CISM vs CISA: cómo elegir entre las certificaciones de ISACA

ISACA ofrece varias certificaciones de prestigio, y las dos más populares son CISA (Certified Information Systems Auditor) y CISM (Certified Information Security Manager). Comparten organismo emisor, un estilo de examen similar y parte de los conocimientos, así que es fácil suponer que son intercambiables. No lo son. Una está pensada para quienes evalúan y aseguran los controles; la otra, para quienes diseñan y dirigen un programa de seguridad. Este artículo explica las diferencias y cómo elegir.

La diferencia principal: aseguramiento frente a gestión

• CISA trata sobre la auditoría. Certifica que puedes evaluar si los sistemas de TI y de información están gobernados, controlados y protegidos de forma eficaz, e informar sobre ellos con independencia.
• CISM trata sobre la gestión de la seguridad de la información. Certifica que puedes crear, liderar y gobernar un programa de seguridad empresarial alineado con los objetivos del negocio y el apetito de riesgo.

Una forma útil de recordarlo: un CISA pregunta "¿esto funciona y podemos demostrarlo?", mientras que un CISM pregunta "¿cómo hacemos que esto funcione y siga funcionando?"

Qué cubre cada examen

Dominios de CISA

1. Information System Auditing Process
2. Governance and Management of IT
3. Information Systems Acquisition, Development and Implementation
4. Information Systems Operations and Business Resilience
5. Protection of Information Assets

Nuestra guía del examen CISA profundiza en cada dominio.

Dominios de CISM

1. Information Security Governance: cultura organizacional, requisitos legales y regulatorios, estrategia de seguridad y marcos de gobierno
2. Information Security Risk Management: identificación, evaluación, tratamiento y seguimiento de riesgos
3. Information Security Program: crear y gestionar el programa, incluidos recursos, controles, marcos, métricas y concienciación
4. Incident Management: planificación de la respuesta a incidentes, continuidad del negocio y recuperación ante desastres desde la perspectiva de la gestión de la seguridad

Ambos exámenes son de opción múltiple y utilizan la puntuación escalada de ISACA de 200 a 800, con 450 necesarios para aprobar. El número de preguntas, la duración y el peso de los dominios se publican en las guías para candidatos de ISACA y pueden cambiar cuando se actualizan las prácticas profesionales, así que consulta las versiones vigentes antes de estudiar.

Requisitos de experiencia

Ambas certificaciones exigen aprobar el examen y después presentar la solicitud con experiencia laboral verificada, por lo general adquirida en los diez años anteriores a la solicitud o en los cinco años posteriores a aprobar.

• CISA exige cinco años de experiencia en auditoría, control, aseguramiento o seguridad de SI, con algunas sustituciones disponibles.
• CISM exige cinco años de experiencia en seguridad de la información, incluida una parte sustancial en gestión de la seguridad de la información en las áreas de práctica de CISM. Las exenciones son más limitadas para el componente de gestión.

La diferencia práctica es que CISM espera una responsabilidad de gestión real, mientras que CISA acepta una gama más amplia de funciones de auditoría, control y seguridad. Confirma las reglas exactas en el sitio web de ISACA, ya que se actualizan de vez en cuando.

La mentalidad de examen

Aunque los exámenes parecen similares, la lógica de la "mejor respuesta" es distinta:

• En CISA, la mejor respuesta suele ser la que preserva la independencia del auditor, se basa en el riesgo y está respaldada por evidencias. Los auditores identifican e informan; no implementan.
• En CISM, la mejor respuesta suele alinear la seguridad con los objetivos del negocio, involucrar a la alta dirección y al gobierno, y adoptar una visión de programa basada en el riesgo en lugar de una solución puramente técnica.

A los candidatos con sólidas habilidades técnicas ambos exámenes suelen resultarles contraintuitivos al principio, porque la respuesta más técnica rara vez es la mejor.

Trayectorias profesionales

CISA encaja de forma natural si

• trabajas en auditoría interna, auditoría externa, auditoría de TI o aseguramiento
• te dedicas a riesgos, cumplimiento o pruebas de controles
• quieres pasar a un puesto de aseguramiento en una Big Four o una consultora

CISM encaja de forma natural si

• gestionas un equipo, un programa o una función de seguridad
• aspiras a puestos como responsable de seguridad, jefe de seguridad o CISO
• trabajas en gobierno, riesgo y cumplimiento de seguridad con responsabilidad en la toma de decisiones

Cómo elegir y si conviene tener ambas

1. Fíjate en tu trabajo actual. Si evalúas controles, empieza por CISA. Si eres responsable de ellos, empieza por CISM.
2. Revisa tu experiencia. Si te falta experiencia en gestión, puede que CISA sea alcanzable antes.
3. Lee ofertas de empleo del puesto al que quieres llegar.
4. Piensa en el orden. Muchos profesionales empiezan por una y añaden la otra más adelante; el contenido común sobre gobierno y riesgos hace que el segundo examen resulte más accesible.

Ninguna es "mejor". Responden a preguntas distintas sobre tus habilidades.

También puede ayudarte pensar dónde quieres estar dentro de cinco años. Las carreras de auditoría y aseguramiento suelen conducir a puestos como gerente de auditoría de TI o director de auditoría interna, donde CISA sigue siendo central. Las carreras de liderazgo en seguridad conducen hacia puestos de CISO y de gobierno, donde CISM se solicita con frecuencia. Otras credenciales de ISACA, como CRISC para riesgos y CGEIT para gobierno, pueden ser relevantes más adelante, pero CISA o CISM es el punto de partida habitual.

Cómo puede ayudarte un asistente personal 1 a 1

Alternar entre la mentalidad del auditor y la del gestor es una de las partes más difíciles de los exámenes de ISACA. Un asistente personal de estudio puede ayudarte a elegir la certificación adecuada, explicar el razonamiento de las preguntas complicadas y planificar tu repaso según el peso de los dominios. FoxyCert asigna a cada candidato un asistente personal 1 a 1 dedicado por Telegram, con todos los servicios incluidos hasta que apruebes. Tú estudias y presentas el examen; nosotros te ayudamos a mantener el rumbo. Para explorar opciones, consulta la preparación 1 a 1 de FoxyCert.