Чи варто мати CISSP? Чесна відповідь

Коротка відповідь: так, коли ви на правильному етапі кар'єри

Я маю CISSP сам, тому дам вам відповідь, у яку я дійсно вірю, а не дипломатичну: так, це варто, але тільки коли ви на етапі кар'єри, для якого це призначено. Якщо ви п'ять і більше років займаєтеся безпекою або управлінням ІТ-ризиками та рухаєтеся в напрямку менеджменту, архітектури або ролі на шляху до CISO, CISSP — одна з найбільш визнаних у Великій Британії та міжнародно сертифікацій, і вона дійсно відкриває двері — рекрутери та комісії працевлаштування сприймають її серйозно так, як мало які інші сертифікації.

Якщо ви все ще на початку своєї кар'єри, чесна відповідь змінюється: CISSP не є правильним наступним кроком, не тому, що він не цінний, а тому, що ви не відповідаєте вимогам щодо досвіду для отримання повної сертифікації, і вміст припускає рівень знайомства з управлінням безпекою, який у вас, ймовірно, не було.

Що CISSP дійсно змінює

З власного досвіду та з того, що я бачу зі студентів, які його завершили, CISSP робить три речі:

1. Відкриває розмови на вищому рівні. Це сигналізує, що ви можете працювати в сфері управління, ризиків, архітектури та технічних аспектів, а не лише одна вузька спеціалізація. Це саме профіль, який комісії працевлаштування шукають вище рівня аналітика, і це часто є різницею між виключенням зі списку кандидатів та запрошенням на співбесіду на посаду менеджера або лідера.
2. Підвищує вашу потенціальну зарплату під час переговорів. Це не подвоїть вашу зарплату в один момент, але часто перелічується як вимога або сильна перевага для ролей менеджерів безпеки та консультантів у Великій Британії, які зазвичай істотно вище за рівень аналітика. Рекрутери, з якими я розмовляв, розглядають це як справжню скорочену назву для «цю людину перевірили на певному рівні», що має значення, коли ви ведете переговори, а не просто подаєте заявку.
3. Вимагає широкого охоплення. Навіть якщо ви міцні технічно, вісім доменів CISSP змушують вас розуміти управління, юридичні/нормативні аспекти та безперервність діяльності — області, які технічні спеціалісти часто ігнорують. Я бачив дуже здібних інженерів, які мали проблеми саме з цією частиною іспиту, не тому, що матеріал непрозорий, а тому, що вони ніколи не повинні були думати про безпеку як про бізнес-функцію, а не тільки як про технічну.

Улов, про який майже ніхто не говорить

Пройти іспит — це не те саме, що мати CISSP. ISC2 вимагає мінімум п'ять років накопленого оплачуваного досвіду щонайменше у двох із восьми доменів (відповідний ступінь або інша затверджена сертифікація можуть скасувати один рік). Якщо ви пройдете без досвіду, ви стаєте «Associate of ISC2» доки ви не накопите досвід і не отримаєте формального затвердження. Я бачив людей, які навчалися протягом місяців, пройшли дійсно складний іспит, а потім були здивовані, що вони ще не «CISSP» — прочитайте вимоги перед тим, як приділяти час навчанню, а не після.

Кому варто почекати

• Усім, хто має приблизно три-чотири роки досвіду в сфері безпеки — ви ще не близько до вимоги щодо досвіду, щоб це мало сенс.
• Усім без жодного знайомства з управлінням безпекою, управлінням, або концепціями ризику — домени здаватимуться абстрактними, а не заземленими на чомусь, що ви робили.
• Усім, хто сподівається, що це замінить базові технічні знання — спочатку побудуйте це за допомогою Security+ або практичних занять.

Що я кажу своїм студентам

Студенти, яких я коучу через CISSP, майже завжди люди з реальним досвідом — менеджери програм, ІТ-лідери, досвідчені системні адміністратори — які рухаються в лідерство безпеки, а не люди, які намагаються почати з нуля. Я кажу їм, що CISSP — це іспит на ширину, а не на глибину: він винагороджує людей, які можуть міркувати про компроміси в межах усієї програми безпеки, а не людей, які запам'ятали визначення. Найкраща підготовка — це не просто підручник, це встановлення зв'язку кожного домену з реальним рішенням, яке ви насправді мали приймати на роботі.

Для прямого порівняння того, коли CISSP має сенс порівняно з Security+, я це детально розписав тут: CISSP vs Security+.

ЧПИ

Скільки часу потрібно для підготовки до CISSP?

Більшість досвідчених кандидатів витрачають три-шість місяців послідовного навчання. Це менше про загальну кількість годин і більше про встановлення зв'язку матеріалу з досвідом, який у вас уже є — той, у кого більше такого досвіду, зазвичай потребує менше чистого часу на запам'ятовування.

Чи варто мати CISSP без посади менеджера?

Так, якщо ви робите роботу, близьку до менеджменту, навіть без цієї посади — керування реагуванням на інциденти, управління реєстром ризиків, проектування контролю. Сертифікація визнає роботу, а не посаду у вашому контракті.

Яка вартість іспиту CISSP у Великій Британії?

ISC2 встановлює та періодично змінює ціни на іспити, тому перевірте офіційну сторінку ISC2 щодо поточної вартості, а не покладайтеся на старі цифри.

Чи CISSP краще за магістерський ступінь у кібербезпеці?

Вони не взаємозамінні — магістрант — це академічна глибина, CISSP — це сертифікат практика, пов'язаний з реальним досвідом. Багато старших спеціалістів у Великій Британії мають жодне з них виключно; багато мають обидва.

Чи CISSP застаріватиме зі змінами в індустрії?

ISC2 періодично переглядає вміст іспиту, щоб відобразити поточну практику, а вимоги CPE утримують тримачів залученими до сфери для збереження сертифіката. Це не одноразовий сертифікат, який застарівається на день, коли ви його пройшли — вимога постійного CPE — частина того, що зберігає його кредит у роботодавців.

Якщо CISSP є у вашому середньостроковому горизонті й ви хочете план навчання, побудований навколо вашого реального досвіду, а не універсального, забронюйте пробний урок і ми з'ясуємо, де ви реально стоїте.