Вимоги до досвіду CISSP, насправді пояснено

Більшість людей плутаються в CISSP не через вміст іспиту, а через дрібний друк щодо того, хто насправді має право на цей сертифікат. Сама іспит доступна майже для всіх, хто готовий сплатити збір. Сертифікація — це інша історія, і цей розрив викликає справжню плутанину.

П'ятирічне правило, розібране

(ISC)² потребує п'яти років накопленого оплачуваного робочого досвіду щонайменше у двох з восьми доменів CISSP: Security and Risk Management, Asset Security, Security Architecture and Engineering, Communication and Network Security, Identity and Access Management, Security Assessment and Testing, Security Operations та Software Development Security.

Цей досвід має бути на повну ставку, і він не обов'язково повинен походити з роботи з «security» у назві. Якщо ви були системним адміністратором, який керував патчами, правилами брандмауера та перевірками доступу, це враховується до Security Operations та IAM. Розробник, який робив моделювання загроз і перевірку безпечного коду як частину своєї ролі, може враховувати час до Software Development Security. Домени широкі навмисно, тому уважно прочитайте описи доменів на веб-сайті (ISC)² перш ніж припускати, що ви не відповідаєте вимогам.

Парт-тайм робота та стажування також можуть враховуватися, але вони розраховуються пропорційно. (ISC)² публікує конкретну формулу: 1040 годин парт-тайм роботи дорівнює шести місяцям досвіду, а 2080 годин дорівнює одному року. Неоплачувані стажування не враховуються взагалі, незалежно від кількості годин.

Одноріччя звільнення

Якщо у вас є чотирирічний університетський диплом або одна з облікових записів зі схвалену список (ISC)² (таких як CompTIA Security+, CISA чи релевантний магістерський ступінь), ви отримуєте одноріччя звільнення. Це зменшує вимогу з п'яти років до чотирьох. Це звільнення застосовується один раз, а не за кожним обліковим записом, тому складання трьох кваліфікованих сертифікатів не дає вам трьох років знижки.

Перед тим як припускати, що ваш сертифікат відповідає вимогам, перевірте затверджений список. Він змінюється з часом, і не кожен сертифікат безпеки на ринку входить до нього.

Що станеться, якщо у вас поки недостатньо досвіду

Тут важливе значення має статус Associate of (ISC)². Якщо ви пройдете іспит, але ще не маєте необхідного досвіду, ви не провалюєтесь і вас не відмовляють — ви стаєте Associate of (ISC)². У вас є шість років, щоб накопити необхідний досвід та подати його на розгляд.

Це постійно плутає людей, тому що розміщення вакансій вказує «CISSP обов'язково» без розрізнення між повною сертифікацією та статусом Associate. Якщо ви на ранній стадії кар'єри, складання іспиту та утримання статусу Associate — це все ще значущий сигнал для менеджера з найму. Це показує їм, що ви знаєте матеріал, навіть якщо ви ще не закінчили роки.

Документування та підтвердження вашого досвіду

Після складання іспиту ви подаєте заявку на підтвердження, описуючи вашу відповідну робочу історію, домен за доменом. Це має бути підтверджено іншим сертифікованим професіоналом (ISC)² в добрій зі мною, який може підтвердити, що ваш досвід є точним. Якщо ви не знаєте нікого, хто має поточну сертифікацію (ISC)², (ISC)² сама може виступити гарантом, хоча цей процес займає більше часу і передбачає більш ретельну перевірку вашої представленої історії.

Будьте конкретні у своєму описі. «Відповідальний за безпеку мережі» — це нечітко і запрошує додаткові запитання. «Налаштував і обслуговував набори правил Palo Alto firewall, проводив квартальні перевірки доступу для 200+ облікових записів користувачів і керував реагуванням на інциденти, пов'язані з фішингом» дає гаранту та (ISC)² щось конкретне для перевірки.

Поширені помилки, які люди допускають з вимогами

Найбільша — це припущення, що самі сертифікати замінюють досвід. Вони не замінюють, крім одного однорічного звільнення. CEH, Security+ і сертифікат хмарної безпеки, складені разом, все ще дають вам лише один рік знижки, а не три.

Друга помилка — недорахування релевантного досвіду, тому що він не відбувся у ролі з позначкою