Exigences de renouvellement du CISSP

À l’ère numérique actuelle, de plus en plus d’attaques et de menaces se produisent via le cyberespace. Les crimes tels que le vol d’identité, les vols de banque en ligne, les violations de sécurité, entre autres, sont beaucoup plus répandus aujourd’hui qu’il y a dix ans. C’est pourquoi les sociétés et les entreprises se donnent pour priorité de disposer de départements de sécurité de l’information compétents, dont la tâche principale est de s’assurer que les actifs et les informations vitales de ces entreprises sont protégés.

Toute personne qui est ou souhaite être un consultant en sécurité, un ingénieur des systèmes de sécurité, un architecte de sécurité, un responsable de la sécurité, un directeur informatique, un directeur de la sécurité, et autres, est recommandée d’avoir une certification CISSP. Selon un article du Washington Post, 56 % des cyber-emplois dans le secteur de la sous-traitance requièrent cette certification.

Une certification de professionnel de la sécurité des systèmes d’information (CISSP) est considérée comme la référence en matière de titres de compétences en sécurité de l’information. Une personne possédant cette certification est réputée avoir des connaissances et des compétences techniques suffisantes pour développer et/ou améliorer un programme de sécurité par rapport aux mesures standard mondiales. Ce titre est décerné par l’International Information System Security Consortium, Inc, ou (ISC)² en abrégé, qui est un organisme à but non lucratif dédié au domaine de la sécurité de l’information.

Il existe des exigences strictes qui doivent être satisfaites pour être reconnu comme CISSP:

Il faut d’abord obtenir une expérience d’environ cinq ans, dans des domaines liés à la sécurité reconnus par le (ISC)².
Après avoir acquis l’expérience nécessaire, on peut ensuite programmer et passer l’examen, qui contient 250 questions et dure environ six heures.
Après avoir réussi et passé l’examen, il faut ensuite être correctement endossé par un professionnel certifié (ISC)² qui est actuellement un membre actif. Cet endossement doit se produire au plus tard neuf mois après la date de l’examen, sinon, il faut repasser l’examen.
Une fois que la certification CISSP est accordée, une recertification est nécessaire tous les trois ans afin de maintenir la norme.

La recertification ou le renouvellement de la certification CISSP exige que certaines conditions de renouvellement soient remplies. Pour une bonne compréhension de l’ensemble du processus de renouvellement et des exigences, voici quelques réponses aux questions fréquemment posées sur la recertification.

Combien de temps la certification CISSP est-elle valable ?

La certification CISSP est valable pendant trois ans. Cependant, certaines exigences doivent être satisfaites pendant cette période pour qu’un membre en règle puisse prétendre à une recertification ; sinon, la certification sera résiliée. Ces exigences comprennent le respect des crédits de formation professionnelle continue (CPE), le paiement des frais de maintenance annuels (AMF) et le respect du code de déontologie de (ISC)².

Que sont les CPE CISSP ?

Le (ISC)² veille à ce que les membres soient toujours compétitifs et ne se relâchent pas après avoir obtenu leur certification CISSP, c’est pourquoi cette certification doit être renouvelée tous les trois ans. Une partie des exigences de renouvellement est de satisfaire à un certain nombre de crédits CISSP CPE chaque année, et au cours de la période de trois ans. Les crédits sont obtenus par la participation des membres à diverses activités CISSP CPE, classées en crédits de groupe A et de groupe B. Les crédits de groupe A sont accordés pour des activités qui ne sont pas liées à la certification CISSP. Les crédits du groupe A sont accordés pour les activités qui sont directement liées au domaine de la certification, tandis que les crédits du groupe B sont accordés pour les activités en dehors du domaine, mais qui sont utiles pour le membre, en particulier pour le développement professionnel général.

Que sont les AMF CISSP ?

Les AMF CISSP désignent simplement les frais de maintenance annuels qui doivent être payés dans le cadre des exigences de renouvellement de la certification CISSP. Chaque année, le membre doit payer 85 $, soit un total de 255 $ au cours du cycle de trois ans. Pour les CISSP ayant une ou plusieurs concentrations (ISSAP, ISSEP et ISSMP), une cotisation annuelle de 35 $ par concentration est également requise. Par exemple, si un membre a deux concentrations, cela se traduit par 70 $ par an plus les 85 $ pour l’AMF CISSP.

