ISC2 vs CompTIA: Który certyfikat rzeczywiście pomaga?

Co kilka miesięcy ktoś pyta, czy powinien zdobyć Security+ czy przejść bezpośrednio do CISSP. Odpowiedź zależy mniej od tego, która organizacja jest "lepsza", a bardziej od tego, gdzie rzeczywiście stoisz w swojej karierze, ponieważ ISC2 i CompTIA nie konkurują o te same stanowiska.

Co każda organizacja rzeczywiście testuje

Certyfikaty CompTIA takie jak A+, Network+ i Security+ zbudowane są wokół kompetencji podstawowych. Security+ (wersja SY0-701 na dzień dzisiejszy) sprawdza, czy rozumiesz ogólne koncepcje bezpieczeństwa: zagrożenia, podstawy kryptografii, zarządzanie tożsamością, koncepcje ryzyka i podstawowe reagowanie na incydenty. Zakłada mało lub brak doświadczenia zawodowego i jest często pierwszym certyfikatem bezpieczeństwa, który ktoś zdobywa.

Certyfikaty ISC2, szczególnie CISSP, zakładają, że już wykonywałeś pracę. CISSP wymaga pięciu lat płatnego doświadczenia zawodowego w co najmniej dwóch z ośmiu domen (lub czterech lat z odpowiednim dyplomem lub zatwierdzonym certyfikatem). Egzamin, CAT-format CISSP z maksymalnie 150 pytaniami, nie tylko pyta, co robi zapora sieciowa. Pyta Cię o podejmowanie decyzji, jak robiłby to lider bezpieczeństwa: jak równoważysz ryzyko z potrzebami biznesu, jak uzasadniasz kontrolę CFO, który nie przejmuje się wynikami CVSS.

Luka doświadczenia zmienia to, co powinieneś spróbować najpierw

Jeśli jesteś dwa lata w IT bez specjalistycznej roli bezpieczeństwa, CISSP Cię sfrustruje, nawet jeśli zapamiętasz każdą domenę. Egzamin ma wiele scenariuszy i nagradza osąd, który budujesz, faktycznie wykonując oceny ryzyka, uczestnicząc w spotkaniach kontroli zmian lub reagując na rzeczywiste incydenty. Security+ CompTIA lub CySA+ (ich pośredni certyfikat dla analityków) lepiej pasuje na tym etapie.

CySA+ zajmuje interesujące miejsce pośrodku: bardziej praktyczne niż Security+, skupione na analizie logów, wykrywaniu zagrożeń i przepływach pracy SOC, ale bez wymagań dotyczących doświadczenia, które stawiają CISSP. To solidny krok dla kogoś, kto ma już Security+ i chce przejść do roli blue teamu lub analityka SOC, zanim jego CV będzie obsługiwać CISSP.

Koszt i odnowienie to nie są trywialne różnice

Egzaminy CompTIA generalnie kosztują mniej, a certyfikaty takie jak Security+ są ważne przez trzy lata, odnawialne poprzez CEU lub ponowne podejście. CISSP ma roczną opłatę za utrzymanie (obecnie około 125 USD rocznie) ponad początkowy koszt, plus 120 kredytów CPE wymaganych w cyklu trzyletnim. To rzeczywiste zaangażowanie na bieżąco, nie jednorazowy badge. Jeśli porównujesz całkowity koszt posiadania, a nie tylko cenę egzaminu, weź pod uwagę, co kosztuje utrzymanie aktywnego certyfikatu przez dziesięć lat.

Gdzie pracodawcy rzeczywiście rysują linię

Oferty pracy dla analityka SOC, help desk z odpowiedzialnością w zakresie bezpieczeństwa lub juniora inżyniera bezpieczeństwa często wymieniają Security+ jako wymóg minimalny lub DoD 8570 baseline, który spełnia. Ten kąt zgodności ma znaczenie, jeśli celujesz w stanowiska rządowe lub u wykonawców obronnych: Security+ jest na liście DoD 8570/8140 zatwierdzonej dla IAT Level II, co czyni go wymaganiem checkbox niezależnie od tego, ile nauczysz się, studiując do niego.

CISSP pojawia się w ofertach pracy dla kierownika bezpieczeństwa, architekta bezpieczeństwa lub ścieżki CISO. Często jest wymieniane jako "pożądane" raczej niż wymagane, ale dla stanowisk na ścieżce zarządzania funkcjonuje jako filtr. Rekruterzy używają go do skrócenia listy kandydatów, którzy wykazali zarówno doświadczenie, jak i zdolność do zdania notorycznie szerokiego egzaminu obejmującego osiem domen od bezpieczeństwa zasobów do bezpieczeństwa rozwoju oprogramowania.

Realistyczne sekwencjonowanie, jeśli zaczynasz od zera

Pierwszy A+ lub Network+, jeśli nie masz podstawowych fundamentów IT, następnie Security+ aby ustalić słownictwo bezpieczeństwa i koncepcje bazowe, następnie dwa do czterech lat faktycznej pracy w roli związanej z bezpieczeństwem, następnie CySA+ lub specjalistyczny certyfikat (taki jak poświadczenie bezpieczeństwa w chmurze) w zależności od kierunku, w którym zmierzasz, i tylko wtedy CISSP, gdy Twoje doświadczenie go rzeczywiście wspiera. Pomijanie etapów, aby szybciej zbierać certyfikaty, zwykle oznacza tylko, że zdajesz egzamin, którego nie możesz jeszcze zastosować.

Żaden certyfikat nie nauczy Cię wykonywać pracę

Zarówno certyfikaty CompTIA, jak i ISC2 testują wiedzę i osąd, nie praktyczne umiejętności. Zdanie Security+ nie oznacza, że możesz prawidłowo skonfigurować SIEM, a zdanie CISSP nie oznacza, że kiedykolwiek prowadziłeś ćwiczenie przy stole. Traktuj certyfikaty jako otwieracze drzwi i sygnały CV, nie jako dowód zdolności, i łącz je z rzeczywistą pracą lab, projektami home-lab lub rolą juniora, gdzie aplikujesz koncepcje pod nadzorem.

Jeśli chcesz budować praktyczną stronę, którą certyfikaty nie obejmują, Korra Studio ma segmenty na temat przepływów pracy SOC, analizy logów i podstaw blue team wartych połączenia z wybraną ścieżką certyfikacji.