साइबर सुरक्षा में अनुभव के बिना CISSP पास करना: उम्मीदवार क्या बताते हैं

हाँ, साइबर सुरक्षा में काम किए बिना भी CISSP परीक्षा पास की जा सकती है, और उम्मीदवार खुद यह लिखते हैं: नए स्नातक, ऑडिटर, जोखिम सलाहकार, करियर बदलने वाले लोग। “क्या साइबर सुरक्षा में काम किए बिना CISSP दिया जा सकता है?” उम्मीदवारों के सबसे ज़्यादा पूछे जाने वाले सवालों में से एक है, और तीन साल के सार्वजनिक अनुभव-विवरणों के संग्रह की बदौलत इसका जवाब ठोस मामलों से दिया जा सकता है। एक स्पष्टीकरण: परीक्षा पास कर लेना प्रमाणित होने के लिए काफ़ी नहीं है, क्योंकि ISC2 इसके अलावा पेशेवर अनुभव की पुष्टि भी माँगता है, जिसके नियम isc2.org पर विस्तार से दिए गए हैं। आगे जो कुछ है वह परीक्षा से ही जुड़ा है।

क्या साइबर सुरक्षा में काम किए बिना परीक्षा पास की जा सकती है?

हाँ। पूर्ण पाठ में प्रकाशित 200 विवरणों में से लगभग दस ऐसे उम्मीदवारों के हैं जो लिखते हैं कि परीक्षा के समय उनके पास साइबर सुरक्षा का कोई पद नहीं था — यानी करीब बीस में से एक विवरण। ये स्वेच्छा से लिखे गए विवरण हैं, उम्मीदवारों का कोई आँकड़ा नहीं।

सबसे साफ़ शीर्षक उस उम्मीदवार का है जो बताता है कि उसके पास “साइबर सुरक्षा का कोई अनुभव नहीं” था और वह पहली ही बार में 150 प्रश्नों पर पास हो गया, चार हफ़्ते की तैयारी के बाद, बुनियादी आईटी अनुभव और अभी-अभी पूरी हुई साइबर सुरक्षा की मास्टर डिग्री के साथ। एक और, जो दो साल से एक अस्पताल में आईटी विशेषज्ञ है, लिखता है:

“I wanted to write this to tell everyone who thinks that they shouldn’t take this, or can’t take this, if they don’t have the experience, that you can.”

मैं यह इसलिए लिखना चाहता था कि उन सब से कह सकूँ जो सोचते हैं कि अनुभव न होने के कारण उन्हें यह परीक्षा नहीं देनी चाहिए, या वे दे ही नहीं सकते: आप दे सकते हैं।

इसका उल्टा भी उतना ही दर्ज है: फेल होने पर केंद्रित उम्मीदवारों के विवरणों में कहीं ज़्यादा अनुभवी उम्मीदवार हैं, जो फेल हुए। अनुभव न होना पास होने से नहीं रोकता; अनुभव होना पास होने की गारंटी नहीं देता।

विवरणों में बिना अनुभव वाले कौन-से प्रोफ़ाइल पास होते हैं?

दर्ज मामले चार समूहों में बँटते हैं।

नए स्नातक। अकाउंटिंग में स्नातक और बिज़नेस एनालिटिक्स में मास्टर डिग्री रखने वाले एक उम्मीदवार ने, बिना किसी पेशेवर अनुभव के, एक ऑडिट फ़र्म में शामिल होने से पहले CISSP दिया। एक और ने, दो साल के सामान्य आईटी अनुभव और साइबर सुरक्षा में स्नातक डिग्री के साथ, इस क्षेत्र में प्रवेश पाने की कोशिश में यह परीक्षा दी।

गवर्नेंस, ऑडिट और जोखिम वाले प्रोफ़ाइल। ये सबसे ज़्यादा हैं। बारह साल के करियर वाला एक प्रबंधन और उद्यम-जोखिम सलाहकार अपनी स्थिति बिना लाग-लपेट के बताता है:

“I’ve never provisioned accounts, troubleshot network issues, or worked with cryptography. However, my experience in risk management helped me understand what’s best for the business.”

