Associate of ISC2 : le statut de ceux qui ont réussi l’examen sans l’expérience

Réussir l’examen sans les cinq ans d’expérience fait de vous un Associate of ISC2 : une adhésion, pas une certification, assortie d’un délai pour accumuler les années manquantes. Dans les témoignages, le sujet revient sous deux formes : la déception de ceux qui découvrent que leur réussite ne vaut pas certification, et le choix assumé — passer l’examen tôt, tant que les révisions sont fraîches, et laisser l’expérience se constituer ensuite. La référence officielle sur ces règles reste isc2.org.

Qu’est-ce que le statut Associate of ISC2 ?

C’est le statut attribué à qui réussit l’examen sans remplir la condition d’expérience. La formulation la plus nette des témoignages vient d’un jeune diplômé en comptabilité et business analytics, sans aucune expérience professionnelle en sécurité, qui a passé et réussi l’examen à cent questions :

« Technically anyone can take it, but passing the exam without the required experience will only allow for an Associate of ISC2 membership without the certification (which is my case). »

« Techniquement, n’importe qui peut le passer, mais réussir l’examen sans l’expérience requise ne donne droit qu’à une adhésion Associate of ISC2, sans la certification (c’est mon cas). »

Deux points ressortent. Il s’agit d’une adhésion, pas d’une certification : le titre CISSP n’est pas acquis, même partiellement. Et l’examen lui-même n’est pas verrouillé par l’expérience — la vérification intervient à l’étape suivante, celle de l’endorsement.

Un Associate n’est pas pour autant sans obligations. L’un d’eux décrit sa situation ainsi : « i will have to annually pay my membership maintenance and gather 15 CPE » (« je devrai payer ma cotisation annuelle et réunir quinze CPE »). Il précise compter sur son Security+ pour retirer un an sur les cinq. Montants et volumes exacts sont des règles ISC2, à confirmer à la source.

Combien de temps a-t-on pour compléter son expérience ?

C’est le point où les témoignages se contredisent le plus franchement. Dans un seul et même fil de discussion, deux membres donnent deux réponses différentes :

Affirmation des témoignages	Formulation d’origine	Statut
5 ans	« You can be an associate and you have 5 years to gain the 5 years of expierence »	non sourcée
6 ans	« You actually have 6 years as an associate to gain your experience. »	non sourcée, présentée comme une correction

Traduction respective : « Vous pouvez être Associate et vous avez cinq ans pour acquérir les cinq années d’expérience » et « Vous avez en réalité six ans comme Associate pour acquérir votre expérience ».

Aucun des deux messages ne renvoie à une page officielle, et nous ne tranchons pas : la durée applicable est celle publiée sur isc2.org.

Les témoignages sont également muets sur ce qui se passe au terme de ce délai — perte du bénéfice de l’examen, prolongation, repassage : aucun membre ne raconte avoir atteint cette échéance.

Que peut-on écrire sur son CV et son profil LinkedIn ?

C’est le point sur lequel la communauté est la plus ferme, et le seul qu’elle rattache explicitement au code de déontologie ISC2 :

« You are not a CISSP and you cannot refer to yourself as being a CISSP until you’ve been properly credentialed by ISC2. You can’t even put things like "CISSP In Progress" or "Passed CISSP exam" on your resume. At most, you can only put "Associate of ISC2". And quite frankly, most recruiters aren’t even going to know what that means. »

« Vous n’êtes pas CISSP et vous ne pouvez pas vous présenter comme CISSP tant qu’ISC2 ne vous a pas délivré le titre. Vous ne pouvez même pas écrire "CISSP In Progress" ou "Passed CISSP exam" sur votre CV. Au mieux, vous pouvez indiquer "Associate of ISC2". Et très franchement, la plupart des recruteurs ne sauront pas ce que cela veut dire. »

Trois mentions sont donc écartées d’un coup : le titre lui-même, la formule « en cours » et la mention de la réussite à l’examen. La justification est déontologique — le code de déontologie ISC2 engage ses membres sur l’honnêteté de leurs déclarations professionnelles, et son texte est publié par ISC2.

En pratique, les candidats prudents transposent cette règle à l’oral. L’un d’eux, en entretien d’embauche avant son endorsement, résume sa ligne de conduite : « I was very careful to state that I had only provisionally passed CISSP » (« J’ai pris grand soin de préciser que je n’avais que provisoirement réussi le CISSP »).

Le statut a-t-il de la valeur auprès des recruteurs ?

Cela dépend de qui le lit : les témoignages donnent deux réponses opposées, et les deux sont crédibles selon le contexte.

