Auswahl der richtigen Sicherheitszertifizierungen: CISSP vs. CISM, CISA und CRISC

Wenn Sie sich für eine Karriere im Bereich der Cybersicherheit interessieren, dann haben Sie eine gute Wahl getroffen! Qualifizierte Fachleute für Informationssicherheit sind sehr gefragt und werden es wahrscheinlich auch in Zukunft bleiben, so dass dieser Bereich solide finanzielle Vorteile bietet. Laut dem 2018 IT Skills and Salary Report von Global Knowledge geben 41 Prozent der Arbeitgeber in den USA an, dass die Suche nach qualifizierten Cybersecurity-Fachkräften eine ihrer größten Herausforderungen ist, und zertifizierte Personen verdienen im Durchschnitt 22 Prozent mehr als ihre nicht zertifizierten Kollegen.

Es gibt zwei eindeutige, weltweit anerkannte Marktführer für Cybersecurity-Zertifizierungen: ISACA und (ISC)2. Die Spitzenzertifizierung von (ISC)2 ist der Certified Information Systems Security Professional (CISSP), während ISACA drei sicherheitsbezogene Zertifizierungen anbietet: Certified Information Systems Auditor (CISA), Certified Information Security Manager (CISM) und Certified in Risk and Information Systems Control (CRISC).

Alle diese Zertifizierungen richten sich an Fachleute mit mindestens fünf Jahren Berufserfahrung, alle erfordern eine ständige Weiterbildung, um die Qualifikation aufrechtzuerhalten, und alle sind in Bezug auf Ansehen und Gehalt ähnlich. Welche dieser Zertifizierungen ist also für Sie am wertvollsten? Um Ihnen die Entscheidung zu erleichtern, wollen wir uns die einzelnen Abschlüsse genauer ansehen.

(ISC)2: Certified Information Systems Security Professional (CISSP)

Kurzinformationen

Das 1989 gegründete (ISC)2 ist eine der weltweit größten Mitgliedsorganisationen für IT-Sicherheit und Cybersicherheit. Sie bietet ihren Mitgliedern und der Branche Sicherheitsstandardisierungen, Schulungen und Zertifizierungen an. Die 1994 eingeführte CISSP-Zertifizierung war die erste von (ISC)2 angebotene Zertifizierung und ist heute die höchste Stufe des (ISC)2-Zertifizierungsprogramms. Weltweit gibt es über 140.000 CISSP-zertifizierte Sicherheitsexperten. Eine informelle Stellensuche auf SimplyHired ergab fast 9.700 Stellenausschreibungen, in denen CISSP verlangt wurde, verglichen mit 4.511 für CISA und 3.004 für CISM.

Die CISSP-Zertifizierung richtet sich an Sicherheitsexperten in einem breiten Spektrum von Funktionen, einschließlich Managern, Praktikern und Führungskräften. CISSPs verfügen über die notwendigen Fähigkeiten, um Cybersicherheitsprogramme für ihr Unternehmen zu entwerfen, zu entwickeln, zu implementieren, zu kontrollieren und zu pflegen. Typische Rollen sind CIO, CISO, Sicherheitsdirektor, Sicherheitsarchitekt, Netzwerkarchitekt, IT-Direktor, IT-Manager, Sicherheitsanalyst, Auditor, Berater und Systemingenieur.

Neben dem Basis-CISSP-Zertifikat ist der CISSP in drei zusätzlichen Konzentrationen erhältlich:

• Information Systems Security Architecture Professional (CISSP-ISSAP)
• Information Systems Security Engineering Professional (CISSP-ISSEP)
• Information Systems Security Management Professional (CISSP-ISSMP)

Erwerb des Nachweises

Der Erwerb des CISSP ist nicht einfach. Qualifizierte Kandidaten müssen:

