CISSP क्या है, इसे कैसे प्राप्त करें, इसे खोना नहीं है और इसकी आवश्यकता क्यों नहीं है

आईटी कंपनियों के लिए मौजूदा नौकरी बाजार को शायद ही दिलचस्प और विविध कहा जा सकता है। हालाँकि, इसमें भी आप कर्मचारियों के लिए CISSP प्रमाणपत्र के लिए आवश्यकताओं को पूरा कर सकते हैं। यह प्रमाणन पश्चिम में मानक डी फैक्टो है, लेकिन हमारी कंपनी के एक कर्मचारी सर्गेई पोलुनिन ने साझा किया कि रूस में इस प्रमाण पत्र को कैसे प्राप्त किया जाए।




वास्तव में, 2017 में CISSP प्राप्त करने का निर्णय तब उठा, जब यह स्पष्ट हो गया कि बड़े विक्रेताओं के पेशेवर प्रमाण पत्र अंततः अपने मुख्य कार्य को पूरा करने के लिए बंद हो गए हैं - ज्ञान और विशेषज्ञों के अनुभव की पुष्टि करने के लिए। यह डंपों के संग्रह, परीक्षणों में सामान्य स्तर के सवालों, परीक्षण केंद्रों की बेईमानी और कई अन्य उद्देश्यों और बहुत कारकों के कारण नहीं है।

मैंने हमेशा प्रमाण पत्र प्राप्त करने की प्रक्रिया को सही उत्पाद या प्रौद्योगिकी पर ज्ञान खींचने का अवसर माना। क्योंकि गुरु से मार्गदर्शन लेने के लिए और अभ्यास से कवर करने के लिए कवर से पढ़ने की तुलना में शिक्षा में अंतराल को भरने का कोई बेहतर तरीका नहीं है। और इसलिए यह कुछ समय के लिए था, जब तक कि आधिकारिक गाइडों ने "काम करने के लिए ऊपरी दाएं कोने में बटन पर क्लिक करें", साथ ही साथ फ्रैंक विज्ञापन पर स्लाइड करना शुरू कर दिया। अधिकांश प्रशिक्षण केंद्रों में स्थिति बेहतर नहीं है, लेकिन यह पूरी तरह से अलग कहानी है।

क्या करें?

विक्रेताओं से वास्तविक प्रमाण पत्र के अलावा, विक्रेता-स्वतंत्र प्रमाणन प्रणाली भी हैं, जो मैं उन विशेषज्ञों की ओर देखने की सलाह देता हूं जिन्होंने स्वतंत्र विकास और पेशेवर विकास के विचार को नहीं छोड़ा है।
वास्तव में, मुझे पहले से ही 2010 में एक समान परीक्षा पास करने का अनुभव था, जब मैंने कॉम्पिटिया सिक्योरिटी + पास की थी। यह नौसिखिया विशेषज्ञ के लिए अपने स्तर का मूल्यांकन करने और यहां तक ​​कि कुछ मामलों में अपने क्षितिज को व्यापक बनाने के लिए एक बहुत अच्छा विकल्प है। CompTIA Secuity + 90 मिनट में 90 प्रश्नों का एक ब्लिट्ज है। वैसे, परीक्षा नियमित रूप से 2006 से पहले से ही अपडेट है और आज तक सूचना सुरक्षा के क्षेत्र में वर्तमान रुझान हैं।

इसलिए, आपने CISSP बनने का फैसला किया

प्रमाणित सूचना प्रणाली सुरक्षा पेशेवर अंतर्राष्ट्रीय सूचना प्रणाली सुरक्षा प्रमाणपत्र संघ (ISC) Information नामक संगठन से एक विक्रेता-स्वतंत्र सूचना सुरक्षा प्रमाणन है। यह सूचना सुरक्षा के क्षेत्र में विशेषज्ञों के परीक्षण और प्रमाणन के लिए एक गैर-लाभकारी अंतर्राष्ट्रीय संगठन है।

यह प्रमाणन 1991 में वापस आया और यह सूचना सुरक्षा के क्षेत्र में सलाहकारों, वास्तुकारों और विश्लेषकों के लिए है।

