Понимаете, каждый год мы с друзьями ходим в баню. Хотя какая баня? Хотел же написать еще один пост про сертификацию CISM. Как раз про регулярность. Регулярность подачи сведений по часам CPE (Continuing Professional Education, постоянное профессиональное образования).
Как вы наверно слышали (или знаете), все обладатели сертификатов ISACA (CISA, CISM, CGEIT и CRISC) обязаны отчитываться о часах профессионального образования, т.е. развития своих профессиональных знаний. О правилах подтверждения CPE написано довольно подробно в Continuing Education (CPE) Policy (для каждой сертификации свои положения с минимальными изменениями). Например, политику по CISM можно посмотреть тут, а неофициальный перевод документа на русский язык (спасибо Константину Бельцову) можно скачать тут.
Попробуем разобраться в важных моментах. Начнем с основного:
- Отчитываться о CPE необходимо с первого нового года после присвоения статуса. Однако в зачет могут идти часы CPE, полученные за промежуток времени с даты получения статуса до 31 декабря того же года. Мне, например, статус CISM присвоили 29 октября 2014 года, значит, что отчитываться за CPE я начинаю с 2015, но могу подать информацию и за ноябрь-декабрь 2014 года (что я и сделал, см.ниже).
- За 3 года необходимо отчитаться о минимум 120 часах CPE, причем не менее 20 часов за каждый из трех лет. Т.е. "набить" сразу все в последний момент не удастся.
- Один час CPE берется из расчета каждые 50 минут активного участия (исключая, завтраки, обеды, фуршеты) в рамках выполняемой деятельности. На это обратите внимание при указании длительных курсов обучения.
- Оплачивать необходимый взнос (45$ для членов ISACA без скидки) и отчитываться о CPE необходимо до 15 января каждого года. Не будете отчитываться - сертификат отзовут и потребуют уничтожить его бумажную копию (да-да, это отдельно прописано в правилах :))) ), а за пересмотр и обжалование этого решения возьмут еще 50$ (интересно, а за перевыпуск уничтоженного сертификата и его пересылку еще денег запросят?).
- Удобнее всего отчитываться через специальную форму на сайте ISACA
How to report your CPE:
- Log in at www.isaca.org
- Click on MY ISACA
- Click on MY CERTIFICATIONS
- Click on Manage My CPE
- Scroll down, then click on Add CPE button
- Enter CPE activity information and click Save.
- Инструкция даже есть в картинках ( PDF тут).
- Одни и те же часы могут быть использованы для разных сертификатов (ISACA), если профессиональная деятельность применима и связана с каждым из них.
- На ежегодной основе ISACA проводит случайный отбор владельцев сертификатов для проведения проверки. В данном случае вас попросят предоставить письменные свидетельства деятельности по CPE. Кстати, их необходимо хранить до 12 месяцев с момента окончания трехлетнего отчетного срока.
Что могут засчитать за часы CPE? Тут довольно много вариантов:
- ISACA professional education activities and meetings (no limit) - Профессиональное образование и встречи, организованные ISACA
- Non-ISACA professional education activities and meetings (no limit) - Профессиональное образование и встречи, не относящиеся к ISACA
- Self-study courses (no limit) - Курсы самоподготовки
- Vendor sales/marketing presentations (10-hour annual limitation) - Вендорские сейлзовые/маркетинговые презентации (годовой лимит 10-часов)
- Teaching/lecturing/presenting (no limit) - Преподавание/лекции/презентации
- Publication of articles, monographs and books (no limit) - Публикация статей, научных трудов и книг
- Exam question development and review (no limit) - Разработка экзаменационных вопросов и обзоров
- Passing related professional examinations (no limit) - Сдача смежных профессиональных экзаменов/сертификаций
- Working on ISACA Boards/Committees (20-hour annual limitation per ISACA certification) - Работа в комитетах или совете ISACA (лимит в 20 часов для каждой сертификации)
- Contributions to the information security profession (20-hour annual limitation in total for all related activity for CISM reported hours) - Исследования (разработки) в области информационной безопасности (лимит в 20 часов в общей сложности за всё потраченное время в рамках активности)
- Mentoring (10-hour annual limitation) - Менторство (годовой лимит 10-часов)
У каждой из этих возможностей есть свои особенности и ограничения, здесь следует внимательно читать документ. Так, например, приятным известием стало то, что новые (отличающиеся от тех, за которые уже отчитались) презентации и курсы (п.5) засчитывают с пятикратным коэффициентом. Таким образом за презентацию на 30 минут дают 2,5 CPE, а за 2х-дневный курс обучения (по 6,5 часов в день активного обучения), который вы проводите, можно получить целых 65 часов CPE.
