ISC2 बनाम CompTIA: कौन सा सुरक्षा सर्टिफिकेशन वास्तव में मदद करता है?

हर कुछ महीनों में कोई पूछता है कि उन्हें Security+ के लिए जाना चाहिए या सीधे CISSP तक जाना चाहिए। जवाब इस बात पर कम निर्भर करता है कि कौन सा संगठन "बेहतर" है और अधिक इस बात पर निर्भर करता है कि आप अपने करियर में वास्तव में कहां खड़े हैं, क्योंकि ISC2 और CompTIA एक ही नौकरी के लिए प्रतिस्पर्धा नहीं कर रहे हैं।

प्रत्येक संगठन वास्तव में क्या परीक्षण कर रहा है

CompTIA सर्टिफिकेशन जैसे A+, Network+, और Security+ मौलिक योग्यता के चारों ओर बनाए गए हैं। Security+ (वर्तमान संस्करण के अनुसार SY0-701) जांचता है कि क्या आप सामान्य सुरक्षा अवधारणाओं को समझते हैं: खतरे, क्रिप्टोग्राफी की बुनियादें, पहचान प्रबंधन, जोखिम अवधारणाएं, और बुनियादी घटना प्रतिक्रिया। यह कम से कम व्यावसायिक अनुभव मानता है और अक्सर किसी द्वारा अर्जित पहली सुरक्षा सर्टिफिकेशन होती है।

ISC2 सर्टिफिकेशन, विशेषकर CISSP, मानते हैं कि आपने पहले से ही काम कर लिया है। CISSP को पांच साल का भुगतान किया गया कार्य अनुभव चाहिए जो इसके आठ डोमेन में से कम से कम दो में फैला हो (या प्रासंगिक डिग्री या अनुमोदित क्रेडेंशियल के साथ चार साल)। परीक्षा स्वयं, CAT-फॉर्मेट CISSP 150 तक प्रश्नों के साथ, केवल यह नहीं पूछता कि फायरवॉल क्या करता है। यह आपसे ऐसे निर्णय लेने के लिए कहता है जैसे एक सुरक्षा नेता करेगा: आप जोखिम को व्यावसायिक आवश्यकताओं के विरुद्ध कैसे तौलते हैं, आप एक नियंत्रण को CFO को कैसे सही ठहराते हैं जो CVSS स्कोर की परवाह नहीं करता।

अनुभव का अंतर बदलता है कि आपको पहले क्या प्रयास करना चाहिए

अगर आप IT में दो साल दूर हैं लेकिन अभी तक किसी सुरक्षा-विशिष्ट भूमिका में नहीं हैं, तो CISSP आपको निराश करेगा भले ही आप हर डोमेन को याद करें। परीक्षा परिदृश्य-भारी है और उस निर्णय को पुरस्कृत करता है जो आप वास्तव में जोखिम मूल्यांकन करके, परिवर्तन-नियंत्रण बैठकों में बैठकर, या वास्तविक घटनाओं का जवाब देकर बनाते हैं। CompTIA का Security+ या CySA+ (उनका मध्यवर्ती विश्लेषक-केंद्रित सर्टिफिकेशन) उस चरण के लिए बहुत अच्छी तरह फिट बैठता है।

CySA+ विशेष रूप से एक दिलचस्प मध्य आधार में बैठता है: Security+ से अधिक हाथों पर, लॉग विश्लेषण, खतरे का पता लगाना, और SOC-शैली वर्कफ़्लो पर ध्यान केंद्रित, लेकिन CISSP की अनुभव आवश्यकता के बिना। यह किसी के लिए एक ठोस कदम है जिसके पास पहले से Security+ है और अपने रिज्यूमे के CISSP का समर्थन करने से पहले एक नीली टीम या SOC विश्लेषक भूमिका की ओर बढ़ना चाहता है।

लागत और नवीनीकरण सामान्य अंतर नहीं हैं

CompTIA परीक्षाएं आम तौर पर सस्ता चलती हैं, और Security+ जैसी सर्टिफिकेशन तीन साल के लिए मान्य हैं, CEU या पुनरावृत्ति के माध्यम से नवीकरणीय। CISSP का एक वार्षिक रखरखाव शुल्क है (वर्तमान में लगभग $125/वर्ष) प्रारंभिक लागत के शीर्ष पर, साथ ही 120 CPE क्रेडिट तीन साल के चक्र में आवश्यक हैं। यह एक वास्तविक चल रही प्रतिबद्धता है, एक बार का बैज नहीं। यदि आप कुल स्वामित्व लागत की तुलना कर रहे हैं बजाय केवल परीक्षा मूल्य के, तो इस बात को ध्यान में रखें कि दस साल के लिए क्रेडेंशियल को सक्रिय रखने में क्या लगता है।