CISSP, जैसा कि आप अनुमान लगा सकते हैं, सूचना सुरक्षा के क्षेत्र में उच्चतम प्रमाणपत्रों में से हैं।
इसके अलावा, वैसे, CISA (सूचना प्रणाली ऑडिटर) और CISM (सूचना सुरक्षा प्रबंधक) भी है, लेकिन अब यह उनके बारे में नहीं है।

इसलिए, निर्णय किया जाता है, हम तैयारी के लिए सामग्री ढूंढना शुरू करते हैं और हमें कई स्रोत मिलते हैं:
सबसे पहले, आधिकारिक CISSP (ISC) 2 प्रमाणित सूचना प्रणाली सुरक्षा पेशेवर आधिकारिक अध्ययन गाइड, जेम्स एम। स्टीवर्ट, माइक चैपल, डारिल गिब्सन:



मैंने इस विशेष पुस्तक का उपयोग किया। इसके अलावा, व्यावहारिक परीक्षा के साथ एंड्रॉइड / आईओएस के लिए एक आवेदन है। ये डंप नहीं हैं, लेकिन वे आपको प्रश्नों के तर्क का मूल्यांकन करने और महसूस करने की अनुमति देते हैं।

दूसरे, CISSP ऑल-इन-वन परीक्षा गाइड, शॉन हैरिस:


यह एक अनौपचारिक मार्गदर्शिका है, लेकिन थोड़ा अधिक स्वैच्छिक, और, विषयगत, पढ़ने में अधिक कठिन।

तीसरा, "इलेवन ऑवर CISSP: स्टडी गाइड", एरिक कॉनराड, जोशुआ फेल्डमैन, सेठ मिसनार: एक छोटी पुस्तक है।


यह सिर्फ 200 से अधिक पृष्ठों पर है, जो कि आपने जो पढ़ा है उसे ताज़ा करने के लिए परीक्षा से ठीक पहले पढ़ना अच्छा होगा।

और इसके अलावा डीलरों और डीलरों से अंतहीन दिमाग के नक्शे, नोट्स, स्लाइड हैं।


इन पुस्तकों से एक अनुभवी विशेषज्ञ सीख सकता है, मुख्य बात यह है कि शर्तों को कसने के लिए। निवारक और निवारक के बीच अंतर क्या है? ALE क्या है? यह एआरओ और ईएफ से कैसे संबंधित है? उचित देखभाल और उचित परिश्रम के बीच अंतर क्या है? पढ़ने की प्रक्रिया के दौरान इसी तरह के प्रश्न गायब होने चाहिए।

यहां आपको यह याद दिलाने का समय है कि सभी किताबें, निश्चित रूप से, अंग्रेजी में और सामान्य रूप से परीक्षा का मतलब है कि आपके पास दो या अधिक डोमेन में सूचना सुरक्षा के क्षेत्र में 5 साल का भुगतान अनुभव है (नीचे उनके बारे में अधिक)। यह संभावना नहीं है कि आप, इस तरह के अनुभव का नाम, अंग्रेजी में 1000+ पृष्ठों को मास्टर करने में सक्षम नहीं होंगे।

यदि आप सूचना सुरक्षा के क्षेत्र में एक विशेष शिक्षा, या कुछ प्रासंगिक प्रमाण पत्र (हाँ, कम से कम एक ही CompTIA सुरक्षा + या MCSE) में हैं, तो इन पांच वर्षों को 1 वर्ष तक कम किया जा सकता है। मेरे पास दोनों हैं, लेकिन वे केवल समय को कम करते हैं। 1 वर्ष के लिए)।

अब डोमेन के बारे में। सभी प्रश्नों को आठ डोमेन में विभाजित किया गया है, अर्थात क्षेत्रों:

1. सुरक्षा और जोखिम प्रबंधन
यह मॉड्यूल सूचना सुरक्षा के बुनियादी सैद्धांतिक आधारों पर चर्चा करता है: सूचना सुरक्षा मॉडल, बिबा / क्लार्क-विल्सन या बेल-लापैडुला, "सूचना सुरक्षा परीक्षण", विश्लेषण और जोखिम प्रबंधन, सूचना सुरक्षा प्रबंधन के दृष्टिकोण। यह पेशेवर नैतिकता और कानून के मुद्दों पर छूता है।

