CISSP Experience Requirements, Actually Explained

Kebanyakan orang terpeleset bukan karena materi ujian CISSP, tetapi karena syarat halus mengenai siapa yang sebenarnya memenuhi syarat untuk memegang kredensial ini. Ujian itu sendiri terbuka untuk hampir siapa saja yang bersedia membayar biayanya. Sertifikasi adalah cerita yang berbeda, dan celah itulah yang menyebabkan kebingungan nyata.

Aturan lima tahun, dijelaskan

(ISC)² memerlukan lima tahun pengalaman kerja kumulatif berbayar di setidaknya dua dari delapan domain CISSP: Security and Risk Management, Asset Security, Security Architecture and Engineering, Communication and Network Security, Identity and Access Management, Security Assessment and Testing, Security Operations, dan Software Development Security.

Pengalaman itu harus full-time, dan tidak perlu berasal dari pekerjaan dengan "security" dalam judulnya. Jika Anda adalah sysadmin yang mengelola patching, aturan firewall, dan review akses, itu dihitung untuk Security Operations dan IAM. Developer yang melakukan threat modeling dan secure code review sebagai bagian dari peran mereka dapat menghitung waktu untuk Software Development Security. Domain-domainnya dirancang luas dengan tujuan, jadi baca deskripsi domain di situs web (ISC)² dengan hati-hati sebelum menganggap Anda tidak memenuhi syarat.

Pekerjaan part-time dan magang dapat dihitung juga, tetapi diperhitungkan secara proporsional. (ISC)² menerbitkan formula spesifik: 1,040 jam kerja part-time sama dengan enam bulan pengalaman, dan 2,080 jam sama dengan satu tahun. Magang tanpa bayaran tidak dihitung sama sekali, terlepas dari jumlah jam.

Waiver satu tahun

Jika Anda memiliki gelar sarjana empat tahun, atau salah satu kredensial dari daftar yang disetujui (ISC)² (hal-hal seperti CompTIA Security+, CISA, atau gelar master yang relevan), Anda mendapatkan waiver satu tahun. Itu mengurangi persyaratan dari lima tahun menjadi empat. Waiver ini berlaku sekali, bukan per kredensial, jadi menggabungkan tiga sertifikasi yang memenuhi syarat tidak memberi Anda tiga tahun potongan.

Periksa kembali daftar yang disetujui sebelum menganggap sertifikasi Anda memenuhi syarat. Daftar ini berubah seiring waktu, dan tidak setiap cert keamanan di pasar ada di dalamnya.

Apa yang terjadi jika Anda belum memiliki pengalaman yang cukup

Di sinilah designasi Associate of (ISC)² penting. Jika Anda lulus ujian tetapi belum memiliki pengalaman yang diperlukan, Anda tidak akan gagal atau ditolak — Anda menjadi Associate of (ISC)². Kemudian Anda memiliki enam tahun untuk mengumpulkan pengalaman yang diperlukan dan menyerahkannya untuk ditinjau.

Ini membuat orang bingung terus-menerus karena postingan pekerjaan mencantumkan "CISSP required" tanpa membedakan antara sertifikasi penuh dan status Associate. Jika Anda berada di awal karir Anda, lulus ujian dan memegang status Associate masih merupakan sinyal bermakna bagi manajer perekrutan. Ini memberi tahu mereka bahwa Anda mengerti materi bahkan jika Anda belum menghabiskan bertahun-tahun.

Mendokumentasikan dan mengesahkan pengalaman Anda

Setelah lulus ujian, Anda mengirimkan aplikasi endorsement yang menjelaskan riwayat kerja relevan Anda, domain demi domain. Ini harus disahkan oleh profesional bersertifikat (ISC)² lainnya yang berstand baik dan dapat membuktikan bahwa pengalaman Anda akurat. Jika Anda tidak mengenal siapa pun yang memegang sertifikasi (ISC)² saat ini, (ISC)² sendiri dapat bertindak sebagai endorser, meskipun proses itu memakan waktu lebih lama dan melibatkan lebih banyak pengawasan riwayat yang Anda kirimkan.

Bersikaplah spesifik dalam penjelasan Anda. "Bertanggung jawab untuk keamanan jaringan" tidak jelas dan mengundang pertanyaan lanjutan. "Mengonfigurasi dan memelihara ruleset firewall Palo Alto, melakukan review akses triwulanan untuk 200+ akun pengguna, dan memimpin respons insiden untuk kompromi terkait phishing" memberi endorser dan (ISC)² sesuatu yang konkret untuk diverifikasi.

Kesalahan umum yang orang buat dengan persyaratan

Yang terbesar adalah menganggap sertifikasi saja menggantikan pengalaman. Mereka tidak, kecuali untuk waiver satu tahun tunggal. CEH, Security+, dan sertifikasi keamanan cloud yang ditumpuk bersama-sama masih hanya memberi Anda satu tahun potongan, bukan tiga.

Kesalahan kedua adalah menghitung kurang pengalaman relevan karena tidak terjadi dalam peran yang diberi label