La technologie constitue une réponse courante aux risques de cybersécurité. Toutefois, envisager se protéger des risques de sécurité uniquement grâce à la technologie est leurre. Il est donc vital pour les organisations de renforcer les compétences en sécurité. Or, il est évident qu’aujourd’hui la demande en ressource humaine qualifiée en sécurité informatique est de plus en plus croissante pour les entreprises de toutes tailles. L’écart de compétences est un obstacle majeur pour de nombreuses organisations. Les enquêtes auprès des responsables informatiques montrent que les certifications en sécurité sont de plus en plus importantes. Deux certifications se démarquent nettement : CISM et CISSP. A l’heure de la montée en compétences des équipes IT, quelle certification choisir ?
CISM et CISSP sont les certifications professionnelles les plus reconnues dans le domaine de la sécurité de l’information. CISM (Certified Information Security Manager) est une certification de l’ISACA. CISSP (Certified Information Systems Security Professional) est une certification de la fondation (ISC)2. Les deux nécessitent un investissement important en temps et en coût. Alors, laquelle correspond le mieux à votre profil et à vos compétences?
La différence majeure entre ces deux certifications réside dans leur contenu et le public qu’elles ciblent. CISM se concentre sur le management et la stratégie, et couvre superficiellement les sujets techniques. Elle est, par conséquent, extrêmement prisée pour des Managers (RSSI, CISO,…). A l’inverse, CISSP se focalise principalement sur les aspects tactiques des opérations de sécurité. CISSP concerne donc d’avantage les ingénieurs et techniciens impliqués dans les opérations.
Alors, CISM vs CISSP : quels sont les avantages et les inconvénients de ces deux certifications ?
CISM : la certification des managers
CISM (Certified Information Security Manager) est une certification professionnelle délivrée par l’ISACA et détenue par plus de 42.000 professionnels dans le monde parmi lesquels plus de 7.500 ont des responsabilités de CISO ou de RSSI, tandis que plus de 3.500 occupent un rôle de DSI ou de Directeur Informatique. Elle cible spécifiquement les managers en sécurité de l’information.
CISM: un examen exigeant
CISM couvre 4 domaines d’expérience dans lesquels vous devrez réussir un examen et, ensuite, faire la preuve de votre expérience :
- Gouvernance de la sécurité de l’information (24%)
- Gestion des risques informationnels (30%)
- Développement et gestion d’un programme de sécurité de l’information (27%)
- Gestion des incidents de sécurité de l’information (19%)
L’examen, désormais électronique, se compose de 150 questions multichoix et dure 4 heures. Le score minimum pour réussir l’examen est de 450 points. Cela semble correspondre plus ou moins à 60-70% des réponses correctes. Il est en effet à noter que toutes les questions n’ont pas le même poids. De plus, environ 25 questions ne sont pas notées et figurent dans l’examen uniquement à des fins d’évaluation.
Le syllabus du CISM s’appuie très largement sur COBIT® 2019. Aussi une formation COBIT sera une bonne base pour bien comprendre les aspects de gouvernance et de gestion des risques couvrant la première moitié du contenu.
ST DIGITAL vous propose de façon régulière des séminaires de formation accrédités par ISACA pour préparer le passage de la certification CISM à Lomé, Cotonou, Brazzaville, Abidjan et Douala.
CISM : une certification professionnelle
CISM, à l’instar de CISSP ou PMP, est une certification professionnelle. Cela signifie que la réussite à l’examen n’est que la première étape. Vous devrez ensuite postuler, auprès de l’ISACA, à l’obtention de la certification CISM. Pour cela vous devrez prouver, de façon très documentée votre expérience en management de la sécurité de l’information sur 5 années. Vous devrez également donner des références pouvant confirmer cette expérience de façon détaillée. Les références seront ensuite interrogées par des membres de l’ISACA aux fins de vérification. Après un délai de l’ordre de 4 à 8 semaines, vous recevrez alors votre certificat ou un mail vous indiquant les raisons du rejet de votre demande.
CISSP : une certification plus technique
CISSP (Certified Information Security Professional) est une certification professionnelle délivrée par la fondation (ISC)2. Elle est détenue par plus de 132.000 professionnels de la sécurité de l’information dans le monde, dont 75% aux seuls Etats-Unis. Le deuxième pays comptant le plus de CISSP est le Royaume Uni.
Les certifiés CISSP occupent pour la plupart des responsabilités tactiques et opérationnelles en sécurité du SI (RSSI, responsable réseau, Information Security Manager, architectes IT). Le CISSP se positionne à la 10ème place des certifications les mieux rémunérées en 2019.
CISSP couvre huit domaines de compétence dans lesquels vous devrez apporter la preuve de votre expérience avant de pouvoir vous présenter à l’examen :
- Gestion des risques et de la sécurité (16%)
- Sécurité des actifs (10%)
- Ingénierie de la sécurité (12%)
- Sécurité des communications et du réseau (12%)
- Gestion de l’identité et des accès (13%)
- Evaluation et tests de sécurité (11%)
- Opération de la sécurité (16%)
- Sécurité des développements logiciels (10%)
L’examen, au format électronique, se passe uniquement dans des centres d’examen Pearson VUE. Il comporte 250 questions et dure jusqu’à 6 heures. Le score minimum pour réussir l’examen est de 700 points (sur un total de 1000).
CISSP est une certification recherchée mais difficile à réussir. Pour la préparer et la réussir dès le premier essai, nous vous conseillons de bien vous préparer. Pour ce faire, nous vous conseillons de suivre la formation CISSP chez nous. ST DIGITAL propose cette session dans différentes villes dont Lomé et Cotonou.
L’intérêt d’une certification
Selon la dernière enquête annuelle réalisée par Certification Magazine les professionnels confirment l’intérêt d’une certification CISM ou CISSP.
Pour beaucoup de professionnels, la valeur de ces certifications réside d’abord dans une meilleure compréhension des concepts clés de leur domaine. Cela semble plus important que l’augmentation espérée de salaire lié à la certification.
Pour les employeurs, elles permettent d’identifier les candidats à fort potentiel dans le domaine de la sécurité du SI. Ces deux certifications démontrent l’expertise approfondie d’un candidat et augmentent la crédibilité et le calibre de son potentiel. C’est une façon de mesurer la qualité d’un candidat.
Si l’une des deux certifications vous intéressent, vous pouvez vous inscrire en nous écrivant à info@st.digital ou nous laisser un message sur nos pages de réseaux sociaux.
