CISSP vs Security+: Mana yang Perlu Anda Ambil Terlebih Dahulu?

Mereka sebenarnya bukan sertifikasi yang bersaing

Saya mendapat pertanyaan ini terus-menerus, dan jawaban jujurnya adalah CISSP dan Security+ tidak bersaing untuk tempat yang sama di CV Anda — mereka berada di tahap karir yang sama sekali berbeda. Security+ adalah kredensial entry-level, vendor-neutral yang ditujukan untuk orang-orang yang baru masuk ke cyber security. CISSP adalah sertifikasi manajemen dan arsitektur tingkat senior dari ISC2 yang memerlukan bertahun-tahun pengalaman kerja berbayar hanya untuk mendapatkan penunjukan penuh. Membandingkan keduanya secara langsung agak seperti membandingkan tes mengemudi dengan lisensi HGV — bidang terkait, tingkat yang sangat berbeda.

Jika Anda mengajukan pertanyaan ini karena Anda baru memasuki bidang ini, jawabannya sederhana: Security+ terlebih dahulu, selalu. CISSP belum dapat dicapai, dan bahkan jika bisa, itu bukan kredensial yang tepat untuk posisi Anda.

Persyaratan pengalaman yang sering terlewatkan orang

Ini adalah detail yang membuat orang tersesat: CISSP memerlukan minimum lima tahun pengalaman kerja berbayar yang kumulatif di setidaknya dua dari delapan domain CISSP (satu tahun dapat dihapuskan dengan gelar yang relevan atau sertifikasi yang disetujui lainnya). Anda dapat mengikuti dan lulus ujian tanpa pengalaman itu dan menjadi "Associate of ISC2," tetapi Anda tidak mendapatkan penunjukan CISSP penuh sampai persyaratan pengalaman terpenuhi dan disetujui. Security+ tidak memiliki persyaratan seperti itu — Anda dapat mengikutinya pada hari pertama karir Anda.

Itulah alasan praktis mengapa kebanyakan orang memerlukan Security+, atau fondasi yang setara, jauh sebelum CISSP bahkan relevan dengan situasi mereka. Ini juga menjelaskan mengapa iklan pekerjaan yang meminta "CISSP atau setara, pengalaman 5+ tahun" terlihat sangat berbeda dari posting entry-level yang menyebutkan Security+ — mereka tidak ditujukan ke kandidat yang sama sama sekali, dan memperlakukan mereka sebagai anak tangga pada tangga pendek yang sama menetapkan ekspektasi yang tidak realistis.

Berdampingan

	Security+ (SY0-701)	CISSP
Tingkat	Entry-level	Senior / manajemen
Badan	CompTIA	ISC2
Pengalaman yang diperlukan	Tidak ada	5 tahun (dengan pengurangan)
Fokus	Fondasi teknis	Manajemen keamanan, tata kelola, arsitektur
Pemegang tipikal	Analis junior, pengganti karir	Manajer keamanan, arsitek, jalur CISO
Pembaruan	Pendidikan berkelanjutan	Pendidikan berkelanjutan (CPEs)

Apa yang saya katakan kepada siswa yang ingin langsung melompat ke CISSP

Kadang-kadang saya mendapat siswa, biasanya pengganti karir yang datang dari peran senior di bidang lain — manajemen program, kepemimpinan teknik, militer — yang ingin langsung mengambil CISSP karena terlihat seperti sertifikasi "puncak". Saya memberitahu mereka hal yang sama setiap kali: CISSP menguji luas pengetahuan manajemen keamanan di delapan domain, dan tanpa fondasi apa pun dalam dasar-dasar teknis, Anda akan menghafal konsep yang belum pernah Anda lihat diterapkan. Itu cara yang jauh lebih sulit, jauh lebih tidak tahan lama untuk belajar, dan itu tidak membantu Anda jika Anda tidak dapat melewati persyaratan pengalaman untuk memegang kredensial penuh bagaimanapun.

Bangun fondasi teknis terlebih dahulu — Security+ atau setara, idealnya dengan beberapa praktik praktis — kemudian biarkan CISSP menjadi kredensial yang memformalkan pengetahuan tingkat manajemen setelah Anda benar-benar beroperasi pada tingkat itu. Saya mengatakan ini sebagai seseorang yang memegang CISSP: ujian memberi penghargaan kepada penilaian yang dibangun dari keputusan nyata yang harus Anda buat di bawah tekanan — insiden langsung, pertukaran anggaran, pengecualian kebijakan yang tidak ada yang ingin menandatangani. Tanpa cadangan pengalaman itu untuk diambil, Anda menghafal abstraksi alih-alih mengenali pola yang sudah Anda ketahui, dan itu cara yang jauh lebih lambat, jauh lebih tidak dapat diandalkan untuk mempersiapkan.

Urutan yang masuk akal

1. Security+ (atau ISC2 CC) — kosakata dan konsep fondasi.
2. Pengalaman praktis — peran analis, kredensial praktis seperti BTL1, proyek praktis.
3. Spesialisasi — keamanan cloud, blue team, GRC, tergantung ke mana karir Anda berjalan.
4. CISSP — setelah Anda mengumpulkan tahun-tahun pengalaman dan bergerak menuju tanggung jawab manajemen atau arsitektur.

Jika Anda tidak yakin CISSP layak untuk upaya bahkan setelah Anda memenuhi syarat untuk itu, saya telah menulis kasus untuk dan menentang secara terpisah: apakah CISSP layak. Dan jika Anda menginginkan gambaran yang lebih lengkap tentang di mana Security+ duduk sebelum semua ini, lihat apakah Security+ layak.

FAQ

Bisakah saya mendapatkan CISSP tanpa pengalaman kerja apa pun?

Anda dapat lulus ujian dan menjadi ISC2 Associate, bekerja menuju penunjukan CISSP penuh saat Anda mengumpulkan pengalaman yang diperlukan. Anda tidak dapat memegang kredensial CISSP penuh tanpanya.

Apakah CISSP lebih sulit daripada Security+?

Ya, tetapi bukan hanya karena kesulitan konten — CISSP menguji luas dan penilaian di seluruh topik manajemen keamanan, yang lebih sulit untuk diringkas daripada objektif teknis yang lebih dapat ditentukan dari Security+.

Haruskah pengganti karir langsung mengambil CISSP?

Hanya jika Anda sudah memiliki bertahun-tahun pengalaman yang relevan dari bidang yang berdekatan yang akan dikreditkan ISC2 — misalnya, risiko IT, audit, atau peran manajemen program dengan konten keamanan nyata. Jika tidak, bangun fondasi terlebih dahulu.

Apakah Security+ dihitung untuk persyaratan pengalaman CISSP?

Security+ sendiri tidak dihitung sebagai pengalaman kerja, tetapi CompTIA memiliki perjanjian yang memungkinkan sertifikasi CompTIA tertentu memenuhi satu tahun dari pengurangan pengalaman CISSP — periksa halaman resmi ISC2 untuk daftar saat ini, karena pengaturan ini berubah.

Tidak yakin mana dari ini yang benar-benar cocok dengan posisi Anda saat ini? Pesan pelajaran coba gratis dan kami akan memetakan langkah realistis berikutnya daripada yang aspirasional.