ISC2 بمقابل CompTIA: کون سی سیکیورٹی سرٹیفکیشن واقعی مدد دیتی ہے؟

ہر چند ماہ بعد کوئی پوچھتا ہے کہ آیا انہیں Security+ کے لیے جانا چاہیے یا سیدھا CISSP کی طرف جانا چاہیے۔ جواب اس بات پر کم منحصر ہے کہ کون سی تنظیم "بہتر" ہے اور زیادہ اس بات پر کہ آپ اپنے کیریئر میں دراصل کہاں ہیں، کیونکہ ISC2 اور CompTIA ایک جیسی نوکری کے لیے مقابلہ نہیں کر رہے۔

ہر تنظیم دراصل کیا جانچ رہی ہے

CompTIA سرٹیفیکیشنز جیسے A+، Network+، اور Security+ بنیادی صلاحیت کے گرد بنائی گئی ہیں۔ Security+ (موجودہ ورژن کے لحاظ سے SY0-701) جانچتا ہے کہ آیا آپ سیکیورٹی کے عام تصورات کو سمجھتے ہیں: خطرات، خفیہ کاری کی بنیادیں، شناخت کا انتظام، رسک کے تصورات، اور بنیادی واقعے کا جواب۔ یہ کم سے کم یا کوئی پروفیشنل تجربہ نہ ہونے کی فرض کرتا ہے اور اکثر کوئی پہلی سیکیورٹی سرٹیفیکیشن ہوتی ہے۔

ISC2 سرٹیفیکیشنز، خاص طور پر CISSP، فرض کرتے ہیں کہ آپ نے پہلے سے کام کیا ہے۔ CISSP کو اس کے آٹھ ڈومینز میں سے کم از کم دو میں پانچ سال کا تنخواہ والا کام کا تجربہ درکار ہے (یا ایک متعلقہ ڈگری یا منظور شدہ سرٹیفیکیشن کے ساتھ چار سال)۔ امتحان خود، CAT-فارمیٹ CISSP 150 تک سوالات کے ساتھ، صرف یہ نہیں پوچھتا کہ ایک firewall کیا کرتا ہے۔ یہ آپ سے پوچھتا ہے کہ ایک سیکیورٹی لیڈر کی طرح فیصلے دیں: آپ رسک کو کاروباری ضروریات کے خلاف کیسے توڑتے ہیں، آپ ایک کنٹرول کو CFO سے کیسے جواز دیتے ہیں جو CVSS سکورز کی پرواہ نہیں کرتا۔

تجربے کے فاصلے سے یہ بدل جاتا ہے کہ آپ کو سب سے پہلے کیا کرنا چاہیے

اگر آپ IT میں دو سال ہیں اور ابھی سیکیورٹی کی خاص نوکری نہیں ہے، تو CISSP آپ کو مایوس کرے گا یہاں تک کہ اگر آپ ہر ڈومین کو یاد رکھیں۔ امتحان منظر نامے سے بھرپور ہے اور ایسی판断 کو انعام دیتا ہے جو آپ رسک کے تشخیص کو انجام دے کر، تبدیلی کنٹرول کے اجلاسوں میں بیٹھ کر، یا حقیقی واقعات کا جواب دے کر بناتے ہیں۔ CompTIA کا Security+ یا CySA+ (ان کی درمیانی تجزیہ کار مرکوز سرٹیفیکیشن) اس مرحلے کے لیے بہت بہتر فٹ ہے۔

CySA+ خاص طور پر ایک دلچسپ درمیانی جگہ میں بیٹھتا ہے: Security+ سے زیادہ عملی، لاگ تجزیہ، دھمکی کی شناخت، اور SOC-سٹائل ورکفلوز پر مرکوز، لیکن بغیر CISSP کی تجربے کی ضرورت کے۔ یہ کسی ایسے شخص کے لیے ایک مضبوط قدم ہے جو پہلے سے Security+ رکھتا ہے اور نیلی ٹیم یا SOC تجزیہ کار کے کردار کی طرف بڑھنا چاہتا ہے۔

لاگت اور تجدید اہم فرق نہیں ہیں

CompTIA امتحانات عام طور پر سستے ہوتے ہیں، اور Security+ جیسی سرٹیفیکیشنز تین سال کے لیے درست ہیں، CEUs کے ذریعے یا دوبارہ لینے سے قابل تجدید۔ CISSP میں سالانہ دیکھ بھال کی فیس ہے (حالیہ طور پر سالانہ $125 کے آس پاس) ابتدائی لاگت کے اوپر، اور تین سالوں کے دوران 120 CPE کریڈٹس کی ضرورت ہے۔ یہ ایک حقیقی جاری وعدہ ہے، نہ کہ ایک بار کا بیج۔ اگر آپ کل ملکیت کی لاگت کا موازنہ کر رہے ہیں صرف امتحان کی قیمت کے بجائے، تو یہ شمار کریں کہ ایک دہائی کے لیے سرٹیفیکیشن فعال رکھنے میں کیا لگتا ہے۔

