在信息安全的世界，談及IT安全職業認證的價值，沒有其它話題能比它引發人們更多兩級分化的觀點，特別是它們對于構建安全從業人員的職業之路的作用。
對于廠商中立的組織以及安全廠商來說、認證培訓已經成為一種盈利的業務，認證的話題已經變得更具爭議性。在信息安全隊伍中包括超過8萬名的CISSP和6萬名CISA，人們進行職業認證的狂熱腳步沒有顯示出任何放慢節奏的跡象。
在那些努力攀爬公司職位階梯的人當中，一個廣為接受的觀點是職業認證會對他們的信息安全生涯有著積極的影響。現在這個看法正在經受職業認證試圖打動對象的審查，包括招聘主管和運作安全組織的高管。
與許多招聘人員的建議相反，僅是“配備”安全認證，就打算從人群中脫穎而出可能會被招聘主管們看作是負面的行為。位于密歇根迪爾伯恩的福特汽車公司的IT安全經理Bill Traster認為，對于安全從業人員來說在選擇安全認證時展現出他們的克制性和選擇性更為重要。因為回報是會遞減的，并且相當數量的課程內容是重疊的。為了闡明這點，盡管CISSP和CISA認證基本上涵蓋了同樣的內容，CISSP認證是用于安全實踐者，然而CISA認證是設計用于審計人員。
隨著現在有更多范圍的安全認證可供人們選擇，鑒別哪些認證與某個人特定的信息安全職業路線最為相關是十分重要的。選擇這些認證是要合乎邏輯的，并且能顯示出你在安全職業生涯上的某種方向感，Sapient咨詢公司的CISO Curt Dalton談到。這個評論得到Thomas Murphy的認可，他是康涅狄格大學的信息安全主管。他對于那種充滿跨越不同領域認證的簡歷持謹慎態度，他認為這顯示出求職者的不專注，而且展示出他令人困惑的職業路線。
通常人們看到，求職者在簡歷上羅列出他們曾經獲得的每一個安全認證，而不是突出他們工作取得的成就和相關的經驗。位于伯靈頓馬薩諸塞州的技術提供商、 Nuance通信公司的CISO Stan Black認為當在尋找最佳的IT安全求職者時，人們期望優秀的安全職業人員擁有一些認證。但是真正杰出的安全人員是多層次的，擁有涵蓋IT以及實際操作相當多的經驗。并且在其它IT學科開始其職業生涯后，他們通常投身于安全及合規遵從中去。
位于底特律的云服務廠商Covisint的CISO Dave Miller認為，隨著惡意的黑客與負責保護企業系統及數據的從業人員之間不斷上升的軍備競賽，技術變化非?？?，以至于實際的經驗和技術專長遠遠勝過任何認證。他談到云服務是該公司業務的基石，要求安全從業人員具有很強技術性的安全手段，這是無法從教室或書本上學到的。
職業認證能夠展現出某人一直致力于他/她的安全生涯，這一想法在IT安全從業人員的腦子中根深蒂固。最終，人們招募人員在某種程度上是根據求職者持有的認證進行初步地篩選。北卡羅來納州的衛生和公眾服務部的信息安全架構師Jim Murphy認為，通過搜索職業認證來發掘候選人的做法是危險的。因為招聘人員沒有意識到可供選擇的各種認證之間的差異，他們可能因此忽略掉可行的求職者。
位于洛杉磯的Stephen S. Wise學校的CISO David Lam感覺在工作經驗和職業認證之間必須達成一種平衡。安全從業人員也必須考慮哪些認證會對他們的職業軌跡產生最為重要的影響，Traster談到。“當考慮到應該追求哪些安全認證時，你需要考慮到某個認證比起其它認證更具價值，例如行業的認可、一致性、再認證要求，它們與實際工作技能的關聯性以及市場上的需求”。
喬治亞州立大學的CISO Tammy Clark認為，在他們的崗位上較長時間的求職者需要想辦法擴展他們的知識和經驗，而安全認證是達到這個目的一種不錯途徑。“對于潛在的雇主來說用認證和培訓來充實你的工作經驗是極具價值的”，Clark說道。“只要它們給工作來顯著價值，它們就表明你的技能在不斷進步。”
但一個與認證相關的話題，并且信息安全社區完全同意的看法：CISSP認證在安全認證類里面保持著黃金級別的水準。位于艾文市的Magellan健康服務公司的CISO Jerry Garland尋找擁有廣泛安全知識的求職者，他認為CISSP認證考試是測試是否擁有這些知識的最佳選擇。Jim Murphy同意，補充到“CISSP認證是行業里最為全面、深入和廣泛認可的認證，但是對于到風險管理和合規遵從，ISACA（信息系統審計和控制協會）的CISA和CISM認證也是合適的選擇”。
通常來說，廠商贊助的認證確實有一些重量，但是它依賴于工作職位。因為這些認證趨向于具體的產品。Jim Murphy認為廠商的認證增強個人技能，但是沒有增加個人整體的信息安全熟練度。然而Jim Murphy堅定地認為那些負責網絡安全和架構的人員應該擁有除了CISSP以外的廠商認證。Lam謹慎地表示：“某些廠商創建的認證考試很容易通過，沒有太大的意義。而其它的認證顯示出的某種專長在你尋找工作時可能派上用場”。Miller解釋到他更愿意派他的職員去參加像Black Hat大會那樣提供當前技術趨勢實際培訓的行業性會議。盡管他確實認可獲得特定產品認證的價值，但前提是該產品使用的是業內占主導地位的技術，如思科公司。
任何工作在有嚴格合規要求的行業，如金融服務業的人知道可能有數百種認證可以選擇，這更加凸顯了選擇的重要性。Clark建議那些在政府機構領域尋找職位的人需要關注安全認證規劃。她注意到很多在高校的同事近年來已經獲得CISSP認證。給公共健康部門以及歐洲客戶提供云服務，使得Miller要配備分析師來加強安全團隊，它們需要擅長在HIPAA合規遵從、以及EU數據保護法案。隨著合規遵從框架的問題得到解決，行業各部分有望更加專業。
在信息安全領導們中逐漸達成的一致看法是需要增加非傳統的認證來補充他們的技能。Thomas Murphy和Clark都認為項目管理學會的PMP認證有價值，那些持有該認證的人的技能可以幫助內部的安全項目更加有效地運作。耶魯紐海文衛生系統的CISO Steve Bartolotta建議醫療行業的管理者用FACHE認證來充實管理經驗，然而Garland支持更多的主管在像CPP這樣的員工發展項目上獲得認證，這些組織開創了Myers-Briggs評估方法。
我們處在一個由簡歷占統治地位的世界中， LinkedIn網站的個人簡介已經為搜索引擎進行過優化。多面手的招聘人員既沒有時間，也沒有專業知識來篩選簡歷尋找相關的工作經驗。相反他們搜索關鍵字和詞組，所以通過認證是一個簡單的預選資格。然而實際上這是不公平的，并且最終對這個行業是有消極影響的。招聘主管們想看到擁有最相關工作經驗的求職者，而不是那些根據認證列表選擇出的人。但是招聘人員不會改變他們篩選候選人的方法。因此，通過認證可能會繼續在IT安全文化中根深蒂固下去。
隨著時間的推移，我們有望看到更多專業的招聘人員涌現出來。他們只關注信息安全市場，并且與潛在的候選人有長期關系。這對于行業來說會是積極的發展，因為這是一種將技能和經驗與職位需要匹配的更佳方法，讓招聘主管們專注于他們的日常工作中。
京公網安備 11010502049343號