Самое главное, что отчитываться надо по знаниям, соответствующим тематике сертификации. Для CISM это - "управление ИБ". Как написано на сайте ISACA: "Тренинги, проводимые для обучения работе со стандартным офисным программным обеспечением (напр. Microsoft Word или Excel и т.п.) не могут быть приняты для подтверждения CPE часов."
Для себя я планирую отчитываться, в первую очередь, по следующим пунктам:
- Teaching/lecturing/presenting. Я готовлю и читаю довольно много презентаций на конференциях и вебинарах, а также иногда веду курсы по управлению информационной безопасностью. За это дают максимум CPE. Так, например, за курс " Система менеджмента информационной безопасности на предприятии по ГОСТ Р ИСО/МЭК 27001–2006", который я читал в декабре 2014 года в Екатеринбурге, я отметил 65 часов CPE. Мне этого уже хватит на целый 2015 год...
Обратите внимание, что писать стоит только по-английски, русские буквы превратились в знаки "???".
Иногда еще буду отчитываться и по другим своим презентациям, многие из них я публикую в общем доступе на Slideshare.
- "Publication of articles, monographs and books". В год я обычно пишу порядка 5 больших статьей в журналы, за каждую из них можно получить примерно по 5 часов CPE. Вроде каких-то специфичных требований по "научности" статьей и формата журналов нет. Кстати, по формальным признакам и публикация постов в блог подпадает под возможность отчитываться за них, но проверять не буду.
- "Passing related professional examinations". В 2015 году может сдам CGEIT и CISSP, это если найду и выделю время на подготовку и сдачу...
Это 3 основных формата получения CPE, которые планирую использовать в первую очередь. Они дают много часов, а подтверждать их, в случае необходимости, не очень сложно.
Но, вот еще пару мыслей по остальным возможностям:
- ISACA professional education activities and meetings. Я обычно посещаю встречи московской группы ISACA. Они происходят не часто и много часов CPE не дадут, но при этом выдают бумажный сертификат и, вроде как, автоматически учитываются (не надо про них сдавать отчет).
- Non-ISACA professional education activities and meetings. На мой взгляд, не очень удобно подтверждать свое участие в них. Отчитываться по ним не планирую.
- Self-study courses. Удобно отчитываться только за официальные вебинары ISACA, вроде как, при регистрации и присутствии на них, длительность мероприятия автоматически прибавляется к часам CPE.
- Vendor sales/marketing presentations. Не очень удобно подтверждать свое участие в них. Отчитываться по ним не планирую.
- Exam question development and review. Не планирую заниматься данной деятельностью.
- Working on ISACA Boards/Committees. Не планирую заниматься данной деятельностью.
- Contributions to the information security profession. Публичные отчеты по работам делаю не всегда, поэтому будет сложно отчитываться, "забью".
- Mentoring. Можно смело указывать в своем отчете 10 часов (это максимум за год), называя это "консультациями в индивидуальном порядке по вопросам карьеры или подготовки к экзаменам" для своих коллег и друзей.
На мой взгляд, отчитываться по CPE не сложно: ISACA предоставляет много вариантов деятельности, за которую можно получить необходимые часы, требуемых часов не много (рекомендуют 40 в год), форма подачи информации удобна. При этом специалисты получают дополнительную мотивацию для развития своих знаний и навыков, что, на мой взгляд. очень хорошо!
Кстати, про подготовку и сдачу экзамена CISM я написал уже много заметок:
- Как я сдавал (и сдал) CISM. Часть 1: Третья попытка...
- Как я сдавал (и сдал) CISM. Часть 2: Подготовка и экзамен
- Как я сдавал (и сдал) CISM. Часть 3. Необходимый опыт
- Как я сдавал (и сдал) CISM. Часть 4. Форма подтверждения опыта
- Как я сдавал (и сдал) CISM. Часть 4.1 Еще про форму подтверждения опыта
- К ак я сдавал (и сдал) CISM. Часть 5. CPE
