Когда я общаюсь с начинающими специалистами по информационной безопасности, рано или поздно диалог доходит до темы сертификаций в этой сфере - какие стоит сдавать до поиска работы, к каким присмотреться на первой работе и т.д. Поэтому, я решил упорядочить свои знания по данному вопросу и собрать их в единую статью. Боюсь, в моих знаниях тоже есть пробелы, так что, просьба дополнить статью в комментариях.
Давайте сначала определимся с типами сертификаций (понятно, что это всё неофициально, но так, просто, будет удобнее).
Во-первых, я бы разделил сертификаты на вендорские (которые показывают ваше знание продукции конкретного вендора) и общие (которые показывают ваши знания ИБ в целом или какой-то её области, типа, пентеста).
Во-вторых, стоит учитывать региональную специфику. Особенно, если вы планируете работать в разных странах. Я бы условно разделил это на РФ и международный рынок (опять же, "международный рынок" - очень общее понятие, в каждой стране свои особенности, и вот это вот всё, но в такие тонкости вдаваться - это отдельная статья по каждому региону нужна).
Плюс, я буду оценивать каждую категорию по следующим (максимально субъективным) критериям полезности в разных ситуациях:
Повышение ваших личных знаний.
Котируемость на рынке труда.
Важность для тендеров. Тут, думаю, нужно пояснение для тех, кто не сильно знаком с тендерной системой. Изначальная её цель - чтобы организация (обычно, это применяется к госорганам) смогла получить нужную ей услугу\оборудование\ПО по оптимальной цене. Выставляется заявка с определёнными требованиями к конечному продукту, и тот, кто сможет предложить подходящий вариант за самую дешёвую цену, и выигрывает. Идея хорошая, но... Всегда можно её взломать. Как итог, например, бывает, что тендер объявляется под конкретную компанию - госорган требования пишет так, чтобы выиграла выбранная ими контора. И один из вариантов, как оградить тендер от посторонних участников тут - как раз, наличие определённых сертификатов у сотрудников компании-исполнителя. Поэтому, этот критерий особенно актуален, если вы планируете трудоустройство в аутсорс-компании (которые, кстати, и сдачу сертификатов, часто, сами своим сотрудникам охотно оплачивают).
Итого, у нас есть четыре категории - давайте пойдём по порядку:
Международные общие
Повышение ваших личных знаний 5/5.
Котируемость на рынке труда 5/5.
Важность для тендеров 2-4/5 (очень зависит от сертификата)
Как я уже сказал, это экзамены, которые подтверждают ваши скиллы в ИБ, в целом (типа SSCP (https://www.isc2.org/certifications/sscp), Security+ (https://www.comptia.org/en-us/certifications/security/) или GISF (https://www.giac.org/certifications/information-security-fundamentals-gisf/)) или же в каком-то конкретном направлении ИБ, типа пентеста (CEH (https://www.eccouncil.org/train-certify/certified-ethical-hacker-ceh/)), SOC (GSOC (https://www.giac.org/certifications/security-operations-certified-gsoc/)), комплайенс (CGRC (https://www.isc2.org/certifications/cgrc)), сетевая безопасность (CCNA - тут сложилась парадоксальная ситуация. Это экзамен от конкретного вендора, по его продукту, и, даже, не завязан на безопасности, но за счёт репутации Cisco, котируется неплохо и выступает универсальным сертификатом по сетевой безопасности) и т.д. (на самом деле, все организации, на которые дал ссылки выше предоставляют сертификации по большей части направлений ИБ).
Эти сертификации проверяют теоретическую базу, а курсы для подготовки к ним, соответственно, позволяют эту самую крепкую базу подтянуть. Большая часть сертификаций в рамках одного направления и уровня сильно похожи, так что, сдав один экзамен, обычно, не сильно большой квест - сдать и второй. Основная загвоздка - цена. Обычно, за их сдачу берут от 300 долларов и больше. Поэтому, при выборе экзамена, я бы посоветовал смотреть на то, какой больше котируется в регионе, в котором планируете работать и в том направлении ИБ, которое вас интересует... Так, например, у пентестеров, насколько я знаю, больше в цене, сертификаты, именно, по пентесту. А вот в SOC сертификации внутри направления не так ценятся. GIAC особенно в цене в США, а ISC2 - в Европе. Хотя, всегда бывают исключения...
