CISSP vs Security+: Bạn cần cái nào trước?

CISSP vs Security+ so sánh một cách thẳng thắn — yêu cầu kinh nghiệm, độ khó, giai đoạn sự nghiệp, và lý do tại sao hầu hết mọi người ở Anh cần một cái trước cái kia.

Chúng không phải thực sự là những chứng chỉ cạnh tranh nhau

Tôi nhận được câu hỏi này liên tục, và câu trả lời thẳng thắn là CISSP và Security+ không cạnh tranh cho cùng một vị trí trên CV của bạn — chúng nằm ở những giai đoạn sự nghiệp hoàn toàn khác nhau. Security+ là một chứng chỉ cấp nhập môn, không phụ thuộc nhà cung cấp nhằm vào những người bắt đầu vào lĩnh vực bảo mật mạng. CISSP là một chứng chỉ quản lý và kiến trúc cấp cao từ ISC2 yêu cầu nhiều năm kinh nghiệm làm việc được trả lương chỉ để kiếm được chỉ định đầy đủ. So sánh chúng từng cặp một giống như so sánh kỳ thi lái xe với giấy phép HGV — cùng lĩnh vực, mức độ rất khác.

Nếu bạn đặt câu hỏi này vì bạn hoàn toàn mới trong lĩnh vực, câu trả lời rất đơn giản: Security+ trước, luôn luôn. CISSP vẫn chưa đạt được, và ngay cả khi nó có thể đạt được, nó cũng không phải là chứng chỉ đúng cho nơi bạn đang ở.

Yêu cầu kinh nghiệm mà hầu hết mọi người bỏ lỡ

Đây là chi tiết khiến mọi người bối rối: CISSP yêu cầu tối thiểu năm năm kinh nghiệm làm việc được trả lương liên tục trong ít nhất hai trong tám lĩnh vực CISSP (có thể miễn một năm với một bằng cấp có liên quan hoặc một chứng chỉ được phê duyệt khác). Bạn có thể ngồi thi và vượt qua kỳ thi mà không có kinh nghiệm đó và trở thành "Associate of ISC2", nhưng bạn không nhận được chỉ định CISSP đầy đủ cho đến khi yêu cầu kinh nghiệm được đáp ứng và được xác nhận. Security+ không có yêu cầu như vậy — bạn có thể thi nó vào ngày đầu tiên của sự nghiệp.

Đó là lý do thực tế tại sao hầu hết mọi người cần Security+, hoặc một nền tảng tương đương, lâu trước khi CISSP thậm chí còn liên quan đến tình huống của họ. Nó cũng giải thích tại sao những quảng cáo công việc yêu cầu "CISSP hoặc tương đương, 5+ năm kinh nghiệm" trông hoàn toàn khác với những bài đăng cấp nhập môn đề cập đến Security+ — chúng không nhằm vào cùng một ứng viên, và coi chúng là các bậc trên cùng một thang máy ngắn đặt ra những kỳ vọng không thực tế theo cách này hay cách khác.

Đối chiếu

	Security+ (SY0-701)	CISSP
Mức độ	Cấp nhập môn	Cấp cao / quản lý
Tổ chức	CompTIA	ISC2
Kinh nghiệm cần thiết	Không	5 năm (với miễn trừ)
Tập trung	Nền tảng kỹ thuật	Quản lý bảo mật, quản trị, kiến trúc
Người giữ điển hình	Nhà phân tích cấp junior, thay đổi sự nghiệp	Trưởng bảo mật, kiến trúc sư, theo dõi CISO
Gia hạn	Giáo dục liên tục	Giáo dục liên tục (CPEs)

Những gì tôi nói với sinh viên muốn bỏ qua thẳng đến CISSP

Thỉnh thoảng tôi gặp một sinh viên, thường là người thay đổi sự nghiệp đến từ một vị trí cấp cao trong một lĩnh vực khác — quản lý chương trình, lãnh đạo kỹ thuật, quân sự — người muốn đi thẳng đến CISSP vì nó trông giống như chứng chỉ "hàng đầu". Tôi nói với họ điều tương tự mỗi lần: CISSP kiểm tra kiến thức quản lý bảo mật rộng trên tám lĩnh vực, và nếu không có bất kỳ nền tảng kỹ thuật cơ bản nào, bạn sẽ ghi nhớ những khái niệm mà bạn chưa bao giờ thực sự thấy được áp dụng. Đó là một cách học khó khăn hơn nhiều, bền vững hơn nhiều, và nó không giúp bạn nếu bạn không thể vượt qua yêu cầu kinh nghiệm để giữ chứng chỉ đầy đủ dù sao.