Qu’est-ce que le code d’éthique ?

Le Code de déontologie, aussi simplement appelé « Le Code », doit être respecté par tous les professionnels de la sécurité de l’information reconnus et certifiés par (ISC)², pas seulement les CISSP. Le Code est composé de quatre canons obligatoires, qui sont :

Protéger la société, le bien commun, la confiance nécessaire du public et l’infrastructure.
Agir de manière honorable, honnête, juste, responsable et légale.
Porter un service diligent et compétent aux principes.
Promouvoir et protéger la profession.

Les membres qui violent toute clause du Code, que ce soit sciemment ou non, feront l’objet d’une action, qui peut éventuellement aboutir à l’annulation de sa certification.

Quelles sont les exigences de maintien de la FPC CISSP ?

Les membres certifiés CISSP doivent gagner et soumettre non seulement un nombre minimum de crédits FPC pour l’ensemble de la période de trois ans, mais ils doivent également respecter un total annuel. Les crédits obtenus annuellement sont ajoutés au nombre total de crédits requis pour les trois années. Pour chaque année du cycle, un minimum de 40 crédits FPC CISSP est nécessaire, soit un total de 120 pour l’ensemble du cycle de trois ans. Si un membre détient une ou plusieurs concentrations, il doit obtenir chaque année 20 crédits FPC directement liés à cette concentration. Ceux-ci aussi s’appliqueront à l’exigence totale de 40 crédits minimum par an.

Ces activités CISSP CPE doivent être accomplies pendant la période de trois ans et au plus tard à la date d’expiration indiquée dans la certification. Les crédits CISSP CPE peuvent être soumis après la date d’expiration (mais pas plus de 90 jours après) ; cependant, ces crédits doivent avoir été obtenus avant la date d’expiration indiquée.

Quelles sont les différentes activités CISSP CPE ?

Le travail accompli dans le cadre du travail régulier d’un CISSP ne donne pas droit à des crédits CISSP CPE. Les crédits sont obtenus lorsqu’un membre assiste ou participe à des sessions de formation, des conférences, des séminaires et des activités similaires où il peut acquérir des connaissances et une expertise. Ils sont divisés en crédits du groupe A (directement liés au domaine) et en crédits du groupe B (développement professionnel en dehors du domaine). Voici quelques exemples d’activités CISSP CPE pour lesquelles un membre peut obtenir des crédits :

GROUPE A	GROUPE B
Ingénierie de la sécurité	Compétences en développement d’équipe
Sécurité des communications et des réseaux	Cours de comptabilité
Opérations de sécurité	Capacités de communication interpersonnelle
Sécurité et gestion des risques	Cours de gestion
Sécurité des biens	Langages de programmation

Il existe d’autres activités qui peuvent être réclamées comme crédits FPC ; le tableau ci-dessus ne montre que quelques exemples. Les activités CPE CISSP ne sont pas limitées à ces exemples.

Les membres en règle n’ont pas à s’inquiéter des activités CPE, car (ISC)² a simplifié l’accès de ses membres à ces activités. Il est possible d’assister à des cours et des séminaires éducatifs en obtenant des informations auprès de (ISC)².

Comment les crédits FPC sont-ils calculés ?

Basiquement, les crédits FPC sont pondérés par les activités FPC auxquelles on assiste ou participe. En général, un membre gagne un crédit FPC par heure passée dans une activité éducative, bien que certaines activités valent plus de crédits. Vous trouverez ci-dessous des exemples courants de la façon dont les crédits sont calculés en fonction des activités :

Participation à des cours ou à des séminaires éducatifs (les deux groupes) – Les participants à des cours ou à des séminaires liés au domaine recevront un crédit du groupe A par heure, tandis qu’un seul crédit du groupe B sera accordé par heure s’il n’est pas lié au domaine. Les cours peuvent être suivis dans un établissement d’enseignement ou via des cours en ligne.

