ISC2 vs CompTIA: ใบรับรองความปลอดภัยใดที่ช่วยได้จริง?

ทุกไม่กี่เดือนจะมีคนถามว่าควรสอบ Security+ หรือไปเลยที่ CISSP ตอบได้ว่าคำตอบขึ้นอยู่กับ ตำแหน่งของคุณในอาชีพมากกว่า องค์กรไหนจะ "ดีกว่า" เพราะ ISC2 และ CompTIA ไม่ได้แข่งขันสำหรับงานเดียวกัน

สิ่งที่องค์กรแต่ละแห่งทดสอบจริงๆ

ใบรับรอง CompTIA เช่น A+, Network+ และ Security+ สร้างขึ้นจากความสามารถพื้นฐาน Security+ (SY0-701 ตามเวอร์ชันปัจจุบัน) ตรวจสอบว่าคุณเข้าใจแนวคิดความปลอดภัยทั่วไป คุกคาม การเข้ารหัส ความเป็นส่วนตัว การจัดการตัวตน แนวคิดด้านความเสี่ยง และการตอบสนองต่อเหตุการณ์เบื้องต้น สมมติว่ามีประสบการณ์งานเพียงเล็กน้อยหรือไม่มีเลย และมักเป็นใบรับรองความปลอดภัยแรกที่ใครบางคนได้รับ

ใบรับรอง ISC2 โดยเฉพาะ CISSP สมมติว่าคุณทำงานแล้ว CISSP ต้องมีประสบการณ์งานจ่ายเงินห้าปีในอย่างน้อยสองจาก 8 โดเมน (หรือสี่ปีพร้อมองศาที่เกี่ยวข้องหรือข้อมูลประจำตัวที่อนุมัติ) ตัวสอบเอง CISSP รูป CAT ที่มีคำถามถึง 150 ข้อ ไม่ได้ถามแค่ว่า firewall ทำงานอย่างไร มันถามให้คุณตัดสินใจเหมือนผู้นำความปลอดภัยจะทำ คุณชั่งน้ำหนักความเสี่ยงกับความต้องการของธุรกิจอย่างไร คุณสมควรอธิบายการควบคุมให้ CFO ที่ไม่สนใจคะแนน CVSS อย่างไร

ช่องว่างประสบการณ์เปลี่ยนแปลงสิ่งที่คุณควรพยายาม

ถ้าคุณทำงาน IT มาสองปีแล้วยังไม่มีบทบาทเฉพาะด้านความปลอดภัย CISSP จะทำให้คุณหงุดหงิดแม้ว่าคุณจะจดจำทุกโดเมน ข้อสอบจำนวนมากเป็นสถานการณ์และให้รางวัลการตัดสินใจที่คุณสร้างขึ้นจากการทำประเมินความเสี่ยง นั่งในการประชุมควบคุมการเปลี่ยนแปลง หรือตอบสนองต่อเหตุการณ์จริง Security+ หรือ CySA+ (ใบรับรองนักวิเคราะห์ระดับกลางของพวกเขา) เหมาะสมกว่าในขั้นนั้นมาก

CySA+ อยู่ในพื้นที่มืมที่น่าสนใจโดยเฉพาะ ในทางปฏิบัติมากกว่า Security+ มุ่งเน้นไปที่การวิเคราะห์บันทึก การตรวจจับภัยคุกคาม และวัสดุไหลประสาท SOC แต่ไม่มีข้อกำหนดประสบการณ์ CISSP ต้องการ เป็นขั้นตอนที่ดีสำหรับคนที่มี Security+ แล้วและต้องการเลื่อนไปยังบทบาท blue team หรือนักวิเคราะห์ SOC ก่อนที่ประวัติการทำงานของพวกเขาจะสนับสนุน CISSP

ต้นทุนและการต่ออายุไม่ใช่ความแตกต่างเล็กน้อย

ข้อสอบ CompTIA โดยทั่วไปถูกกว่า และใบรับรองเช่น Security+ ใช้ได้สามปี สามารถต่ออายุผ่าน CEU หรือสอบใหม่ได้ CISSP มีค่าบำรุงรักษาประจำปี (ปัจจุบันประมาณ $125/ปี) นอกจากต้นทุนเบื้องต้น บวก 120 หน่วย CPE ที่ต้องการในรอบสามปี นั่นคือการสนับสนุนที่ต่อเนื่องจริง ไม่ใช่ป้ายแบบครั้งเดียว ถ้าคุณเปรียบเทียบต้นทุนการเป็นเจ้าของทั้งหมดแทนแค่ราคาข้อสอบ ให้คำนวณเพื่อให้สิ่งที่จำเป็นในการรักษาข้อมูลประจำตัวให้ใช้งานได้สำหรับทศวรรษ

