CISSP et CISM : deux certifications, deux philosophies
Le CISSP (ISC2) et le CISM (ISACA) sont les deux certifications les plus citées dans les offres de poste de RSSI. Elles s'adressent au même public de professionnels expérimentés, mais ne valident pas la même chose.
Le CISSP couvre l'ensemble du spectre de la sécurité de l'information à travers 8 domaines : gestion des risques, sécurité des actifs, architecture, réseaux, gestion des identités, tests, opérations et sécurité du développement. On le décrit souvent comme « large d'un kilomètre et profond d'un centimètre » : il exige de comprendre la technique suffisamment pour prendre les bonnes décisions, sans être un spécialiste de chaque domaine.
Le CISM se concentre sur le management de la sécurité, en 4 domaines : gouvernance de la sécurité de l'information, gestion des risques, programme de sécurité et gestion des incidents. Il valide votre capacité à aligner la sécurité sur les objectifs de l'organisation, à piloter un programme et à rendre des comptes à la direction. La technique y est présente, mais toujours vue sous l'angle de la décision.
Quelle expérience faut-il pour le CISSP et le CISM ?
Les deux certifications exigent 5 ans d'expérience, mais avec des nuances importantes. Dans les deux cas, vous pouvez passer l'examen avant d'avoir toute l'expérience requise ; c'est l'obtention du titre qui en dépend.
- CISSP : 5 ans d'expérience professionnelle rémunérée et cumulée dans au moins 2 des 8 domaines. Une dispense d'un an est possible avec un diplôme de niveau bac+4/bac+5 ou une certification reconnue par ISC2.
- CISSP sans l'expérience : vous pouvez réussir l'examen et devenir « Associate of ISC2 », le temps d'acquérir les années manquantes.
- CISSP : un parrainage (endorsement) par un professionnel certifié ISC2 est demandé pour valider le dossier.
- CISM : 5 ans d'expérience en sécurité de l'information, dont une partie en management de la sécurité, sur plusieurs domaines du référentiel.
- CISM : l'expérience doit avoir été acquise dans les 10 ans précédant la demande, ou dans les 5 ans suivant la réussite à l'examen. Des dispenses limitées existent.
Format d'examen et renouvellement : ce qui change
Le CISSP en anglais se passe au format adaptatif (CAT) dans un centre Pearson VUE : 100 à 150 questions en 3 heures, avec un score de réussite de 700 sur 1000. Le test ajuste la difficulté à vos réponses et peut s'arrêter dès que votre niveau est établi, ce qui déroute beaucoup de candidats. L'examen CISM compte 150 questions à choix multiples en 4 heures, avec un score de réussite de 450 sur une échelle de 200 à 800, en centre agréé ou en ligne sous surveillance selon les options d'ISACA.
La difficulté n'est pas de même nature. Au CISSP, il faut naviguer entre 8 domaines très différents et répondre « en manager » à des questions parfois très techniques. Au CISM, le piège est de choisir la réponse techniquement juste plutôt que la réponse la plus alignée sur la gouvernance et les objectifs métier.
Côté maintenance, les deux fonctionnent sur un cycle de 3 ans avec 120 heures de formation continue (CPE) et une cotisation annuelle. ISACA impose en plus un minimum de 20 CPE par an pour le CISM. Les montants des cotisations sont fixés par chaque organisme et peuvent évoluer : vérifiez-les sur leur site officiel.
RSSI, DSI, consultant, auditeur : quelle certification pour quel rôle ?
Le bon choix dépend moins du prestige que de votre quotidien et de la direction que vous voulez prendre.
Un réflexe simple : relevez une dizaine d'offres d'emploi qui correspondent au poste que vous visez dans deux ou trois ans, au Maroc ou chez des employeurs internationaux, et notez la certification demandée. Certaines exigent explicitement le CISSP, d'autres le CISM, beaucoup acceptent « CISSP ou CISM ». Cette lecture vaut mieux que n'importe quel classement général, car elle reflète les attentes réelles de votre secteur.
- RSSI venant de la technique (réseau, système, SOC) : le CISSP valorise votre expertise tout en démontrant une vision transverse. Le CISM est un excellent second pas pour renforcer la dimension gouvernance.
- RSSI déjà centré sur la gouvernance et le reporting à la direction : le CISM correspond directement à votre rôle et parle le langage des comités de direction et des comités d'audit.
