ISC2 vs CompTIA: Qual Certificação Realmente Ajuda?

A cada alguns meses alguém pergunta se deve fazer Security+ ou partir direto para CISSP. A resposta depende menos de qual organização é "melhor" e mais de onde você realmente está na carreira, porque ISC2 e CompTIA não competem pelos mesmos trabalhos.

O que cada organização realmente está testando

Certificações CompTIA como A+, Network+ e Security+ são construídas em torno de competência fundamental. Security+ (SY0-701 na versão atual) verifica se você entende conceitos de segurança geral: ameaças, fundamentos de criptografia, gerenciamento de identidade, conceitos de risco e resposta a incidentes básica. Assume pouca ou nenhuma experiência profissional e é frequentemente a primeira certificação de segurança que alguém obtém.

Certificações ISC2, especialmente CISSP, assumem que você já fez o trabalho. CISSP requer cinco anos de experiência profissional remunerada em pelo menos dois de seus oito domínios (ou quatro anos com um grau relevante ou credencial aprovada). O exame em si, o CISSP no formato CAT com até 150 questões, não apenas pergunta o que um firewall faz. Ele pede que você tome decisões como um líder de segurança faria: como você pondera risco contra necessidades de negócio, como você justifica um controle a um CFO que não se importa com scores CVSS.

O gap de experiência muda o que você deve tentar primeiro

Se você tem dois anos em TI sem nenhum papel específico em segurança ainda, CISSP vai frustrar você mesmo que decore cada domínio. O exame é pesado em cenários e recompensa julgamento que você constrói fazendo avaliações de risco reais, participando de reuniões de controle de mudança, ou respondendo a incidentes reais. Security+ ou CySA+ da CompTIA (sua certificação intermediária focada em analista) encaixam melhor nesse estágio.

CySA+ especificamente fica em um meio interessante: mais prático que Security+, focado em análise de logs, detecção de ameaças e fluxos de trabalho estilo SOC, mas sem o requisito de experiência que CISSP exige. É um passo sólido para alguém que já tem Security+ e quer se mover para um papel de blue team ou analista de SOC antes que seu currículo possa sustentar CISSP.

Custo e renovação não são diferenças triviais

Exames CompTIA geralmente saem mais baratos, e certificações como Security+ são válidas por três anos, renováveis através de CEUs ou refazendo. CISSP tem uma taxa de manutenção anual (atualmente cerca de $125/ano) além do custo inicial, mais 120 créditos CPE requeridos em um ciclo de três anos. Esse é um compromisso contínuo real, não uma insígnia de uma vez. Se você está comparando custo total de propriedade em vez de apenas preço do exame, considere o que é preciso para manter a credencial ativa por uma década.

Onde empregadores realmente traçam a linha

Postagens de trabalho para analista de SOC, help desk com responsabilidades de segurança, ou engenheiro de segurança junior frequentemente listam Security+ como um requisito mínimo ou de baseline DoD 8570 que satisfaz. Esse ângulo de conformidade importa se você está visando funções de governo ou contratada de defesa: Security+ está na lista aprovada DoD 8570/8140 para IAT Level II, o que a torna um requisito de checkbox independente de quanto você aprende estudando para ela.

CISSP aparece em postagens para gerente de segurança, arquiteto de segurança, ou papéis de trilha de CISO. É frequentemente listado como "preferido" em vez de requerido, mas para posições de trilha gerencial funciona como um filtro. Recrutadores a usam para fazer uma triagem de candidatos que demonstraram tanto experiência quanto a habilidade de passar em um exame notoriamente amplo cobrindo oito domínios de segurança de ativos a segurança de desenvolvimento de software.

Uma sequência realista se você está começando do zero

A+ ou Network+ primeiro se você não tem fundamentos gerais de TI, depois Security+ para estabelecer o vocabulário de segurança e conceitos baseline, depois dois a quatro anos de trabalho real em um papel adjacente a segurança, depois CySA+ ou uma certificação especializada (como uma credencial de segurança em nuvem) dependendo da direção que você está indo, e só então CISSP quando sua experiência realmente a respaldar. Pular etapas para coletar certificações mais rápido geralmente significa que você passa em um exame que ainda não pode aplicar.

Nenhuma certificação te ensina a fazer o trabalho

Tanto certificações CompTIA quanto ISC2 testam conhecimento e julgamento, não habilidade prática. Passar em Security+ não significa que você pode configurar um SIEM corretamente, e passar em CISSP não significa que você já executou um exercício de tabletop. Trate certificações como abridores de porta e sinais de currículo, não como prova de capacidade, e combine-as com trabalho real em lab, projetos de home-lab, ou um papel junior onde você está aplicando os conceitos sob supervisão.

Se você quer construir o lado prático que certificações não cobrem, Korra Studio tem segmentos em fluxos de trabalho de SOC, análise de logs e fundamentos de blue team que valem a pena combinar com qual caminho de certificação você estiver seguindo.