جہاں کام دہندگی واقعی لائن کھینچتے ہیں

SOC تجزیہ کار، سیکیورٹی کی ذمہ داریوں کے ساتھ ہیلپ ڈیسک، یا جونیئر سیکیورٹی انجینئر کے لیے جاب پوسٹنگز اکثر Security+ کو کم سے کم یا DoD 8570 بیس لائن کی ضرورت کے طور پر درج کرتے ہیں جو یہ پورا کرتا ہے۔ یہ کمپلائنس زاویہ اہم ہے اگر آپ حکومتی یا دفاعی ٹھیکیدار کی نوکریوں کو نشانہ بناتے ہیں: Security+ DoD 8570/8140 منظور شدہ فہرست میں IAT Level II کے لیے ہے، جو یہ ایک checkbox کی ضرورت بناتا ہے آپ نے اس سے کتنا سیکھا اس کے لحاظ سے آزادانہ طور پر۔

CISSP سیکیورٹی منیجر، سیکیورٹی آرکیٹیکچر، یا CISO-ٹریک کرنے والے کردار کے لیے پوسٹنگز میں نمودار ہوتا ہے۔ یہ اکثر "ترجیح" کے بجائے ضروری کے طور پر درج ہوتا ہے، لیکن انتظام ٹریک پوزیشنوں کے لیے یہ ایک فلٹر کے طور پر کام کرتا ہے۔ بھرتی کار نے اسے ایسے امیدواروں کو فہرست میں ڈالنے کے لیے استعمال کیا جنہوں نے تجربہ اور ایک کریڈٹ کے ذریعے گزرنے کی صلاحیت دونوں کا مظاہرہ کیا ہے جو اثاثے کی سیکیورٹی سے سافٹویئر ڈویلپمنٹ سیکیورٹی تک آٹھ ڈومینز کا احاطہ کرتے ہوئے بدنام ہے۔

حقیقی ترتیب اگر آپ صفر سے شروع کر رہے ہیں

پہلے A+ یا Network+ اگر آپ کے پاس عام IT بنیادیں نہیں ہیں، پھر Security+ سیکیورٹی کی شبدی اور بنیادی تصورات قائم کرنے کے لیے، پھر دو سے چار سال سیکیورٹی سے ملحق کردار میں حقیقی کام، پھر CySA+ یا ایک خصوصی سرٹیفیکیشن (جیسے کلاؤڈ سیکیورٹی سرٹیفیکیشن) جس سمت پر آپ جا رہے ہیں اس کے لحاظ سے، اور صرف پھر CISSP ایک بار جب آپ کا تجربہ واقعی اس کو سپورٹ کرتا ہے۔ قدموں کو چھوڑنا سرٹیفیکیشنز تیزی سے جمع کرنے کے لیے عام طور پر صرف اس کا مطلب ہے کہ آپ ایک امتحان پاس کریں جو آپ ابھی تک اطلاق نہیں کر سکتے۔

کوئی بھی سرٹیفیکیشن آپ کو کام کرنا نہیں سکھاتا

CompTIA اور ISC2 سرٹیفیکیشنز دونوں علم اور판断 کو جانچتے ہیں، عملی مہارت نہیں۔ Security+ پاس کرنے کا مطلب یہ نہیں ہے کہ آپ SIEM کو صحیح طریقے سے ترتیب دے سکتے ہیں، اور CISSP پاس کرنے کا مطلب یہ نہیں ہے کہ آپ نے کبھی ایک ٹیبل ورزش چلائی ہے۔ سرٹیفیکیشنز کو دروازے کھولنے والے اور ریزومے کے سگنل کے طور پر سلوک کریں، صلاحیت کے ثبوت کے طور پر نہیں، اور انہیں حقیقی لیب کے کام، ہوم لیب پروجیکٹس، یا ایک جونیئر کردار کے ساتھ جوڑی دیں جہاں آپ نگرانی کے تحت تصورات کو لاگو کر رہے ہیں۔

اگر آپ عملی پہلو بنانا چاہتے ہیں جو سرٹیفیکیشنز کا احاطہ نہیں کرتے، تو Korra Studio میں SOC ورکفلوز، لاگ تجزیہ، اور نیلی ٹیم کی بنیادی باتوں پر حصے ہیں جو آپ جو بھی سرٹیفیکیشن پاتھ پر ہیں وہ جوڑنے کے قابل ہے۔