Для тех, кто планирует сдавать подобную сертификацию - обычно, сдача их проходит на английском языке (кстати, подготовка к любой из них неплохо прокачает ваш уровень профессионального английского), в сертифицированных центрах, под камерами. Сдать онлайн подобные сертификации не выйдет. Соответсвенно, сдать их на территории РФ вариантов нет никаких
Международные вендорские
Повышение ваших личных знаний 4/5.
Котируемость на рынке труда 3/5.
Важность для тендеров 3-4/5 (зависит от страны).
Тут очень сложно уместить всё в пару абзацев, так как ситуация максимально разношёрстная... Может отличаться и формат сдачи, и способы оплаты - например, начальные экзамены Fortinet бесплатные и сдаются онлайн, а экзамен максимального уровня будет стоить $400 за теоретическую часть, и сдаётся в авторизованном центре под камерами. Знания они, обычно, предоставляют весьма неплохие, но в очень узкой сфере. По сути, обучают работе с конкретным продуктом или семейством продуктов одного вендора. Котируются такие сертификаты, как в аутсорс-компаниях, так и для инхаус-позиций, но только в том случае, если в компании внедрено ПО соответствующего вендора. Если же вы прогадаете, сдадите один экзамен, а будете подаваться в компании, в которых ПО этого вендора не используется — вы окажетесь в пролёте. Часто наличие таких сертификатов у сотрудников компании требуется для получения статуса какого‑нибудь «сертифицированного партнёра» производителя СЗИ. Это может давать разные плюшки — от банальной возможности внедрять продукты компании до получения специальной партнёрской скидки и рекомендации на региональном сайте производителя. Но, обычно, для получения таких бонусов требуются сертификаты не начального уровня.
Российские общие
Повышение ваших личных знаний 3(?)/5.
Котируемость на рынке труда 1(?)/5.
Важность для тендеров 2(?)/5.
Насколько я знаю, это направление после начала войны, скорее, мертво, чем живо. Сдача подобных сертификаций оплачивается через международные платёжные системы, а сама сдача проходит в авторизованных центров, которых не осталось на территории РФ. Как итог, если вы проживаете в РФ, при особом желании, можно найти способ оплатить их, съездить сдать куда‑нибудь в Армению или Казахстан, но компании сами понимают, что это не сильно релевантно в текущих условиях, поэтому, вакансий с подобными сертификациями в требованиях, всё меньше.
Были попытки создать «Наш ответ CISSP» (https://uc‑echelon.ru/ssc/), но, насколько эти попытки успешны, насколько реальные знания они дают — сложно судить, находясь за пределами РФ. Судя по описанию, ребята сильно не заморачивались, скопировали структуру признанной международной сертификации — а она по предоставляемым знаниям, действительно, неплоха, так что, если ваша цель — прокачать свои теоретические знания (которые, кстати, неплохо помогают на собесах) — может, и стоит рассмотреть эту сертификацию. Вроде, я даже где‑то натыкался на новости о том, что они аналог SSCP разрабатывают (он больше подходит для начинающих), но сейчас не нахожу.
Российские вендорские
Повышение ваших личных знаний 1/5.
Котируемость на рынке труда 3/5.
Важность для тендеров 5/5.
Тут... Всё весело, так как есть очень большая разница между экзаменами от российских производителей СЗИ и экзаменами от международных. При чём, разница не в пользу первых, так сказать. Собственно, по оценкам вы можете заменить, что в российских вендорских сертификатах фокус сильно смещён с, собственно, получения знаний на использование их для тендеров. Оговорюсь сразу — я не могу говорить за все‑все экзамены всех‑всех вендоров, всех‑всех продуктов, но то, что сдавал я сам в своё время, то, что сдавали коллеги — уровень экзаменов, обычно, отвратительный. Это и устаревшие материалы для подготовки по старым версиям продуктов, порой, противоречащие текущему функционалу ПО, и отсутствие минимального контроля за сдающим, и ответы на экзамен, не меняющиеся по 5 лет... Самое фееричное — это когда «курс подготовки к сдаче экзамена (тысяч за 30–40 рублей) заключается в том, что „лектор“ просто проговаривает ответы на вопросы из теста. Идти сдавать самому ради знаний — не советую. Идти ради получения бонусов на рынке труда... Сомнительно... но окей... Но, проблема в том, что котируются они только в аутсорс‑компаниях, которые, повторюсь, сами оплачивают их сдачу, поэтому, я бы посоветовал начинать собирать такие сертификаты уже после трудоустройства в этот самый аутсорс.
Изначально статью публиковал в своём ТГ-канале, там она неплохо зашла, поэтому, решил продублировать и на Хабре.
А для всех желающих материалы по старту карьеры в ИБ собрал в Notion.