Как стать директором по ИБ (CISO). Часть 2: лучшие сертификаты для начинающих специалистов.

Профессионалы в области кибербезопасности могут получить необходимую сертификацию, которая показывает, что человек достиг определенного уровня компетентности, но не все аккредитации в области безопасности одинаковы. Сертификаты должны исходить от авторитетных компаний и соответствовать профессиональным целям специалиста.

По мере того, как ИБ-специалист переходит на более высокие должности, кандидаты на должность директора по информационной безопасности (CISO) должны обратить свое внимание на управленческие и стратегические должности. Роль директора по информационной безопасности требует больших усилий, но за это руководители крупнейших ИБ-компаний получают более $500 000 в год.

Лучшие сертификаты для начинающих директоров по информационной безопасности включают следующее:

• Certified Information Systems Security Professional (CISSP);
• Certified Chief Information Security Officer (CCISO);
• Certified Information Security Manager (CISM).

CISSP (Certified Information Systems Security Professional)

CISSP — это самая известная и хорошо котируемая сертификация кибербезопасности. (ISC)² выдает сертификат с 1994 года. По оценкам, CISSP примерно эквивалентен степени магистра в области кибербезопасности.

В то время как многие сертификации сосредоточены исключительно на техническом содержании, CISSP также охватывает управленческие навыки среднего уровня. Этот двойной акцент делает CISSP особенно ценным для начинающих руководителей службы безопасности, многие из которых обладают обширными практическими знаниями, но меньшим опытом управления.

Общий свод знаний CISSP охватывает 8 областей:

1. Безопасность и управление рисками (15% экзамена);
2. Безопасность активов (10% экзамена);
3. Архитектура и инженерия безопасности (13% экзамена);
4. Коммуникация и сетевая безопасность (13% экзамена);
5. Управление идентификацией и доступом (13% экзамена);
6. Оценка безопасности и тестирование (12% экзамена);
7. Интеграция безопасности (SecOps) (13% экзамена);
8. Безопасность разработки программного обеспечения (11% экзамена).

Чтобы претендовать на сертификацию CISSP, кандидаты должны иметь опыт работы от 4 до 5 лет — в зависимости от образования — по крайней мере в 2 из 8 перечисленных областей. Для успешной сдачи экзамена необходимо набрать не менее 70%

На сегодняшний день во всем мире более 180 000 специалистов имеют сертификаты CISSP. Сертифицирующая компания (ISC)² требует, чтобы специалисты CISSP проходили повторную сертификацию каждые 3 года.

CCISO (Certified Chief Information Security Officer)

Компания EC-Council специально разработала сертификацию CCISO, чтобы помочь CISSP и другим опытным менеджерам по кибербезопасности стать руководителями. В то время как CISSP фокусируется в первую очередь на возможностях менеджеров среднего звена, курс CCISO обучает бизнес-компетенциям высшего уровня, таким как составление бюджета, стратегическое планирование и управление поставщиками.

Чтобы получить право на сдачу экзамена CCISO, кандидаты должны иметь 5-летний опыт работы в 3-5 из следующих областей, в зависимости от того, участвовали ли они в авторизованном обучении EC-Council:

1. Управление, риски и соответствие (21% экзамена);
2. Контроль информационной безопасности и управление аудитом (20% экзамена);
3. Управление программой безопасности и операции (21% экзамена);
4. Основные компетенции по информационной безопасности (19% экзамена);
5. Стратегическое планирование, финансы, закупки и управление третьими сторонами (19% экзамена).

Сертификаты CISSP и CCISO наиболее тесно связаны с должностью директора по информационной безопасности (CISO) и представляют высокую ценность для начинающих руководителей по безопасности.

CISM (Certified Information Security Manager)

Еще одним надежным вариантом сертификации является CISM от ISACA. Как и CISSP, он направлен на обучение ИБ-специалистов навыкам управления и принятия решений на среднем уровне. Однако в отличие от CISSP, CISM фокусируется на руководстве и управлении, уделяя меньше внимания техническим знаниям.

Чтобы претендовать на CISM, кандидаты должны иметь от 3 до 5 лет опыта работы в области информационной безопасности, в зависимости от образования. Экзамен охватывает следующие области:

1. Управление информационной безопасностью (17% экзамена);
2. Управление рисками информационной безопасности (20% экзамена);
3. Управление инцидентами (30% экзамена);
4. Программа информационной безопасности (33% экзамена).

В настоящее время более 48 000 специалистов по всему миру имеют сертификаты CISM. Чтобы сохранить сертификацию, CISM должны пройти не менее 20 часов обучения в год и 120 часов каждые 3 года.

Другие сертификаты

Многие другие сертификации обеспечивают необходимые образование и опыт, но не всегда делают специалиста кандидатом на должность директора по информационной безопасности.

Сертифицированный аудитор информационных систем (CISA), например, является еще одной популярной сертификацией ISACA. Требования CISA совпадают с требованиями должности директора по управлению рисками. Поэтому стоит отделять функции аудита от обеспечения безопасности из-за присущего им конфликта интересов. Таким образом, сертификация CISA в большинстве случаев не поможет «вырасти» до CISO.

Стоит отметить, что EC-Council также предлагает курсы сертифицированного этичного хакера (CEH), которые пользуются высокой репутацией. Однако большинство этичных хакеров (пентестеров) работают аудиторами внутри предприятия или во внешних ИБ-компаниях.

Пентестеры не останавливаются на типичном карьерном пути директора по информационной безопасности и легко могут стать CISO, извлекая выгоду из глубоких технических знаний, необходимых для сертификации.

В целом сертификаты CISSP, CCISO и CISM являются лучшими вариантами для тех, чья основная цель — стать руководителем службы безопасности на предприятии.