ที่ไหนที่นายจ้างจึงไม่อ้างอิง

โพสต์งานสำหรับนักวิเคราะห์ SOC ตัวช่วยพร้อมความรับผิดชอบด้านความปลอดภัย หรือบทบาทวิศวกรความปลอดภัยจูเนียร์มักมี Security+ เป็นข้อกำหนดขั้นต่ำหรือข้อกำหนดพื้นฐาน DoD 8570 ที่พึงพอใจ มุมมองการปฏิบัติตามกฎหมายนี้มีความสำคัญถ้าคุณกำลังกำหนดเป้าหมายบทบาทรัฐบาลหรือผู้รับเหมาป้องกัน Security+ อยู่ในรายชื่อที่อนุมัติ DoD 8570/8140 สำหรับระดับ IAT ระดับ II ซึ่งทำให้เป็นข้อกำหนดช่องว่างโดยไม่คำนึงถึงสิ่งที่คุณเรียนรู้จากการศึกษาสำหรับมัน

CISSP ปรากฏในโพสต์เพื่อผู้จัดการความปลอดภัย สถาปนิกความปลอดภัย หรือบทบาทติดตามเจ้าหน้าที่บริหาร มักแสดงรายการเป็น "ต้องการ" มากกว่า "ต้องการ" แต่สำหรับตำแหน่งติดตามการจัดการ มันทำหน้าที่เป็นตัวกรอง ผู้ว่าจ้างใช้มันเพื่อเลือกผู้สมัครที่แสดงให้เห็นทั้งประสบการณ์และความสามารถในการผ่านข้อสอบที่มีชื่อเสียงในการครอบคลุมแปดโดเมนจากความปลอดภัยของสินทรัพย์ถึงความปลอดภัยการพัฒนาซอฟต์แวร์

ลำดับที่สมจริงถ้าคุณเริ่มจากศูนย์

A+ หรือ Network+ ก่อนถ้าคุณไม่มีพื้นฐาน IT ทั่วไป จากนั้น Security+ เพื่อสร้างคำศัพท์ความปลอดภัยและแนวคิดพื้นฐาน จากนั้นสองถึงสี่ปีของการทำงานจริงในบทบาท ที่เกี่ยวข้องกับความปลอดภัย จากนั้น CySA+ หรือใบรับรองเฉพาะ (เช่นข้อมูลประจำตัวด้านความปลอดภัยคลาวด์) ขึ้นอยู่กับทิศทางที่คุณกำลังมุ่งหน้า และเพียงแค่นั้นเท่านั้น CISSP เมื่อประสบการณ์ของคุณสนับสนุนอย่างแท้จริง ข้ามขั้นตอนเพื่อเก็บใบรับรองเร็วขึ้นมักหมายความว่าคุณผ่านข้อสอบที่คุณยังไม่สามารถนำไปใช้ได้

ไม่มีใบรับรองใดสอนให้คุณทำงาน

ใบรับรอง CompTIA และ ISC2 ทั้งสองทดสอบความรู้และการตัดสินใจ ไม่ใช่ทักษะในทางปฏิบัติ การผ่าน Security+ ไม่ได้หมายความว่าคุณสามารถกำหนดค่า SIEM อย่างถูกต้องได้ และการผ่าน CISSP ไม่ได้หมายความว่าคุณเคยเรียกใช้การฝึกแบบตาราง ปฏิบัติต่อใบรับรองเป็นตัวเปิดประตูและสัญญาณประวัติ ไม่ใช่หลักฐานของความสามารถ และจับคู่กับงานแล็บจริง ปลายแล็บบ้าน หรือบทบาทจูเนียร์ที่คุณใช้แนวคิดภายใต้การดูแล

ถ้าคุณต้องการสร้างด้านปฏิบัติที่ใบรับรองไม่ครอบคลุม Korra Studio มีส่วนต่างๆ เกี่ยวกับวัสดุไหลประสาท SOC การวิเคราะห์บันทึก และพื้นฐาน blue team ที่คุ้มค่าจับคู่กับเส้นทางใบรับรองที่คุณกำลังติดตามแล้ว