2. एसेट सिक्योरिटी
इस डोमेन में, हम संपत्ति के बारे में बात कर रहे हैं, और यदि आप पहले से ही एक सवाल पूछते हैं - डेटा के बारे में। मुख्य विषय: डेटा प्रबंधन, वर्गीकरण, डेटा स्वामी, भूमिकाएँ, अभिगम नियंत्रण, डेटा संग्रहण और विनाश।

3. सुरक्षा वास्तुकला और इंजीनियरिंग (इंजीनियरिंग और वास्तुकला सुरक्षा)
यह, जाहिरा तौर पर, विषयों के संदर्भ में सबसे व्यापक डोमेन है, क्योंकि यहां भौतिक सुरक्षा (अलार्म, बैरियर, आग बुझाने की मशीन, आदि), और क्रिप्टोग्राफी, और विशिष्ट तकनीकी समाधान, और यहां तक ​​कि विभिन्न एक्सेस मॉडल और उनके कार्यान्वयन की वास्तुशिल्प विशेषताएं भी हैं। ।

4. संचार और नेटवर्क सुरक्षा
संभवतः सबसे व्यावहारिक और समझने योग्य डोमेन जहां आपको एसएसएल, टीएलएस, एचएमएसी, एस-आरपीसी, ईएपी, आदि याद रखना होगा। यदि डेटा नेटवर्क पर प्रसारित होता है, तो निर्दिष्ट डोमेन में इस बारे में एक सवाल है।

5. पहचान और पहुंच प्रबंधन
यहां सिस्टम के उपयोगकर्ताओं और उनकी साख के बारे में सभी प्रश्न हैं। हम याद करते हैं कि प्रमाणीकरण से प्रमाणीकरण कैसे अलग होता है और उन सभी को पहचान से अलग किया जाता है। फिर हम देखते हैं कि खाता प्रबंधन चक्र कैसा दिखता है और दो-कारक प्रमाणीकरण कैसे हमारी मदद कर सकते हैं।

6. सुरक्षा मूल्यांकन और परीक्षण
यह डोमेन सुरक्षा परीक्षण के व्यावहारिक मुद्दों को संबोधित करता है। सुरक्षा स्कैनर क्यों? OWASP कौन है? जानकारी के स्वामी की मंजूरी के बिना एक कीट को क्या खतरा है?

7. सुरक्षा संचालन
यह उन सभी डोमेन में सबसे अधिक उबाऊ है जहां सूचना सुरक्षा विभाग के दैनिक दिनचर्या के व्यावहारिक पहलुओं की जांच की जाती है - घटना की जांच, आवेदन प्रसंस्करण, मीडिया लेबलिंग, कर्तव्यों और शक्तियों का पृथक्करण, परिवर्तन प्रबंधन, आदि।

8. सॉफ्टवेयर डेवलपमेंट सिक्योरिटी
डोमेन थोड़ा अलग दिखता है क्योंकि यह एसडीएलसी, पीईआरटी, एजाइल और अन्य सॉफ्टवेयर डेवलपमेंट मॉडल जैसी सभी तरह की चीजों पर विचार करता है। लेकिन वास्तव में, CISSP में सूचना सुरक्षा के सभी पहलुओं में क्षमता होनी चाहिए, इसलिए आपको इस पर भी ध्यान देने की आवश्यकता है। यहां किसी विशिष्ट प्रोग्रामिंग कौशल की आवश्यकता नहीं है, लेकिन कौन जानता है कि उन्हें एक दिन क्या करना होगा।

कुछ हद तक मैं भाग्यशाली था - मुझे वास्तव में अपने पेशे में दिलचस्पी है, और अधिकांश विषयों ने अंतिम डोमेन को छोड़कर, कोई अतिरिक्त प्रश्न नहीं उठाया। इसमें कुछ भी मुश्किल नहीं है, मैं अभी इस व्यवहार में नहीं आया था।