• Mindestens fünf Jahre bezahlte Berufserfahrung in mindestens zwei der acht Bereiche des CISSP Common Body of Knowledge (CBK) (siehe unten)
• Bestehen Sie die CISSP-Prüfung ($699)
• Einwilligung in den (ISC)2 Code of Ethics
• Bestätigung durch einen (ISC)2-Experten innerhalb von neun Monaten nach Bestehen der Prüfung

Die aktuellen CISSP CBK-Bereiche sind:

• Sicherheit und Risikomanagement
• Vermögensschutz
• Sicherheitsarchitektur und -technik
• Kommunikations- und Netzwerksicherheit
• Identity and Access Management (IAM)
• Sicherheitsbewertung und -prüfung
• Sicherheitsbetrieb
• Sicherheit bei der Softwareentwicklung

Sind Sie entschlossen, die CISSP-Prüfung zu bestehen? Netwrix Blog hat etwas Besonderes für Sie. Hier sind sieben großartige Tipps von einem CISSP-zertifizierten Profi, wie Sie die CISSP-Prüfung beim ersten Versuch bestehen können. Sehen Sie sich auch diese praktischen Studienführer und Schulungsmaterialien für die CISSP-Zertifizierung an. Und schließlich können Sie Ihre Bereitschaft mit Hilfe unserer CISSP-Übungsprüfung überprüfen.

Aufrechterhaltung der Zertifizierung

Der CISSP ist drei Jahre lang gültig. Es ist eine jährliche Gebühr von 85 Dollar zu entrichten. Um sich erneut zertifizieren zu lassen, müssen CISSPs entweder die aktuelle Prüfung ablegen oder 120 CPE-Punkte (Continuing Professional Education) erwerben (mindestens 40 Punkte müssen jedes Jahr erworben werden). Erfahren Sie mehr über die Änderungen bei der CISSP-Prüfung ab April 2018.

Vorteile

In der (ISC)2 Global Information Security Workforce Study 2017 gaben die Befragten, die die CISSP-Zertifizierung besitzen, ein durchschnittliches Jahresgehalt von 120.000 US-Dollar an. SimplyHired gibt den Durchschnittsverdienst mit 66.078 US-Dollar an, wobei die Höchstgehälter bei 127.071 US-Dollar liegen. Der Global Knowledge-Bericht 2018 beziffert das durchschnittliche US-Gehalt auf 109.965 US-Dollar, womit die CISSP-Zertifizierung den ersten Platz unter den Cybersecurity-Zertifikaten einnimmt.

ISACA-Zertifizierungen

Quick Facts

Die 1969 gegründete Information Systems Audit and Control Association (ISACA) ist eine weltweit anerkannte und hoch angesehene Organisation mit über 140.000 Mitgliedern in 180 Ländern. ISACA bietet vier Zertifizierungen an, die sich an verschiedene IT-Profis richten:

• Certified Information Systems Auditor (CISA) – Auditoren
• Certified Information Security Manager (CISM) – Sicherheitsmanager
• Certified in Risk and Information Systems Control (CRISC) – Risikomanagement-Profis
• Certified in the Governance of Enterprise IT (CGEIT) – Governance-Profis

Hier konzentrieren wir uns auf die ersten drei dieser Nachweise; Unternehmensgovernance liegt außerhalb unseres Rahmens.

Erwerb des Zertifikats

Alle Kandidaten müssen

• die unten aufgeführten strengen Erfahrungsanforderungen erfüllen
• das zugehörige Examen bestehen ($575 für ISACA-Mitglieder; $760 für Nicht-Mitglieder); Die Prüfungen werden nur dreimal im Jahr angeboten, so dass sich die Kandidaten frühzeitig anmelden sollten
• Sich mit dem Code of Professional Ethics und dem Continuing Professional Education Program einverstanden erklären
• Zusätzliche Anforderungen erfüllen (siehe unten)

Aufrechterhaltung des Nachweises

ISACA-Ausweise sind drei Jahre lang gültig. Außerdem ist eine jährliche Aufrechterhaltungsgebühr ($45 für ISACA-Mitglieder, $85 für Nicht-Mitglieder) zu entrichten. Zur Erneuerung des Zertifikats müssen die Inhaber 120 CPE-Punkte erwerben, davon mindestens 20 pro Jahr.

