Certified Information Systems Security Professional (CISSP): Eine Einführung

In jeder Branche erfordert der Erwerb eines Top-Profis in einem Fachgebiet das Erreichen von Zielen wie einer bestimmten Anzahl von Berufsjahren, erstklassiger Ausbildung und dem Engagement, kontinuierlich neue Fähigkeiten zu erlernen. Mit zunehmender Karriere werden weltweit anerkannte Zertifizierungen, die Fähigkeiten sowie die drei oben genannten Ziele belegen, als Referenz für Einzelpersonen, Kollegen und Arbeitgeber zur Messung von Kompetenz und Erfolgen dienen. Für Systemsicherheitsfachleute ist eine der begehrtesten Zertifizierungen CISSP. In diesem Artikel besprechen wir die Feinheiten dieser Zertifizierung, die im Prüfungsprozess behandelten Fähigkeiten, die Vorbereitung auf die Prüfung und die Vorteile der Einstellung eines CISSP-Mitarbeiters.

Was ist CISSP und für wen ist es gedacht?

Da unzählige Unternehmen ihre Aktivitäten online verlagern und die Nutzung von Technologie zunimmt, wächst der Bedarf an hochqualifizierten Fachkräften in der Systemsicherheitsbranche. Tatsächlich ist der Schutz klassifizierter Informationen, die digital gespeichert werden, vor Cyberangriffen oder Technologieverletzungen heutzutage eines der heißesten globalen Themen. Und damit sind Informationssicherheitsfachleute laut Business News Daily laut Business News Daily die erste Verteidigungslinie, sodass Nordamerika 2018 500.000 Sicherheitsexperten fehlten, wobei diese Zahl bis 2021 voraussichtlich 4 Millionen erreichen würde. Obendrein sind in den USA täglich mehr als 10.000 Stellen verfügbar, die CISSP-Einstellungen anfragen. Definiert von Wedopedia als "eine herstellerneutrale Zertifizierung, die die Qualifikationen von Informationssicherheitsfachleuten widerspiegelt, mit einer objektiven Kompetenzmessung und einem weltweit anerkannten Leistungsstandard. Die CISSP-Zertifizierung bedeutet, dass der Informationssicherheitsfachmann ein funktionierendes Wissen über Informationssicherheit nachweist, das Engagement für den Beruf bestätigt und einen Standard für Best Practices festlegt." Im Wesentlichen stellt diese Zertifizierung sicher, dass ein Mitarbeiter qualifiziert ist, selbst die sensibelsten Systeme zu schützen. Diese 1989 eingeführte Zertifizierung wird von (ISC)2 unterstützt und gilt als globaler Standard für Exzellenz in Informationssystemsicherheit. Sie ist eine ideale Zertifizierung für Chief Information Security Officers, Director of Security, IT-Direktor/Manager, Sicherheitssystemingenieure, Sicherheitsanalysten, Sicherheitsprüfer und mehr. Beachten Sie jedoch, dass sie nicht für jeden geeignet ist. Für diejenigen in den Bereichen Cloud-Sicherheit, IT/ICT-Sicherheitsadministration, Sicherheitsbewertung, sichere Softwareentwicklung und Gesundheitssicherheit gibt es weitere Zertifizierungsoptionen.

Warum einen CISSP-Mitarbeiter einstellen?

Eine Zertifizierung, die nicht für schwache Nerven ist, ist die CISSP, wie von Simplilearn erklärt, für "Empfänger [die] Teil eines ziemlich exklusiven Clubs sind. Weltweit besitzen nur 94.000 Fachleute die CISSP-Zertifizierung (149 Länder). Die Prüfung selbst hat eine Fehlfallquote von 80 %. Diejenigen, die diese Zertifizierung besitzen, sind engagierte, erfahrene Personen, die strenge Anforderungen erfüllen und über umfassende Fachkenntnisse verfügen. Der Vorteil, diese Art von Mitarbeiter einzustellen und ein durchschnittliches Jahresgehalt von 100.000 Dollar zu zahlen, ist erheblich. Von besserem Risikomanagement über die Verbesserung des Rufs der Organisation bis hin zu höheren Qualitätsstandards – mit einem CISSP-Mitarbeiter im Team arbeiten Kunden eher mit einem Unternehmen zusammen, Mitarbeiter erhalten mehr Wissen und die Versicherungsanforderungen werden leicht erfüllt.