- DSI ou responsable informatique qui pilote la sécurité parmi d'autres sujets : le CISM est souvent le plus pertinent, car il traite de la sécurité comme un programme à piloter et à budgéter.
- Consultant en sécurité : le CISSP rassure les clients sur l'étendue de vos compétences ; le CISM est un atout pour les missions de gouvernance, de stratégie ou d'accompagnement de RSSI.
- Auditeur ou contrôleur interne : le CISM s'inscrit dans l'écosystème ISACA, déjà familier aux auditeurs (COBIT, CISA). À combiner avec ISO 27001 pour les audits de SMSI.
Le contexte marocain : loi 05-20, DNSSI et secteur bancaire
Au Maroc, le cadre réglementaire pousse les organisations à structurer leur gouvernance de la sécurité. La loi 05-20 relative à la cybersécurité, en vigueur depuis 2020, impose des obligations aux administrations de l'État, aux établissements publics et aux infrastructures d'importance vitale, sous la supervision de la DGSSI. La Directive nationale de la sécurité des systèmes d'information (DNSSI) fixe de son côté des règles minimales largement inspirées des normes ISO 27001 et 27002.
Dans le secteur financier, Bank Al-Maghrib attend des établissements qu'elle supervise une gestion rigoureuse des risques liés aux systèmes d'information, y compris la cybersécurité, avec une gouvernance claire et un reporting vers les organes de direction. S'y ajoute la protection des données personnelles encadrée par la loi 09-08 et la CNDP.
Ces exigences relèvent d'abord de la gouvernance, de la gestion des risques et de la conformité, terrain naturel du CISM. Le CISSP reste très apprécié pour les postes où le RSSI doit aussi arbitrer des choix d'architecture et dialoguer avec les équipes techniques. Dans les deux cas, une compétence ISO 27001 aide à traduire ces obligations en système de management concret.
Notre conseil : choisir selon votre trajectoire
Si vous venez de la technique et visez un premier poste de RSSI, commencez par le CISSP. Si vous êtes déjà en position de management, ou si votre environnement est très orienté conformité (banque, assurance, secteur public), le CISM est souvent plus direct. Beaucoup de RSSI finissent par détenir les deux, à quelques années d'intervalle.
GATech propose la préparation CISSP (5 jours, à partir de 23 900 MAD) et CISM (4 jours, à partir de 19 900 MAD), voucher d'examen inclus, ainsi que la formation ISO 27001 Lead Implementer pour compléter le volet conformité. Contactez-nous pour en discuter selon votre profil.
Questions fréquentes
Le CISSP est-il plus difficile que le CISM ?
Ils sont difficiles de façon différente. Le CISSP couvre 8 domaines, dont plusieurs très techniques, avec un examen adaptatif de 100 à 150 questions en 3 heures. Le CISM porte sur 4 domaines de management, mais ses 150 questions demandent de raisonner systématiquement en gouvernance et en risque métier.
Peut-on passer le CISSP ou le CISM sans 5 ans d'expérience ?
Oui, l'examen est ouvert à tous. Pour le CISSP, vous devenez « Associate of ISC2 » en attendant d'avoir l'expérience. Pour le CISM, l'expérience peut être acquise dans les 5 ans qui suivent la réussite à l'examen.
Quelle certification choisir pour travailler dans une banque au Maroc ?
Les deux sont bien reconnues. Pour un poste orienté gouvernance, risques et conformité, attentes fortes dans un secteur supervisé par Bank Al-Maghrib, le CISM est souvent le plus direct. Pour un RSSI qui encadre aussi l'architecture et les équipes techniques, le CISSP est très apprécié.
Les examens CISSP et CISM sont-ils disponibles en français ?
Le CISSP au format adaptatif se passe en anglais. ISACA propose le CISM dans plusieurs langues selon les périodes ; vérifiez les langues disponibles au moment de votre inscription. Dans tous les cas, une bonne lecture de l'anglais professionnel est recommandée.
Faut-il aussi une certification ISO 27001 quand on est RSSI ?
Ce n'est pas obligatoire, mais c'est un complément utile au Maroc, où la DNSSI s'inspire largement d'ISO 27001 et 27002. La certification ISO 27001 Lead Implementer apporte la méthode pour mettre en place un SMSI, là où CISSP et CISM valident la vision d'ensemble.
Équipe pédagogique GATech
Formateurs et consultants en cybersécurité qui préparent aux certifications CEH, OSCP+, CISSP, CompTIA et ISO 27001 au Maroc.
Publié le
