CISSP

Hvad er CISSP?

CISSP er en certificering i informationssikkerhed for erfarne fagfolk. Forkortelsen står for Certified Information Systems Security Professional.

CISSP beviser to ting på én gang. Du har bestået en bred prøve i sikkerhedsfaget, og du har fået dokumenteret flere års reel erhvervserfaring. Prøven alene giver ikke certificeringen. Erfaringen skal attesteres af en anden certificeret person, før du må kalde dig CISSP.

Certificeringen er leverandøruafhængig. Den handler ikke om ét bestemt produkt eller én bestemt platform, men om at kunne designe, styre og drive sikkerheden i en hel organisation. Prøven dækker otte fagområder: sikkerheds- og risikostyring, aktivsikkerhed, sikkerhedsarkitektur, netværkssikkerhed, identitets- og adgangsstyring, test og evaluering, sikkerhedsdrift og sikkerhed i softwareudvikling. ISC2's officielle eksamensoversigt fra 15. april 2024 vægter områderne forskelligt, og AI-relaterede opgaver er skrevet ind i alle otte områder frem for at ligge som et selvstændigt emne.

I Danmark efterspørges CISSP typisk i stillingsopslag til roller som sikkerhedsarkitekt, sikkerhedsrådgiver, sikkerhedschef, CISO og GRC-konsulent. Den nævnes ofte i opslag hos rådgivningshuse, it-driftsleverandører, banker, forsikring, energi og større offentlige myndigheder. Baggrunden er blandt andet, at NIS2-direktivet og DORA-forordningen har gjort ledelsesnært sikkerhedsarbejde til et krav i flere brancher, og at CISSP er en af de få certificeringer, en dansk arbejdsgiver kan genkende uden at kende kandidatens tidligere arbejdsplads.

CISSP er ikke en begynderprøve. Den er skrevet til nogen, der allerede har arbejdet med sikkerhed i praksis, og som skal kunne vælge mellem to næsten rigtige løsninger ud fra risiko og forretning frem for teknik alene.

Hvem udsteder CISSP-certificeringen?

CISSP udstedes af ISC2, en amerikansk non-profit medlemsorganisation for sikkerhedsfolk med hovedsæde i Alexandria, Virginia. Organisationen hed tidligere (ISC)² og har udstedt CISSP siden 1994.

ISC2 er både udsteder og medlemsorganisation. Når du er certificeret, er du samtidig medlem, og du er bundet af ISC2's etiske regelsæt, ISC2 Code of Ethics. Brud på reglerne kan koste certificeringen.

ISC2 udsteder også andre certificeringer, blandt andet CC til nybegyndere, SSCP til driftsfolk, CCSP til cloudsikkerhed og CGRC til compliance-arbejde. CISSP er den brede, seniore af dem.

ISC2's certificeringer er akkrediteret efter ANAB ISO/IEC 17024, som er den internationale standard for certificering af personer. Det er den formelle grund til, at certificeringen tæller i udbud og hos revisorer og ikke blot er et kursusbevis.

Selve prøven afvikles ikke af ISC2 selv, men i Pearson VUE-testcentre og hos ISC2-godkendte testcentre. Der ligger testcentre i Danmark, og prøven aflægges på engelsk.

Hvordan får man CISSP-certificeringen?

Vejen har fire trin: erfaring, prøve, attestering og betaling af det første årsgebyr. Først når alle fire er på plads, er du certificeret.

Erfaringskravet er fem års samlet fuldtidserfaring inden for mindst to af de otte fagområder i den gældende eksamensoversigt. Erfaringen behøver ikke at være samlet i ét job eller ét forløb. En videregående uddannelse i datalogi, it eller et beslægtet felt kan dække op til ét af de fem år. Det samme kan en anden certificering fra ISC2's godkendte liste. ISC2 opdaterede den liste med virkning fra 1. april 2026, så tjek den aktuelle liste, før du regner med et fradrag.

Du må godt gå til prøven uden at have erfaringen. Består du uden at opfylde erfaringskravet, bliver du Associate of ISC2 og har op til seks år til at optjene de fem år. I den periode må du kalde dig Associate of ISC2, men ikke CISSP.

Prøven afvikles adaptivt (Computerized Adaptive Testing, forkortet CAT). Spørgsmålene tilpasses løbende dine svar: svarer du rigtigt, bliver de sværere. Du kan ikke springe et spørgsmål over og vende tilbage til det, og prøven slutter, når systemet har et sikkert billede af dit niveau. Siden 15. april 2024 bruges CAT-formatet på alle sprog. ISC2 oplyste ved omlægningen, at prøvetiden dermed faldt fra maksimalt seks timer til tre timer, og at antallet af spørgsmål faldt fra 250 til helt ned til 100. Det aktuelle antal spørgsmål og den aktuelle tidsramme står i ISC2's eksamensoversigt.