परीक्षा के लिए पंजीकरण करें

परीक्षा को कई पियर्सन VUE परीक्षण प्रणाली के परिचितों में पास किया जाता है, जहां वे एक ही सिस्को या माइक्रोसॉफ्ट की परीक्षा लेते हैं। हालांकि, चाल यह है कि प्रत्येक परीक्षा केंद्र इस परीक्षा को नहीं लेता है। सेंट पीटर्सबर्ग में, उदाहरण के लिए, केवल एक ही ऐसा केंद्र है। बात यह है कि CISSP परीक्षा देने वाले परीक्षा केंद्रों में सामान्य से अधिक कठोर आवश्यकताएं होती हैं। उदाहरण के लिए, एक परीक्षण केंद्र के साथ पंजीकरण करते समय, हथेली की नसों के पैटर्न के अनुसार बायोमेट्रिक पहचान आवश्यक है, तदनुसार, परीक्षण केंद्र में उपयुक्त उपकरण होना चाहिए।

आप परीक्षा में अपने साथ कुछ भी नहीं ले जा सकते हैं, आवश्यक दवाओं के अलावा और, शायद, कुछ खाने के लिए। लेकिन अपने साथ एक पहचान दस्तावेज लाना न भूलें।

परीक्षा पर

नियत दिन पर, हम परीक्षण केंद्र पर पहुंचते हैं, औपचारिकताओं से गुजरते हैं और कंप्यूटर पर बैठते हैं। परीक्षण में सभी डोमेन में 250 प्रश्न हैं। यह 6 घंटे दिया जाता है, कोई ब्रेक नहीं हैं। इसके अलावा, किसी भी अवधारणा, तथ्यों या परिभाषाओं के ज्ञान पर व्यावहारिक रूप से कोई प्रश्न नहीं हैं। अधिकतर प्रश्नों का उद्देश्य सर्वोत्तम प्रथाओं, विधियों और मानकों के ज्ञान का परीक्षण करना है। यानी एक प्रश्न में सभी उत्तर तार्किक रूप से सही हो सकते हैं, लेकिन केवल एक मानक से मिलता है। उदाहरण के लिए, यदि उत्तरों के बीच "लोगों की भौतिक सुरक्षा सुनिश्चित करने" के बारे में कुछ है, तो यह उत्तर हमेशा सही होता है।


मैंने 3.5 घंटे में कहीं काम किया, और यह बहुत अच्छा है, क्योंकि दो घंटे की कड़ी मेहनत के बाद, मेरा ध्यान धीरे-धीरे भंग हो रहा है, तर्क काम करना बंद कर देता है। लेकिन सामान्य ज्ञान और अनुभव शामिल हैं, जो हमें स्पष्ट रूप से गलत उत्तरों को फ़िल्टर करने की अनुमति देते हैं, और शेष लोगों में से सबसे सटीक एक का चयन करते हैं।

तो, हम आखिरी सवाल पर आते हैं, "समाप्त" पर क्लिक करें और अंत में ... कुछ भी नहीं, वास्तव में, होता है। आपको परीक्षण केंद्र के व्यवस्थापक के पास जाने की आवश्यकता है, जो बधाई के साथ एक प्रिंटआउट जारी करेगा। या एक अधिसूचना के साथ कि परीक्षा उत्तीर्ण नहीं हुई है, और आपको एक और प्रयास के लिए $ 699 का भुगतान करना होगा। उसी समय, यदि परीक्षा उत्तीर्ण नहीं होती है, तो प्रिंटआउट इंगित करेगा कि कितने अंक बनाए गए और कितने पर्याप्त नहीं थे।

मैंने पहली बार पास किया, इस तथ्य के बावजूद कि इसे तैयार करने में लगभग तीन महीने लगे। मैंने अंतहीन कहानियाँ पढ़ीं कि कैसे लोगों ने इस परीक्षा को 3-4 बार लिया, और मानसिक रूप से उसी परिदृश्य के लिए तैयार हुए। हालांकि, सब कुछ सरल हो गया, जाहिर है यह व्यर्थ नहीं है कि आवश्यकताओं को वास्तविक कार्य अनुभव का संकेत मिलता है।

इस परीक्षा की "जटिलता" से मेरी निराशा कई विदेशी सहयोगियों द्वारा साझा की गई थी। इसके अलावा, प्रत्येक अपने स्वयं के कारण: कोई व्यक्ति परीक्षा की सादगी से परेशान था (वे अंतरराष्ट्रीय कानून, जीडीपीआर और अमेरिकी संविधान में संशोधन जानने के लिए इतना समय बिता रहे थे, और इस विषय पर केवल 3 प्रश्न थे), और कोई वास्तविक जीवन से अलग था (न तो एक प्रयोगशाला काम!)।

