CISM ve CISSP: Hangi Sertifikasyonu Almalısınız?

CISM ve CISSP'nin her ikisi de sırasıyla ISACA ve (ISC)² tarafından verilen saygın sertifikasyonlardır, ancak farklı kariyer yollarına hizmet ederler. Aralarında seçim yapmak hangisinin "daha zor" olduğundan ziyade profesyonel olarak nereye gittiğinize bağlıdır.

CISSP Aslında Neyi Test Eder

CISSP (Certified Information Systems Security Professional), geniş ve tekniktir. Güvenlik mimarisi, ağ güvenliği, kimlik yönetimi, kriptografi, yazılım geliştirme güvenliği ve operasyonları kapsayan sekiz alan içerir. Tüm güvenlik disiplini boyunca uygulamaya dönük geniş bilgiye ihtiyaç duyan pratisyenler için tasarlanmıştır — güvenlik mühendisleri, mimarlar, danışmanlar ve liderliğe geçen analistler düşünün.

Sınav kendisi uyarlanabilir (CAT format) ve ünlü bir şekilde derinlik yerine genişlik sunmaktadır. Güvenlik duvarları, şifreleme protokolleri, risk çerçeveleri ve güvenli SDLC uygulamaları hakkında çalışma bilgisine ihtiyacınız vardır, ancak herhangi bir alan da uzman olmanız beklenmez.

CISM Aslında Neyi Test Eder

CISM (Certified Information Security Manager), daha dar ve yönetim odaklıdır. Dört alanı Bilgi Güvenliği Yönetişimi, Risk Yönetimi, Program Geliştirme ve Olay Yönetimidir. Çok az uygulamaya dönük teknik içerik vardır — güvenlik kavramlarını zaten anladığınızı varsayar ve bunun yerine güvenlik programlarını iş hedefleriyle hizalamayı, örgütsel düzeyde riski yönetmeyi ve bir program perspektifinden olay yanıtını yönetmeyi test eder.

CISM, güvenlik programlarını yönetenlere yönelik olarak hedeflenmiştir: CISOs, güvenlik yöneticileri, direktörler ve liderlik rollerine geçen kıdemli analistler.

Ön Koşullar ve Deneyim Gereksinimleri

Her iki sertifikasyonda da yalnızca sınav geçişi değil, profesyonel deneyim gereklidir:

• CISSP, sekiz alandan en az ikisinde kümülatif beş yıl ücretli iş deneyimi gerektirir (ilgili bir derece veya onaylanan başka bir sertifikasyonla bir yıl muaf tutulabilir).
• CISM, bilgi güvenliği alanında beş yıl iş deneyimi gerektirir; dört alandan üç veya daha fazlasında en az üç yıl güvenlik yönetimi deneyimi.

Kariyerinizin başlarında iseniz ve hâlâ uygulamaya dönük teknik çalışma yapıyorsanız — penetrasyon testi, SOC analizi, ağ güvenliği mühendisliği — CISSP'nin daha geniş teknik kapsamı günlük deneyiminize daha doğal olarak eşlenir ve deneyim gerekliliği açısından karşılanması daha kolay olacaktır. Zaten bir ekibi, bütçeyi veya güvenlik programını yönetiyorsanız, CISM'nin yönetim merkezli alanları yaptığınız şeylerle daha doğrudan bağlantı kuracaktır.

Kariyer Yolu Değerlendirmeleri

Aslında istediğiniz sonraki rolü düşünün:

• Mimar, mühendis veya teknik danışman rollerine mi hedefliyorsunuz? CISSP daha güçlü bir sinyaldir. Kamu/savunma müteahhitlik pozisyonları dahil olmak üzere kıdemli teknik güvenlik rollerine yönelik iş ilanlarında genellikle temel bir gereklilik olarak listelenir.
• CISO, güvenlik direktörü veya yönetişim/risk rollerine mi hedefliyorsunuz? CISM, paket yakalamalardan ziyade iş riski, bütçe ve uyum dilini konuşabilecek birini arayan işe alım yöneticileri ile daha fazla ağırlığa sahiptir.
• Henüz emin değil misiniz? CISSP'nin daha geniş kapsamı, daha sonra teknik veya yönetsel yollardan herhangi birine pivot yapmak istiyorsanız daha güvenli bir varsayılan yapar — endüstriler arasında daha geniş tanınmış ve daha sonra her iki taraka geçiş yapmak daha kolaydır.

Her İkisini Alabilir misiniz?

Evet ve birçok kıdemli güvenlik profesyoneli sonunda her ikisini alır. Her ikisine sahip olmanızı yasaklayan bir kural yoktur ve birbirlerini iyi tamamlarlar: CISSP teknik geniş kapsamı gösterir, CISM yönetim olgunluğunu gösterir. CISO yoluna uzun vadeli bir hareket planlıyorsanız, önce CISSP'yi sırası (teknik kimliği oluşturmak ve kanıtlamak için) ve daha sonra CISM'yi (yönetim sorumluluğunu üstlendikçe) sırası mantıklı ve yaygın bir yoldur.

Maliyet ve Bakım

Her ikisi de etkin kalmak için yıllık bakım ücretleri ve devam eğitim kredileri (CISSP için CPEs, CISM için de CPEs) gerektirir. Sınav maliyetleri karşılaştırılabilir olsa da fiyatlandırma periyodik olarak değişir, bu nedenle (ISC)² ve ISACA'dan doğrudan mevcut oranları kontrol edin.

Sonuç

Günlük çalışmanız hâlâ uygulamaya dönük ve tekniktir ve geniş bir güvenlik rolleri aralığında kapı açan bir kimlik bilgisi istiyorsanız CISSP'ye gidin. Zaten programları, insanları veya riski örgütsel düzeyde yönetiyorsanız, CISM gerçek işiniz ve sonraki hedeflediğiniz rollere daha yakından hizalanacaktır. Hiçbiri objektif olarak daha iyi değildir — bunlar bir güvenlik kariyerinin farklı aşamaları ve yönleri için oluşturulmuştur.

Sınav hazırlama stratejisi ve sertifikaları sonraki rolünüze eşlemek hakkında daha derin açıklamalar için Korra Studio'nun Sertifikasyonlar ve Kariyer Değişikliği segmentlerini keşfedin.