CISSP (Certified Information Systems Security Professional), (ISC)² kuruluşunun verdiği ve bilgi güvenliğini teknik derinlikten çok yönetsel genişlikle ele alan bir sertifikadır. Sertifikanın çekirdeğinde CBK (Common Body of Knowledge) adı verilen ortak bilgi gövdesi bulunur ve bu gövde güvenlik ile risk yönetiminden yazılım geliştirme güvenliğine kadar sekiz ayrı alana bölünür.

CISSP, bir uzmanın kriptografiden erişim yönetimine, ağ güvenliğinden yönetişime kadar tüm katmanları bütün olarak görebildiğini kanıtlayan mimari düzeyde bir yetkinlik belgesidir.

Sekiz Alan ve Kapsamı

Sınavın dayandığı sekiz alan, bir kurumun güvenlik programının tüm yüzeyini kapsayacak biçimde tasarlanmıştır. Adayın yalnızca tek bir konuda derinleşmesi yetmez; hepsinden geçer not düzeyinde hâkimiyet beklenir. Bu genişlik, sertifikayı özellikle güvenlik yönetimi ve program tasarımı rollerine yönlendirir.

• Güvenlik ve risk yönetimi
• Varlık güvenliği
• Güvenlik mimarisi ve mühendisliği
• İletişim ve ağ güvenliği
• Kimlik ve erişim yönetimi
• Güvenlik değerlendirme ve testi
• Güvenlik operasyonları
• Yazılım geliştirme güvenliği

Deneyim Şartı ve Sınav

Sertifikanın belki en ayırt edici yönü, sınavı geçmenin tek başına yetmemesidir. Adayın ilgili alanlarda en az beş yıl doğrulanabilir tam zamanlı çalışma geçmişini belgelemesi gerekir; bu deneyim mevcut bir (ISC)² üyesince onaylanır. Sınavı geçip deneyim şartını henüz karşılamayanlar bir süreliğine “Associate” statüsünde tutulur. Bu yapı, belgenin yalnızca sınav başarısına değil sahadaki pratiğe dayanmasını sağlar.

Sınav uyarlamalı (CAT) bir formatta yürütülür; adayın verdiği yanıtlara göre soruların zorluğu ve sayısı değişir. Bu tasarım, ezberlenmiş kalıpları elemekte ve gerçek muhakemeyi ölçmekte etkilidir. Bir kurumda ISO/IEC 27001 kapsamında çalışan bir yöneticinin karşılaşacağı türden risk kararları, sınavın senaryo sorularında sıkça karşımıza çıkar.

Kurumda Ne İfade Eder?

İşe alım tarafında CISSP çoğu zaman güvenlik yönetimi pozisyonları için asgari filtre olarak kullanılır. Sertifika sahibi bir uzman, bir bilgi güvenliği yönetim sistemi kurarken kontrol seçimlerini ve risk kabul kararlarını ortak bir çerçevede gerekçelendirebilir; ekipler arası dil birliği sağlar. Aynı uzman, bir güvenlik operasyon merkezi içinde teknik ekiple yönetim arasında köprü kurarak operasyonel bulguları iş riskine tercüme edebilir.

Sertifikanın sürekliliği de bağlayıcıdır: her üç yıllık döngüde belirli sayıda CPE (sürekli mesleki eğitim) kredisi toplanmadıkça belge geçerliliğini yitirir. Bu zorunluluk, sahibinin alanındaki değişimi takip etmesini garanti altına alır. Kurumların güvenlik ekiplerini yapılandırırken ve olgunluk seviyesini yükseltirken bu yetkinlik havuzunu doğru konumlandırması için Privia’nın SOC olgunlaştırma çalışmasından yararlanılabilir.