Certified Information Systems Auditor (CISA): Eine Einführung

Für IT- und IS-Prüfer auf höchstem Niveau, die mit Informationssystemen zusammenarbeiten, um potenzielle Sicherheitsbedrohungen innerhalb einer Organisation zu identifizieren, hilft eine Zertifizierung als Certified Information Systems Auditor (CISA), Ihr Wissen zu validieren, weltweit anerkannten beruflichen Status zu erlangen, kontinuierliches Lernwachstum zu zeigen und Ihre Karriere zu beschleunigen.

Wie auf der ISACA-Website angegeben, ist diese Zertifizierung "weltweit anerkannt als Leistungsstandard für diejenigen, die die Informationstechnologie- und Geschäftssysteme einer Organisation prüfen, kontrollieren, überwachen und bewerten." Diejenigen, die diese Zertifizierung besitzen, sind erstklassig qualifizierte Fachleute, die Fachkenntnisse in IT/IS-Prüfungsstandards zeigen und diese erstellen. Mit dieser Zertifizierung verdienen Prüfer ein durchschnittliches Gehalt von etwa 110.000+ pro Jahr und können ihr Fachwissen nutzen. Dennoch muss verstanden werden, dass diese Zertifizierung nicht für jeden IT- oder IS-Prüfer gilt; sie bringt Anforderungen und Vorbereitungen mit sich.

Ein hohes Leistungsniveau, in diesem Artikel betrachten wir den Unterschied zwischen CISA, wer die Prüfung ablegen sollte, und die Vorbereitung auf die Zertifizierung.

Vorteile eines Mitarbeiters mit einer CISA-Zertifizierung

Das ultimative Ziel jeder Organisation ist es, erfolgreich zu sein, und ein Teil dieses Erfolgs ist es, durch Goldstandard-Abläufe ein "gutes Image" zu erreichen. Durch die Einstellung von Mitarbeitern, die die Betriebsstandards durch Validierung in ihrem Fachgebiet verbessern, führt dies letztlich zu höheren Standards für ganze Teams und Wachstum in der gesamten Organisation. Eine Regel, die auf jeden Experten angewendet werden kann: Zertifizierungen bringen immer einen positiven Mehrwert für den Mitarbeiter und die Organisation.

Zurück zu Auditoren und einer CISA-Zertifizierung: Die Bestätigung des Wissens einer einzelnen Person in den Fähigkeiten in Systemprüfung, Sicherung, Kontrollsicherheit, Cybersicherheit und Governance eröffnet unzählige Wachstumstüren. Ein Artikel von Business First Family besagt: "Mit einem CISA-zertifizierten Mitarbeiter an Bord ist die Wahrscheinlichkeit, neue Kunden anzuziehen. Die ISACA ist ein weltweit anerkannter Verband und ihre CISA-Zertifizierung wird von vielen potenziellen Kunden begehrt. Tatsächlich arbeiten einige Kunden ausschließlich mit Unternehmen zusammen, die CISA-zertifizierte Personen an Bord haben." Die Vorteile der Einstellung eines zertifizierten Mitarbeiters bieten eine einzigartige Rendite, nach der die meisten Organisationen streben.

Wer sollte CISA machen?

Als "weltbekannte" Zertifizierung besteht der Erwerb des begehrten CISA-Titels aus zwei Teilen.

Zuerst die Voranforderungen, wie in einem Artikel von CIO erklärt:  Alle Kandidaten "benötigen mindestens fünf Jahre Berufserfahrung in der Prüfung von Informationssystemen, Steuerung oder Sicherheit in den letzten 10 Jahren. Sie können eine Ausnahmegenehmigung für bis zu drei Jahre Berufserfahrung erhalten, wenn Sie Folgendes besitzen:

• Maximal ein Jahr IS-Erfahrung oder ein Jahr Nicht-IS-Prüfungserfahrung
• Das entspricht einem zwei- oder vierjährigen Abschluss, der durch ein bis zwei Jahre Berufserfahrung ersetzt werden kann
• Ein Bachelor- oder Masterabschluss von einer Universität, die den von ISACA geförderten Lehrplan vermittelt, der durch ein Jahr Berufserfahrung ersetzt werden kann
• Ein Masterabschluss in IS oder IT von einer akkreditierten Universität, der einem Jahr Berufserfahrung entspricht

ISACA bietet außerdem Ausnahmen für diejenigen, die zwei Jahre als Vollzeit-Dozent an einer Universität in einem verwandten Bereich tätig waren, die durch ein Jahr Berufserfahrung ersetzt werden können.

Zweitens folgt die Prüfung nach den Voraussetzungen. Die Prüfung kann abgelegt werden, bevor die Erfahrungsanforderungen erfüllt sind; der Kandidat muss jedoch warten, bis alle Erfahrungsvoraussetzungen erfüllt sind.

Damit müssen diejenigen, die diese Zertifizierung anstreben sollten, in der Lage sein, den Zeitvorgaben und dem Ethikkodex zuzustimmen und sich aktiv innerhalb der Auditorenbranche weiterzuentwickeln. Mit der Verpflichtung, nach der Zertifizierung alle 3 Jahre 120 Stunden CPE mit mindestens 20 Stunden pro Jahr abzusolvieren, ist die Aufrechterhaltung und das Erreichen dieser Zertifizierung eine Verpflichtung an sich.

