حادثه برای خطر ناشی از phishing را هدایت کردم" یک تایید‌کننده و (ISC)² چیزی ملموس برای تأیید فراهم می‌کند.

اشتباهات رایجی که مردم در مورد نیازمندی می‌کنند

بزرگ‌ترین آن فرض این است که فقط گواهی‌ها جایگزین تجربه می‌شوند. آن‌ها نمی‌شوند، بجز معافیت یک ساله تنها. یک CEH، یک Security+، و یک گواهی امنیت ابری که انباشته شده است هنوز تنها یک سال را از شما نمی‌گیرد، نه سه.

دومین اشتباه این است که تجربه مرتبط را کم‌تخمین بزنید زیرا در نقشی برچسب‌خورده اتفاق نیافتاد