CCSP ou CISSP : quelle certification choisir ?

Dans le cadre de votre évolution professionnelle dans le secteur de la cybersécurité, vous serez probablement amené(e) à prendre une décision quant à la certification à obtenir en premier. Cela consiste généralement à opposer CCSP et CISSP, et votre choix dépendra de plusieurs facteurs clés.

Dans cet article, nous allons présenter rapidement ces deux certifications et allons vous aider à déterminer laquelle choisir.

Présentation générale : CCSP et CISSP

Le CCSP et le CISSP sont tous deux des programmes de certification développés par ISC2, qui sont utiles à tous les professionnels de la sécurité, mais qui diffèrent en termes de domaines abordés, de public visé et de perspectives d’évolution professionnelle.

Bien que les deux examens se distinguent par leur présentation, leur coût ainsi que par les connaissances évaluées, les certifications ont des points communs. Ainsi, chacune d’entre elles est valable 3 ans et leur renouvellement se fait selon les mêmes conditions. Les membres, titulaires de l'une des certifications ou des deux, doivent payer des frais annuels de gestion (AMF) d’un montant de 125 dollars américains.

Certified Cloud Security Professional (CCSP)

La certification CCSP est axée sur la sécurité du cloud, son architecture, sa conception ainsi que son fonctionnement, et vise un certain nombre de professionnels de la sécurité ainsi que d’entreprises et d’architectes système.

Prérequis de la certification CCSP

Les candidats souhaitant se présenter à l’examen doivent satisfaire un certain nombre d’exigences. Notamment :

• Une expérience professionnelle (cumulée) de cinq ans minimum dans le domaine des technologies de l’information, dont :
  • Trois ans en sécurité de l’information
  • Un an dans un ou plusieurs des six domaines figurant dans le CCSP CBK (Common Book of Knowledge) :
    • 1. Concepts, architecture et conception du cloud
    • 2. Sécurité des données cloud
    • 3. Sécurité des plateformes et des infrastructures cloud
    • 4. Sécurité des applications cloud
    • 5. Activités de sécurité cloud
    • 6. Gestion des risques et de la conformité, aspects juridiques

Cependant, si vous êtes titulaire de la certification CCSK délivrée par le CSA, l’expérience professionnelle d’un an dans l’un de ces six domaines n’est pas obligatoire. Si vous êtes titulaire de la certification CISSP, vous êtes exempté(e) de toutes les exigences ci-dessus. Pour plus d’informations, consultez le site d’ISC2.

Cette certification est valable trois ans, mais vous pouvez la renouveler tant que vous avez obtenu annuellement 30 crédits de formation professionnelle continue, pour un total de 90 crédits.

Format de l’examen pour la certification CCSP

Le format actuel de l’examen (mis à jour en août 2019) sera remplacé par une nouvelle version en 2022. Nous allons vous donner un aperçu de l’examen actuel (à l’heure où nous écrivons ces lignes) et des changements détaillés qui seront apportés au format 2022.

L’examen certifiant CCSP dure trois heures et requiert l’obtention de 700 points sur 1 000 (70 %) pour être validé. Il comporte 125 questions à choix multiples, avec une répartition presque égale des pondérations entre les six domaines énumérés ci-dessus.

Les seules exceptions à cette règle concernent le domaine 2 (Sécurité des données cloud, 19 %) et le domaine 6 (Gestion des risques et de la conformité, aspects juridiques, 13 %). Le passage de l’examen coûte 599 dollars.

La seule différence entre la version 2022 et la précédente réside dans les pondérations entre les différents domaines. La pondération du domaine 2 (Sécurité des données cloud) passe à 20 % et celle du domaine 5 (Activités de sécurité cloud) passe à 16 % pour contrebalancer cette augmentation.

Consultez la description complète de ces examens en cliquant sur les liens ci-dessous :

• Description de l’examen pour la certification CCSP (août 2022)
• Description de l’examen pour la certification CCSP (août 2019)

Certified Information Systems Security Professional (CISSP)

La certification CISSP est beaucoup plus axée sur la cybersécurité et valide l’expertise et la capacité d’une personne à concevoir, mettre en œuvre et gérer un programme de sécurité informatique.

Grâce à ce certificat, il est possible d’accéder à des postes de professionnel de la sécurité, d’architecte en cybersécurité et de responsable de programme.

Prérequis de la certification CISSP

Le passage de l’examen pour la certification CISSP nécessite de satisfaire à des exigences plus strictes que pour la certification CCSP. Pour vous présenter, il vous faudra :

• Une expérience professionnelle (cumulée) de cinq ans minimum dans deux ou plus des huit domaines figurant dans le CISSP CBK (Common Book of Knowledge) :
  • 1. Gestion des risques et de la sécurité
  • 2. Sécurité des actifs
  • 3. Ingénierie de la sécurité
  • 4. Sécurité des communications et des réseaux
  • 5. Contrôle d’accès et gestion des identités (IAM)
  • 6. Évaluation et test de la sécurité
  • 7. Activités de sécurité
  • 8. Sécurité du développement de logiciels

La possession d’un diplôme d’enseignement supérieur sanctionnant quatre ans d’études ou d’un certificat figurant sur la liste de l’ISC2 comptera comme une année d’expérience. Pour découvrir la liste des certificats acceptés par l’ISC2, vous pouvez consulter la page consacrée au CISSP.

