CISSP vs Security+: Qual você precisa primeiro?

CISSP vs Security+ comparadas honestamente — o requisito de experiência, dificuldade, etapa da carreira, e por que a maioria das pessoas no Reino Unido precisa de uma antes da outra.

Elas não são realmente certificações concorrentes

Recebo essa pergunta constantemente, e a resposta honesta é que CISSP e Security+ não competem pelo mesmo lugar no seu CV — ficam em etapas completamente diferentes da carreira. Security+ é uma credencial de entrada, agnóstica a fornecedor, voltada para quem está entrando em segurança cibernética. CISSP é uma certificação de gestão e arquitetura de nível sênior da ISC2 que exige anos de experiência de trabalho remunerado apenas para ganhar a designação completa. Compará-las lado a lado é um pouco como comparar uma prova de direção com uma licença HGV — campo relacionado, nível muito diferente.

Se você está fazendo essa pergunta porque é novo no campo, a resposta é simples: Security+ primeiro, sempre. CISSP ainda não é alcançável, e mesmo que fosse, não seria a credencial certa para onde você está.

O requisito de experiência que a maioria das pessoas não vê

Este é o detalhe que confunde as pessoas: CISSP requer um mínimo de cinco anos de experiência de trabalho remunerado acumulada em pelo menos dois dos oito domínios CISSP (um ano pode ser dispensado com um diploma relevante ou outra certificação aprovada). Você pode fazer e passar no exame sem essa experiência e se tornar um "Associate of ISC2", mas não recebe a designação CISSP completa até que o requisito de experiência seja satisfeito e endossado. Security+ não tem tal requisito — você pode fazê-la no primeiro dia da sua carreira.

Esa é a razão prática pela qual a maioria das pessoas precisa de Security+, ou de uma base equivalente, muito antes de CISSP ser relevante para sua situação. Isso também explica por que anúncios de emprego pedindo "CISSP ou equivalente, 5+ anos de experiência" não se parecem nada com as postagens de entrada que mencionam Security+ — não são direcionadas ao mesmo candidato, e tratá-las como degraus na mesma escada curta estabelece expectativas irrealistas de qualquer forma.

Lado a lado

	Security+ (SY0-701)	CISSP
Nível	Entrada	Sênior / gestão
Órgão	CompTIA	ISC2
Experiência necessária	Nenhuma	5 anos (com dispensas)
Foco	Fundamentos técnicos	Gestão de segurança, governança, arquitetura
Profissional típico	Analista júnior, mudança de carreira	Gerente de segurança, arquiteto, faixa de CISO
Renovação	Educação continuada	Educação continuada (CPEs)

O que digo a alunos que querem pular direto para CISSP

Ocasionalmente tenho um aluno, geralmente alguém mudando de carreira vindo de um papel sênior em outro campo — gestão de programa, liderança em engenharia, militar — que quer ir direto para CISSP porque parece a certificação "de topo". Digo a eles a mesma coisa toda vez: CISSP testa amplitude de conhecimento de gestão de segurança em oito domínios, e sem nenhuma base em fundamentos técnicos, você estará memorizando conceitos que nunca viu aplicados. Essa é uma forma muito mais difícil, muito menos durável de aprender, e não ajuda se você não conseguir passar pelo requisito de experiência para manter a credencial completa mesmo assim.

Construa a base técnica primeiro — Security+ ou equivalente, idealmente com alguma prática prática — depois deixe CISSP ser a credencial que formaliza conhecimento de nível gerencial uma vez que você esteja operando nesse nível. Digo isso como alguém que tem CISSP: o exame recompensa o julgamento construído a partir de decisões reais que você teve que tomar sob pressão — um incidente ao vivo, uma negociação de orçamento, uma exceção de política que ninguém queria assinar. Sem esse acervo de experiência para se basear, você está memorizando abstrações em vez de reconhecer padrões que já conhece, e essa é uma forma muito mais lenta, muito menos confiável de se preparar.

Uma ordem sensata

Security+ (ou ISC2 CC) — vocabulário e conceitos fundamentais.
Experiência prática — um papel de analista, uma credencial prática como BTL1, projetos práticos.
Uma especialização — segurança na nuvem, blue team, GRC, dependendo de para onde sua carreira vai.
CISSP — uma vez que você esteja acumulando anos de experiência e se movendo para responsabilidade gerencial ou de arquitetura.

Se não tiver certeza se CISSP vale o esforço mesmo após se qualificar para ela, escrevi o caso a favor e contra separadamente: CISSP vale a pena. E se quiser uma visão mais completa de onde Security+ se encaixa antes de tudo isso, veja Security+ vale a pena.

FAQ

Posso obter CISSP sem nenhuma experiência de trabalho?

Você pode passar no exame e se tornar um ISC2 Associate, trabalhando em direção à designação CISSP completa conforme acumula a experiência necessária. Você não pode manter a credencial CISSP completa sem ela.

CISSP é mais difícil que Security+?

Sim, mas não apenas por causa da dificuldade do conteúdo — CISSP testa amplitude e julgamento em tópicos de gestão de segurança, o que é mais difícil de decorar do que os objetivos técnicos mais definíveis do Security+.

Mudanças de carreira devem ir direto para CISSP?

Apenas se você já tiver anos de experiência relevante de campos adjacentes que a ISC2 creditará — por exemplo, funções de risco de TI, auditoria ou gestão de programa com conteúdo de segurança real. Caso contrário, construa a base primeiro.

Security+ conta para o requisito de experiência de CISSP?

Security+ em si não conta como experiência de trabalho, mas CompTIA tem acordos que permitem certas certificações CompTIA satisfazerem um ano da dispensa de experiência de CISSP — verifique a página oficial da ISC2 para a lista atual, já que esses acordos mudam.

Não tem certeza qual delas realmente corresponde a onde você está agora? Agende uma aula de avaliação e mapearemos o próximo passo realista em vez do aspiracional.