Die 5 Anforderungen

Neben dem Bestehen der eingehenden Prüfung und dem Nachweis von Kenntnissen in allen Bereichen verlangt die CISSP-Zertifizierung auch, dass die Person fünf Jahre Vollzeit-Berufserfahrung in zwei der acht Bereiche vorweisen muss. Hat der Kandidat jedoch einen vierjährigen Abschluss, kann er sich für eine einjährige Ausnahmegenehmigung qualifizieren, die die Berufserfahrung auf vier Jahre reduziert. Die Prüfung kann jederzeit abgelegt werden; wenn sie vor Erfüllung der Anforderungen an Berufserfahrung bestanden ist, kann die Person nach einer Vollzeitbeschäftigung Associate von (ISC)2 werden und eine Zertifizierung beantragen. Nach Ablauf von sechs Jahren und nicht erfüllter Arbeitsanforderungen muss die Prüfung erneut abgelegt werden. Nach Bestehen und Nachweis der Vollzeit-Berufserfahrung muss die Person dem Ethikkodex der Organisation zustimmen, sich bestätigen, eine Hintergrundqualifikation bestehen und alle drei Jahre erneut zertifiziert werden. Zusammenfassend sind die fünf Anforderungen:

1. Praxiserfahrung (5 Jahre oder 4-jähriger Abschluss + 4 Jahre)

Diese Arbeit muss bezahlt, in Vollzeit erfolgen und in den Bereichen Sicherheit und Risikomanagement, Asset Security, Security Engineering, Kommunikation und Netzwerksicherheit, Identitäts- und Zugriffsmanagement, Sicherheitsbewertung und -tests, Sicherheitsoperationen sowie Softwareentwicklungssicherheit erfolgen.

1. Eine Punktzahl von 700 von 1.000 in der CISSP-Prüfung 

Die Kandidaten erhalten sechs Stunden, um die Mehrwahl- und Innovationsfragen zu erfüllen. Die Prüfung selbst kostet 699 US-Dollar, aber es wird empfohlen, Vorbereitungskurse zu belegen, die zwischen kostenlos und 3.000 US-Dollar kosten. Es wird dringend empfohlen, Lernhilfe von Drittanbietern zu erhalten.

1. Hintergrundqualifikationen 

Laut der (ISC)2-Website wird erwartet, dass "zertifizierte Mitglieder von höchstem ethischem und professionellem Niveau sind. Zu diesem Zweck hat die Organisation Standards, die die Kandidaten als Teil der Zertifizierungskriterien anerkennen müssen." Vor der Prüfung muss jeder sorgfältig Fragen beantworten, wie zum Beispiel: War er jemals mit Hacking zu tun, hat man einen Alias, wurde jemals eine Berufslizenz entzogen und andere.

1. Übereinstimmung mit dem Ethikkodex und dem Empfehlungsprozess 

Nach Bestehen der Arbeits- und Prüfungsanforderungen muss die Person anerkennen, dass dieses hohe Maß an Anleitung nicht auf die leichte Schulter genommen werden sollte. Fachkräfte mit dieser Zertifizierung verpflichten sich, die Sicherheit, das Wohlergehen und das Gemeinwohl der Gesellschaft zu wahren. Unter vielen anderen Vereinbarungen verpflichten sie sich ehrenhaft, den Beruf voranzubringen und zu schützen. Darüber hinaus muss ein weiterer CISSP die Berufserfahrung des Kandidaten bestätigen.

1. Kandidaten müssen alle 3 Jahre  die Zertifizierung absolvieren

Wie oben erwähnt, ist diese Zertifizierung nicht für schwache Nerven für Informationssystemsicherheit. Sobald die oben genannten vier Anforderungen erfüllt sind, muss die Zertifizierung aufrechterhalten werden. Zu Kosten von 85 USD pro Jahr müssen zertifizierte Fachkräfte jährlich 40 Weiterbildungspunkte absolvieren, insgesamt 120 alle drei Jahre.

8 Prüfungsbereiche

Nachdem ich die Anforderungen verstanden und mich entschieden habe, die Prüfung abzulegen, ist es nun an der Zeit, sich auf die acht Bereiche zu konzentrieren.

