CISM vs CISSP: Którą certyfikację powinieneś wybrać?

Zarówno CISM, jak i CISSP to szanowane certyfikacje wydawane przez ISACA i (ISC)² odpowiednio, ale służą różnym ścieżkom kariery. Wybór między nimi zależy mniej od tego, która jest "trudniejsza", a bardziej od tego, dokąd zmierzasz zawodowo.

Co rzeczywiście testuje CISSP

CISSP (Certified Information Systems Security Professional) to certyfikacja szeroka i techniczna. Obejmuje osiem domen, od architektury bezpieczeństwa, bezpieczeństwa sieci, zarządzania tożsamością, kryptografii, bezpieczeństwa rozwoju oprogramowania po operacje. Jest przeznaczona dla praktyków, którzy potrzebują praktycznej wiedzy z całej dziedziny bezpieczeństwa — myśl o inżynierach bezpieczeństwa, architektach, konsultantach i analitykach, którzy przechodzą na stanowiska kierownicze.

Sam egzamin ma format adaptacyjny (CAT) i słynie z tego, że jest raczej szeroki niż głęboki. Potrzebujesz praktycznej wiedzy na temat zapór ogniowych, protokołów szyfrowania, ram zarządzania ryzykiem i praktyk bezpiecznego SDLC, ale nie oczekuje się, że będziesz specjalistą w żadnej pojedynczej domenie.

Co rzeczywiście testuje CISM

CISM (Certified Information Security Manager) to certyfikacja węższa i bardziej skoncentrowana na zarządzaniu. Jej cztery domeny to Information Security Governance, Risk Management, Program Development i Incident Management. Zawiera bardzo mało praktycznej zawartości technicznej — zakłada, że już rozumiesz koncepcje bezpieczeństwa i zamiast tego testuje Twoją zdolność do dostosowania programów bezpieczeństwa do celów biznesowych, zarządzania ryzykiem na poziomie organizacyjnym i kierowania reagowaniem na incydenty z perspektywy programu.

CISM jest skierowany wprost do osób zarządzających programami bezpieczeństwa: CISOs, menedżerów bezpieczeństwa, dyrektorów i starszych analityków przechodzących na stanowiska kierownicze.

Wymagania wstępne i doświadczenie

Obie certyfikacje wymagają doświadczenia zawodowego, a nie tylko zdania egzaminu:

• CISSP wymaga pięciu lat kumulatywnego płatnego doświadczenia zawodowego w co najmniej dwóch z ośmiu domen (jeden rok można ominąć z odpowiednim stopniem lub inną zatwierdzoną certyfikacją).
• CISM wymaga pięciu lat doświadczenia w bezpieczeństwie informacji, z czego co najmniej trzy lata w zarządzaniu bezpieczeństwem na trzech lub więcej z czterech domen.

Jeśli jesteś wcześniej w swojej karierze i nadal wykonujesz praktyczną pracę techniczną — testy penetracyjne, analizę SOC, inżynierię bezpieczeństwa sieci — szerszy zakres techniczny CISSP będzie bardziej naturalnie mapować się na Twoją codzienną pracę i będzie łatwiejszy do spełnienia z punktu widzenia wymagań doświadczenia. Jeśli już zarządzasz zespołem, budżetem lub programem bezpieczeństwa, domeny skoncentrowane na zarządzaniu CISM będą bardziej bezpośrednio rezonować z tym, co robisz.

Considerations dotyczące ścieżki kariery

Zastanów się nad następną rolą, którą faktycznie chcesz pełnić:

• Marzysz o rolach architekta, inżyniera lub konsultanta technicznego? CISSP to silniejszy sygnał. Jest często wymieniany jako wymaganie bazowe w ofertach pracy na starsze stanowiska techniczne w bezpieczeństwie i stanowiska w sektorze obronnym/kontraktów rządowych.
• Marzysz o roli CISO, dyrektora bezpieczeństwa lub roli w obszarze governance/ryzyka? CISM ma większą wagę dla menedżerów ds. zatrudnienia szukających kogoś, kto potrafi mówić językiem biznesowego ryzyka, budżetu i zgodności zamiast packet captures.
• Jeszcze nie jesteś pewny? Szerszy zakres CISSP sprawia, że jest to bezpieczniejszy wybór, jeśli chcesz mieć opcjonalność — jest bardziej powszechnie rozpoznawany w branżach i łatwiej jest z niego przejść na ścieżkę techniczną lub kierowniczą później.

Czy możesz zdobyć obie?

Tak, i wiele starszych profesjonalistów ds. bezpieczeństwa ostatecznie to robi. Nie ma reguły zakazującej posiadanie obu, i świetnie się uzupełniają: CISSP wykazuje szerokość techniczną, CISM wykazuje dojrzałość zarządzania. Jeśli planujesz długoterminowy ruch na ścieżkę CISO, kolejność CISSP najpierw (aby zbudować i udowodnić wiarygodność techniczną) i CISM później (gdy przejmujesz odpowiedzialność za zarządzanie) jest powszechną i logiczną ścieżką.

Koszty i utrzymanie

Obie wymagają rocznych opłat utrzymaniowych i kredytów edukacji ustawicznej (CPE dla CISSP, CPE również dla CISM), aby pozostać aktywnym. Koszty egzaminów są porównywalne, chociaż ceny zmieniają się okresowo, więc sprawdź aktualne stawki bezpośrednio u (ISC)² i ISACA przed podjęciem decyzji.

Podsumowanie

Jeśli Twoja codzienna praca jest wciąż praktyczna i techniczna, i chcesz poświadczenia, które otwiera drzwi w szerokim zakresie ról bezpieczeństwa, wybierz CISSP. Jeśli już zarządzasz programami, ludźmi lub ryzykiem na poziomie organizacyjnym, CISM będzie bardziej dostosowany do Twojej faktycznej pracy i ról, które stawiasz sobie za cel w następnej kolejności. Żadna z nich nie jest obiektywnie lepsza — są zbudowane dla różnych etapów i kierunków kariery w bezpieczeństwie.

Zajrzyj do segmentów Certifications i Career Change platformy Korra Studio, aby uzyskać głębsze informacje na temat strategii przygotowania do egzaminu i mapowania certyfikacji na Twoją następną rolę.