ISC2 vs CompTIA: Care certificare de securitate te ajută cu adevărat?

La fiecare câteva luni cineva întreabă dacă ar trebui să urmeze Security+ sau să treacă direct la CISSP. Răspunsul depinde mai puțin de care organizație este "mai bună" și mai mult de unde te afli de fapt în cariera ta, pentru că ISC2 și CompTIA nu se luptă pentru același job.

Ce testează de fapt fiecare organizație

Certificările CompTIA, precum A+, Network+ și Security+, sunt construite în jurul competenței fundamentale. Security+ (SY0-701 în versiunea actuală) verifică dacă înțelegi concepte generale de securitate: amenințări, bazele criptografiei, managementul identității, concepte de risc și răspuns la incidente de bază. Presupune puțin sau deloc experiență profesională și este adesea prima certificare de securitate pe care o obține cineva.

Certificările ISC2, mai ales CISSP, presupun că ai făcut deja jobul. CISSP necesită cinci ani de experiență plătită în cel puțin două din cele opt domenii ale sale (sau patru ani cu o diplomă relevantă sau o acreditare aprobată). Examenul în sine, CISSP în format CAT cu până la 150 de întrebări, nu doar întreabă ce face un firewall. Te întreabă să iei decizii așa cum ar lua un lider de securitate: cum echilibrezi riscul cu nevoile afacerii, cum justifici un control unui CFO căruia nu-i pasă de scorurile CVSS.

Decalajul de experiență schimbă ceea ce ar trebui să încerci mai întâi

Dacă ești la doi ani în IT fără rol specific de securitate încă, CISSP te va frustra chiar dacă memorezi fiecare domeniu. Examenul este plin de scenarii și recompensează judecata pe care o construiești făcând de fapt evaluări de risc, participând la întâlniri de control al modificărilor, sau răspunzând la incidente reale. Security+ de la CompTIA sau CySA+ (certificarea lor intermediară axată pe analiști) se potrivește mult mai bine acelei etape.

CySA+ în mod specific ocupă un teren interesant din punct de vedere al mijlocului: mai practic decât Security+, concentrat pe analiza jurnalelor, detectarea amenințărilor și fluxuri de lucru de tip SOC, dar fără cerința de experiență pe care o are CISSP. Este o etapă solidă pentru cineva care deja are Security+ și vrea să se mute către un rol de blue team sau analist SOC înainte ca CV-ul lor să poată susține CISSP.

Costul și reînnoirea nu sunt diferențe banale

Examenele CompTIA rulează în general mai ieftin, și certificări precum Security+ sunt valabile trei ani, reînnoibile prin CEU-uri sau o retestare. CISSP are o taxă de mentenanță anuală (în prezent în jurul a 125$/an) pe lângă costul inițial, plus 120 de credite CPE necesare pe un ciclu de trei ani. Acesta este un angajament real și continuu, nu un insignă cu cost unic. Dacă compari costul total de proprietate mai degrabă decât doar prețul examenului, ține cont de ceea ce necesită pentru a menține acreditarea activă timp de un deceniu.

Unde angajatorii trasează de fapt linia

Anunțurile de angajare pentru analist SOC, help desk cu responsabilități de securitate, sau roluri junior de inginer de securitate listează frecvent Security+ ca cerință minimă sau ca cerință de bază DoD 8570 pe care o satisface. Acel unghi de conformitate contează dacă vizezi roluri la guvern sau contractori de apărare: Security+ este pe lista aprobată DoD 8570/8140 pentru IAT Level II, ceea ce o face o cerință tip checkbox independent de cât de mult înveți din studiul pentru ea.

CISSP apare în postări pentru manager de securitate, arhitect de securitate, sau roluri pe cale de CISO. Este adesea listat ca "preferat" mai degrabă decât necesar, dar pentru poziții de management funcționează ca un filtru. Recrutatorii o folosesc pentru a selecta candidații care au demonstrat atât experiență, cât și capacitatea de a trece un examen notoramente amplu care acoperă opt domenii de la securitatea activelor la securitatea dezvoltării software.

O secvență realistă dacă începi de la zero

A+ sau Network+ mai întâi dacă nu ai noțiuni fundamentale generale de IT, apoi Security+ pentru a stabili vocabularul de securitate și conceptele de bază, apoi doi până la patru ani de muncă de fapt într-un rol adiacent securității, apoi CySA+ sau o certificare specialized (cum ar fi o acreditare de securitate cloud) în funcție de direcția în care te îndrepți, și doar după CISSP când experiența ta de fapt o susține. Saltarea etapelor pentru a colecta certificări mai rapid de obicei doar înseamnă că treci un examen pe care nu-l poți încă aplica.

Nici o certificare nu te învață să faci jobul

Atât certificările CompTIA cât și ISC2 testează cunoștințe și judecată, nu abilități practice. Trecerea Security+ nu înseamnă că poți configura corect un SIEM, și trecerea CISSP nu înseamnă că ai condus vreodată un exercițiu de tabletop. Tratează certificările ca deschizători de ușe și semnale pe CV, nu ca dovezi de capabilitate, și combină-le cu muncă de laborator reală, proiecte de home-lab, sau un rol junior unde aplici conceptele sub supraveghere.

Dacă vrei să construiești partea practică pe care certificările nu o acoperă, Korra Studio are segmente pe fluxuri SOC, analiză de jurnale și noțiuni fundamentale de blue team care merită să le perechi cu oricare cale de certificare pe care o urmezi.