CISSP مقابل CISM: أي شهادة أمن ينبغي أن تختار؟
إجابة سريعة: CISSP (من ISC2) اعتماد أمن واسع وتقني مصمَّم للمهندسين والمعماريين المتجهين نحو الأدوار العليا والقيادية، ويغطّي ثمانية مجالات. وCISM (من ISACA) أضيق ويركّز على الإدارة، ويغطّي…
In this guide
- ما الفرق الجوهري بين CISSP وCISM؟
- كيف تتقارن مجالات الامتحانين؟
- ما هي متطلبات الخبرة؟
- ما هما الامتحانان وكيف يُنظَّمان؟
- كم تكلفتاهما وكيف تحافظ عليهما؟
- أي شهادة تدفع أكثر؟
- من ينبغي أن يختار CISSP؟
إجابة سريعة: CISSP (من ISC2) اعتماد أمن واسع وتقني مصمَّم للمهندسين والمعماريين المتجهين نحو الأدوار العليا والقيادية، ويغطّي ثمانية مجالات. وCISM (من ISACA) أضيق ويركّز على الإدارة، ويغطّي أربعة مجالات تتمحور حول الحوكمة والمخاطر وإدارة برنامج أمني. وتتطلب كلتاهما نحو خمس سنوات من الخبرة ذات الصلة. اختر CISSP للعمق الأمني العملي وCISM إن كان مسارك إدارة فريق أو برنامج أمني.
ما الفرق الجوهري بين CISSP وCISM؟
أبسط طريقة لصياغته: CISSP تثبت أنك تفهم كيفية تأمين الأنظمة من البداية إلى النهاية، في حين تثبت CISM أنك قادر على قيادة الأشخاص والعمليات التي تُبقي المؤسسة آمنة. فـ CISSP (Certified Information Systems Security Professional) تصدرها ISC2 وهي واسعة عن قصد، إذ تلامس كل شيء من التشفير إلى الأمن المادي. أما CISM (Certified Information Security Manager) فتأتي من ISACA وتتركّز على طبقة الإدارة: الحوكمة والمخاطر وتطوير البرامج والاستجابة للحوادث.
وليست أي منهما “أصعب” من الأخرى على نحو قاطع. فهما يختبران عضلات مختلفة. CISSP تكافئ الاتساع التقني؛ وCISM تكافئ التفكير الاستراتيجي والإداري. ويحمل كثير من المحترفين كبار الخبرة الشهادتين في نهاية المطاف، لكنك في بداية مسيرتك نادرًا ما تحتاج إليهما معًا في آنٍ واحد.
نموذج ذهني مفيد: تخيّل مؤسسةً تدافع عن نفسها. تستهدف CISSP الأشخاص الذين يفهمون كيف تعمل الدفاعات على المستوى التقني ويستطيعون تصميمها. وتستهدف CISM الشخص الذي يقرّر أي الدفاعات ينبغي للمؤسسة الاستثمار فيها، وما مقدار المخاطرة المقبول، وكيف يشرح ذلك للتنفيذيين. وكلا المنظورين ضروري، وكلا الاعتمادين محترم، لكنهما يجيبان عن سؤالين مختلفين. فحين يدرج مدير التوظيف CISSP، يريد عادةً عمقًا تقنيًا. وحين يدرج CISM، يريد عادةً شخصًا قادرًا على تولّي برنامج والتحدث بلغة المخاطر والحوكمة.
ويجدر أيضًا معرفة أن هذين اعتمادان رفيعان. وليست أي منهما مصمَّمة كشهادة أولى. فإن كنت لا تزال في بداية رحلتك الأمنية، فالشهادات التأسيسية والوقت العملي الحقيقي ينبغي أن يأتيا أولًا؛ أما CISSP وCISM فهما معلَمان في منتصف المسيرة المهنية إلى أواخرها يفترضان أن لديك خبرة جوهرية تستند إليها مسبقًا.
