Choisir les bonnes certifications de sécurité : CISSP vs CISM, CISA et CRISC

Si vous êtes intéressé par une carrière dans la cybersécurité, alors vous avez fait un excellent choix ! Les professionnels qualifiés en sécurité de l'information sont très demandés et devraient le rester à l'avenir, donc le domaine offre des avantages financiers solides. Selon le IT Skills and Salary Report de Global Knowledge de 2018, 41 pour cent des employeurs aux États-Unis rapportent que trouver des professionnels qualifiés en cybersécurité est l'un de leurs principaux défis, et les individus certifiés gagnent en moyenne 22 pour cent de plus que leurs homologues non certifiés.

Il y a deux leaders mondialement reconnus en matière de certification en cybersécurité : ISACA et (ISC)2. La certification phare de (ISC)2 est le Certified Information Systems Security Professional (CISSP), tandis qu'ISACA propose trois certifications liées à la sécurité : Certified Information Systems Auditor (CISA), Certified Information Security Manager (CISM) et Certified in Risk and Information Systems Control (CRISC).

Toutes ces certifications s'adressent à des professionnels ayant au moins cinq ans d'expérience professionnelle, elles exigent toutes une formation continue pour maintenir la certification, et elles bénéficient toutes d'un respect et de salaires similaires. Alors, lesquelles auront le plus de valeur pour vous ? Pour vous aider à décider, examinons-les de près chacune d'entre elles.

(ISC)2 : Certified Information Systems Security Professional (CISSP)

Faits rapides

Fondé en 1989, (ISC)2 est l'une des plus grandes organisations de membres en sécurité informatique et cybersécurité au monde. Elle fournit à ses membres et à l'industrie des normalisations de sécurité, de l'éducation et des certifications. Lancé en 1994, le CISSP était la première accréditation offerte par (ISC)2, aujourd'hui, c'est l'accréditation phare dans le programme de certification (ISC)2. Il y a plus de 140 000 professionnels de la sécurité certifiés CISSP dans le monde. Cette accréditation est constamment recherchée par les employeurs ; une recherche d'emploi informelle sur SimplyHired a révélé près de 9 700 offres d'emploi demandant le CISSP, comparé à 4 511 pour le CISA et 3 004 pour le CISM.

La certification CISSP vise les professionnels de la sécurité dans un large éventail de rôles, y compris les gestionnaires, les praticiens et les cadres. Les CISSP possèdent les compétences nécessaires pour concevoir, architecturer, mettre en œuvre, contrôler et maintenir des programmes de cybersécurité pour leur organisation. Les rôles typiques incluent le CIO, le CISO, le directeur de la sécurité, l'architecte de sécurité, l'architecte réseau, le directeur informatique, le gestionnaire informatique, l'analyste de sécurité, l'auditeur, le consultant et l'ingénieur systèmes.

En plus de la certification CISSP de base, le CISSP est disponible en trois concentrations supplémentaires :

• Information Systems Security Architecture Professional (CISSP-ISSAP)
• Information Systems Security Engineering Professional (CISSP-ISSEP)
• Information Systems Security Management Professional (CISSP-ISSMP)

Obtention de la certification

Obtenir le CISSP n'est pas facile. Les candidats qualifiés doivent :

• Avoir au moins cinq ans d'expérience professionnelle rémunérée dans au moins deux des huit domaines du CISSP Common Body of Knowledge (CBK) (listés ci-dessous)
• Réussissez l'examen CISSP (699 $)
• Acceptez le (ISC)2 Code de déontologie
• Être recommandé par un professionnel de (ISC)2 dans les neuf mois suivant la réussite de l'examen

Les domaines actuels du CISSP CBK sont :

• Gestion de la sécurité et des risques
• Sécurité des actifs
• Architecture et ingénierie de la sécurité
• Communication et Network Security
• Identity and Access Management (IAM)
• Évaluation et tests de sécurité
• Opérations de sécurité
• Sécurité du développement logiciel

Déterminé à réussir l'examen CISSP ? Le blog Netwrix a quelque chose de spécial pour vous. Voici sept excellents conseils d'un professionnel certifié CISSP pour how to pass CISSP exam dès votre première tentative. De plus, découvrez ces guides d'étude et matériaux de formation pour la certification CISSP. Et enfin, évaluez votre niveau de préparation à l'aide de notre CISSP practice exam.

