ISC2 vs CompTIA: Sertifikasi Keamanan Mana yang Benar-Benar Membantu?

Setiap beberapa bulan seseorang bertanya apakah mereka harus ambil Security+ atau langsung loncat ke CISSP. Jawabannya kurang bergantung pada organisasi mana yang "lebih baik" dan lebih banyak pada posisi Anda saat ini dalam karir, karena ISC2 dan CompTIA tidak bersaing untuk pekerjaan yang sama.

Apa yang sebenarnya diuji masing-masing organisasi

Sertifikasi CompTIA seperti A+, Network+, dan Security+ dibangun di sekitar kompetensi dasar. Security+ (SY0-701 sesuai versi saat ini) memeriksa apakah Anda memahami konsep keamanan umum: ancaman, dasar-dasar kriptografi, manajemen identitas, konsep risiko, dan respons insiden dasar. Ini mengasumsikan sedikit atau tidak ada pengalaman profesional dan sering kali menjadi sertifikasi keamanan pertama yang diperoleh seseorang.

Sertifikasi ISC2, khususnya CISSP, mengasumsikan Anda sudah melakukan pekerjaan itu. CISSP memerlukan lima tahun pengalaman kerja berbayar di setidaknya dua dari delapan domainnya (atau empat tahun dengan gelar yang relevan atau kredensial yang disetujui). Ujiannya sendiri, CISSP format CAT dengan hingga 150 pertanyaan, tidak hanya menanyakan apa yang dilakukan firewall. Ini menanyakan Anda untuk membuat keputusan seperti yang dilakukan pemimpin keamanan: bagaimana Anda menyeimbangkan risiko terhadap kebutuhan bisnis, bagaimana Anda membenarkan kontrol kepada CFO yang tidak peduli dengan skor CVSS.

Kesenjangan pengalaman mengubah apa yang harus Anda coba terlebih dahulu

Jika Anda dua tahun dalam IT tanpa peran khusus keamanan, CISSP akan membuat Anda frustrasi bahkan jika Anda menghafal setiap domain. Ujian ini berat pada skenario dan menghargai penilaian yang Anda bangun dengan benar-benar melakukan penilaian risiko, menghadiri rapat kontrol perubahan, atau merespons insiden nyata. Security+ atau CySA+ CompTIA (sertifikat analis menengah mereka yang berfokus) cocok untuk tahap itu jauh lebih baik.

CySA+ khususnya berada di tengah-tengah yang menarik: lebih praktis dari Security+, berfokus pada analisis log, deteksi ancaman, dan alur kerja gaya SOC, tetapi tanpa persyaratan pengalaman yang CISSP tuntut. Ini adalah langkah yang solid bagi seseorang yang sudah memiliki Security+ dan ingin bergerak menuju peran tim biru atau analis SOC sebelum resume mereka dapat mendukung CISSP.

Biaya dan pembaruan bukan perbedaan sepele

Ujian CompTIA umumnya lebih murah, dan sertifikasi seperti Security+ berlaku selama tiga tahun, dapat diperbaharui melalui CEU atau ujian ulang. CISSP memiliki biaya pemeliharaan tahunan (saat ini sekitar $125/tahun) di atas biaya awal, ditambah 120 kredit CPE yang diperlukan selama siklus tiga tahun. Itu adalah komitmen berkelanjutan yang nyata, bukan lencana sekali waktu. Jika Anda membandingkan total biaya kepemilikan daripada hanya harga ujian, pertimbangkan apa yang diperlukan untuk menjaga kredensial aktif selama satu dekade.

Di mana pemberi kerja benar-benar menarik garis

Postingan pekerjaan untuk analis SOC, help desk dengan tanggung jawab keamanan, atau peran insinyur keamanan junior sering kali mencantumkan Security+ sebagai persyaratan minimum atau baseline DoD 8570 yang dipenuhinya. Sudut kepatuhan itu penting jika Anda menargetkan peran pemerintah atau kontraktor pertahanan: Security+ ada di daftar yang disetujui DoD 8570/8140 untuk Tingkat IAT II, yang menjadikannya persyaratan kotak centang terlepas dari seberapa banyak Anda belajar dari belajar untuk itu.

CISSP muncul dalam postingan untuk manajer keamanan, arsitek keamanan, atau peran track CISO. Ini sering kali tercantum sebagai "disukai" daripada diperlukan, tetapi untuk posisi track manajemen berfungsi sebagai filter. Perekrut menggunakannya untuk membuat daftar singkat kandidat yang telah menunjukkan pengalaman dan kemampuan untuk lulus ujian yang terkenal luas mencakup delapan domain dari keamanan aset hingga keamanan pengembangan perangkat lunak.

Urutan realistis jika Anda memulai dari nol

A+ atau Network+ terlebih dahulu jika Anda tidak memiliki dasar IT umum, kemudian Security+ untuk membangun kosakata keamanan dan konsep garis besar, kemudian dua hingga empat tahun pekerjaan aktual dalam peran yang berdekatan dengan keamanan, kemudian CySA+ atau sertifikat khusus (seperti kredensial keamanan cloud) tergantung arah Anda menuju, dan hanya kemudian CISSP setelah pengalaman Anda benar-benar mendukungnya. Melewati langkah-langkah untuk mengumpulkan sertifikat lebih cepat biasanya hanya berarti Anda lulus ujian yang belum dapat Anda terapkan.

Tidak satu pun sertifikat mengajarkan Anda cara melakukan pekerjaan

Baik sertifikasi CompTIA maupun ISC2 menguji pengetahuan dan penilaian, bukan keterampilan praktis. Lulus Security+ tidak berarti Anda dapat mengonfigurasi SIEM dengan benar, dan lulus CISSP tidak berarti Anda pernah menjalankan latihan tabletop. Perlakukan sertifikasi sebagai pembuka pintu dan sinyal resume, bukan sebagai bukti kemampuan, dan pasangkan mereka dengan pekerjaan lab aktual, proyek home-lab, atau peran junior tempat Anda menerapkan konsep di bawah pengawasan.

Jika Anda ingin membangun sisi praktis yang tidak dicakup sertifikasi, Korra Studio memiliki segmen tentang alur kerja SOC, analisis log, dan dasar-dasar tim biru yang layak untuk dipasangkan dengan jalur sertifikat mana pun yang Anda jalani.