1. Sicherheit und Risikomanagement 

Der größte Teil der Prüfung umfasst 15 % der Fragen; dieser Abschnitt behandelt Vertraulichkeit, Integrität, Verfügbarkeit, Governance-Prinzipien, Compliance, rechtliche Fragen, IT-Richtlinien und risikobasierte Managementkonzepte.

1. Vermögenssicherheit 

Mit einer Vielzahl von Fragen, die sich mit der Klassifizierung von Vermögenswerten, Datenschutz, Aufbewahrungszeiten, Datensicherheitskontrollen und Verarbeitungsanforderungen befassen, macht dieser Abschnitt 10 % der Prüfung aus.

1. Sicherheitsarchitektur und Ingenieurwesen 

Mit 13 % der Gesamtprüfung behandelt dieser Abschnitt sichere Designprinzipien, Grundlagen des Sicherheitsmodells, Sicherheitsfähigkeiten, Schwachstellenbewertung, Kryptografie, Implementierung physischer Sicherheit und mehr.

1. Kommunikation und Netzwerksicherheit 

Mit Fokus auf das Netzwerk umfasst dieser Bereich 14 % der Fragen, um Prinzipien der sicheren Netzwerkarchitektur, Komponenten und Kommunikationskanäle abzudecken.

1. Identifizieren und Zugriff verwalten 

Zur Sicherstellung der Fähigkeit eines Kandidaten, den Benutzerzugriff auf Daten zu kontrollieren, sind 13 % der Prüfung diesem Bereich gewidmet. Diese Fragen umfassen physischen Zugriff auf Assets, logischen Zugriff auf Assets, Identifikation, Authentifizierung, Drittanbieter-ID-Dienste, Autorisierungsmechanismen und den zugehörigen Lebenszyklus.

1. Sicherheitsbewertung und -tests 

Zwölf Prozent der Prüfung umfassen Bewertungs- und Teststrategien für das Design und die Performance von Sicherheitsmaßnahmen. Sie umfasst Kontrolltests, Datenerhebung von Sicherheitsprozessen, Ergebnisse sowie interne und Drittanbieter-Audits.

1. Sicherheitsoperationen 

Die Erstellung und Umsetzung von Sicherheitsplänen, dieser Bereich nutzt 13 % der Fragen, um das Verständnis, die Anforderungen und die Art von Untersuchungen zu testen, sowie um Aktivitäten zu überwachen, Ressourcen bereitzustellen, Betriebskonzepte, Anwendung von Techniken, Vorfallmanagement, Wiederherstellung, Geschäftskontinuität und mehr.

1. Softwareentwicklungssicherheit 

Abschließend umfasst dieser Bereich 10 % der Fragen und taucht tief in die Entwicklung des Software-Sicherheitslebenszyklus, Kontrollen der Umwelt, die Wirksamkeit von Softwaresicherheit und Codierungsstandards ein.

Beginn der CISSP-Reise

Die Entscheidung, die CISSP-Zertifizierung zu übernehmen, bringt viel harte Arbeit sowie viele offene Türen zu einer interessanten und stetig wachsenden Branche mit sich. Als Teil einer globalen Gemeinschaft von Fachleuten, die eine sichere und geschützte digitale Welt stärkt, ist diese Zertifizierung eine bereichernde Erfahrung, die unzählige Menschen bewundern. Der Aufstieg in die Elite der Informationssystemsicherheitsfachleute beginnt mit dieser Zertifizierung.

Sicherheits- und Compliance-Leitfaden

1. Schlimmste Datenpannen des Jahres 2021: 4 kritische Beispiele
2. Was ist die CIA-Sicherheitstriade? Vertraulichkeit, Integrität, Verfügbarkeit erklärt
3. Was ist InfoSec? Informationssicherheit erklärt
4. Was ist CVE? Häufige Schwachstellen und Gefährdungen erklärt
5. Einführung in die SOX-Konformität
6. IT-Sicherheitszertifikate: Eine Einführung
7. Certified Information Systems Security Professional (CISSP): Eine Einführung
8. Certified Information Systems Auditor (CISA): Eine Einführung

Diese Beiträge sind meine eigenen und spiegeln nicht unbedingt die Position, Strategien oder Meinung von BMC wider.