Cette certification est valable trois ans, mais nécessite l’obtention annuelle de 40 crédits de formation professionnelle continue, pour un total de 120 crédits au cours des trois ans.

Format de l’examen pour la certification CISSP

L’examen a été mis à jour le 1^er mai 2021 et a un format similaire à celui de la certification CCSP. Celui-ci dure également trois heures et requiert l’obtention de 700 points sur 1 000 pour être validé. Le passage de l’examen coûte 749 dollars.

L’épreuve consiste en 100 à 150 questions et se compose en partie d’un QCM et en partie d’« éléments innovants avancés », qui sont similaires à des questions de type « glisser-déposer ». Elle ne comprend aucune question ouverte.

Au moment de la rédaction du présent document, la pondération entre les 8 domaines est la suivante :

1. Gestion des risques et de la sécurité : 15 %
2. Sécurité des actifs : 10 %
3. Ingénierie de la sécurité : 13 %
4. Sécurité des communications et des réseaux : 13 %
5. Contrôle d’accès et gestion des identités (IAM) : 13 %
6. Évaluation et test de la sécurité : 12 %
7. Activités de sécurité : 13 %
8. Sécurité du développement de logiciels : 11 %

Consultez la description complète de l’examen en vous rendant sur la page dédiée à la certification CISSP.

CCSP et CISSP : perspectives salariales

La certification que vous obtiendrez déterminera le type de poste que vous pourrez occuper et le salaire auquel vous pourrez prétendre. Il convient donc d’être circonspect dans le choix de la certification.

Les salaires varient grandement en fonction de l’endroit où vous vous trouvez et du type de poste que vous occupez, il est donc capital de vous renseigner avant de prendre une décision. Il existe cependant des études intéressantes sur le sujet, qui sont très instructives quant aux rôles et rémunérations correspondantes. 

Perspectives salariales pour les titulaires d’une certification CCSP

Une étude menée en interne par ISC2 auprès de ses propres professionnels de la cybersécurité révèle qu’en Amérique du Nord les titulaires d’une certification CCSP gagnent en moyenne 114 172 dollars par an. À l’international, ce salaire s’établit à 80 717 dollars par an.

L’étude salariale menée par Certification Magazine révèle quant à elle que les professionnels de l’informatique titulaires d’une certification CCSP gagnent en moyenne 150 400 dollars aux États-Unis, contre 119 880 dans le reste du monde.

Perspectives salariales pour les titulaires d’une certification CISSP

L’étude menée en interne au sein d’ISC2 auprès de ses professionnels de la cybersécurité révèle que le salaire annuel moyen est de 120 552 dollars en Amérique du Nord. Dans le reste du monde, il s’établit à 92 639 en moyenne par an.

L’étude salariale menée par Certification Magazine révèle quant à elle que les professionnels de l’informatique titulaires d’une certification CISSP gagnent en moyenne 134 890 dollars par an aux États-Unis, contre 114 270 dans le reste du monde. Cette étude s’intéresse également aux professionnels diplômés travaillant en architecture ou en gestion. Leurs salaires annuels sont respectivement de 149 690 et de 137 110 dollars par an aux États-Unis.

Les éléments à prendre en compte

Il n’est pas facile de décider de la meilleure certification à préparer, mais voici quelques questions qui méritent réflexion.

Considérations professionnelles concernant la cybersécurité

Bien que les deux certifications concernent la cybersécurité, la certification CISSP nécessite une compréhension plus générale et plus approfondie des sujets liés à ce domaine, et peut finalement mener les professionnels de la cybersécurité à occuper des postes à responsabilité au sein de programmes de sécurité informatique.

La certification CCSP, quant à elle, est davantage centrée sur la sécurité et l’architecture du cloud, ce qui limite les postes pouvant être occupés dans le domaine de la cybersécurité, mais permet en revanche de s’orienter vers des rôles spécifiques au cloud.

Je n’aurai donc qu’une certification ?

Si vous prévoyez de passer plusieurs certifications, le CISSP constitue sans doute le meilleur choix, car les autres certifications, comme le CCSP (entre autres), sont des extensions du CISSP.

Combien de temps ai-je devant moi ?

Il s’agit là d’une question d’ordre plus pratique. La certification CCSP est plus spécifique, se présente davantage sous la forme d’un QCM et couvre moins de domaines.

Considérations salariales à court terme

D’un point de vue pécuniaire, il convient de considérer quels types de postes ces certifications vous permettront de briguer. Les examens destinés à l’obtention de la certification CCSP sanctionnent des compétences plus récentes, les postes correspondants ont donc des salaires de début de carrière moins élevés.

En revanche, étant donné que la certification CISSP atteste d’une expérience plus étendue en termes de cybersécurité et peut mener à des postes à responsabilités, les salaires de fin de carrière sont plus élevés. Si vous débutez sans qualification, votre rémunération sera sans doute sensiblement moins élevée que si vous êtes titulaire d’une certification CCSP.

La cybersécurité réclame une formation réellement continue

Si vous envisagez de faire carrière dans le domaine de la cybersécurité, ne vous mettez pas trop la pression. Les deux certifications sont extrêmement utiles, il n’y a donc pas de mauvaise décision.

Gardez à l’esprit que le CCSP concerne la sécurité et l’architecture du cloud, domaines très importants pour les entreprises. Cela peut constituer un moyen d’exploiter ce besoin en dehors du domaine traditionnel de la cybersécurité.

Pour en savoir plus sur les programmes de formation et de certification, rendez-vous sur le site de Varonis.