Est-ce que CISSP vaut le coup ? Une réponse honnête

Réponse courte : oui, une fois que vous êtes au bon stade de votre carrière

Je suis moi-même certifié CISSP, donc je vais vous donner la réponse à laquelle je crois vraiment plutôt qu'une réponse diplomatique : oui, c'est utile, mais seulement une fois que vous êtes au stade de carrière pour lequel c'est conçu. Si vous avez plus de cinq ans d'expérience en sécurité ou en gestion des risques IT et que vous vous dirigez vers le management, l'architecture, ou un rôle de CISO, CISSP est l'une des certifications les plus reconnues au Royaume-Uni et à l'international, et elle ouvre vraiment des portes — les recruteurs et les panels d'embauche la prennent au sérieux d'une manière que peu d'autres certifications égalent.

Si vous êtes encore en début de carrière, la réponse honnête change : CISSP n'est pas la bonne prochaine étape pour le moment, non pas parce qu'elle n'a pas de valeur, mais parce que vous ne remplissez pas l'exigence d'expérience pour obtenir la certification complète et le contenu suppose une exposition à la gestion de la sécurité que vous n'avez probablement pas eu.

Ce que CISSP change vraiment

D'après ma propre expérience et ce que je vois avec les étudiants qui la complètent, CISSP fait trois choses :

1. Ouvre les conversations seniors. Cela signale que vous pouvez opérer dans la gouvernance, le risque, l'architecture, et les domaines techniques, pas seulement une spécialisation étroite. C'est exactement le profil que cherchent les panels d'embauche au-delà du niveau analyste, et c'est souvent la différence entre être filtré d'une liste courte et être invité à un entretien pour un rôle de manager ou de lead.
2. Augmente votre plafond dans les négociations salariales. Cela ne va pas doubler votre salaire à lui seul, mais c'est souvent listé comme une exigence ou une préférence forte pour les rôles de manager de la sécurité et de consultant au Royaume-Uni, qui se situent généralement bien au-dessus du salaire de niveau analyste. Les recruteurs avec qui j'ai parlé le traitent comme un véritable raccourci pour « cette personne a été vérifiée à un certain niveau », ce qui compte quand vous négociez plutôt que de juste candidater.
3. Force la largeur. Même si vous êtes fort techniquement, les huit domaines de CISSP vous poussent à comprendre la gouvernance, les préoccupations légales/réglementaires, et la continuité des activités — des domaines que les spécialistes techniques passent souvent sous silence. J'ai vu des ingénieurs très capables se battre avec exactement cette partie de l'examen, non pas parce que le matériel est obscur, mais parce qu'ils n'avaient jamais dû penser à la sécurité comme une fonction commerciale auparavant, seulement comme une fonction technique.

Le piège que presque personne ne mentionne

Passer l'examen n'est pas la même chose que détenir CISSP. ISC2 exige un minimum de cinq ans d'expérience rémunérée cumulée dans au moins deux des huit domaines (un diplôme pertinent ou une autre certification approuvée peut réduire d'un an). Si vous réussissez sans l'expérience, vous devenez un « Associate of ISC2 » jusqu'à ce que vous accumuliez l'expérience et que vous la fassiez officiellement valider. J'ai vu des gens étudier pendant des mois, réussir un examen véritablement difficile, puis être surpris de ne pas être « CISSP » encore — lisez les exigences avant de vous engager sur le temps d'étude, pas après.

Qui devrait attendre

• Toute personne à peu près trois à quatre ans dans leur carrière de la sécurité — vous ne êtes pas assez près de l'exigence d'expérience pour que cela ait du sens maintenant.
• Toute personne sans exposition à la gestion de la sécurité, la gouvernance, ou les concepts de risque — les domaines vous sembleront abstraits plutôt que ancrés dans quelque chose que vous avez fait.
• Toute personne espérant que cela se substitue à la connaissance technique fondamentale — construisez d'abord cela avec Security+ ou la pratique pratique.

Ce que je dis à mes étudiants

Les étudiants que je guide à travers CISSP sont presque toujours des gens avec une vraie expérience — des responsables de programmes, des IT leads, des sysadmins expérimentés — se dirigeant vers le leadership en sécurité, pas des gens essayant d'entrer de rien. Je leur dis que CISSP est un examen de largeur, pas un examen de profondeur : il récompense les gens qui peuvent raisonner sur les compromis dans l'ensemble d'un programme de sécurité, pas les gens qui ont mémorisé des définitions. La meilleure préparation n'est pas juste un manuel, c'est de ramener chaque domaine à une vraie décision que vous avez réellement dû prendre au travail.

Pour une comparaison directe de quand CISSP a du sens par rapport à Security+, j'ai écrit cela complètement ici : CISSP vs Security+.

FAQ

Combien de temps faut-il pour étudier CISSP ?

La plupart des candidats expérimentés consacrent trois à six mois d'étude régulière. C'est moins une question de nombre brut d'heures et plus une question de rattacher le matériel à l'expérience que vous avez déjà — quelqu'un avec plus de cette expérience a généralement besoin de moins de temps de pure mémorisation.

CISSP vaut-il le coup sans un titre de job dans le management ?

Oui, si vous faites un travail près du management même sans le titre — diriger une réponse aux incidents, gérer un registre des risques, architecturer les contrôles. La certification reconnaît le travail, pas le titre du poste sur votre contrat.

Quel est le tarif de l'examen CISSP au Royaume-Uni ?

ISC2 fixe et change périodiquement la tarification de l'examen, donc vérifiez la page officielle d'ISC2 pour le tarif actuel plutôt que de vous fier à une ancienne figure.

CISSP est-il mieux qu'une maîtrise en cyber sécurité ?

Ils ne sont pas interchangeables — une maîtrise est la profondeur académique, CISSP est une certification pour praticiens liée à l'expérience du monde réel. De nombreux professionnels seniors au Royaume-Uni n'en détiennent ni l'un ni l'autre exclusivement ; beaucoup en détiennent les deux.

CISSP deviendra-t-il obsolète au fur et à mesure que l'industrie change ?

ISC2 révise le contenu de l'examen périodiquement pour refléter la pratique actuelle, et les exigences de CPE gardent les titulaires engagés dans le domaine pour maintenir la certification. Ce n'est pas un certificat unique qui devient obsolète le jour où vous le réussissez — l'exigence CPE continue est une partie de ce qui le garde crédible auprès des employeurs.

Si CISSP est dans votre horizon à moyen terme et que vous voulez un plan d'étude construit autour de votre expérience réelle plutôt qu'un plan générique, réservez une leçon d'essai et nous allons déterminer où vous vous situez réellement.