Expérience requise pour le CISSP : cinq ans, deux domaines, une équivalence

Il faut cinq ans d’expérience professionnelle pertinente, répartie sur au moins deux des huit domaines du CBK, réductibles d’un an par un diplôme ou une certification approuvée. Le CISSP a ceci de particulier que l’examen n’est qu’une moitié du parcours : l’autre est administrative, et les candidats en parlent presque toujours après coup, quand le « provisional pass » est en poche. Ce qui suit reprend leurs formulations d’origine ; les critères qui font foi sont publiés sur la page expérience du CISSP chez ISC2.

Combien d’années d’expérience faut-il vraiment ?

Cinq. C’est le chiffre qui revient sans exception dans les témoignages, et le rappel le plus fréquent aux candidats qui viennent annoncer leur réussite :

« Passing the test is one of the requirements, the second is that you need to have 5 years of relevant work experience in order to fully receive the certification. »

« Réussir l’examen est l’une des exigences, la seconde étant d’avoir cinq ans d’expérience professionnelle pertinente pour obtenir pleinement la certification. »

Le commentaire est accompagné d’un lien vers la page officielle — réflexe partagé par la plupart des membres qui répondent sur ce sujet. Sous la même publication, un message plus abrupt : « Congrats, you still won’t have the CISSP certification for years though » (« Félicitations, mais vous n’aurez pas la certification CISSP avant des années »).

Cette exigence explique aussi l’agacement récurrent du forum devant les offres d’emploi mal calibrées — un agacement qui rejoint le débat plus large sur ce que le titre apporte réellement, traité dans le CISSP en vaut-il la peine ? :

« Anyone who lists the CISSP as "nice to have" for an "entry-level" job is full of crap. […] The CISSP REQUIRES five full years of cybersecurity experience in the eight exam domains before a person can be granted the certification. That is, by definition, NOT AN ENTRY LEVEL CERTIFICATION. »

« Quiconque présente le CISSP comme un "plus" sur un poste "junior" raconte n’importe quoi. […] Le CISSP EXIGE cinq années pleines d’expérience en cybersécurité dans les huit domaines de l’examen avant qu’il puisse être délivré. Ce n’est, par définition, PAS une certification d’entrée de gamme. »

À noter : aucun des cinquante témoignages analysés n’aborde les stages, l’alternance, le temps partiel, le portage ou le service militaire — sur ces points, seule la documentation ISC2 renseigne.

Dans combien de domaines du CBK cette expérience doit-elle être répartie ?

Au moins deux des huit. La formulation la plus complète des témoignages s’adresse à un technicien informatique de deux ans d’ancienneté, très certifié :

« Do you have the required experience to obtain the CISSP certification? Your current certifications would only count as 1 year. You would then need at least 4 years of working experience in at least 2 of the 8 security domains. »

« Avez-vous l’expérience requise pour obtenir la certification CISSP ? Vos certifications actuelles ne compteraient que pour un an. Il vous faudrait ensuite au moins quatre ans d’expérience professionnelle dans au moins deux des huit domaines de sécurité. »

Autrement dit, il n’est pas demandé de couvrir les huit domaines, ni d’avoir occupé un poste dont l’intitulé contient le mot « sécurité ». Deux domaines suffisent, et c’est cette lecture qui rend le dossier accessible à beaucoup de profils d’infrastructure.

Un diplôme ou une certification peuvent-ils réduire l’exigence ?

Oui, d’un an — et d’un an seulement. La communauté est constante sur ce plafond : diplôme et certification ne se cumulent pas au-delà d’une année.

Justificatif rapporté	Effet décrit	Situation du candidat
Bachelor (BS) en cybersécurité	1 an d’équivalence	4 ans et plus de cyber sur 13 ans d’IT — endossé
SSCP (ISC2)	1 an d’équivalence	4,5 ans de cyber — pleinement endossé à 23 ans
Security+	1 an d’équivalence (mentionné par un Associate)	expérience insuffisante — passé par le statut Associate
Empilement de certifications IT	1 an au total, pas davantage	2 ans d’ancienneté — quatre ans encore à accumuler

Les deux cas d’endorsement effectivement obtenu sont explicites :

« Four + years of cyber, but cumulative 13 years of IT overall. Also a BS in cybersecurity to get that one year waiver. »

« Plus de quatre ans de cyber, mais treize ans d’IT au total. Plus un bachelor en cybersécurité pour obtenir cette année d’équivalence. »

« I currently have 4.5 years of cybersecurity experience, and the remaining one-year experience requirement was fulfilled through the ISC2 SSCP waiver. »

« J’ai actuellement 4,5 ans d’expérience en cybersécurité, et l’année restante a été couverte par l’équivalence SSCP d’ISC2. »

Aucun témoignage ne cite en revanche de diplôme français — master en sécurité, titre RNCP, diplôme d’ingénieur — ni de liste des certifications ouvrant droit à l’équivalence : cette liste est tenue par ISC2 et change dans le temps, c’est elle qu’il faut consulter avant de bâtir un dossier sur une équivalence.