Maintenir les informations d'identification

Le CISSP est valable pendant trois ans. Une cotisation annuelle de 85 $ est requise. Pour se recertifier, les CISSP doivent soit passer l'examen actuel, soit obtenir 120 crédits d'éducation professionnelle continue (CPE) (un minimum de 40 crédits doit être acquis chaque année). En savoir plus sur les changements de l'examen CISSP en vigueur en avril 2018.

Avantages

Dans l'2017 (ISC)2 Global Information Security Workforce Study, les répondants détenant la certification CISSP ont signalé un salaire annuel moyen de 120 000 $. SimplyHired rapporte des gains moyens de 66 078 $, avec des salaires atteignant jusqu'à 127 071 $. Le rapport Global Knowledge de 2018 estime le salaire moyen aux États-Unis à 109 965 $, plaçant le CISSP en première position parmi les certifications en cybersécurité.

Certifications ISACA

Faits rapides

Fondée en 1969, l'Association pour l'audit et le contrôle des systèmes d'information (ISACA) est une organisation mondialement reconnue et hautement respectée avec plus de 140 000 membres dans 180 pays. ISACA propose quatre titres de compétences destinés à différents professionnels de l'IT :

• Certified Information Systems Auditor (CISA) — Auditeurs
• Certified Information Security Manager (CISM) — Responsables de la sécurité
• Certifié en Risk and Information Systems Control (CRISC) — Professionnels de la gestion des risques
• Certifié en Governance of Enterprise IT (CGEIT) — Professionnels de la gouvernance

Ici, nous nous concentrerons sur les trois premières de ces accréditations ; la gouvernance d'entreprise est au-delà de notre champ d'action.

Obtention de la certification

Tous les candidats doivent

• Répondez aux exigences d'expérience rigoureuses détaillées ci-dessous
• Réussissez l'examen associé (575 $ pour les membres de l'ISACA ; 760 $ pour les non-membres) ; les examens ne sont proposés que trois fois par an, donc les candidats devraient s'inscrire bien à l'avance
• Adhérez au Code de déontologie professionnelle et au Programme d'éducation professionnelle continue
• Répondez aux exigences supplémentaires comme détaillé ci-dessous

Maintenir les informations d'identification

Les accréditations ISACA sont valables pendant trois ans. Une cotisation annuelle de maintenance (45 $ pour les membres de l'ISACA, 85 $ pour les non-membres) est également requise. Pour renouveler, les détenteurs de l'accréditation doivent obtenir 120 crédits CPE, avec au moins 20 CPEs acquis annuellement.

CISM

Une bonne manière de comprendre le CISM est de le comparer au CISSP. Bien que les deux certifications traitent de la cybersécurité et des concepts managériaux, le CISSP se concentre sur le côté opérationnel de la sécurité et ses aspects techniques, tandis que le CISM est conçu autour du côté stratégique de la sécurité et de ses relations avec les objectifs commerciaux.

Plus précisément, CISM est conçu pour les responsables de la sécurité de l'information, ciblant les individus qui évaluent, conçoivent, gèrent et supervisent les environnements de sécurité de l'information au niveau de l'entreprise. Les candidats doivent également posséder une compréhension approfondie des technologies disponibles et comment les mettre en œuvre dans leur organisation. La certification CISM valide les compétences et connaissances d'un candidat à travers quatre domaines :

• Domaine 1 : Gouvernance de la sécurité de l'information
• Domaine 2 : Gestion des risques liés à l'information
• Domaine 3 : Développement et gestion du programme de sécurité de l'information
• Domaine 4 : Gestion des incidents de sécurité de l'information

Selon l'ISACA, il y a plus de 32 000 détenteurs de la certification CISM dans le monde, dont plus de 7 500 travaillent en tant que directeurs ou responsables de la sécurité et 3 500 autres en tant que directeurs ou responsables informatiques. Parmi les autres rôles CISM courants, on trouve des consultants en SI/TI, des DSI, des professionnels de la gestion des risques et des postes de direction d'entreprise.

Pour passer l'examen CISM, les candidats doivent posséder un minimum de cinq ans d'expérience dans la sécurité de l'information, dont trois dans au moins trois des domaines énumérés. Toute l'expérience doit être acquise au cours des 10 années précédant la qualification. Les scores d'examen sont annulés si l'exigence d'expérience n'est pas satisfaite dans les cinq ans suivant la réussite de l'examen. Certaines substitutions sont autorisées pour répondre à l'exigence d'expérience en fonction d'autres certifications obtenues et de l'éducation.

