Стоит ли CISSP? Честный ответ

Короткий ответ: да, когда вы достигли нужного этапа карьеры

У меня есть сам CISSP, поэтому я дам вам ответ, в который я действительно верю, а не дипломатичный: да, это стоит того, но только когда вы достигли этапа карьеры, для которого это предназначено. Если у вас пять или более лет опыта в сфере безопасности или управления IT-рисками и вы движетесь в сторону управления, архитектуры или роли на пути к CISO, CISSP — это одно из наиболее признанных удостоверений в Великобритании и на международном уровне, и оно действительно открывает двери — рекрутеры и кадровые комиссии относятся к нему серьёзно так, как мало какие другие сертификаты.

Если вы ещё в начале карьеры, честный ответ меняется: CISSP пока не является правильным следующим шагом, не потому, что это неценно, а потому, что вы не соответствуете требованиям по опыту для получения полного удостоверения, и содержание курса предполагает уровень знакомства с управлением безопасностью, который у вас, вероятно, есть.

Что CISSP действительно меняет

На основе моего личного опыта и того, что я вижу у студентов, завершивших курс, CISSP делает три вещи:

1. Открывает доступ к диалогам на уровне руководства. Это сигнализирует, что вы можете работать в областях управления, рисков, архитектуры и технических дисциплин, а не только в одной узкой специализации. Это именно профиль, который кадровые комиссии ищут выше уровня аналитика, и это часто разница между отсевом из шортлиста и приглашением на интервью на должность менеджера или лидера.
2. Повышает вашу позицию при переговорах по зарплате. Это не удвоит вашу зарплату само по себе, но это часто указывается как требование или сильное предпочтение для должностей менеджеров по безопасности и консультантов в Великобритании, которые обычно значительно выше уровня аналитика. Рекрутеры, с которыми я говорил, относятся к этому как к настоящему ярлыку «этот человек прошёл проверку на определённом уровне», что имеет значение при переговорах, а не просто при подаче заявки.
3. Заставляет расширять кругозор. Даже если вы сильны технически, восемь доменов CISSP заставляют вас разобраться в управлении, нормативно-правовых вопросах и обеспечении непрерывности деятельности — областях, которые технические специалисты часто пропускают. Я видел очень способных инженеров, которые испытывали трудности именно с этой частью экзамена, не потому, что материал неясен, а потому, что им никогда не приходилось думать о безопасности как о бизнес-функции, только как о технической.

Подвох, о котором почти никто не упоминает

Прохождение экзамена — это не то же самое, что получение CISSP. ISC2 требует минимум пять лет накопленного оплачиваемого опыта по крайней мере в двух из восьми доменов (соответствующая степень или другой одобренный сертификат могут сократить требование на один год). Если вы сдали экзамен без требуемого опыта, вы становитесь «Associate of ISC2» до тех пор, пока не накопите и не подтвердите опыт. Я видел людей, которые учились месяцами, сдали действительно сложный экзамен, а затем были удивлены, что они ещё не получили статус «CISSP» — прочитайте требования перед тем, как потратить время на учёбу, а не после.

Кому следует подождать

• Любому, кто имеет примерно три-четыре года опыта в сфере безопасности — вы ещё недостаточно близки к требованиям по опыту, чтобы это имело смысл.
• Любому, у кого нет опыта управления безопасностью, управления или концепций рисков — домены будут казаться абстрактными, а не основанными на том, что вы делали.
• Любому, кто надеется, что это заменит фундаментальные технические знания — сначала постройте это с помощью Security+ или практической работы.

Что я говорю своим студентам

Студенты, которых я готовлю к CISSP, почти всегда имеют реальный опыт — менеджеры программ, IT-лидеры, опытные системные администраторы — переходящие в лидерство в сфере безопасности, а не люди, пытающиеся начать с нуля. Я говорю им, что CISSP — это экзамен на широту знаний, а не на глубину: он вознаграждает людей, которые могут рассуждать о компромиссах во всей программе безопасности, а не людей, которые выучили определения наизусть. Лучшая подготовка — это не просто учебник, а связь каждого домена с реальным решением, которое вам пришлось принять на работе.

Для прямого сравнения того, когда CISSP имеет смысл в сравнении с Security+, я подробно описал это здесь: CISSP vs Security+.

Часто задаваемые вопросы

Сколько времени занимает подготовка к CISSP?

Большинство опытных кандидатов тратят три-шесть месяцев на регулярную учёбу. Речь идёт не о количестве часов, а о связи материала с опытом, который у вас уже есть — кто-то с большим опытом обычно нуждается в меньшем времени на чистую зубрёжку.

Стоит ли CISSP без должности менеджера?

Да, если вы занимаетесь работой, близкой к управлению, даже без такого названия должности — возглавляете реагирование на инциденты, управляете реестром рисков, проектируете контроли. Удостоверение признаёт работу, а не название должности в вашем контракте.

Какова стоимость экзамена CISSP в Великобритании?

ISC2 устанавливает и периодически меняет цены на экзамены, поэтому проверьте официальную страницу ISC2 на предмет текущей стоимости, а не полагайтесь на старую информацию.

CISSP лучше, чем магистерская степень в области кибербезопасности?

Они не взаимозаменяемы — магистерская степень — это академическая глубина, CISSP — это удостоверение практика, связанное с реальным опытом. Многие старшие специалисты в Великобритании не имеют ни того, ни другого исключительно; многие имеют и то, и другое.

Может ли CISSP устаревать с изменением отрасли?

ISC2 периодически пересматривает содержание экзамена, чтобы отразить текущую практику, а требования CPE держат держателей в курсе отрасли для сохранения удостоверения. Это не сертификат «один раз и готово», который устаревает в день сдачи — постоянное требование CPE является частью того, что делает его достоверным для работодателей.

Если CISSP находится в вашем среднесрочном плане и вы хотите план обучения, основанный на вашем фактическом опыте, а не на универсальном, запишитесь на пробный урок и мы разберёмся, где вы реально стоите.