Efter beståelse skal du gennem attesteringen (endorsement). Du udfylder en ansøgning på ISC2's hjemmeside, hvor du beskriver din erhvervserfaring, og en aktiv ISC2-certificeret person med kendskab til dit arbejde skriver under på, at beskrivelsen holder. Din attestør behøver ikke selv at have CISSP, men skal være medlem i god stand. Kender du ingen, kan du bede ISC2 om at træde til som attestør mod at sende yderligere dokumentation. Ansøgningen skal indsendes senest ni måneder efter prøvedatoen. En stikprøve af ansøgninger bliver udtaget til audit med krav om ekstra dokumentation.

En typisk dansk vej ser sådan ud: du har allerede fem til ti år i it-drift, netværk, arkitektur eller rådgivning, hvoraf en del er sikkerhedsarbejde. Du læser tre til seks måneder ved siden af jobbet, ofte 8-15 timer om ugen. Mange bruger ISC2's egen officielle selvstudieplatform eller et instruktørledet forløb hos en ISC2-godkendt træningspartner, og supplerer med den officielle bog fra Sybex, ISC2 CISSP Certified Information Systems Security Professional Official Study Guide, samt det tilhørende sæt øvelsesspørgsmål, Official Practice Tests. Eleventh Hour CISSP bruges typisk som opsummering de sidste uger. Derefter booker du prøven hos Pearson VUE, består, får en kollega eller et netværkskontakt med CISSP til at attestere, og betaler det første årsgebyr.

Det mest almindelige nederlag skyldes ikke manglende teknisk viden. Prøven belønner ledelsesperspektivet: vurdér risikoen, informér de rette, følg processen — og fiks først derefter. Det er den tankegang, de fleste skal øve sig på.

Dumper du, kan du gå op igen efter en fastsat karensperiode, som ISC2 oplyser i sine eksamensregler. Du betaler fuld pris for hvert forsøg.

Pris og gyldighed for CISSP

ISC2's officielle prisliste opgør prøven i EMEA-regionen, som Danmark hører under, til EUR 719,04 ved standardtilmelding. Pris og moms afhænger af, hvor prøven aflægges, og den endelige pris i kroner vises hos Pearson VUE ved tilmeldingen. Vil du flytte prøven, koster det EUR 40, og aflyser du, koster det EUR 80.

Oven i prøven kommer det, du selv vælger at bruge på forberedelse. Bøger og selvstudie ligger lavt, mens et instruktørledet kursus hos en træningspartner er den dyre ende. Priserne på kurser oplyses af den enkelte udbyder og indgår ikke i ISC2's officielle prisliste.

CISSP gælder i en cyklus på tre år ad gangen og kan fornys ubegrænset. Der er to krav for at holde certificeringen aktiv.

Det ene er efteruddannelse i form af CPE-point (Continuing Professional Education). En CISSP skal indsamle 120 CPE-point over den treårige cyklus. Mindst 90 af dem skal være Group A, altså aktiviteter direkte knyttet til fagområderne, mens de sidste 30 må være Group A eller Group B. ISC2 anbefaler 40 point om året, men der er ingen fast årlig minimumsgrænse. Point registreres i ISC2's CPE-portal. Konferencer, webinarer, undervisning, faglitteratur og frivilligt arbejde tæller typisk med.

Det andet er et årligt vedligeholdelsesgebyr, Annual Maintenance Fee (AMF), på USD 135. Gebyret forfalder på årsdagen for din certificeringscyklus. Har du flere ISC2-certificeringer, betaler du kun ét gebyr. Det første gebyr skal betales, før certificeringen overhovedet udstedes.

Misser du en frist, har du 90 dages henstand til at få både point og gebyr på plads. Sker det ikke, bliver certificeringen suspenderet, og du må i den periode ikke bruge titlen eller lade andre tro, at du er certificeret. Suspensionen kan stå på i op til to år, hvorefter certificeringen bortfalder helt. Er den bortfaldet, kan du enten gå op til prøven igen eller søge genindtræden ved at indsamle 120 CPE-point inden for tolv måneder, heraf mindst fem point i hvert fagområde og 40 point i dit primære arbejdsområde.

ISC2 tillader i særlige tilfælde forlængelse af henstandsperioden ved for eksempel alvorlig sygdom, dødsfald i nærmeste familie, længerevarende ufrivillig ledighed eller udstationering. Det søges hos ISC2's kundeservice og vurderes fra sag til sag.

CISSP sammenlignet med andre sikkerhedscertificeringer

CISM fra ISACA ligger tættest på og er rendyrket ledelsesorienteret. CISSP dækker bredere og går dybere ned i teknikken. CISA fra ISACA er revisionssporet og efterspørges, hvor der skal føres tilsyn og revideres. ISO 27001 Lead Implementer og Lead Auditor er standard-specifikke og ofte hurtigere at få, men de siger noget om ét ledelsessystem frem for om faget som helhed.

Skal du arbejde praktisk med angreb og test, peger vejen mod OSCP eller GIAC-certificeringer i stedet. Skal du hele vejen rundt om sikkerheden i en organisation og tale med både teknikere og direktion, er CISSP den, danske arbejdsgivere oftest skriver i opslaget.