CISM и CISSP: какой сертификат выбрать?

CISM и CISSP — оба уважаемых сертификата от ISACA и (ISC)² соответственно, но они ориентированы на разные карьерные траектории. Выбор между ними зависит не столько от того, какой из них "сложнее", сколько от того, куда вы хотите идти профессионально.

Что на самом деле проверяет CISSP

CISSP (Certified Information Systems Security Professional) — широкий и технический сертификат. Он охватывает восемь доменов: архитектуру безопасности, сетевую безопасность, управление идентификацией, криптографию, безопасность разработки ПО и операции. Он разработан для практикующих специалистов, которым нужны практические знания во всей дисциплине информационной безопасности — это инженеры безопасности, архитекторы, консультанты и аналитики, переходящие в руководство.

Сам экзамен адаптивный (формат CAT) и известен тем, что охватывает широкий спектр материала, а не углубляется в детали. Вам нужны рабочие знания о брандмауэрах, протоколах шифрования, рамках управления рисками и практиках безопасной разработки, но от вас не ожидается быть специалистом в какой-то одной области.

Что на самом деле проверяет CISM

CISM (Certified Information Security Manager) — уже, но сосредоточен на управлении. Четыре его домена: Управление информационной безопасностью, Управление рисками, Развитие программ и Управление инцидентами. Практического технического контента очень мало — предполагается, что вы уже понимаете концепции безопасности, а вместо этого проверяется ваша способность согласовывать программы безопасности с бизнес-целями, управлять риском на уровне организации и руководить реагированием на инциденты с точки зрения программы.

CISM направлен прямо на людей, управляющих программами безопасности: CISOs, менеджеры безопасности, директора и старшие аналитики, переходящие на руководящие должности.

Требования к опыту и квалификации

Оба сертификата требуют профессионального опыта, не только сдачу экзамена:

• CISSP требует пять лет накопленного оплачиваемого опыта работы в по крайней мере двух из восьми доменов (один год может быть пропущен при наличии релевантной степени или другого одобренного сертификата).
• CISM требует пять лет опыта работы в информационной безопасности, из которых как минимум три года в управлении безопасностью в трех или более из четырех доменов.

Если вы на ранней стадии карьеры и всё ещё занимаетесь практической технической работой — тестированием на проникновение, анализом в SOC, инженерией сетевой безопасности — более широкая техническая база CISSP будет лучше соответствовать вашей повседневной работе и будет проще с точки зрения требований к опыту. Если вы уже управляете командой, бюджетом или программой безопасности, управленческие домены CISM будут более непосредственно соответствовать вашей работе.

Рассмотрение карьерных путей

Думайте о том, какую роль вы действительно хотите занять дальше:

• Нацелены на роли архитектора, инженера или технического консультанта? CISSP — сильнее. Его часто указывают как базовое требование в объявлениях о вакансиях для старших технических ролей в области безопасности и в контрактах для государственного и оборонного сектора.
• Нацелены на роли CISO, директора по безопасности или на задачи управления/соответствия требованиям? CISM имеет больший вес среди рекрутеров, ищущих человека, который может говорить на языке бизнес-рисков, бюджетов и соответствия требованиям, а не на языке захватов пакетов.
• Ещё не уверены? Более широкая база CISSP делает его безопаснее по умолчанию, если вам нужна гибкость — он более широко признан в индустрии и легче позволяет позже перейти либо на технические, либо на управленческие пути.

Можно ли получить оба сертификата?

Да, и многие старшие специалисты в области безопасности в конце концов это делают. Никаких ограничений на наличие обоих не существует, и они хорошо дополняют друг друга: CISSP демонстрирует техническую широту, CISM демонстрирует зрелость в управлении. Если вы планируете долгосрочный переход на путь CISO, логичная последовательность — сначала CISSP (чтобы построить и доказать техническую квалификацию), потом CISM (когда вы берёте на себя управленческие обязанности).

Стоимость и поддержание статуса

Оба требуют годовых сборов за поддержание статуса и кредитов непрерывного образования (CPEs для CISSP, CPEs и для CISM) для сохранения активности. Стоимость экзаменов сопоставима, хотя цены меняются периодически, поэтому проверьте текущие ставки непосредственно на сайтах (ISC)² и ISACA перед тем, как принимать решение.

Вывод

Если ваша повседневная работа всё ещё практическая и техническая, и вам нужен сертификат, открывающий двери во множество ролей в области безопасности, выбирайте CISSP. Если вы уже управляете программами, людьми или рисками на уровне организации, CISM будет лучше соответствовать вашей текущей работе и ролям, на которые вы нацеливаетесь дальше. Ни один из них не лучше объективно — они разработаны для разных этапов и направлений карьеры в области безопасности.

Загляните в разделы Certifications и Career Change в Korra Studio для более подробного разбора стратегии подготовки к экзамену и соответствия сертификатов вашей следующей роли.