मैंने कभी अकाउंट नहीं बनाए, कभी नेटवर्क की समस्या नहीं सुलझाई, कभी क्रिप्टोग्राफी पर काम नहीं किया। लेकिन जोखिम प्रबंधन के मेरे अनुभव ने मुझे यह समझने में मदद की कि व्यवसाय के लिए सबसे अच्छा क्या है।

संबंधित पेशे। एक सुरक्षा प्लेटफ़ॉर्म के प्री-सेल्स इंजीनियर ने, जो “सुरक्षा का बहुत कम अनुभव” लेकर नौकरी पर आया था, दस हफ़्ते की योजना बनाई; चिकित्सा उपकरणों में गुणवत्ता प्रबंधन के एक पेशेवर ने, जो बाद में PLM आर्किटेक्ट बना, अपने ग्राहकों से सुरक्षा पर बात कर पाने के लिए यह प्रमाणन अपना लक्ष्य बनाया।

करियर बदलने वाले। एक उम्मीदवार अपना सफ़र तीन शब्दों में बाँधता है — “कोई पृष्ठभूमि नहीं, करियर बदला” — और जोड़ता है कि वह उस स्तर से शुरू हुआ था जहाँ “कर्नेल” शब्द का उसके लिए कोई मतलब ही नहीं था। वह अपने दूसरे प्रयास में पास हुआ।

नॉन-टेक्निकल प्रोफ़ाइल की कठिनाई क्या है?

वह तकनीकी डोमेन पर केंद्रित है, और लेखक उसका नाम लेते हैं। गवर्नेंस, जोखिम और अनुपालन से आया एक उम्मीदवार, जिसकी कोई आईटी पढ़ाई नहीं थी, अपनी शुरुआत बताता है: पढ़ाई शुरू करने से पहले सिर्फ़ एक डोमेन उत्तीर्णता स्तर से ऊपर था, सुरक्षा और जोखिम प्रबंधन वाला। सबसे ज़्यादा मेहनत माँगने वाले बताए गए डोमेन हैं आर्किटेक्चर, संचार और नेटवर्क सुरक्षा, तथा सॉफ़्टवेयर डेवलपमेंट।

दूसरी कठिनाई मनोवैज्ञानिक है। इनमें से कई विवरणों में इम्पोस्टर सिंड्रोम का साफ़ ज़िक्र बार-बार आता है, जिनमें एक ऐसी पेशेवर का विवरण भी है जो अपनी मीटिंगें यह घोषणा करके शुरू करती थी कि वह “तकनीकी नहीं है”।

तीसरा जाल इन्हीं प्रोफ़ाइलों के लिए ख़ास है: यह मान लेना कि “मैनेजर की तरह” सोचने से तकनीकी ज्ञान की ज़रूरत खत्म हो जाती है। उन्नीस साल के एक उम्मीदवार ने, जिसके पास करीब तीन साल का साइबर सुरक्षा अनुभव था, अपनी पूरी तैयारी इसी मान्यता पर खड़ी की और सौवें प्रश्न पर फेल हो गया:

“I decided to focus on the mindset foremost […] This was a huge mistake. I was utterly blindsided by questions asking for technical applications of concepts I had never heard of.”

मैंने तय किया कि सबसे पहले मानसिकता पर ध्यान दूँगा […] यह बहुत बड़ी गलती थी। ऐसी अवधारणाओं के तकनीकी उपयोग पूछने वाले प्रश्नों ने मुझे पूरी तरह चौंका दिया जिनका नाम तक मैंने कभी नहीं सुना था।

कहानी यहीं खत्म नहीं होती, और Associate वाले विवरणों से किसी भ्रम से बचने के लिए यह बताना ज़रूरी है: उसी लेखक ने दोबारा परीक्षा दी और बीस साल की उम्र में पास हुआ, वह भी सौवें प्रश्न पर, सिर्फ़ रवैये के बजाय विषय-वस्तु दोबारा पढ़ने के बाद। उसके पास ज़रूरी पाँच साल न होने के कारण वह Associate of ISC2 बना और इस दर्जे को स्वीकार करता है, जो उसके नियोक्ता के लिए काफ़ी था। यानी एक ही उम्मीदवार, दो चरण: यहाँ बताया गया फेल होना, वहाँ बताया गया पास होना।

फेल होने के विवरणों में सबसे ज़्यादा दोहराए गए वाक्यों में से एक बहुत ज़्यादा वोट पाई एक टिप्पणी का है: विषय को तकनीशियन की तरह जानो, फिर उसे निर्णय लेने वाले की तरह लागू करो — दोनों, एक या दूसरा नहीं।

अंत में, इस बिंदु पर एक प्रतिपक्ष। अनुभव की कमी अकेली संभावित अड़चन नहीं है: फेल होने पर उम्मीदवारों के विवरण उल्टे बहुत ज़्यादा तकनीकी तैयारी को फेल होने का सबसे अधिक बार खुद बताया गया कारण मानते हैं, जिनमें नेटवर्क, क्लाउड या संचालन केंद्र में दस से बीस साल वाले उम्मीदवार इसलिए फेल हुए क्योंकि उन्होंने सलाहकार की जगह क्रियान्वयन करने वाले की तरह जवाब दिए। दूसरे शब्दों में, ज़मीनी अनुभव तैयारी से छूट नहीं देता, और उसका न होना नाकामी तय नहीं करता। यह पहलू इस लेख का विषय नहीं है: उस पर CISSP में फेल क्यों होते हैं में बात की गई है।

इन उम्मीदवारों ने कितने समय तक तैयारी की?

