Der Certified Information Systems Security Professional (CISSP) ist eine Zertifizierung, die vom International Information Systems Security Certification Consortium, Inc. (auch: ISC2) angeboten wird. Es handelt sich bei dem Zertifikat um einen international anerkannten Weiterbildungsstandard auf dem Gebiet Informationssicherheit.Mit Auszeichnung – Zertifikate für Security Professionals. In <kes>, 3, 2006, S. 27. Laut ISC2 gab es am 1. Januar 2022 weltweit 152.632, in Deutschland 2.727, in der Schweiz 1.087, und in Österreich 293 CISSP-zertifizierte Personen.
Zur Erlangung des Zertifikats ist umfangreiches Wissen über sicherheitsrelevante Aspekte aus acht Bereichen des sogenannten Common Body of Knowledge (CBK) nachzuweisen. Die Bereiche spannen dabei einen Bogen von physischer Sicherheit, Softwarearchitekturen, Netzwerk und Telekommunikation sowie Kryptographie bis hin zu rechtlichen Fragestellungen (vollständige Liste der Bereiche s. u.). Während die rechtlichen Fragestellungen stark auf die USA fokussieren,Mike Meyers, Shon Harris: CISSP. 2., überarbeitete Auflage. Redline Verlag, Heidelberg 2007, ISBN 978-3-8266-1745-4, S. 22. enthalten die übrigen Bereiche international gültige Sicherheitsvorgaben, was die weltweite Relevanz des Zertifikats erklärt.
Der CISSP ist vom UK NARIC als Level 7 gemäß dem Europäischen Qualifikationsrahmen (EQR) anerkannt und entspricht somit einem Master. Für Deutschland und den europäischen Raum existieren spezialisierte Zertifizierungen wie das vom TeleTrusT e. V. entwickelte Teletrust Information Security Professional (T.I.S.P.) Zertifikat.TeleTrust Deutschland e. V. T.I.S.P. – TeleTrusT Information Security Professional
Nutzen eines CISSP-Zertifikats Die Prüfung zum Certified Information Systems Security Professional ist eine Wissensprüfung im Bereich der Informationssicherheit. Die Prüfung wurde als erste Zertifizierung durch ANSI als ISO-Standard 17024:2003 für Sachverständige im Bereich Informationssicherheit akkreditiert(ISC)²: Career Path Brochure 09/2008, S. 12. und soll Security Professionals eine objektive Bewertung ihrer Kompetenz bieten. Zur Qualitätssicherung der Zertifizierung gehören u. a. ein Zwang zum Nachweis relevanter Berufserfahrung sowie die Pflicht zur ständigen Weiterbildung, um die Zertifizierung aufrechtzuerhaltenCISSP® – How to Certify. Die Prüfung ist neben Fachleuten in der Informationssicherheit vor allem für Personen interessant, die im IT-Umfeld oder im IT-Security-Umfeld arbeiten.
Erlangung des CISSP-Zertifikats Der Zertifizierungsprozess besteht aus mehreren Teilen. Zunächst ist eine Prüfung über acht vorgeschriebene Wissensgebiete abzulegen, auf die man sich durch eine Schulung oder durch Selbststudium vorbereiten kann. Danach wird der eigentliche Zertifizierungsprozess eingeleitet. Dazu muss die berufliche Expertise der Kandidaten von einer dritten Person bestätigt werden. Alle Kandidaten können zufällig für ein Audit ausgewählt und noch eingehender auf ihre fachlichen Kenntnisse hin überprüft werden. Damit soll sichergestellt werden, dass der Kandidat die geprüften Kenntnisse auch wirklich in der Praxis erworben und eingesetzt hat.
Aufbau der CISSP-Prüfung Grundlage der Prüfung ist der aus acht Themengebieten (Domains) bestehende Common Body of Knowledge (CBK).
Es handelt sich um eine Multiple-Choice-Prüfung. Während drei Stunden sind zwischen 100 und 150 Fragen aus den acht CBK-Bereichen zu beantworten. Es geht um die schnelle Beantwortung von Fragen, deren Antwort durch entsprechende Lerntechnik gelernt werden sollte. Logisches Herleiten und frei formulierte Antworten sind nicht gefragt. Die Prüfung soll einen möglichst breiten Querschnitt des Sicherheitsspektrums abdecken und durch gezielte Fragen das breitbandige Wissen der Kandidaten testen. Seit 15. April 2024 werden nur noch sogenannte Computerisierte-adaptive-Tests angeboten. Dabei entscheidet nach jeder Fragenbeantwortung ein nicht näher spezifizierter Algorithmus, welche Aufgabe als Frage als Nächstes gestellt wird. Falls nach der Mindestprüfungslänge von 100 Fragen nicht mit 95-prozentiger Wahrscheinlichkeit die Fähigkeiten eingeschätzt werden können, bekommt die Person solange weitere Fragen, bis die statistische Sicherheit oder die maximale Anzahl an Fragen erreicht wurde.
