CISM vs CISSP: Яку сертифікацію вам вибрати?

І CISM, і CISSP — це визнані сертифікації від ISACA та (ISC)² відповідно, але вони спрямовані на різні кар'єрні траєкторії. Вибір між ними залежить менше від того, яка з них «складніша», а більше від того, куди ви прямуєте професійно.

Що насправді тестує CISSP

CISSP (Certified Information Systems Security Professional) — це широка й технічна сертифікація. Вона охоплює вісім доменів, у тому числі архітектуру безпеки, мережеву безпеку, керування ідентифікацією, криптографію, безпеку розробки ПО та операційну діяльність. Вона розроблена для фахівців, яким потрібні практичні знання в усіх аспектах дисципліни безпеки — інженери безпеки, архітектори, консультанти й аналітики, які переходять на посади лідерства.

Сам екзамен адаптивний (формат CAT) і славиться швидше широтою, ніж глибиною. Вам потрібні робочі знання брандмауерів, протоколів шифрування, фреймворків управління ризиками та практик безпечної розробки (SDLC), але від вас не очікується бути спеціалістом у будь-якому окремому домені.

Що насправді тестує CISM

CISM (Certified Information Security Manager) — це вужча й більш орієнтована на управління сертифікація. Її чотири домени — це управління інформаційною безпекою, управління ризиками, розробка програм та управління інцидентами. Там дуже мало практичного технічного контенту — вона припускає, що ви вже розумієте концепції безпеки, а натомість тестує вашу здатність вирівняти програми безпеки з бізнес-цілями, керувати ризиками на організаційному рівні та керувати реагуванням на інциденти з перспективи програми.

CISM спрямована безпосередньо на людей, які управляють програмами безпеки: CISO, менеджерів безпеки, директорів і старших аналітиків, які переходять на посади лідерства.

Попередні вимоги та вимоги до досвіду

Обидві сертифікації вимагають професійного досвіду, а не просто складання екзамену:

• CISSP вимагає п'яти років累накопленого оплачуваного робочого досвіду щонайменше у двох із восьми доменів (один рік може бути скасований з відповідним ступенем або іншою затвердженою сертифікацією).
• CISM вимагає п'яти років досвіду роботи в інформаційній безпеці, з яких щонайменше три роки в управлінні безпекою на трьох або більше з чотирьох доменів.

Якщо ви ще на ранніх етапах своєї кар'єри й все ще виконуєте практичну технічну роботу — тестування проникнення, аналіз SOC, інженерія мережевої безпеки — більш широка технічна область CISSP більш природно відповідає вашій повсякденній роботі й буде легше відповідати з точки зору вимог до досвіду. Якщо ви вже керуєте командою, бюджетом або програмою безпеки, домени CISM, орієнтовані на управління, будуть більш безпосередньо резонувати з тим, що ви робите.

Міркування щодо кар'єрного шляху

Помисліть про наступну посаду, яку ви насправді хочете:

• Прагнете ролей архітектора, інженера або технічного консультанта? CISSP — це більш сильна позиція. Це часто вказується як базова вимога в оголошеннях про вакансії для старших технічних посад безпеки й позицій у державному/оборонному контрактингу.
• Прагнете посад CISO, директора безпеки або ролей управління/ризиків? CISM має більшу вагу для менеджерів з найму, які шукають когось, хто може говорити мовою бізнес-ризиків, бюджету та відповідності, замість аналізу пакетів даних.
• Ще не певні? Більш широка область CISSP робить її безпечнішим варіантом за замовчуванням, якщо вам потрібна гнучкість — вона більш широко визнана в усіх галузях і легше робить розворот як на технічну, так і на управління подальше.

Чи можна отримати обидві?

Так, і багато старших професіоналів безпеки врешті-решт це роблять. Немає правила проти володіння обома, і вони добре доповнюють один одного: CISSP демонструє технічну широту, CISM демонструє управлінську зрілість. Якщо ви плануєте довгостроковий перехід на CISO-трек, послідовність CISSP спочатку (щоб побудувати й довести технічний авторитет) та CISM пізніше (коли ви берете на себе управління) — це звичайний і логічний шлях.

Вартість і підтримання

Обидві вимагають щорічних зборів на обслуговування й кредитів для навчання впродовж життя (CPE для CISSP, CPE для CISM також), щоб залишатися активними. Вартість екзаменів порівнянна, хоча ціни змінюються періодично, тому перед тим як береться за справу, перевірте поточні ставки безпосередньо у (ISC)² та ISACA.

Висновок

Якщо ваша щоденна робота все ще є практичною й технічною, і ви хочете сертифікацію, яка відкриває двері в широкому спектрі ролей безпеки, вибирайте CISSP. Якщо ви вже керуєте програмами, людьми або ризиками на організаційному рівні, CISM буде більш тісно узгоджена з вашою поточною роботою та ролями, на які ви прагнете далі. Жодна не є об'єктивно кращою — вони побудовані для різних етапів і напрямків кар'єри в безпеці.

Дослідіть сегменти сертифікацій та зміни кар'єри на Korra Studio для більш детального розбору стратегії підготовки до екзамену та узгодження сертифікацій з вашою наступною роллю.