كيف تتقارن مجالات الامتحانين؟
CISSP مبنية على ثمانية مجالات تغطّي مجمل مجموعة المعارف المشتركة (Common Body of Knowledge). وCISM مبنية على أربعة مجالات، كلٌّ منها مرجَّح نحو قيادة البرامج أكثر من الضبط العملي.
| الشهادة | الجهة المصدِرة | المجالات | التركيز الأساسي |
|---|---|---|---|
| CISSP | ISC2 | 8 مجالات (إدارة الأمن والمخاطر؛ أمن الأصول؛ هندسة الأمن وتصميمه؛ أمن الاتصالات والشبكات؛ إدارة الهوية والوصول؛ تقييم الأمن واختباره؛ عمليات الأمن؛ أمن تطوير البرمجيات) | ممارسة الأمن التقني وتصميمه على نطاق واسع |
| CISM | ISACA | 4 مجالات (حوكمة أمن المعلومات ~17%؛ إدارة مخاطر أمن المعلومات ~20%؛ برنامج أمن المعلومات ~33%؛ إدارة الحوادث ~30%) | إدارة برنامج الأمن وحوكمته |
لاحظ أين تضع CISM ثقلها: نحو ثلث الامتحان يقع في بناء برنامج أمني وإدارته، مع حصة كبيرة أخرى في إدارة الحوادث. وهذا يخبرك أن الامتحان يتوقع منظور المدير، لا منظور مستوى الحزم (packet-level).
ما هي متطلبات الخبرة؟
هنا يتعثّر المرشحون غالبًا، فاقرأ بعناية.
- CISSP: خمس سنوات من الخبرة التراكمية المدفوعة بدوام كامل في مجالين على الأقل من المجالات الثمانية. وتُعفي شهادة جامعية مدتها أربع سنوات أو اعتماد معتمد من سنة واحدة، ما يخفض الحد الأدنى إلى أربع سنوات. وإن اجتزت الامتحان من دون الخبرة، تصبح Associate of ISC2 ويكون أمامك حتى ست سنوات لاكتسابها.
- CISM: خمس سنوات من الخبرة في أمن المعلومات، مع ثلاث سنوات على الأقل في إدارة أمن المعلومات عبر ثلاثة أو أكثر من المجالات الأربعة. وتسمح ISACA بإعفاءات تصل إلى سنتين (على سبيل المثال، حمل CISSP أو CISA، أو شهادة دراسات عليا ذات صلة). ومكوّن خبرة الإدارة هو الجزء الذي يغفله الناس لأنه لا يمكن إعفاؤه ببساطة.
تغيير واحد في 2026 يستحق التنويه: قلّصت ISC2 قائمة الشهادات المؤهِّلة لإعفاء سنة الخبرة في CISSP، إذ خفضتها من نحو 50 اعتمادًا إلى نحو 25. وأُزيلت بعض الشهادات المعروفة من القائمة المؤهِّلة. فإن كنت تعتمد على شهادة بعينها لاقتطاع سنة، فتحقّق من أنها لا تزال مؤهِّلة قبل أن تخطّط على أساسها، لأن القواعد تغيّرت مؤخرًا.
ما هما الامتحانان وكيف يُنظَّمان؟
الامتحانان يختلفان في القاعة. فـ CISSP تستخدم صيغة الاختبار التكيفي المحوسب (CAT) للامتحان الإنجليزي، أي أن الأسئلة تتكيّف مع أدائك، وتغطّي المجالات الثمانية كلها. والتركيز على تطبيق مفاهيم الأمن عبر ميدان واسع، وأسلوب السؤال يدفعك لاختيار “أفضل” إجابة من بين عدة خيارات معقولة، غالبًا من عقلية المخاطر والإدارة لا من عقلية تقنية صرفة.
وCISM امتحان متعدد الخيارات أكثر تقليدية يركّز على مجالاته الأربعة. ولأن جزءًا كبيرًا منه يتمحور حول إدارة البرامج والحوكمة، فكثيرًا ما تسأل الأسئلة عمّا ينبغي أن يفعله مدير الأمن في سيناريو ما، لا عمّا سيكتبه فني على لوحة المفاتيح. ويجد المرشحون ذوو الخلفيات العملية العميقة أحيانًا أن إعادة التأطير هذه صعبة على نحو مفاجئ، لأن الإجابة “الصحيحة” هي التي تعكس حسن التقدير الإداري.