Die Fragen sind nach einem ganz bestimmten Schema aufgebaut. Die Grundidee der Prüfung ist es, nur sogenannte geschlossene Fragen zu stellen. Jede Frage muss also genau so formuliert sein, dass bei vier gegebenen Antwortmöglichkeiten genau eine richtig ist. Es gibt im Grunde nur drei Typen von Fragen: Auswahl (Erkennung), Reihung (Ranking) und Näherung (am besten/am schlechtesten). Diese kehren immer wieder und lassen sich leicht an Schlüsselwörtern ablesen.
Seit 2005 kann die Prüfung auch auf Deutsch absolviert werden. Da die Prüfungsfragen sehr häufig auf Definitionen und Beschreibungen mit einem sehr speziellen Vokabular und bestimmten Schlüsselwörtern abzielen, ist eine rein deutsche Prüfung aber nicht zu empfehlen. Trotzdem sollte man derzeit als Prüfungssprache Deutsch angeben. Man bekommt dann einen zweisprachigen Fragenkatalog und kann so die Vorteile beider Sprachen nutzen.
Während die offiziellen Fragenkataloge nicht öffentlich sind und daher für die Prüfungsvorbereitungen nicht genutzt werden können, gibt es in Büchern und im Internet Übungsfragen. Die hier zu beantwortenden Fragen geben einen guten ersten Eindruck über die Tiefe und Qualität der Fragen, die denen der offiziellen Fragen oftmals ähnlich sind. Dadurch kommt es bei diesem Quiz gelegentlich auch zu falschen Musterantworten. Hier ist Vorsicht angebracht.
Rezertifizierungsanforderungen Um seine Zertifizierung zu behalten, muss der CISSP Weiterbildungsaktivitäten (CPE = continuous professional education) unternehmen, um in einer Dreijahresperiode 120 CPE-Punkte zu sammeln. Dazu stehen eine ganze Reihe unterschiedlicher Möglichkeiten zur Auswahl. Die meisten CPE-Punkte bringen Lehrtätigkeiten in der Sicherheit (4 Punkte pro Stunde, maximal 80), Veröffentlichungen von Artikeln oder Büchern (maximal 40 Punkte) und das Selbststudium, mit maximal 40 Punkten, oder Lesen von sicherheitsrelevanten Büchern, mit maximal 30 Punkten. Weitere Weiterbildungsaktivitäten sind der Besuch von Hersteller-Trainings (1 Punkt pro Stunde), der Besuch von Sicherheitskongressen (1 Punkt pro Stunde) und Studiengänge an Hochschulen im Bereich Sicherheit (11,5 Punkte pro Schein). Auch Engagement in der Berufspolitik oder in Ehrenämtern wird honoriert: Die Mitgliedschaft im Vorstand eines Berufsverbandes in der Sicherheit mit maximal 20 Punkten und ehrenamtliche Arbeit für das (ISC)² nach deren Ermessen.Mike Meyers, Shon Harris: CISSP. 2., überarbeitete Auflage. Redline Verlag, Heidelberg 2007, ISBN 978-3-8266-1745-4, S. 26.
Code of Ethics Jeder CISSP muss sich zur Einhaltung bestimmter ethischer Grundsätze verpflichten. Handelt ein CISSP nicht nach diesen Grundsätzen, kann er jederzeit durch einen anderen CISSP bei der (ISC)² gemeldet werden. Dies kann ein formelles Audit zur Folge haben, welches bis zu der Aberkennung des Zertifikats und zum Ausschluss aus der (ISC)² führen kann.
Der Code hat folgende Bestimmungen:
Beschütze die Gesellschaft, das Gemeinwesen und die Infrastruktur. Handle ehrenwert, ehrlich, gerecht, verantwortungsvoll und den Gesetzen entsprechend. Arbeite gewissenhaft und kompetent. Fördere und beschütze den Berufsstand.
Weiterentwicklung: Concentrations Als Weiterentwicklungsmöglichkeit stehen zertifizierten CISSPs drei Concentrations zur Auswahl, die eine Spezialisierung und ein vertieftes Wissen in eine bestimmte Richtung darstellen.isc2.org:
Information Systems Security Architecture Professional (ISSAP), Weiterentwicklung zu Sicherheitsarchitekturen Information Systems Security Engineering Professional (ISSEP), Weiterentwicklung im Bereich sicherer Softwareentwicklung Information Systems Security Management Professional (ISSMP), Weiterentwicklung im Informationssicherheits-Management
CBK-Bereiche für die CISSP-Prüfung Die CBK-Bereiche stellen eine Sammlung von Themen aus dem Bereich der Informationssicherheit dar. Sie sind in 10 Themengebiete untergliedert.