Le scepticisme domine dans les commentaires généralistes : « most recruiters aren’t even going to know what that means ». L’argument est simple — un titre que personne ne reconnaît ne fonctionne pas comme un signal. Il s’accompagne du rappel, lui aussi très partagé, que le CISSP n’est pas une certification d’entrée de gamme et que les annonces qui le présentent comme un « plus » pour un poste junior sont hors-sol.

À l’inverse, un candidat de vingt ans assume parfaitement son statut : « I know, associate of isc2 works for all of my immediate goals though » (« Je sais, mais Associate of ISC2 suffit pour tous mes objectifs immédiats »). Son employeur ne demandait que la réussite de l’examen — un cas de figure fréquent dans les organisations qui financent la certification ou l’imposent contractuellement.

Une précision sur ce profil, parce qu’il revient ailleurs sur ce site sous un autre angle : il s’agit du même auteur dans les deux cas, celui du fil « Failed at 100, passed at 100 ». Ce candidat déclare environ trois ans d’expérience en cybersécurité ; il avait dix-neuf ans lors de sa première tentative, qu’il a manquée à la centième question pour avoir tout misé sur l’état d’esprit managérial au détriment de la technique, et il a été reçu au second essai à vingt ans. C’est cet échec initial qui est cité dans nos récits de candidats sans expérience en cybersécurité ; c’est la réussite qui lui vaut son statut d’Associate ici. Un seul parcours, deux étapes — et non deux personnes aux issues contradictoires.

La valeur du statut dépend donc de qui le lit : proche de zéro face à un recruteur généraliste, réelle face à un employeur qui connaît le dispositif. Le témoignage des candidats ne chiffre nulle part l’effet du statut Associate sur les salaires ou les entretiens — les récits de retombées immédiates, contacts de recruteurs et hausses de rémunération compris, concernent tous des candidats pleinement endossés ; ils sont rassemblés dans le bilan carrière des certifiés.

Faut-il passer l’examen tôt ou attendre d’avoir l’expérience ?

Le débat existe sur le forum et n’est pas tranché. Les arguments relevés dans le témoignage des candidats, de part et d’autre :

• Passer tôt : l’examen est réussi tant que les révisions sont fraîches, le compte à rebours du statut Associate court en parallèle de l’expérience qui s’accumule, et certains employeurs se satisfont de la réussite. Le cas le plus spectaculaire est celui d’un candidat pleinement endossé à 23 ans grâce à 4,5 ans d’expérience et à l’équivalence SSCP : il cherchait plus jeune que lui et notait que « many were still Associates of ISC2 rather than fully certified CISSP holders with verified experience » (« beaucoup étaient encore Associates of ISC2 plutôt que titulaires pleinement certifiés avec expérience vérifiée »).
• Attendre : la position adverse, exprimée en réaction au même récit, tient à l’esprit de la certification. « CISSP was not meant for a 23-year-old. […] the intent of this certification was for seasoned professionals not for someone that can pass a test. » (« Le CISSP n’a pas été conçu pour un jeune de 23 ans. […] l’intention derrière cette certification visait des professionnels chevronnés, pas quelqu’un capable de réussir un test. ») Un contre-exemple immédiat lui est opposé dans le même fil : une candidate reçue à 22 ans, également titulaire du PMP.

Un argument technique s’ajoute : l’expérience opérationnelle ne prépare pas nécessairement à l’examen, qui attend un raisonnement de responsable. « 5 years of experience is great, but if it’s not in that managerial role then it won’t be as useful as you think. » Attendre d’avoir les cinq ans ne garantit donc pas de mieux réussir l’épreuve.

Le témoignage des candidats ne départage pas ces positions et ne contient aucune donnée comparative sur les taux de réussite selon l’ancienneté.

Comment passe-t-on d’Associate à CISSP certifié ?

En accumulant l’expérience manquante, puis en la faisant valider par la procédure d’endorsement — identique à celle des candidats qui remplissent d’emblée la condition. C’est pourtant la partie la moins documentée des témoignages : les cinquante témoignages analysés contiennent plusieurs candidats devenus Associates, mais aucun récit détaillé d’une conversion vers le CISSP certifié. Deux points ressortent tout de même :

• l’équivalence d’un an reste mobilisable dans ce calcul, plusieurs Associates indiquant compter dessus (Security+, SSCP) ;
• entre-temps, l’Associate entretient son adhésion : cotisation annuelle et CPE.

Pour le reste — réouverture du dossier, nouvel endorser, sort des CPE accumulés, échéance atteinte sans l’expérience —, la marche à suivre est celle décrite par ISC2.

Pour évaluer si votre parcours actuel vous rapproche des cinq ans, voir l’expérience requise pour le CISSP. Sur la provenance de ces témoignages et leurs limites, voir notre méthode, et l’ensemble des sujets traités sur le blog ou sur Cybridia.