De nombreux professionnels à la recherche d’une carrière dans la sécurité du cloud se tournent vers les certifications pour progresser dans leur apprentissage et prouver…
leurs connaissances aux employeurs potentiels. Le nombre de certifications en matière de sécurité du cloud a toutefois augmenté ces dernières années, ce qui rend difficile pour les étudiants et les praticiens de décider laquelle poursuivre.
Essayez-vous d’analyser les différences et de déterminer quelles certifications feront le plus progresser vos connaissances et votre carrière ? Obtenez ici des informations sur les meilleures certifications de sécurité cloud.
L’importance des certifications
Bien que le débat sur la valeur des programmes de certification de sécurité soit vivement contesté, ils restent l’un des principaux moyens utilisés par les employeurs pour sélectionner les candidats et évaluer les connaissances de base de la personne interrogée. Et le fait est que la plupart des certifications offrent aux professionnels des avantages plus importants que les options traditionnelles d’auto-apprentissage.
Une certification, par exemple, couvre des sujets plus larges que ceux qui intéressent l’étudiant, ce qui nécessite d’apprendre plus que le minimum autour d’un sujet spécifique. Sauter quelques chapitres ennuyeux mais importants n’est pas une sage décision si un examen coûteux est à venir.
Les examens de certification obligent également les étudiants à étudier la matière, pas seulement à la parcourir. Les dates d’examen fournissent une date limite pour terminer le matériel. Les certificats montrent également aux employeurs que les futurs employés ont consacré beaucoup de temps et d’argent à l’obtention des certificats et des compétences associées.
Le secteur de la sécurité de l’information existe depuis des décennies et possède certaines des certifications les plus connues. Le CISSP de l’ISC2, par exemple, a été publié en 1994, et la certification Certified Information Systems Auditor (CISA) de l’ISACA remonte à 1978.
Ces fournisseurs de certification plus anciens et bien établis ont ajouté des composants cloud à leur matériel, mais la profondeur de ces modules complémentaires peut être limitée – parfois seulement quelques pages dans un livre. Compte tenu de l’importance des technologies cloud et de la menace persistante d’attaques spécifiques au cloud, une attention accrue est nécessaire.
Examinons certains fournisseurs de certification qui ont introduit des certifications de sécurité cloud dédiées et approfondies, ainsi que ce à quoi les professionnels de la sécurité cloud peuvent s’attendre lorsqu’ils les poursuivent.
1. Professionnel certifié en sécurité cloud ISC2 (CCSP)
La certification de sécurité cloud la plus connue et la plus établie est la CCSP d’ISC2. Bien que le CISSP d’ISC2 contienne désormais plus de matériel cloud que les années précédentes, le programme CCSP spécialisé de l’organisation à but non lucratif passe au niveau supérieur et couvre un large éventail de sujets liés au cloud, de la sécurité des applications cloud à la sécurité des plates-formes cloud.
Les étudiants doivent s’attendre à investir beaucoup de temps pour réussir cet examen et utiliser une formation autonome ou dirigée par un instructeur pour se préparer à cette certification.
Les candidats doivent avoir au moins cinq ans d’expérience professionnelle rémunérée en informatique avant d’être certifiés. Trois ans doivent être consacrés à la sécurité de l’information et un an doit être dans un ou plusieurs des six domaines inclus dans le corpus commun de connaissances (CBK) du CCSP :
- Concepts, architecture et design cloud (17 % de l’examen).
- Sécurité des données cloud (20 %).
- Sécurité de la plateforme cloud et de l’infrastructure (17 %).
- Sécurité des applications cloud (17 %).
- Opérations de sécurité du cloud (16 %).
- Juridique, Risque et Conformité (13%).
Le certificat de connaissances en sécurité cloud de Cloud Security Alliance (CSA) peut être remplacé par un an d’expérience dans un ou plusieurs domaines CCSP. L’obtention de CISSP couvre tous les prérequis.
2. Certificat CSA de connaissances en sécurité cloud (CCSK)
Le CCSK de CSA est une alternative plus légère à la certification CCSP. Lancé en 2010, ce certificat est dédié à la sécurité du cloud. Comme CCSP, CCSK entre dans les détails techniques.