Access Control – Bereich 1 In diesem Themengebiet (Domain) werden vor allem die Grundmechaniken der Zugriffskontrolle abgehandelt.
Sicherheitsmodelle Regeln und Strukturen, die eine Entscheidung über einen Zugriff ermöglichen nennt man Sicherheitsmodelle. Sie regeln die Beziehung zwischen Subjekten, Objekten und Operationen. Für die Prüfung werden vor allem die im Folgenden dargestellten Modelle und ihre Funktion abgefragt.Mike Meyers, Shon Harris: CISSP. 2., überarbeitete Auflage. Redline Verlag, Heidelberg 2007, ISBN 978-3-8266-1745-4, S. 129 ff.
mini|230px|Schichten des Biba-Modells mini|230px|Schichten des Bell-LaPadula-Modells
Zunächst unterscheidet man einige Grundlagenmodelle, deren Konzepte zum Teil Einzug in die weiterführenden Modelle gehalten haben. Ziel der Zustandsorientierten Maschine ist ein sicherer Systemzustand zu jeder Zeit. Dazu arbeitet das Modell in klar definierten Zuständen. Das Informationsfluss-Modell hebt vor allem auf den zwischen den Ebenen der mehrschichtigen Modelle stattfindenden Informationsflüsse ab. Als weiteres Grundlagenmodell hat das Goguen-Meseguer-Modell oder Modell der Nichteinmischung die Verhinderung von Rückschlüssen zwischen den Ebenen zum Ziel.
Das Clark-Wilson-Modell hat die Sicherstellung der Integrität zum Ziel und verfolgt dabei alle drei Integritätsziele. Unzulässige Modifikationen durch unautorisierte Anwender, unzulässiger Modifikationen durch autorisierte Anwender sowie interne und externe Inkonsistenz werden gleichermaßen verhindert.
Beim mehrschichtigen, zustandsorientierten Bell-LaPadula-Modell wird die Vertraulichkeit sichergestellt. Dabei gelten für die Subjekte zwischen den Ebenen die beiden Regeln nicht nach oben lesen und nicht nach unten schreiben. Das ebenfalls mehrschichtige Biba-Modell verfolgt das erste Integritätsziel, die unzulässige Modifikationen durch unautorisierte Anwender. Dabei gelten für die Subjekte zwischen den Ebenen die beiden Regeln nicht nach oben schreiben und nicht nach unten lesen.
Das Brewer-Nash-Modell oder auch Modell der Chinesischen Mauer passt die Zugriffsrechte eines Anwenders dynamisch und aktivitätsorientiert an um mögliche Interessenskonflikte zu verhindern.
Das beziehungsorientierte Graham-Denning-Modell stellt einen grundlegenden Befehlssatz für Operationen zwischen den Subjekten und Objekten zur Verfügung und verfolgt damit wie das auf Rechtsänderung, Erstellung und Löschung von Subjekten und Objekten spezialisierte Harrison-Ruzzo-Ullman-Modell einen praxisbezogenen Ansatz.Mike Meyers, Shon Harris: CISSP. 2., überarbeitete Auflage. Redline Verlag, Heidelberg 2007, ISBN 978-3-8266-1745-4, S. 139.
Zugriffskontrollmodelle Zugriffskontrollmodelle sind eng verwandt mit den Sicherheitsmodellen. Auch hier steht der Zugriff von Subjekten auf Objekten im Mittelpunkt der Betrachtung. Sie dienen der Umsetzung von Regeln und Zielen einer allgemeinen Sicherheitsrichtlinie.
Die drei wichtigsten Zugriffskontrollmodelle für die CISSP-Prüfung sind die offenen, die geschlossenen und die rollenbasierten Modelle.
mini|Beispiel für eine Access Control List
Die offenen Zugriffskontrollmodelle oder auch Discretionary-Access-Control-Modelle (DAC) erlauben dem Eigentümer von Objekten Art und Umfang des Zugriffs zu kontrollieren. Dies geschieht meist mittels Access Control Lists (ACLs), in denen die Rechte nach dem Need-to-know-Prinzip vergeben werden.
Geschlossene Zugriffskontrollmodelle oder auch Mandatory-Access-Control-Modelle (MACs) dagegen nehmen dem Subjekt die Entscheidungen zur Zugriffskontrolle ab. Jedes Objekt trägt eine Sicherheitskennung, mit deren Hilfe der Zugriff geregelt wird. Besitzt ein Subjekt nicht die nötige Freigabe kann kein Zugriff erfolgen.