Global Knowledge a rapporté que les professionnels certifiés CISM aux États-Unis gagnent en moyenne 105 926 $ par an, ce qui le place au sixième rang mondial en termes de potentiel de gains liés aux certifications.

CISA

La certification CISA vise les professionnels de l'IT travaillant dans des rôles liés à la gouvernance et à l'audit. Typiquement, les professionnels CISA occupent des postes tels qu'auditeur IS ou IT ou gestionnaire d'audit, auditeur non-IT et consultant. Vous trouverez également de nombreux professionnels CISA impliqués dans la gouvernance, l'assurance, la sécurité, le contrôle d'audit et les rôles de leadership d'entreprise.

La certification CISA valide les connaissances et la capacité d'un candidat à évaluer, contrôler, auditer et effectuer un suivi continu des systèmes commerciaux IT d'une entreprise. Les compétences requises sont reflétées dans les cinq domaines de pratique professionnelle CISA :

• Domaine 1 : Le processus d'audit des systèmes d'information
• Domaine 2 : Gouvernance et gestion des TI
• Domaine 3 : Acquisition, développement et mise en œuvre des systèmes d'information
• Domaine 4 : Opérations des systèmes d'information, maintenance et gestion des services
• Domaine 5 : Protection et actifs d'information

Pour obtenir la certification, les candidats doivent justifier d'au moins cinq ans d'expérience professionnelle en audit, contrôle ou sécurisation des systèmes d'information (certaines substitutions peuvent être autorisées pour l'éducation) et réussir l'examen CISA. Le processus d'étude CISA peut inclure la participation à des cours de révision CISA, l'inscription à un cours en ligne, ou l'utilisation de logiciels, manuels de révision et guides d'étude. Après avoir réussi l'examen, les candidats doivent également se conformer aux Normes d'Audit des Systèmes d'Information.

Selon le rapport Global Knowledge, les salaires des CISA se classent au 13e rang, avec un salaire moyen aux États-Unis de 97 117 $.

CRISC

La certification CRISC cible spécifiquement les professionnels qui travaillent dans la gestion des risques IT risk management au niveau de l'entreprise. Les candidats typiques au CRISC incluent les CIOs/CISOs, les analystes d'affaires, les chefs de projet, ainsi que les professionnels de l'IT impliqués dans la gestion des risques, le contrôle et les activités d'assurance, et la conformité.

Les domaines d'emploi CRISC sont :

• Domaine 1 : Identification des risques informatiques
• Domaine 2 : Évaluation des risques informatiques
• Domaine 3 : Réponse et atténuation des risques
• Domaine 4 : Surveillance et rapport des risques et contrôles

Les exigences CRISC comprennent un minimum de trois ans d'expérience professionnelle dans la gestion de programme de sécurité de l'information dans deux domaines d'emploi CRISC ou plus, y compris soit le Domaine 1 soit le 2. Cette expérience doit être acquise dans les 10 années précédant la demande ou dans les cinq ans suivant la réussite de l'examen.

Dans le rapport Global Knowledge, la certification CRISC était juste derrière la CISSP en termes de revenus déclarés, avec un revenu moyen aux États-Unis rapporté à 107 968 $.

CISSP, CISM, CISA et CRISC en un coup d'œil

*Toutes les informations salariales obtenues à partir du rapport IT Skills and Salary Report de Global Knowledge.

L'essentiel

Lorsque vous choisissez entre poursuivre une accréditation ISACA telle que CISA et une certification CISSP, gardez à l'esprit ce qui suit :

• Le CISSP est un bon choix pour les professionnels de l'IT de nombreuses disciplines et rôles différents qui sont intéressés par une carrière dans la sécurité informatique ou la cybersécurité. Il offre le salaire moyen le plus élevé de toutes les certifications dans le rapport Global Knowledge de 2018.
• CISM n'est pas loin derrière CISSP en termes de salaire moyen. Alors que CISSP se concentre sur le côté opérationnel de la sécurité, CISM cible le côté stratégique de la sécurité et ses relations avec les objectifs commerciaux.
• La certification CRISC est la deuxième après la CISSP en termes de revenus déclarés. Elle valide votre capacité à travailler avec la gestion des risques informatiques au niveau de l'entreprise.
• Si vos objectifs de carrière sont uniquement axés sur des rôles liés à l'audit, alors le CISA peut être la bonne accréditation pour vous.