CISSP أم CISM: أي شهادة تناسب مسؤول أمن نظم المعلومات في المغرب؟

تُعد CISSP (من ISC2) وCISM (من ISACA) أكثر الشهادات ذكراً في عروض العمل الخاصة بمنصب مسؤول أمن نظم المعلومات (RSSI). وهما موجهتان لنفس الفئة من المهنيين ذوي الخبرة، لكنهما لا تُثبتان نفس الكفاءات.

تغطي CISSP مجال أمن المعلومات بكامله عبر 8 مجالات: تدبير المخاطر، وأمن الأصول، والهندسة الأمنية، والشبكات، وتدبير الهويات، والاختبارات، والعمليات، وأمن تطوير البرمجيات. وكثيراً ما توصف بأنها «واسعة جداً وغير عميقة»: فهي تتطلب فهماً تقنياً كافياً لاتخاذ القرارات الصائبة، دون أن تكون متخصصاً في كل مجال.

أما CISM فتركز على تدبير الأمن من خلال 4 مجالات: حكامة أمن المعلومات، وتدبير المخاطر، وبرنامج الأمن، وتدبير الحوادث. وهي تُثبت قدرتك على مواءمة الأمن مع أهداف المؤسسة، وقيادة برنامج أمني، وتقديم الحساب للإدارة العليا. الجانب التقني حاضر، لكن دائماً من زاوية اتخاذ القرار.

تشترط الشهادتان 5 سنوات من الخبرة، مع فروق مهمة. وفي الحالتين، يمكنك اجتياز الامتحان قبل استكمال الخبرة المطلوبة، إذ إن منح الشهادة هو الذي يتوقف عليها.

يُجرى امتحان CISSP باللغة الإنجليزية بالصيغة التكيفية (CAT) في مركز Pearson VUE: من 100 إلى 150 سؤالاً في 3 ساعات، ونقطة النجاح 700 من 1000. ويكيّف الامتحان صعوبة الأسئلة حسب أجوبتك وقد يتوقف بمجرد تحديد مستواك، وهو ما يربك كثيراً من المترشحين. أما امتحان CISM فيضم 150 سؤالاً متعدد الاختيارات في 4 ساعات، ونقطة النجاح 450 على سلم من 200 إلى 800، في مركز معتمد أو عن بُعد تحت المراقبة حسب الخيارات التي تتيحها ISACA.

طبيعة الصعوبة ليست واحدة. ففي CISSP يجب التنقل بين 8 مجالات مختلفة جداً والإجابة «بعقلية المدير» على أسئلة تقنية أحياناً. وفي CISM يكمن الفخ في اختيار الجواب الصحيح تقنياً بدل الجواب الأكثر انسجاماً مع الحكامة وأهداف المؤسسة.

من حيث الصيانة، تعتمد الشهادتان دورة من 3 سنوات تتطلب 120 ساعة من التكوين المستمر (CPE) واشتراكاً سنوياً. وتشترط ISACA إضافة إلى ذلك 20 ساعة CPE على الأقل كل سنة بالنسبة لـ CISM. وتحدد كل هيئة مبالغ الاشتراكات وقد تتغير، لذا تحقق منها في موقعها الرسمي.

الاختيار الصائب يتوقف على عملك اليومي والوجهة التي تريدها أكثر مما يتوقف على شهرة الشهادة.

وهناك عادة بسيطة مفيدة: اجمع حوالي عشرة عروض عمل تطابق المنصب الذي تستهدفه بعد سنتين أو ثلاث، في المغرب أو لدى مشغّلين دوليين، وسجّل الشهادة المطلوبة في كل منها. بعضها يشترط CISSP صراحة، وبعضها CISM، وكثير منها يقبل «CISSP أو CISM». هذه القراءة أنفع من أي ترتيب عام، لأنها تعكس الانتظارات الفعلية لقطاعك.

في المغرب، يدفع الإطار التنظيمي المؤسسات إلى هيكلة حكامة الأمن لديها. فالقانون 05-20 المتعلق بالأمن السيبراني، الساري منذ 2020، يفرض التزامات على إدارات الدولة والمؤسسات العمومية والبنيات التحتية ذات الأهمية الحيوية، تحت إشراف المديرية العامة لأمن نظم المعلومات (DGSSI). كما يحدد التوجيه الوطني لأمن نظم المعلومات (DNSSI) قواعد دنيا مستوحاة إلى حد كبير من معياري ISO 27001 و27002.

وفي القطاع المالي، ينتظر بنك المغرب من المؤسسات الخاضعة لمراقبته تدبيراً صارماً للمخاطر المرتبطة بنظم المعلومات، بما فيها الأمن السيبراني، مع حكامة واضحة وتقارير موجهة إلى هيئات الإدارة. ويضاف إلى ذلك حماية المعطيات الشخصية التي يؤطرها القانون 09-08 واللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP).

تتعلق هذه المتطلبات أساساً بالحكامة وتدبير المخاطر والامتثال، وهو المجال الطبيعي لـ CISM. وتبقى CISSP مطلوبة بقوة في المناصب التي يتعين فيها على مسؤول الأمن أيضاً الحسم في اختيارات الهندسة التقنية والتحاور مع الفرق التقنية. وفي الحالتين، تساعد الكفاءة في ISO 27001 على ترجمة هذه الالتزامات إلى نظام تدبير ملموس.

إذا كنت قادماً من المجال التقني وتستهدف أول منصب كمسؤول أمن نظم المعلومات، فابدأ بـ CISSP. وإذا كنت تشغل أصلاً منصباً تدبيرياً، أو تعمل في بيئة يغلب عليها الامتثال (الأبناك، التأمين، القطاع العام)، فغالباً ما تكون CISM الطريق الأقصر. وكثير من مسؤولي الأمن ينتهي بهم الأمر إلى الحصول على الشهادتين بفارق بضع سنوات.

تقترح GATech التحضير لـ CISSP (5 أيام، ابتداءً من 23,900 درهم) ولـ CISM (4 أيام، ابتداءً من 19,900 درهم) مع قسيمة الامتحان مشمولة، إضافة إلى تكوين ISO 27001 Lead Implementer لاستكمال جانب الامتثال. تواصل معنا لمناقشة الخيار الأنسب لملفك.