Mon poste de support, sysadmin ou réseau compte-t-il comme expérience sécurité ?

C’est la question la plus fréquente du thème, et la réponse de la communauté est nettement plus large que ce que les candidats redoutent. Le commentaire de référence répond à un « IT Specialist » d’hôpital persuadé de n’avoir aucune expérience en sécurité :

« During your 2 years as an IT Specialist have you worked with asset management, account creation/ permissions, end point security settings, VPN, OS hardening..etc? People seem to only consider the in-depth areas in each of the 8 domains. »

« Pendant vos deux ans comme technicien informatique, avez-vous travaillé sur la gestion d’actifs, la création de comptes et les permissions, les paramètres de sécurité des postes, le VPN, le durcissement d’OS… ? Les gens ne semblent retenir que les aspects les plus pointus de chacun des huit domaines. »

L’exercice consiste donc à décomposer un poste généraliste en tâches, puis à rattacher ces tâches aux domaines du CBK : un helpdesk qui gère comptes et permissions touche à la gestion des identités, un administrateur réseau qui configure du VPN et durcit des systèmes touche à la sécurité des communications et des opérations.

Quels profils sont réellement passés par l’endorsement ?

Le témoignage des candidats permet de dresser une liste de parcours ayant abouti, ou dont l’auteur déclarait remplir les conditions au moment de la publication. Elle vaut comme échantillon de ce qui a été accepté ou présenté comme acceptable — pas comme barème.

Profil rapporté	Situation vis-à-vis de l’endorsement
Helpdesk, sysadmin puis netadmin, poste décrit comme sans avenir	Endossé (avril → mai 2023), premier poste cyber ensuite
4 ans et plus de cyber sur 13 ans d’IT, plus un BS cybersécurité	Endossé
4,5 ans de cyber plus équivalence SSCP, 23 ans	Pleinement endossé
Environ 5 ans d’expérience plus SSCP	Dossier en cours de vérification (« experience box-checking »)
5 ans de GRC exclusivement	Se considère qualifié après réussite
IAM (5 ans) plus architecture sécurité	Réussite, conditions remplies
DBA 3,5 ans, ISSO 1 an, analyste risque IT 2 ans	Réussite à la troisième tentative
Ingénieur systèmes, pentest, SOC, sécurité produit	Réussite
Juriste IT reconverti en privacy et risque, 8 ans de sécurité	Réussite
Desktop support puis infosec, 16 ans	Réussite
Conseil Big 4 (7 ans) plus 1,5 an d’expert sécurité	Réussite
Réponse à incident, conformité, préparation SOC 2 en MSP	Réussite, endorsement en attente

Le contraste avec les profils sans expérience est net : ceux-là finissent Associate of ISC2, sans exception rapportée dans les témoignages. Leurs récits d’examen, eux, sont rassemblés dans réussir le CISSP sans expérience en cybersécurité.

Une nuance revient enfin chez les candidats très techniques : l’expérience compte pour le dossier, mais ne garantit pas la réussite à l’examen, qui attend un raisonnement de manager. Un membre le formule ainsi : « 5 years of experience is great, but if it’s not in that managerial role then it won’t be as useful as you think » (« Cinq ans d’expérience, c’est bien, mais si ce n’est pas dans un rôle managérial, cela vous servira moins que vous ne le pensez »). C’est la cause d’échec la plus souvent auto-diagnostiquée des témoignages, détaillée dans pourquoi on échoue au CISSP.

Des candidats se voient-ils refuser leur expérience ?

Aucun refus d’endorsement n’apparaît dans les cinquante témoignages analysés. Ce qu’on y trouve, ce sont deux situations intermédiaires, toutes deux suivies d’une approbation :

• une demande d’informations complémentaires sur la chronologie de carrière, reçue en cours d’instruction, dossier validé deux semaines et demie plus tard ;
• un message de revue approfondie (« audit review message »), vécu comme une mauvaise surprise mais sans conséquence sur l’issue.

Cette absence ne prouve pas que les refus n’existent pas — un candidat refusé publie rarement — et les témoignages ne disent rien des motifs de refus ni des voies de recours.

Que faut-il vérifier auprès d’ISC2 avant de déposer son dossier ?

La liste des points que ces témoignages laissent ouverts est courte mais décisive :

• la définition exacte du temps plein, et le traitement du temps partiel ;
• la prise en compte des stages, de l’alternance et de l’apprentissage ;
• la prise en compte du service militaire ou de fonctions publiques assimilées ;
• la liste à jour des diplômes et certifications ouvrant droit à l’année d’équivalence, et notamment le sort des diplômes français ;
• la durée exacte du statut Associate, sur laquelle deux membres du même fil se contredisent (cinq ans pour l’un, six pour l’autre) ;
• les motifs de refus et les recours possibles.

Sur chacun de ces points, la réponse se trouve sur isc2.org.

Une fois le dossier prêt, la suite est décrite dans notre article sur le délai d’endorsement et les étapes du dossier. Pour comprendre d’où viennent ces témoignages et ce qu’ils permettent d’affirmer, voir notre méthode ou l’ensemble des thèmes du blog.