وتتطلب كلتاهما منك الموافقة على مدونة أخلاقيات مهنية، واجتياز خطوة فحص/تزكية، والحفاظ على الاعتماد نشطًا بعد اكتسابه. ويُحدّث محتوى الامتحان وصيغته دوريًا من قِبل كل جهة، لذا تأكّد دائمًا من المخطط الحالي على موقعي ISC2 وISACA الرسميين قبل أن تضع خطة دراسية.
كم تكلفتاهما وكيف تحافظ عليهما؟
يحمل الاعتمادان رسم امتحان إضافةً إلى رسم صيانة سنوي مستمر، ويتطلب كلاهما تعليمًا مستمرًا للبقاء معتمَدًا. فحاملو CISSP يكتسبون ويسجّلون أرصدة التعليم المهني المستمر (CPE) خلال دورة من ثلاث سنوات ويدفعون رسم صيانة سنويًا لـ ISC2. وحاملو CISM كذلك يكتسبون ساعات تعليم مهني مستمر على أساس سنوي ومتعدد السنوات ويدفعون رسم صيانة لـ ISACA. وتتغير الرسوم الدقيقة بمرور الوقت وتختلف بين الأعضاء وغير الأعضاء، لذا تحقّق من التسعير الرسمي قبل وضع الميزانية.
النقطة العملية هي أن هذه ليست شهادات تُكتسب مرةً وينتهي الأمر. فاكتساب أي منهما التزام بالبقاء مواكبًا، وهو ما يناسب الأدوار الأمنية العليا حيث يتبدّل مشهد التهديدات باستمرار. ضع في حسبانك التكلفة المتكررة وجهد CPE في قرارك، لا رسم الامتحان وحده.
أي شهادة تدفع أكثر؟
يُدرَج الاعتمادان باستمرار بين شهادات الأمن الأعلى أجرًا، وكثيرًا ما يرتبط الطابع الإداري لـ CISM بتعويضات على مستوى قيادي. ومع ذلك، تتباين الأرقام المنشورة تباينًا واسعًا حسب المصدر والسنة. واستنادًا إلى بيانات مُجمّعات الرواتب المتاحة في 2026 (Glassdoor وPayscale واستطلاعات الصناعة)، يُبلغ المحترفون الحاملون لـ CISSP وCISM عادةً عن تعويض إجمالي يقع نحو نطاق 120,000 إلى ما يزيد على 160,000 دولار في الولايات المتحدة، لكن هذه الأرقام تقريبية وتتأرجح كثيرًا بحسب المنطقة وصاحب العمل وسنوات الخبرة وما إذا كان الدور مساهمًا فرديًا أم إداريًا. عامِل أي راتب مذكور منفرد بشكّ صحي. وإن كانت مقارنة الرواتب تهمّك، فقارن بنظرتنا العامة إلى أعلى شهادات تقنية المعلومات أجرًا بدلًا من صفحة تسويقية لجهة واحدة.
من ينبغي أن يختار CISSP؟
تميل CISSP إلى أن تكون الاختيار الأقوى إن كنت:
- تعمل عمليًا في هندسة الأمن أو تصميمه أو عملياته وتريد التعمّق والتوسّع أكثر.
- تهدف إلى أدوار مثل معماري أمن، أو مهندس أمن أول، أو مستشار أمن.
- تريد اعتمادًا معترفًا به على نطاق واسع عبر التوظيف التقني والحكومي/الدفاعي معًا (فهو يرتبط بعدة متطلبات للقوى العاملة في وزارة الدفاع).
وإن كنت لا تزال تبني طريقك نحو دور أمني، فإن الخطوات التأسيسية مثل اكتساب Security+ أولًا واتّباع مسار نحو أن تصبح مهندس أمن عادةً ما تكون أكثر منطقية قبل محاولة CISSP.
