ISC2 vs CompTIA：どのセキュリティ認定資格が本当に役立つのか

数ヶ月ごとに、Security+を取得するべきか、それともCISSPに直進するべきかという質問が出されます。答えは、どちらの組織が「優れているか」というより、キャリアのどの段階にいるかによって左右されます。ISC2とCompTIAは同じ職務を競っていないからです。

各組織が実際にテストしている内容

A+、Network+、Security+などのCompTIA認定資格は、基礎的な適性の習得を中心に構成されています。Security+（現バージョンではSY0-701）は、一般的なセキュリティ概念の理解度をテストします：脅威、暗号化の基礎、アイデンティティ管理、リスク概念、基本的なインシデント対応です。職務経験をほとんど、またはまったく想定していないため、多くの場合、誰かが取得する最初のセキュリティ認定資格です。

ISC2認定資格、特にCISSPは、すでにその職務を遂行していることを想定しています。CISSPは、8つのドメインのうち少なくとも2つに関連する5年間の有給業務経験（または関連学位もしくは承認された認定資格を保有する場合は4年）を要求しています。CAT形式のCISSP試験自体は、最大150問であり、ファイアウォールが何をするかを尋ねるだけではありません。セキュリティリーダーが行うような判断を求めます：リスクとビジネス上のニーズをどのように天秤にかけるのか、CVSS スコアに関心のないCFOにコントロールをどのように正当化するのか。

経験のギャップが最初に何を試すべきかを変える

セキュリティに特化した職務に就いていないIT経験が2年の場合、すべてのドメインを暗記してもCISSPは不満になります。試験はシナリオが多く、リスク評価を実際に行う、変更管理会議に参加する、または実際のインシデントに対応することで築く判断を報酬とします。CompTIAのSecurity+またはCySA+（その中級分析官向け認定資格）はその段階にはるかに適しています。

CySA+は特に興味深い中間領域に位置します：Security+よりも実践的で、ログ分析、脅威検出、SOCスタイルのワークフローに焦点を当てていますが、CISSPが要求する経験要件がありません。これは、Security+をすでに取得しており、レジューメがCISSPをサポートできる前にブルーチームまたはSOCアナリスト職に向かいたい人にとって堅実なステップです。

コストと更新は些細な違いではありません

CompTIA試験は一般的に安価で、Security+などの認定資格は3年間有効であり、CEUまたは再受験を通じて更新可能です。CISSPには、初期コストに加えて年間メンテナンス費（現在約125ドル/年）があり、さらに3年サイクルで120 CPEクレジットが必要です。これは1回限りのバッジではなく、真の継続的なコミットメントです。初期費用だけでなく総所有コストを比較する場合は、10年間認定資格を有効に保つために何が必要かを考慮してください。

雇用主が実際に線を引く場所

SOCアナリスト、セキュリティ責任を持つヘルプデスク、またはジュニアセキュリティエンジニアの職務記述書には、多くの場合Security+が最小要件またはDoD 8570の基準要件として記載されています。政府または防衛請負業者の職務を対象としている場合、このコンプライアンスの側面が重要です：Security+はDoD 8570/8140承認リストのIATレベルII向けであり、学習内容の多寡に関わらず、試験に合格する必要のあるチェックボックス要件になります。

CISSPは、セキュリティマネージャー、セキュリティアーキテクト、またはCISO職へのキャリアパスの職務記述書に表示されます。多くの場合、必須ではなく「推奨」として記載されていますが、マネジメント職では選別フィルターとして機能します。リクルーターはこれを使用して、経験と資産セキュリティからソフトウェア開発セキュリティに至るまで、8つのドメインをカバーする悪名高い幅広い試験に合格する能力の両方を実証した候補者を絞り込みます。

ゼロから開始する場合の現実的な段階化

一般的なIT基礎知識がない場合はA+またはNetwork+を最初に取得し、その後Security+でセキュリティ用語と基本概念を確立し、その後2～4年間セキュリティに関連する役務で実際に働き、その後は進む方向によってCySA+または専門認定資格（クラウドセキュリティ認定資格など）を取得し、最後に経験が実際に裏付けられているときにのみCISSPを取得します。ステップをスキップして、より速く認定資格を集めることは、通常、まだ適用できない試験に合格するだけです。

どちらの認定資格も職務を遂行する方法を教えません

CompTIAとISC2の両認定資格は、実践的なスキルではなく、知識と判断力をテストします。Security+に合格することはSIEMを正しく設定できることを意味せず、CISSPに合格することはテーブルトップ演習を実行したことがあることを意味しません。認定資格を扉を開くツールと履歴書の信号として扱い、証明能力として扱わないでください。また、実際のラボワーク、ホームラボプロジェクト、または監督下で概念を適用している初級職と組み合わせてください。

認定資格がカバーしていない実践的な側面を構築したい場合、Korra Studioにはあなたが進むどの認定資格パスでも組み合わせる価値のあるSOCワークフロー、ログ分析、ブルーチーム基礎に関するセグメントがあります。