जहां नियोक्ता वास्तव में लाइन खींचते हैं

SOC विश्लेषक, सुरक्षा जिम्मेदारियों के साथ हेल्प डेस्क, या जूनियर सुरक्षा इंजीनियर भूमिकाओं के लिए नौकरी पोस्टिंग अक्सर Security+ को न्यूनतम या DoD 8570 मूलभूत आवश्यकता के रूप में सूचीबद्ध करती है जो यह पूरा करता है। वह अनुपालन कोण मायने रखता है यदि आप सरकार या रक्षा ठेकेदार भूमिकाओं को लक्षित कर रहे हैं: Security+ DoD 8570/8140 अनुमोदित सूची पर IAT Level II के लिए है, जो इसे एक चेकबॉक्स आवश्यकता बनाता है चाहे आप इसके लिए अध्ययन करके कितना भी सीखें।

CISSP सुरक्षा प्रबंधक, सुरक्षा आर्किटेक्ट, या CISO-ट्रैक भूमिकाओं के लिए पोस्टिंग में दिखाई देता है। इसे अक्सर "वरीयता प्राप्त" के रूप में सूचीबद्ध किया जाता है बजाय आवश्यक के, लेकिन प्रबंधन-ट्रैक पदों के लिए यह एक फ़िल्टर के रूप में कार्य करता है। भर्तीकर्ता इसका उपयोग उम्मीदवारों को शॉर्टलिस्ट करने के लिए करते हैं जिन्होंने दोनों अनुभव और एक कुख्यात व्यापक परीक्षा पास करने की क्षमता प्रदर्शित की है जो संपत्ति सुरक्षा से सॉफ्टवेयर विकास सुरक्षा तक आठ डोमेन को कवर करता है।

एक यथार्थवादी अनुक्रमण यदि आप शून्य से शुरू कर रहे हैं

A+ या Network+ पहले यदि आपके पास सामान्य IT बुनियादें नहीं हैं, फिर Security+ सुरक्षा शब्दावली और मूलभूत अवधारणाओं को स्थापित करने के लिए, फिर दो से चार साल की वास्तविक कार्य सुरक्षा-आसन्न भूमिका में, फिर CySA+ या एक विशेष सर्टिफिकेशन (जैसे क्लाउड सुरक्षा क्रेडेंशियल) आप जिस दिशा में जा रहे हैं उसके आधार पर, और केवल तभी CISSP जब आपका अनुभव वास्तव में इसका समर्थन करता है। चरणों को छोड़कर सर्टिफिकेशन तेजी से एकत्र करने का आमतौर पर मतलब है कि आप एक परीक्षा पास करते हैं जो आप अभी तक लागू नहीं कर सकते।

कोई भी सर्टिफिकेशन आपको काम करना सिखाता नहीं है

CompTIA और ISC2 सर्टिफिकेशन दोनों ज्ञान और निर्णय का परीक्षण करते हैं, हाथों पर कौशल नहीं। Security+ पास करने का मतलब यह नहीं है कि आप SIEM को सही तरीके से कॉन्फ़िगर कर सकते हैं, और CISSP पास करने का मतलब यह नहीं है कि आपने कभी टेबलटॉप व्यायाम चलाया है। सर्टिफिकेशन को दरवाजा-खोलने और रिज्यूमे संकेत के रूप में मानें, क्षमता के प्रमाण के रूप में नहीं, और उन्हें वास्तविक लैब कार्य, होम-लैब प्रोजेक्ट, या एक जूनियर भूमिका के साथ जोड़ें जहां आप अवधारणाओं को पर्यवेक्षण के तहत लागू कर रहे हैं।

यदि आप व्यावहारिक पक्ष बनाना चाहते हैं जो सर्टिफिकेशन कवर नहीं करते हैं, तो Korra Studio के पास SOC वर्कफ़्लो, लॉग विश्लेषण, और नीली टीम बुनियादी बातों पर खंड हैं जो आप जिस भी सर्टिफिकेशन पथ पर हैं उसके साथ जोड़ने के लायक हैं।