من ينبغي أن يختار CISM؟
CISM هي الأنسب إن كنت:
- تدير فعلًا، أو تتجه لإدارة، فريق أمن أو ميزانية أو برنامج.
- تقضي يومك في السياسات وقبول المخاطر وحوكمة الموردين ورفع التقارير إلى القيادة بدلًا من الأدوات العملية.
- تريد اعتمادًا يشير إلى طلاقة في الأعمال والحوكمة أمام التنفيذيين والمجالس.
والمديرون الذين ترقّوا عبر أدوار مثل تحليل SOC ويتولّون الآن البرنامج كثيرًا ما يجدون أن CISM تنطبق بدقة على ما يفعلونه يوميًا مسبقًا.
ما الأخطاء التي يرتكبها المرشحون عند الاختيار؟
ثمة أخطاء متكررة يجدر تجنّبها:
- ملاحقة الاعتماد بدلًا من الدور. اكتساب CISM بينما وظائفك الخمس التالية أدوار هندسية عملية، أو CISSP بينما تنتقل كليًا إلى الإدارة، إهدار للجهد. طابِق الشهادة مع وجهتك الفعلية.
- الاستهانة بمتطلب الخبرة. كلتاهما تتطلب سنوات من العمل ذي الصلة، ومكوّن خبرة الإدارة في CISM على وجه الخصوص لا يمكن إعفاؤه ببساطة. خطّط لكيفية توثيقه واستيفائه.
- معاملتهما كشهادتين للمبتدئين. محاولة أي منهما بخبرة أمنية واقعية ضئيلة تؤدي عادةً إلى امتحان صعب، وإن اجتزته، إلى اعتماد لا تستطيع تفعيله بالكامل بعد.
- تجاهل الصيانة. ينسى الناس الرسوم السنوية ومتطلبات التعليم المستمر، ثم يتركون شهادةً كسبوها بعناء تنتهي صلاحيتها.
وإن كنت لا تزال ترسم اتجاهك العام، فقد يساعدك النظر إلى مقارنات مجاورة مثل محلل البيانات مقابل عالم البيانات لترى كيف ينبغي أن يقود تركيز الدور اختيار الاعتماد عبر مجال التقنية عمومًا.
هل يمكن حمل الشهادتين، وبأي ترتيب؟
نعم، وكثير من قادة الأمن يفعلون. والتسلسل الشائع هو CISSP أولًا (لترسيخ مصداقية تقنية واسعة)، ثم CISM بمجرد تولّيك مسؤولية إدارية حقيقية. ولأن كلًّا منهما قد يُعفي سنةً من متطلب خبرة الأخرى في بعض الحالات، فإن حمل إحداهما قد يسهّل الطريق إلى الثانية. ومع ذلك، لا توجد قاعدة تفرض ترتيبًا؛ دع واجباتك الوظيفية الفعلية تقرّر أيهما تستطيع استيفاء متطلب الخبرة له اليوم.
CISSP مقابل CISM: أيهما ينبغي أن تختار؟
اختر CISSP إن كنت تقنيًا وتريد عمقًا واتساعًا؛ واختر CISM إن كان مستقبلك إدارة برنامج أمني. وإن كنت فعلًا تقف بين الاثنين، فاسأل سؤالًا عمليًا واحدًا: بالنسبة للوظيفة التالية التي تريدها، هل يركّز الوصف على هندسة الأمن العملية أم على قيادة برنامج ورفع تقارير المخاطر؟ طابِق الشهادة مع تلك الإجابة. وتذكّر أن أيًا من الشهادتين لا تضمن وظيفة أو راتبًا. فهما تفتحان الأبواب وتوثّقان المعرفة، لكن خبرتك وملفك وأداءك في المقابلة هي التي تقرّر النتيجة في النهاية. وإن كنت في وقت أبكر من الرحلة وتوازن بين المجالات كليًا، فقد تساعدك مقارنتنا بين الأمن السيبراني مقابل هندسة البرمجيات على الحسم قبل أن تستثمر في شهادة متقدمة.
Ready to earn your certification?
Boost eLearning offers Live Labs, a Pass Guarantee, and online, live virtual, and on-site delivery.