CCSP et CCSK présentent quelques différences majeures. Par exemple, le CBK n’est pas aussi large pour CCSK que pour CCSP. Le matériel d’étude pour CCSK – provenant du “CSA Security Guidance v.4”, de la CSA Cloud Controls Matrix et du rapport “European Union Agency for Cybersecurity’s Cloud Computing Risk Assessment” – est disponible gratuitement sur Internet, donc pas de livres ou des formations sont nécessaires. La certification CCSK n’a également aucun prérequis ni exigence d’expérience. De plus, l’examen CCSK est disponible en ligne et est à livre ouvert.
CCSK est une bonne alternative à la certification de sécurité cloud pour un professionnel de la sécurité débutant à milieu de gamme s’intéressant à la sécurité des données cloud mais n’ayant aucune justification pour dépenser le temps et l’argent requis pour la certification CCSP.
CCSK couvre 16 domaines, dont les concepts et l’architecture du cloud computing, la sécurité et le chiffrement des données et la sécurité en tant que service.
3. Certificat ISACA et CSA de connaissances en audit cloud (CCAK)
En mars 2021, l’ISACA et le CSA ont publié conjointement CCAK, qui s’appuie et complète le contenu CCSK. Il complète également les certifications CISA et Certified Information Security Manager de l’ISACA. Il est conseillé aux candidats d’obtenir leur CCSK avant de prendre CCAK, bien que ce ne soit pas une condition préalable.
Les évaluateurs et auditeurs, les responsables de la conformité, les responsables de programmes fournisseurs et partenaires, les consultants en sécurité et confidentialité, les analystes et architectes en sécurité pourraient bénéficier de la formation, qui couvre les domaines suivants :
- Gouvernance du cloud.
- Programme de conformité cloud.
- CCM et CAIQ : Buts, objectifs et structure.
- Une méthodologie d’analyse des menaces pour le cloud à l’aide de CCM.
- Évaluation d’un programme de conformité cloud.
- Audit cloud.
- CCM : Audit des contrôles.
- Assurance et conformité continues.
- Programme STAR.
Les candidats peuvent choisir l’auto-apprentissage ou suivre une formation CCSK. Les options de formation incluent des formations en ligne à votre rythme, en ligne dirigées par un instructeur et en personne.
4. Automatisation de la sécurité du cloud GIAC (GCSA)
Lancée en avril 2020, la certification GCSA de GIAC est spécifiquement conçue pour les développeurs, analystes et ingénieurs travaillant à sécuriser les environnements cloud et DevOps. Il englobe des sujets tels que l’automatisation de la gestion de la configuration, l’intégration/livraison continue et la surveillance continue, ainsi que la manière d’utiliser les outils open source, la chaîne d’outils AWS et les services Azure.
La certification GIAC est basée sur le cours en personne ou en ligne « SEC540 : Cloud Security and DevSecOps Automation » du SANS Institute. Ce cours de cinq jours, qui comprend des laboratoires pratiques, couvre les sujets des cinq sections suivantes :
- Automatisation de la sécurité DevOps.
- Sécurité des infrastructures cloud.
- Opérations de sécurité cloud natives.
- Microservice et sécurité sans serveur.
- Conformité et protection continues.
L’examen peut être acheté seul ou à un tarif réduit lorsqu’il est acheté conjointement avec la formation SANS. L’achat d’une tentative de certification s’accompagne de deux tests pratiques, qui ont le même format que l’examen.
5. Éléments essentiels de la sécurité du cloud GIAC (GCLD)
Publié en avril 2021, le GCLD du GIAC explique comment évaluer les fournisseurs de services cloud et comment planifier, déployer et sécuriser des environnements mono-cloud et multi-cloud, ainsi que des sujets tels que l’audit cloud, les évaluations de sécurité et la réponse aux incidents.
Spécialisé pour les ingénieurs de sécurité, les analystes, les managers et les auditeurs, GCLD vise à aider les candidats à prouver leurs connaissances sur la manière de prévenir, détecter et réagir aux événements de sécurité des charges de travail cloud.
La certification GCLD est basée sur « SEC488 : Cloud Security Essentials », un cours de six jours avec une formation pratique qui enseigne les éléments suivants :
- Gestion des identités et des accès (IAM).