Diese Prüfung ist in fünf Bereiche mit insgesamt 150 Multiple-Choice-Fragen unterteilt, die die wichtigsten Arbeitspraktiken IT- und IS-Audit, Steuerung und -Sicherheit abdecken; sie wird auf einer Skala von 200 bis 800 Punkten bewertet. Ein Kandidat muss innerhalb von 4 Stunden eine Punktzahl von 450 oder höher erreichen, um zu bestehen.

1. 21 % – Der Prozess der Prüfung von Informationssystemen Die in diesem Domainset enthaltenen Informationen umfassen die Grundlagen der IT-Audits sowie die Planung von Audits, die Durchführung von Audits, die Präsentation der Ergebnisse und die Aktivierung eines Plans.
2. 16 % - Governance und Management der IT Aus dem oben genannten CIO-Artikel umfassen die Fragen in diesem Bereich "IT-Strategien, Governance, Organisationsstrukturen, Ressourcenmanagement, Portfoliomanagement, Risikomanagement, Kontrollüberwachung, Berichterstattung von KPIs und den Geschäftsfortsetzungsplan der Organisation."
3. 18 % - Informationssystembeschaffung, -entwicklung und -implementierung Um sicherzustellen, dass zertifizierte Kandidaten verstehen, wie man IT-Systeme betreibt, die die Unternehmensziele erfüllen, umfasst dieser Bereich erweiterte IT-Investitionen, Managementabwicklung, Nutzung von IT-Lieferanten, Evaluationsprozesse und Nachbestimmung.
4. 20 % - Informationssystembetrieb, Wartung und Servicemanagement In diesem Bereich wird das Verständnis des gesamten IT-Betriebs und der Wartung bewertet. Es überprüft Rahmenwerke und Best Practices sowie die Datenqualität.
5. 25 % - Schutz von Informationsvermögen Schließlich wird in diesem Bereich alles, was ein System sicher hält, überprüft. Laut einem Artikel von Cyber Security Education wird diese Domain genutzt, um "der Organisation zu versichern, dass ihre Informationen ihre Integrität, Vertraulichkeit und Zugänglichkeit bewahren."

Vor der Prüfung

Es ist darauf ausgelegt, sicherzustellen, dass der IS- und IT-Audit-Spezialist in allen Themen und Fähigkeiten bestens vertraut ist, daher ist es ideal, sich auf die offizielle CISA-Prüfung mit einer Schulungsreihe und Vortests vorzubereiten. Um dies zu erreichen, bietet ISACA Online-, visuelle oder von Ausbildern geleitete Kurse auf Abruf an. Mit diesen Angeboten stehen ausdruckbare oder herunterladbare Handbücher sowie Zugang zu einer Q&A-Datenbank für ein Jahr zur Verfügung. Darüber hinaus bieten sie viertägige, persönliche Schulungen mit Optionen für Organisationen an, die Mitarbeitergruppen schulen möchten.

Zur Unterstützung der Vorbereitung gibt es mehrere Drittanbieter-Vorbereitungsunternehmen. Zum Beispiel bietet Udemy umfangreiche Vorbereitungsprüfungen mit 900 Fragen an, die jährlich erneuert werden. So wird sichergestellt, dass der Kandidat für die Testtermine im Juni, September oder Dezember bereit ist.

Bei richtiger Vorbereitung kann der Kandidat sich problemlos auf der ISACA-Seite registrieren. Nach der Registrierung gibt es eine 365-tägige Berechtigungsfrist; dennoch sollte immer die Vorbereitung vor der Registrierung sichergestellt werden. Der Test kostet 575 USD für Mitglieder oder 760 USD für Nichtmitglieder, und es sind keine Fristen oder Verlängerungen erlaubt.

Letzte Schritte und Gedanken

Nach Bestehen der Prüfung und Abschluss der Erfahrungsanforderungen ist es nun Zeit, die Zertifizierung zu beantragen. Es handelt sich um einen dreistufigen Prozess, der erneut durch die ISACA-Website erleichtert wird.

1. Der Antrag kostet eine einmalige, nicht erstattungsfähige Gebühr von 50 USD.
2. Der Zertifizierungsantrag muss innerhalb von fünf Jahren nach Bestehen der Prüfung mit Nachweis erfolgen.
3. Danach dauert die Verarbeitung drei bis vier Wochen.

Sobald die Zertifizierung erreicht ist, wird ein IT- oder IS-Auditor sofort in seinem Fachgebiet aufgestiegen. Sein Lebenslauf wird für Organisationen und Kollegen attraktiver, was letztlich ein Engagement zeigt, die Systemaudit-Fähigkeiten auf dem Laufenden zu halten. Die CISA-Zertifizierung ist nicht für schwache Auditoren – die CISA-Zertifizierung ist nur für die besten und elitärsten Fachkräfte der Branche gedacht.

Sicherheits- und Compliance-Leitfaden

1. Schlimmste Datenpannen des Jahres 2021: 4 kritische Beispiele
2. Was ist die CIA-Sicherheitstriade? Vertraulichkeit, Integrität, Verfügbarkeit erklärt
3. Was ist InfoSec? Informationssicherheit erklärt
4. Was ist CVE? Häufige Schwachstellen und Gefährdungen erklärt
5. Einführung in die SOX-Konformität
6. IT-Sicherheitszertifikate: Eine Einführung
7. Certified Information Systems Security Professional (CISSP): Eine Einführung
8. Certified Information Systems Auditor (CISA): Eine Einführung

Diese Beiträge sind meine eigenen und spiegeln nicht unbedingt die Position, Strategien oder Meinung von BMC wider.