In dit artikel7
Kort overzicht
ISC2 geeft CISSP uit, ISACA geeft CISM en CISA uit. De drie certificeringen zijn bedoeld voor verschillende werkvelden binnen security, risk en compliance.
Certificering | Uitgever | Voor wie | Aantal examendomeinen |
|---|---|---|---|
CISSP | ISC2 | Wie in meerdere onderdelen van security werkt | 8 |
CISM | ISACA | IT security managers | 4 |
CISA | ISACA | IT-auditors | 5 |
Het aantal domeinen zegt iets over de breedte van het examen, niet over welke certificering de beste keuze is. Het verschil zit vooral in de functie waarvoor je de certificering wilt gebruiken.
CISSP: breed over security
CISSP is de certificering van ISC2 en is breed van opzet. Het examen toetst de breedte van het vak, niet één specialisme, en daarom is het een logische keuze voor wie in meerdere onderdelen van security werkt. Denk aan een Security Architect, een Security Engineer of een Information Security Officer.
Het examen bestaat uit acht domeinen. Hieronder staan ze in de volgorde van ISC2, met het gemiddelde gewicht in het examen en wat elk domein in de praktijk betekent.
Domein | Gemiddeld gewicht | Wat het in de praktijk is |
|---|---|---|
Security and Risk Management | 16% | Hoe een organisatie over risico denkt en hoe beleid en verantwoordelijkheden zijn ingericht. Dicht bij het werk van een ISO of CISO. |
Asset Security | 10% | Weten welke gegevens en middelen je hebt en hoe je die beschermt. |
Security Architecture and Engineering | 13% | Het ontwerp van veilige systemen. |
Communication and Network Security | 13% | Netwerken en verkeer. |
Identity and Access Management (IAM) | 13% | Wie waartoe toegang heeft. |
Security Assessment and Testing | 12% | Controleren of maatregelen werken. |
Security Operations | 13% | Dagelijks bewaken, incidenten en herstel. Dit raakt het werk van een SOC. |
Software Development Security | 10% | Veilig ontwikkelen. |
De domeinnamen en gewichten gelden voor het huidige examenprofiel, dat ingaat op 15 april 2024. ISC2 meldt dat het examen vanaf 15 april 2027 is gebaseerd op een nieuw examenprofiel, waardoor de domeinen kunnen veranderen. Controleer daarom de CISSP-pagina van ISC2 voordat je een keuze maakt.
Voor het volledige CISSP-certificaat vraagt ISC2 minimaal vijf jaar cumulatieve, fulltime ervaring in twee of meer van de acht domeinen. Parttime werk telt mee als het minimaal 20 en maximaal 34 uur per week is, en een betaalde of onbetaalde stage is toegestaan. Een bachelor- of masterdiploma in informatica, IT of een verwante richting kan maximaal één jaar van die ervaring vervangen, en een certificering van de goedgekeurde lijst van ISC2 ook één jaar.
Heb je die ervaring nog niet, dan kun je het examen afleggen en word je Associate of ISC2. Een Associate heeft zes jaar om de vijf jaar ervaring op te bouwen. Een geslaagd examen is nog geen volledig certificaat. Meer over de route staat op de Associate-pagina van ISC2.
Het examen is adaptief (Computerized Adaptive Testing), duurt 3 uur en telt 100 tot 150 vragen. Meer over de certificering vind je bij CISSP-certificering.
CISM: security managen
CISM is de certificering van ISACA voor IT security managers. ISACA stelt dat CISM de vaardigheden toetst voor de uitdagingen en verantwoordelijkheden van een moderne IT security manager. Het past bij wie security-programma's en risico's beheert en aanstuurt, zoals een Security Manager of een Chief Information Security Officer. Het gaat om beleid, programma, risicobereidheid en incidentaanpak vanuit het management, niet om technische configuratie.
CISM heeft vier domeinen. Het gewicht in het examenprofiel staat erbij.
- Information Security Governance (18%): wie beslist en hoe security past bij de doelen van de organisatie.
- Information Security Risk Management (20%): risico's inschatten en beslissen wat acceptabel is.
- Information Security Program (33%): het opzetten en uitvoeren van het securityprogramma met mensen, processen en middelen.
- Incident Management (29%): voorbereiden, aanpakken en leren van incidenten.
Het examen telt 150 vragen. Je legt het computergestuurd af op een erkend testcentrum of op afstand onder toezicht.
ISACA vraagt vijf of meer jaar professionele CISM-werkervaring in minstens drie van de vier domeinen. Die ervaring moet zijn opgedaan in de tien jaar voor de aanvraag en wordt geverifieerd door een leidinggevende of manager. Het examen staat open voor iedereen met interesse in informatiebeveiliging, ook als je de ervaring nog niet hebt. Wie slaagt, heeft vijf jaar om de certificering aan te vragen. De eisen staan op de ISACA-pagina over CISM.
Meer over het vakgebied vind je bij security leadership. Meer over de certificering staat bij CISM-certificering.
CISA: auditen en beoordelen
CISA is de certificering van ISACA voor IT-auditors. Het toetst de vaardigheden van een moderne IT-auditor en past bij wie in audit, risk of compliance werkt. De rol is toetsen en rapporteren: wijkt de praktijk af van wat is afgesproken, en wat is het risico?
CISA heeft vijf domeinen. Het gewicht in het examenprofiel staat erbij.
- Information Systems Auditing Process (18%): hoe je een audit plant en uitvoert.
- Governance and Management of Information Technology (18%): of IT wordt bestuurd en beheerd zoals bedoeld.
- Information Systems Acquisition, Development & Implementation (12%): het aanschaffen en bouwen van systemen.
- Information Systems Operations and Business Resilience (26%): draaiende systemen en doorgaan na verstoring.