• CISM

Ein guter Weg, um CISM zu verstehen, ist der Vergleich mit CISSP. Obwohl beide Zertifizierungen Cybersicherheits- und Managementkonzepte abdecken, konzentriert sich CISSP auf die operative Seite der Sicherheit und ihre technischen Aspekte, während CISM auf die strategische Seite der Sicherheit und ihre Beziehungen zu den Geschäftszielen ausgerichtet ist.

Speziell ist CISM für Informationssicherheitsmanager konzipiert und richtet sich an Personen, die Informationssicherheitsumgebungen auf Unternehmensebene bewerten, entwerfen, verwalten und beaufsichtigen. Die Kandidaten sollten außerdem über ein gründliches Verständnis der verfügbaren Technologien und deren Umsetzung in ihrem Unternehmen verfügen. Die CISM-Zertifizierung bestätigt die Fähigkeiten und das Wissen eines Kandidaten in vier Bereichen:

• Domäne 1: Information Security Governance
• Domäne 2: Information Risk Management
• Domäne 3: Information Security Program Development and Management
• Domäne 4: Information Security Incident Management

Nach Angaben der ISACA gibt es weltweit mehr als 32.000 Inhaber von CISM-Zertifikaten, von denen über 7.500 als Sicherheitsleiter oder -manager und weitere 3.500 als IT-Leiter oder -Manager tätig sind. Weitere gängige CISM-Rollen sind IS/IT-Berater, CIO, Risikomanagement-Fachleute und Führungspositionen in Unternehmen.

Um die CISM-Prüfung abzulegen, müssen die Kandidaten mindestens fünf Jahre Erfahrung im Bereich der Informationssicherheit nachweisen, davon drei Jahre in mindestens drei der aufgeführten Bereiche. Die gesamte Erfahrung muss innerhalb der letzten 10 Jahre erworben worden sein, um sich zu qualifizieren. Die Prüfungsergebnisse werden für ungültig erklärt, wenn die erforderliche Erfahrung nicht innerhalb von fünf Jahren nach Bestehen der Prüfung erworben wurde. In Abhängigkeit von anderen Zertifizierungen und der Ausbildung sind einige Substitutionen erlaubt, um die Erfahrungsanforderungen zu erfüllen.

Global Knowledge berichtet, dass CISM-zertifizierte Fachleute in den USA durchschnittlich 105.926 Dollar pro Jahr verdienen, was sie weltweit auf Platz sechs in Bezug auf das Verdienstpotenzial der Zertifizierung bringt.

• CISA

Die CISA-Zertifizierung zielt auf IT-Fachleute ab, die in Governance- und Audit-bezogenen Rollen arbeiten. CISA-Fachleute sind in der Regel als IS- oder IT-Auditoren oder Audit-Manager, Nicht-IT-Auditoren und Berater tätig. Viele CISA-Fachleute sind auch in den Bereichen Governance, Assurance, Sicherheit, Auditkontrolle und Unternehmensführung tätig.

Die CISA-Zertifizierung bestätigt die Kenntnisse und Fähigkeiten der Kandidaten, die IT-Geschäftssysteme eines Unternehmens zu bewerten, zu kontrollieren, zu prüfen und laufend zu überwachen. Die erforderlichen Fähigkeiten spiegeln sich in den fünf CISA-Berufspraxisbereichen wider:

• Bereich 1: Der Prozess der Prüfung von Informationssystemen
• Bereich 2: Steuerung und Verwaltung von IT
• Bereich 3: Erwerb, Entwicklung und Implementierung von Informationssystemen
• Bereich 4: Betrieb, Wartung und Service-Management von Informationssystemen
• Domäne 5: Schutz von Informationsbeständen

