CISSP vs Security+: 어느 것을 먼저 취득해야 할까?

실제로는 경쟁하는 자격증이 아니다

나는 이 질문을 자주 받는데, 솔직한 답은 CISSP와 Security+가 이력서의 같은 자리를 놓고 경쟁하지 않는다는 것이다 — 완전히 다른 경력 단계에 위치해 있다. Security+는 사이버 보안 분야에 진입하는 사람들을 대상으로 한 입문 수준의 중립적 자격증이다. CISSP는 ISC2의 고급 수준 관리 및 아키텍처 자격증으로, 전체 자격을 얻기 위해서는 몇 년간의 유급 근무 경험이 필요하다. 이 둘을 직접 비교하는 것은 운전 면허 시험과 대형 운전 면허증을 비교하는 것과 같다 — 관련 분야이지만, 수준이 완전히 다르다.

당신이 이 질문을 하는 이유가 이 분야에 갓 입문했기 때문이라면, 답은 간단하다: Security+를 먼저, 항상. CISSP는 아직 도달할 수 없고, 설령 도달할 수 있다 해도 지금 당신의 위치에 맞는 자격증이 아니다.

대부분의 사람들이 놓치는 경험 요구 사항

이것이 사람들을 헷갈리게 하는 세부 사항이다: CISSP는 8개의 CISSP 도메인 중 최소 2개 이상에서 최소 5년의 누적된 유급 근무 경험을 요구한다 (관련 학위나 다른 승인된 자격증이 있으면 1년을 면제받을 수 있다). 경험이 없어도 시험을 응시하고 통과할 수 있으며 "ISC2 준회원"이 될 수 있지만, 경험 요구 사항을 충족하고 인증될 때까지는 전체 CISSP 자격을 얻지 못한다. Security+는 그런 요구 사항이 없다 — 경력의 첫날부터 응시할 수 있다.

이것이 대부분의 사람들이 CISSP가 그들의 상황과 관련해지기 훨씬 전에 Security+ 또는 이에 상응하는 기초 자격증이 필요한 실질적인 이유다. 또한 "CISSP 또는 동등 자격, 5년 이상 경험"을 찾는 채용 공고가 Security+를 언급하는 입문 수준 공고와 완전히 다르게 보이는 이유도 설명한다 — 그들은 같은 지원자를 대상으로 하지 않으며, 이들을 같은 짧은 사다리의 단계로 취급하는 것은 어느 쪽이든 비현실적인 기대를 만든다.

나란히 비교

	Security+ (SY0-701)	CISSP
수준	입문 수준	고급 / 관리 수준
기관	CompTIA	ISC2
경험 요구 사항	없음	5년 (면제 가능)
초점	기술 기초	보안 관리, 거버넌스, 아키텍처
전형적인 보유자	초급 분석가, 경력 변경자	보안 관리자, 아키텍트, CISO 트랙
갱신	계속 교육	계속 교육 (CPE)

CISSP로 바로 진행하고 싶은 학생들에게 내가 말하는 것

가끔 학생이 찾아오는데, 보통 프로그램 관리, 엔지니어링 리더십, 군대 같은 다른 분야의 고급 직책에서 온 경력 변경자들이 CISSP를 "최상위" 자격증처럼 보이기 때문에 바로 진행하고 싶어 한다. 나는 매번 같은 말을 한다: CISSP는 8개 도메인에 걸친 보안 관리 지식의 폭을 테스트하는데, 기술적 기초가 전혀 없으면 실제로 적용되는 것을 본 적 없는 개념을 외우게 될 것이다. 이것은 훨씬 더 어렵고, 훨씬 덜 지속적인 학습 방식이며, 어쨌든 경험 요구 사항을 충족하지 못해 전체 자격을 유지할 수 없다면 당신에게 도움이 되지 않는다.

먼저 기술적 기초를 구축하라 — Security+ 또는 동등 자격, 이상적으로는 실습과 함께 — 그 다음 당신이 실제로 그 수준에서 일하기 시작할 때 CISSP가 관리 수준 지식을 공식화하는 자격증이 되도록 하라. 나는 이것을 CISSP를 보유한 사람으로서 말한다: 시험은 압박 속에서 실제로 내려야 했던 판단 — 실제 사건, 예산 트레이드오프, 서명을 원하지 않는 정책 예외 — 에서 구축된 판단을 보상한다. 그 경험의 백로그 없이, 당신은 이미 알고 있는 패턴을 인식하는 대신 추상화를 외우고 있으며, 이것은 준비하는 훨씬 더 느리고, 훨씬 덜 신뢰할 수 있는 방식이다.

합리적인 순서

1. Security+ (또는 ISC2 CC) — 기초 용어와 개념.
2. 실습 경험 — 분석가 역할, BTL1과 같은 실습 자격증, 실무 프로젝트.
3. 전문화 — 클라우드 보안, 블루 팀, GRC, 당신의 경력이 가는 방향에 따라.
4. CISSP — 경험을 쌓고 관리 또는 아키텍처 책임으로 옮겨갈 때.

CISSP가 자격이 갖춰진 후에도 노력할 가치가 있는지 확실하지 않다면, 나는 찬성과 반대의 경우를 따로 작성했다: CISSP는 가치가 있을까. 그리고 Security+가 이 모든 것 이전에 어디에 위치하는지 더 전체적인 그림을 원한다면, Security+는 가치가 있을까를 참고하라.

자주 묻는 질문

근무 경험 없이 CISSP를 취득할 수 있을까?

시험을 통과하고 ISC2 준회원이 될 수 있으며, 필요한 경험을 쌓으면서 전체 CISSP 자격을 향해 일할 수 있다. 경험 없이는 전체 CISSP 자격을 유지할 수 없다.

CISSP가 Security+보다 어려울까?

그렇다, 하지만 단지 콘텐츠 난이도 때문만이 아니다 — CISSP는 보안 관리 주제에 걸친 폭과 판단력을 테스트하는데, 이것은 Security+의 더 정의 가능하고 기술적인 목표보다 외우기가 더 어렵다.

경력 변경자들이 CISSP로 바로 진행해야 할까?

인접 분야의 관련 경험이 이미 몇 년 있어서 ISC2가 인정할 수 있을 때만 — 예를 들어, IT 리스크, 감사, 또는 실제 보안 내용이 있는 프로그램 관리 역할. 그 외에는 기초부터 구축하라.

Security+는 CISSP의 경험 요구 사항으로 인정될까?

Security+ 자체는 근무 경험으로 인정되지 않지만, CompTIA는 특정 CompTIA 자격증이 CISSP 경험 면제 1년을 충족하도록 하는 협약이 있다 — ISC2의 공식 페이지를 확인하라, 이런 협약은 변한다.

지금 당신의 상황과 실제로 맞는 것이 무엇인지 확실하지 않을까? 체험 레슨을 예약하고 우리는 이상적인 다음 단계가 아닌 현실적인 다음 단계를 함께 계획할 것이다.