- Protection of Information Assets (26%): de beveiliging van informatie zelf.
Het examen telt 150 vragen en heeft dezelfde afnamevormen als CISM: computergestuurd, op een erkend testcentrum of op afstand onder toezicht.
ISACA vraagt minimaal vijf jaar professionele werkervaring in het auditen, beheersen of beveiligen van informatiesystemen. Die ervaring moet zijn opgedaan in de tien jaar voor de aanvraag en wordt geverifieerd door een leidinggevende of manager. Wie slaagt, heeft vijf jaar om de certificering aan te vragen. De eisen staan op de ISACA-pagina over CISA.
Meer over het vakgebied vind je bij risk management. Meer over de certificering staat bij CISA-certificering.
Hoe verhouden de ervaringseisen zich?
Certificering | Ervaring | Als je die nog niet hebt | Wie controleert de ervaring |
|---|---|---|---|
CISSP | Vijf jaar cumulatieve, fulltime ervaring in twee of meer van de acht domeinen | Het examen afleggen, dan word je Associate of ISC2 met zes jaar om de ervaring op te bouwen | Zie de ISC2-pagina |
CISM | Vijf of meer jaar in minstens drie van de vier domeinen, binnen de tien jaar voor de aanvraag | Het examen staat open. Aanvragen kan binnen vijf jaar na slagen | Leidinggevende of manager |
CISA | Vijf jaar professioneel werk in het auditen, beheersen of beveiligen van informatiesystemen, binnen de tien jaar voor de aanvraag | Aanvragen kan binnen vijf jaar na slagen | Leidinggevende of manager |
Na de certificering vraagt ISACA van CISM- en CISA-houders minimaal 120 CPE-uren (permanente educatie) over drie jaar, met minimaal 20 uur per jaar. Een Associate of ISC2 houdt de status door jaarlijks 15 CPE-credits te halen.
Een geslaagd examen is nog geen certificaat: de ervaring of de aanvraag komt daar nog bij. De eisen staan op de pagina's van de uitgevers en kunnen wijzigen, dus controleer ze voordat je een keuze maakt.
Welke past bij welke functie?
De functie bepaalt grotendeels welke certificering past. Hieronder staat per functie een richting. Het zijn patronen, geen regels. Wat werkgevers vragen, zie je in de vacatures.
Security Architect en Security Engineer. Wie breed wil laten zien dat je het hele vak kent, kijkt naar CISSP. Lees meer over werken als security architect en bekijk de Security Engineer-vacatures.
Information Security Officer. Een ISO kan naar CISSP kijken voor de breedte of naar CISM voor de managementkant. Het verschil tussen de twee rollen staat in ISO of CISO: het verschil.
Security Manager en CISO. Wie security-programma's en risico's aanstuurt, kijkt naar CISM. Bekijk de vacatures voor een Security Manager en een CISO.
IT-auditor, risk en compliance. Wie beoordeelt of IT-beheersing op orde is, kijkt naar CISA. Lees werken als IT-auditor en bekijk de IT-auditor-vacatures. Wie vooral risicobeheersing doet, kan ook naar CRISC kijken.
SOC-analist. Wie net begint in een SOC kijkt eerder naar een instapcertificering zoals CompTIA Security+. Meer over het werk staat bij werken als SOC-analist.
Een voorbeeld: een Information Security Officer die gevraagd wordt om het securityprogramma van een afdeling te sturen, ziet in CISM veel dat bij het werk past. Dezelfde persoon die liever technisch breed wordt, kijkt eerder naar CISSP. Er bestaan ook andere certificeringen dan deze drie.
Wat je voor de keuze nodig hebt
Met vijf stappen ga je van de vergelijking naar een keuze.
- Schrijf je huidige functie op en de functie die je wilt krijgen.
- Leg je werkzaamheden naast de domeinen van de certificering die je overweegt. Welke domeinen herken je al in je werk?
- Controleer de ervaringseisen op de pagina van de uitgever, want die kunnen wijzigen.
- Kijk in vacatures wat jouw doelwerkgevers noemen. Gebruik daarvoor de CISSP-vacatures, CISM-vacatures en CISA-vacatures.
- Onthoud dat een certificering geen ervaring vervangt. Werkgevers wegen ervaring en certificering verschillend per functie en organisatie.
Heb ik ervaring nodig voor het CISSP-examen?
Het examen kun je afleggen als je de ervaring nog niet hebt. Je wordt dan Associate of ISC2 en hebt zes jaar om de vijf jaar vereiste ervaring op te bouwen. Voor het volledige CISSP-certificaat is minimaal vijf jaar cumulatieve, fulltime ervaring in twee of meer domeinen nodig.
Welke certificering past bij een IT-auditor?
CISA past bij een IT-auditor. ISACA vraagt daarvoor minimaal vijf jaar professionele werkervaring in het auditen, beheersen of beveiligen van informatiesystemen, opgedaan in de tien jaar voor de aanvraag. Het examen heeft vijf domeinen en 150 vragen.
Kan ik CISM halen zonder leidinggevende rol?
ISACA vraagt vijf jaar werkervaring in minstens drie van de vier CISM-domeinen, en noemt geen functietitel. Het examen staat open voor iedereen met interesse in informatiebeveiliging. Voor de aanvraag wordt de ervaring geverifieerd door een leidinggevende of manager, dus lees de eisen op de ISACA-pagina voordat je aanvraagt.
Moet ik eerst het examen halen of eerst de ervaring opbouwen?
Dat hangt af van je situatie. Bij CISSP word je Associate of ISC2 als je het examen eerst aflegt, met zes jaar om de ervaring aan te vullen. Bij CISM en CISA kun je de certificering aanvragen binnen vijf jaar na het slagen voor het examen.