Um den Nachweis zu erbringen, müssen die Kandidaten mindestens fünf Jahre Berufserfahrung in der Prüfung, Kontrolle oder Sicherung von Informationssystemen nachweisen (einige Ersatzleistungen für die Ausbildung sind möglich) und das CISA-Examen ablegen. Der CISA-Studienprozess kann den Besuch von CISA-Prüfungskursen, die Teilnahme an einem Online-Kurs oder die Verwendung von Software, Prüfungshandbüchern und Studienleitfäden umfassen. Nach Bestehen des Examens müssen die Kandidaten auch die Information Systems Auditing Standards erfüllen.

Dem Bericht von Global Knowledge zufolge rangieren die CISA-Gehälter mit einem durchschnittlichen US-Gehalt von 97.117 Dollar auf Platz 13.

• CRISC

Der CRISC-Abschluss richtet sich speziell an Fachleute, die sich mit dem IT-Risikomanagement auf Unternehmensebene beschäftigen. Typische CRISC-Kandidaten sind CIOs/CISOs, Business-Analysten, Projektmanager sowie IT-Fachleute, die sich mit Risikomanagement, Kontroll- und Sicherheitstätigkeiten und Compliance beschäftigen.

Die CRISC-Aufgabenbereiche sind:

• Bereich 1: IT-Risikoidentifizierung
• Bereich 2: IT-Risikobewertung
• Bereich 3: Risikoreaktion und -minderung
• Bereich 4: Risiko- und Kontrollüberwachung und -berichterstattung

CRISC verlangt mindestens drei Jahre Berufserfahrung im Management von Informationssicherheitsprogrammen in zwei oder mehr der CRISC-Aufgabenbereiche, darunter entweder Bereich 1 oder 2. Diese Erfahrung muss in den letzten zehn Jahren vor der Antragstellung oder innerhalb von fünf Jahren nach dem Bestehen der Prüfung erworben worden sein.

Im Bericht von Global Knowledge steht die CRISC-Zertifizierung hinsichtlich des gemeldeten Verdienstes an zweiter Stelle nach der CISSP-Zertifizierung, wobei der durchschnittliche Verdienst in den USA bei 107.968 US-Dollar liegt.

CISSP, CISM, CISA und CRISC im Überblick

*Alle Gehaltsangaben stammen aus dem 2018 IT Skills and Salary Report von Global Knowledge.

Das Fazit

Bei der Entscheidung zwischen einer ISACA-Zertifizierung wie CISA und einer CISSP-Zertifizierung sollten Sie Folgendes bedenken:

• CISSP ist eine gute Wahl für IT-Fachleute aus vielen verschiedenen Disziplinen und Rollen, die an einer Karriere im Bereich IT-Sicherheit oder Cybersicherheit interessiert sind. Es bietet das höchste Durchschnittsgehalt aller Zertifizierungen im Global Knowledge Report 2018.
• CISM liegt in Bezug auf das Durchschnittsgehalt nicht weit hinter CISSP. Während sich der CISSP auf die operative Seite der Sicherheit konzentriert, zielt der CISM auf die strategische Seite der Sicherheit und ihre Beziehungen zu den Geschäftszielen ab.
• Die CRISC-Zertifizierung ist nach dem CISSP die zweitwichtigste Zertifizierung in Bezug auf das gemeldete Einkommen. Sie bestätigt Ihre Fähigkeit, mit dem IT-Risikomanagement auf Unternehmensebene zu arbeiten.
• Wenn sich Ihre Karriereziele ausschließlich auf prüfungsbezogene Aufgaben konzentrieren, dann ist die CISA-Zertifizierung möglicherweise das Richtige für Sie.

Mary ist freiberufliche Autorin, Inhaltsentwicklerin und Projektmanagerin. Sie schreibt Artikel zu den Themen IT-Zertifizierungen und Gesundheit und entwickelt Inhalte für Kurse.