Prenez, par exemple, un cours universitaire de trois crédits, qui dure normalement environ 16 semaines (dans un semestre). Si un candidat choisit d’assister à ce cours et de le compléter, cela signifie un total de 40 heures de cours, qui se traduit ensuite par 40 crédits FPC. Ces 40 crédits FPC répondent déjà à l’exigence annuelle minimale pour la recertification.

Participation à des conférences (les deux groupes) – Les participants à des conférences liées à la cyber-sécurité auront droit à un crédit du groupe A par heure, tandis que les autres conférences éducatives reçoivent un crédit du groupe B par heure.

Participation à des présentations de fournisseurs (groupe A uniquement) – pour chaque demi-heure de participation à une présentation de fournisseur, un crédit du groupe A est accordé, à condition que la présentation soit de nature éducative et qu’elle soit liée au domaine.

Achèvement de l’auto-apprentissage, de la formation assistée par ordinateur (CBT) et des podcasts (les deux groupes) – La participation et l’achèvement de l’un de ces éléments accorderont un crédit par heure au membre. Les membres devraient conserver un registre de leur présence à l’un ou l’autre de ces cours afin de pouvoir prouver leur présence, s’ils font l’objet d’une vérification.

Bénévolat pour le gouvernement et les organismes de bienfaisance (groupe A seulement) – Chaque heure de travail bénévole entraînera un crédit FPC. Ce travail bénévole doit être lié au titre de compétence du membre, car seuls les crédits du groupe A seront reconnus.

Lire des livres sur la cybersécurité (groupe A uniquement) – Un livre terminé par an équivaut à cinq crédits FPC CISSP. Un seul livre par an est autorisé dans ce cas. Après avoir terminé le livre, le membre doit télécharger un court résumé des informations acquises dans le livre afin de gagner ces crédits.

Que se passera-t-il si je ne réponds pas aux exigences de renouvellement?

Si un membre ne répond pas à l’une des exigences énoncées ci-dessus, il verra sa certification CISSP annulée ou révoquée. Si un membre laisse sa certification expirer sans la renouveler avant la date d’expiration, la certification est également considérée comme annulée. Toutefois, il est possible de redevenir membre même après l’annulation de la certification.

Il existe deux façons de redevenir membre si la certification est révoquée : En repassant l’examen, ou en faisant appel. Il y aura des frais de réintégration de 35 $ qui doivent être payés lors de la recertification, que ce soit par appel ou en repassant l’examen.

Appel – Le conseil d’administration de (ISC)² entend les appels. Pour déposer officiellement un appel, les membres doivent le mettre par écrit et le soumettre au conseil d’administration dans les 90 jours suivant un événement quelconque (refus de crédits FPC, expiration de la certification, etc.) Le conseil d’administration se réunira et une décision et une réponse écrite formelle seront envoyées. Cette décision est considérée comme définitive.

Reprise de l’examen – Un membre peut reprendre l’examen afin d’obtenir à nouveau une certification. Le membre devra suivre le même processus que la première fois, en termes de programmation de l’examen, de paiement des frais d’examen, de passage et de réussite de l’examen. Si un membre antérieur réussit l’examen, il devra contacter le département des services aux membres afin de réactiver la certification.

Sommaire

Les étapes pour obtenir et maintenir un certificat CISSP peuvent être fastidieuses, mais c’est une exigence nécessaire car le monde de la sécurité numérique est en constante évolution. Le (ISC)² a conçu ces directives pour garantir le plus grand professionnalisme et les normes les plus élevées en matière de cyber-sécurité. Les sociétés et les entreprises qui ont besoin de sécurité informatique n’ont pas besoin de chercher plus loin qu’un CISSP certifié. Elles peuvent engager en toute confiance un CISSP certifié, sachant que (ISC)² soumet tous ses membres aux normes les plus strictes afin de toujours garantir la qualité. L’ensemble du processus, y compris le cycle de certification de trois ans, l’évolution constante grâce à l’exigence de crédits CISSP CPE chaque année, et le maintien d’un code d’éthique, prouve ce point.