लेकिन यह परीक्षा की बात नहीं है। यह "एक मील चौड़ा, लेकिन एक इंच गहरा" होने की कल्पना की गई है। उम्मीदवार को विषय में अपने विस्तृत क्षितिज को दिखाना चाहिए, साथ ही यह समझना चाहिए कि सक्रिय निर्देशिका सेटिंग्स में कौन सी व्यावसायिक प्रक्रियाएं हैं, और कौन सी नीतियां रूटिंग टेबल को लागू करती हैं। CISSP को प्रक्रिया के दृष्टिकोण से प्यार करना चाहिए और शब्द के अच्छे अर्थ में एक प्रबंधक के रूप में सोचना शुरू करना चाहिए।

आगे क्या है

तो, परीक्षा उत्तीर्ण हुई, और आप CISSP (हाहा, वास्तव में, नहीं) बन गए। अब आपके अनुभव की पुष्टि मौजूदा CISSP के किसी व्यक्ति द्वारा की जानी चाहिए। यह एक सहकर्मी, दोस्त या यहां तक ​​कि पूरी तरह से अपरिचित व्यक्ति हो सकता है - नियमों में कहीं भी यह इंगित नहीं करता है कि उसके साथ आपका किस तरह का संबंध होना चाहिए।

इसके बाद, आपको आचार संहिता (ISC) https:// (https://www.isc2.org/Ethics) अपनाने की आवश्यकता है, एक और पुष्टि पत्र की प्रतीक्षा करें और अंत में प्रतिष्ठित दर्जा प्राप्त करें। वास्तव में, सिर्फ एक साल के लिए। तथ्य यह है कि हर साल CISSP की स्थिति की पुष्टि की जानी चाहिए। आपको सीपीई (कंटीन्यूइंग प्रोफेशनल एजुकेशन) मैकेनिज्म के बजाय दोबारा परीक्षा देने की जरूरत नहीं है, अर्थात व्यावसायिक शिक्षा जारी है। CISSP की स्थिति को नहीं खोने के लिए, आपको IB समुदाय के जीवन में भाग लेना चाहिए: लेख लिखना, घटनाओं में भाग लेना, व्याख्यान देना, स्वयं को शिक्षित करना, या सबसे कम विषयगत पॉडकास्ट सुनना। प्रत्येक प्रकार की गतिविधि के लिए अंक प्रदान किए जाते हैं। आपको प्रति वर्ष कम से कम 40 डायल करना होगा। केवल इस स्थिति में स्थिति को बढ़ाया जाएगा।

क्या गलत है?

यह जल्दी से स्पष्ट हो जाता है कि केवल आप और आपके कुछ सहकर्मी CISSP के अस्तित्व के बारे में जानते हैं। ये गुप्त पत्र नौकरी के शीर्षक में प्रकट नहीं होते हैं, जब तक कि निश्चित रूप से, वे एक विदेशी कंपनी नहीं हैं, जहां CISSPs अक्सर एक साक्षात्कार के लिए निमंत्रण के लिए एक शर्त है। यह न तो अच्छा है और न ही बुरा है; ये रूसी सूचना सुरक्षा बाजार की वास्तविकताएं हैं। हमारे पास इस तरह के प्रमाणपत्र नहीं हैं, और सूचना सुरक्षा के क्षेत्र में उच्च शिक्षा का डिप्लोमा एकमात्र प्रासंगिक दस्तावेज है।


हालांकि, पेशे की प्रतिष्ठा धीरे-धीरे कम हो रही है, और आवेदक अधिक उन्नत और सामाजिक रूप से आकर्षक विशिष्टताओं को पसंद करते हैं, और अधिक से अधिक साक्षात्कार के लिए आने वाले विश्वविद्यालय के स्नातक अपने अल्मा मेटर के भीतर पिछले 5 वर्षों से वास्तव में क्या कर रहे हैं, यह नहीं बता सकते हैं।

विरोधाभास अलग है - रूसी संघ में प्रमाणित CISSP, CISA और CISM की संख्या धीरे-धीरे बढ़ रही है, जिसका अर्थ है कि सब कुछ खो नहीं गया है।

सर्गेई का ब्लॉग अंग्रेजी में यहाँ पढ़ा जा सकता है ।