- Gestion du calcul et de la configuration.
- Protection des données et automatisation.
- Mise en réseau et journalisation.
- Conformité, réponse aux incidents et tests de pénétration.
- Guerres des nuages.
La formation SANS, offerte en ligne et en personne, n’a aucun prérequis, mais une compréhension de base des réseaux, de la sécurité, de Linux et du cloud est bénéfique.
Le GIAC propose également des certifications spécialisées qui peuvent s’appliquer en fonction du parcours professionnel du candidat. Ceux-ci incluent les éléments suivants :
6. Agent de sécurité cloud certifié Mile2 (C)CSO)
La certification C)CSO de Mile2 consiste en un programme de cinq jours qui comprend des sessions dirigées par un instructeur, du temps d’auto-apprentissage et des formations virtuelles en direct. Il est composé de 15 modules :
- Introduction au cloud computing et à l’architecture.
- Risques de sécurité du cloud.
- GRE et gouvernance.
- Probleme juridique.
- Virtualisation.
- Sécurité des données.
- Opérations du centre de données.
- Interopérabilité et portabilité.
- Sécurité traditionnelle.
- BCM et DR.
- Réponse aux incidents.
- Sécurité des applications.
- Chiffrement et gestion des clés.
- Gestion des identités, des droits et des accès.
- Audit et conformité.
Il comprend également 23 laboratoires, dont PaaS dans Azure et Encryption/Key Management dans SaaS.
Faisant partie du parcours de carrière en sécurité et virtualisation du cloud de Mile2, cette certification avancée est idéale pour les professionnels recherchant une carrière dans la virtualisation, l’administration du cloud, l’audit et la conformité.
Une connaissance générale des architectures cloud et un an d’expérience en virtualisation et en infosec sont recommandées.
7. Spécialiste certifié en sécurité cloud Arcitura
La certification Certified Cloud Security Specialist d’Arcitura se concentre sur les menaces de sécurité associées aux plates-formes cloud, aux services cloud et à d’autres technologies cloud, y compris la virtualisation. Destinée aux professionnels de l’informatique et de la sécurité, ainsi qu’aux architectes cloud, la certification Certified Cloud Security Specialist est composée des trois modules suivants :
- Fundamental Cloud Security contient une formation sur les mécanismes et menaces de sécurité du cloud, l’audit du cloud et l’IAM du cloud.
- Advanced Cloud Security propose une formation sur les cycles de vie des attaques, la modélisation des menaces et la protection des VM.
- Cloud Security Lab comprend des exercices sur l’IAM dans le cloud, l’infrastructure à clés publiques dans le cloud, ainsi que le chiffrement et la gestion des clés dans le cloud.
La formation de 30 heures se termine par l’examen et la certification Cloud Security Specialist. Une formation générale en informatique est recommandée.
8. et 9. CompTIA Cloud Essentials+ et Cloud+
CompTIA propose deux certifications qui, bien que non spécifiques à la sécurité, couvrent des sujets liés à la sécurité du cloud. Cloud Essentials+ est orienté vers la prise de décision commerciale dans le cloud, tandis que Cloud+ est davantage axé sur la mise en œuvre technique du cloud.
La certification Cloud Essentials+ d’entrée de gamme couvre les préoccupations et les mesures de sécurité du cloud, ainsi que l’évaluation des risques, les politiques de sécurité du cloud et la conformité. Six mois à un an d’expérience en tant qu’analyste commercial informatique, ainsi qu’une certaine expérience en technologie cloud, sont recommandés. La certification Cloud+ plus approfondie couvre les configurations de sécurité, le contrôle d’accès, la gestion des clés et des certificats, ainsi que la segmentation et la microsegmentation. Deux à trois ans d’expérience en administration système ou en réseau sont recommandés, en plus des certifications CompTIA Network+ et Server+.
10. Certifications de sécurité cloud spécifiques au fournisseur
Étant donné que de nombreuses entreprises travaillent avec des fournisseurs et des technologies spécifiques, il pourrait être utile que les membres de leur équipe de sécurité détiennent des certifications dans ces domaines.