Xây dựng nền tảng kỹ thuật trước — Security+ hoặc tương đương, tốt nhất là có một số thực hành thực tế — sau đó hãy để CISSP là chứng chỉ chính thức hóa kiến thức cấp quản lý khi bạn thực sự hoạt động ở mức độ đó. Tôi nói điều này như là người giữ CISSP: kỳ thi thưởng cho phán đoán được xây dựng từ các quyết định thực tế mà bạn phải đưa ra dưới áp lực — một sự cố trực tiếp, sự đánh đổi ngân sách, một ngoại lệ chính sách mà không ai muốn ký phê duyệt. Nếu không có kho kinh nghiệm để rút ra, bạn đang ghi nhớ các trừu tượng thay vì nhận ra các mẫu mà bạn đã biết, và đó là một cách chuẩn bị chậm hơn nhiều, ít độ tin cậy hơn nhiều.

Một thứ tự hợp lý

Security+ (hoặc ISC2 CC) — từ vựng và khái niệm nền tảng.
Kinh nghiệm thực tế — một vai trò nhà phân tích, một chứng chỉ thực tế như BTL1, các dự án thực tế.
Một chuyên môn — bảo mật đám mây, blue team, GRC, tùy thuộc vào nơi sự nghiệp của bạn đi.
CISSP — khi bạn tích lũy được những năm kinh nghiệm và hướng tới trách nhiệm quản lý hoặc kiến trúc.

Nếu bạn không chắc CISSP có đáng công sức hay không ngay cả khi bạn đủ tiêu chuẩn cho nó, tôi đã viết về trường hợp ủng hộ và chống lại một cách riêng biệt: is CISSP worth it. Và nếu bạn muốn hình ảnh đầy đủ hơn về vị trí của Security+ trước tất cả những điều này, hãy xem is Security+ worth it.

Câu hỏi thường gặp

Tôi có thể lấy CISSP mà không có bất kỳ kinh nghiệm làm việc nào không?

Bạn có thể vượt qua kỳ thi và trở thành ISC2 Associate, hướng tới chỉ định CISSP đầy đủ khi bạn tích lũy kinh nghiệm cần thiết. Bạn không thể giữ chứng chỉ CISSP đầy đủ mà không có nó.

CISSP có khó hơn Security+ không?

Có, nhưng không chỉ vì độ khó của nội dung — CISSP kiểm tra kiến thức rộng và phán đoán trên các chủ đề quản lý bảo mật, điều này khó nhớ hơn các mục tiêu kỹ thuật dễ xác định hơn của Security+.

Những người thay đổi sự nghiệp có nên đi thẳng đến CISSP không?

Chỉ khi bạn đã có nhiều năm kinh nghiệm liên quan từ các lĩnh vực kế cận mà ISC2 sẽ công nhận — ví dụ như IT rủi ro, kiểm toán, hoặc các vai trò quản lý chương trình có nội dung bảo mật thực tế. Nếu không, hãy xây dựng nền tảng trước.

Security+ có tính đến yêu cầu kinh nghiệm của CISSP không?

Bản thân Security+ không tính là kinh nghiệm làm việc, nhưng CompTIA có các thỏa thuận cho phép các chứng chỉ CompTIA nhất định thỏa mãn một năm của phần miễn trừ kinh nghiệm CISSP — kiểm tra trang chính thức của ISC2 để biết danh sách hiện tại, vì những sắp xếp này thay đổi.

Không chắc cái nào trong số này thực sự phù hợp với nơi bạn đang ở ngay bây giờ? Đặt bài học dùng thử và chúng tôi sẽ lập bản đồ bước tiếp theo thực tế chứ không phải bước khát vọng.