बताई गई अवधियाँ छह हफ़्तों से लेकर एक साल से ज़्यादा तक फैली हैं, जिनमें दो बातें लगातार दिखती हैं।

बताया गया प्रोफ़ाइल	बताई गई अवधि
आईटी अनुभव के बिना	1.5 महीने गहन, नौकरी करते हुए
नया स्नातक, बिना अनुभव	~2 महीने, रोज़ ~5 घंटे
तकनीकी पृष्ठभूमि के बिना	2.5 से 3 महीने गहन
प्री-सेल्स इंजीनियर	10 हफ़्तों की योजना
ऑडिट और जोखिम परामर्श	11 महीने, एक बार फेल होने सहित
मुख्य क्षेत्र का कोई अनुभव नहीं	एक साल से ज़्यादा, एक बार फेल होने सहित

पहली लगातार बात: ये तैयारियाँ उन्हीं विवरणों के अनुभवी प्रोफ़ाइलों की तैयारियों से लंबी और सघन हैं, जहाँ दो से तीन हफ़्तों वाले रास्ते भी मौजूद हैं। दूसरी लगातार बात: इनमें से कई उम्मीदवार सौवें प्रश्न से काफ़ी आगे जाते हैं — इन विवरणों में 150 का आँकड़ा बार-बार दिखता है, और पुराने विवरणों में 175, अप्रैल 2024 से पहले वाले प्रारूप में। नमूना इतना छोटा है कि उससे कोई नियम नहीं बनाया जा सकता, पर वह परीक्षा को जल्दी रुकने की उम्मीद के बजाय उसके लंबे रूप में मानकर योजना बनाने को सही ठहराता है।

क्या किसी आसान सर्टिफिकेशन से शुरू करना चाहिए?

यह अनिवार्य नहीं है, और विवरण दोनों तरफ़ के तर्क देते हैं।

पक्ष में। ऊपर बताया गया नया स्नातक, पास होने के बावजूद, अपना विवरण एक चेतावनी के साथ खत्म करता है:

“Looking back […] the CISSP exam is probably not ideal for fresh graduates. I would recommend starting with something more foundational to build up your knowledge before tackling CISSP.”

पीछे मुड़कर देखूँ तो […] CISSP परीक्षा नए स्नातकों के लिए शायद उपयुक्त नहीं है। मैं सलाह दूँगा कि CISSP से भिड़ने से पहले किसी ज़्यादा बुनियादी चीज़ से शुरू करके अपना ज्ञान खड़ा किया जाए।

एक और उम्मीदवार, जिसके पास पहले से उसी संस्था का क्लाउड सर्टिफिकेशन था, मानता है कि उस संस्था की एक परीक्षा पहले दे चुकने के कारण उसे परीक्षा वाले दिन प्रारूप से पहली बार सामना नहीं करना पड़ा। कई विवरणों में CISSP से पहले सामान्य सर्टिफिकेशनों की एक क्रमिक शृंखला का ज़िक्र है, जिसे उस नींव के रूप में पेश किया गया है जिसने तैयारी को सह्य बनाया।

विपक्ष में। दूसरे लेखक मानते हैं कि CISSP में रटने की माँग उन कुछ सर्टिफिकेशनों से कम है जिन्हें ज़्यादा आसान माना जाता है, और आईटी की कोई पढ़ाई न रखने वाला एक उम्मीदवार बिना किसी पूर्व सर्टिफिकेशन के पास हुआ। ऊपर उद्धृत जोखिम प्रबंधन सलाहकार अपने जैसे लोगों को सीधा संदेश देता है: नॉन-टेक्निकल प्रोफ़ाइल से या अभ्यास के मामूली स्कोरों से हतोत्साहित न हों, बशर्ते वे अवधारणाओं को किसी व्यावसायिक निर्णय पर लागू करना जानते हों।

आख़िर में, बिना सीधे अनुभव वाला एक उम्मीदवार सलाह देता है कि ऐसा कोई सर्टिफिकेशन रखा जाए जो ISC2 की अनुभव व्यवस्था में गिना जाता हो, ताकि परीक्षा के बाद अपना अनुभव खड़ा करने का समय मिल सके। समुदाय के अनुसार यह छूट सभी दस्तावेज़ मिलाकर अधिकतम एक साल तक ही सीमित है: CISSP के लिए ज़रूरी अनुभव बताता है कि उम्मीदवार क्या मनवाने में सफल रहे हैं। जहाँ तक लागू नियमों की बात है, वे isc2.org पर जाँचने चाहिए।

इन मामलों को पूरे अनुभव-विवरणों के बीच रखकर देखने के लिए, देखें 200 सफलता-विवरण और हमारी पद्धति।