ISC2 vs CompTIA: Chứng chỉ bảo mật nào thực sự hữu ích?

Cứ vài tháng một lần lại có ai đó hỏi liệu họ có nên theo đuổi Security+ hay nhảy thẳng đến CISSP. Câu trả lời phụ thuộc ít hơn vào tổ chức nào "tốt hơn" và nhiều hơn vào vị trí hiện tại của bạn trong sự nghiệp, bởi vì ISC2 và CompTIA không cạnh tranh cho cùng một loại việc.

Mỗi tổ chức thực sự đang kiểm tra cái gì

Các chứng chỉ CompTIA như A+, Network+, và Security+ được xây dựng xung quanh năng lực nền tảng. Security+ (SY0-701 trong phiên bản hiện tại) kiểm tra xem bạn có hiểu các khái niệm bảo mật chung: mối đe dọa, cơ sở mật mã, quản lý danh tính, khái niệm rủi ro, và phản ứng sự cố cơ bản. Nó giả định kinh nghiệm chuyên nghiệp ít hoặc không có và thường là chứng chỉ bảo mật đầu tiên mà ai đó nhận được.

Các chứng chỉ ISC2, đặc biệt là CISSP, giả định bạn đã làm công việc đó. CISSP yêu cầu năm năm kinh nghiệm làm việc được trả lương trên ít nhất hai trong tám lĩnh vực của nó (hoặc bốn năm kèm bằng cấp liên quan hoặc chứng chỉ được phê duyệt). Bài thi chính nó, CISSP định dạng CAT với tối đa 150 câu hỏi, không chỉ hỏi firewall làm gì. Nó yêu cầu bạn đưa ra quyết định như một lãnh đạo bảo mật sẽ làm: bạn cân bằng rủi ro so với nhu cầu kinh doanh như thế nào, bạn biện hộ một điều khiển với CFO không quan tâm đến điểm CVSS như thế nào.

Khoảng cách kinh nghiệm thay đổi những gì bạn nên cố gắng trước tiên

Nếu bạn mới hai năm vào lĩnh vực IT mà chưa có vai trò cụ thể về bảo mật, CISSP sẽ làm bạn thất vọng ngay cả khi bạn thuộc lòng từng lĩnh vực. Bài thi nhiều tình huống và thưởng cho sự phán xét bạn xây dựng bằng cách thực hiện đánh giá rủi ro, tham dự các cuộc họp kiểm soát thay đổi, hoặc phản ứng với các sự cố thực tế. Security+ của CompTIA hoặc CySA+ (chứng chỉ trung gian tập trung vào nhà phân tích của họ) phù hợp với giai đoạn đó tốt hơn nhiều.

CySA+ đặc biệt chiếm một vị trí thú vị ở giữa: thực hành hơn Security+, tập trung vào phân tích nhật ký, phát hiện mối đe dọa, và quy trình kiểu SOC, nhưng không có yêu cầu kinh nghiệm CISSP đòi hỏi. Đó là một bước vững chắc cho ai đó đã có Security+ và muốn chuyển hướng đến vai trò nhóm xanh hoặc nhà phân tích SOC trước khi hồ sơ của họ có thể hỗ trợ CISSP.

Chi phí và gia hạn không phải là những khác biệt nhỏ

Các bài thi CompTIA thường rẻ hơn, và các chứng chỉ như Security+ có giá trị trong ba năm, có thể gia hạn thông qua CEU hoặc làm lại bài thi. CISSP có phí bảo trì hàng năm (hiện khoảng $125/năm) ngoài chi phí ban đầu, cộng với 120 tín chỉ CPE yêu cầu trong chu kỳ ba năm. Đó là một cam kết thực tế và liên tục, không phải một huy hiệu một lần. Nếu bạn so sánh tổng chi phí sở hữu thay vì chỉ giá bài thi, hãy tính toán những gì cần thiết để giữ chứng chỉ hoạt động trong một thập kỷ.

Nơi các nhà tuyển dụng thực sự vạch ranh giới

Các bài đăng việc làm cho nhà phân tích SOC, bộ phận hỗ trợ có trách nhiệm bảo mật, hoặc vai trò kỹ sư bảo mật cấp junior thường liệt kê Security+ là yêu cầu tối thiểu hoặc yêu cầu nền tảng DoD 8570 mà nó thỏa mãn. Góc tuân thủ đó quan trọng nếu bạn nhắm mục tiêu vào các vai trò chính phủ hoặc nhà thầu quốc phòng: Security+ nằm trên danh sách được phê duyệt DoD 8570/8140 cho IAT Level II, điều này làm cho nó trở thành yêu cầu checkbox độc lập với mức độ bạn học từ việc chuẩn bị cho nó.

CISSP xuất hiện trong các bài đăng cho các vai trò quản lý bảo mật, kiến trúc sư bảo mật, hoặc đuôi CISO. Nó thường được liệt kê là "ưa thích" hơn là bắt buộc, nhưng đối với các vị trí theo bước quản lý, nó hoạt động như một bộ lọc. Các nhà tuyển dụng sử dụng nó để lập danh sách ngắn những ứng viên đã chứng minh cả kinh nghiệm và khả năng vượt qua một bài thi khét tiếng bao quát tám lĩnh vực từ bảo mật tài sản đến bảo mật phát triển phần mềm.

Chuỗi thực tế nếu bạn bắt đầu từ đầu

A+ hoặc Network+ trước tiên nếu bạn không có nền tảng IT chung, sau đó Security+ để thiết lập từ vựng bảo mật và các khái niệm nền tảng, sau đó hai đến bốn năm công việc thực tế trong vai trò liên quan đến bảo mật, sau đó CySA+ hoặc chứng chỉ chuyên dụng (như chứng chỉ bảo mật đám mây) tùy thuộc vào hướng bạn đang đi, và chỉ khi đó CISSP khi kinh nghiệm của bạn thực sự hỗ trợ nó. Bỏ qua các bước để thu thập chứng chỉ nhanh hơn thường chỉ có nghĩa là bạn vượt qua một bài thi mà bạn chưa có thể áp dụng.

Cả hai chứng chỉ không dạy bạn cách làm công việc

Cả chứng chỉ CompTIA và ISC2 đều kiểm tra kiến thức và phán xét, không phải kỹ năng thực hành. Vượt qua Security+ không có nghĩa là bạn có thể định cấu hình SIEM một cách chính xác, và vượt qua CISSP không có nghĩa là bạn từng thực hiện một bài tập tabletop. Coi các chứng chỉ như những công cụ mở cửa và tín hiệu hồ sơ, không phải bằng chứng khả năng, và ghép nó với công việc thực tế trong phòng thí nghiệm, các dự án phòng thí nghiệm nhà, hoặc vai trò cấp junior nơi bạn áp dụng các khái niệm dưới sự giám sát.

Nếu bạn muốn xây dựng phía thực tế mà các chứng chỉ không bao phủ, Korra Studio có các phân đoạn về quy trình SOC, phân tích nhật ký, và những kiến thức nền tảng nhóm xanh đáng ghép nó với bất kỳ đường dẫn chứng chỉ nào bạn đang làm theo.