CISSP取得時も今も、CPE関連の情報が不足している気がする。取得後そろそろ2年を迎えようとしているのでCPEを申請してみた。
自分なりに感じるポイントは以下の通り。
・グループAクレジットを頑張って稼ぐ
グループAクレジット
CBK10ドメインに直結する活動
グループBクレジット
CBK10ドメインと直接の関連はない活動。講演や管理職研修などCISSPの価値を高めると考えられるもの
グループAが最低80以上ないと継続が認められない。
・バランスよく
必須ではないが、10ドメインのうち6つ以上の分野でCPEを申請することがのぞましいとある。
・早めに動く
3年の期限切れ直前にバタバタやると監査に引っかかる可能性があがる気がする。自分が監査する立場なら、確実に駆け込みでCPEを登録した人を重点的に監査する。早めに120CPE取得してしまおう。
・頑張り過ぎない
120 CPEというと遠い道のりのように聞こえるが、セキュリティの分野で仕事をしている人であれば、さほど意識しなくてもAクレジットを稼げると思う。上の「早めに動く」と矛盾するが取得直後からいろいろと心配してCPE取得を心がける必要はない。ましてCPEが取れるセミナーに無理していく必要はないと思う。
・証拠は残す
申請後1年間は監査が行われる可能性があるらしい。証拠（受講票など？）は捨てないでとっておこう。
・仕上げはギリギリに
たとえば今のCPEクレジットが118だったとする。8 CPE取得可能なセミナー行ったら、そのCPEの登録は3年のサイクルの最後の半年に行う。そうすることで余分にとった6 CPEが翌サイクルに繰り越せる。
・考えすぎない
(ISC)2JapanのCPE取得の方法のページは明らかに記述が古い。セミナーのDVDを見た前提で18 CPEも取得できるのは、まぁよいとして、なぜ特定少数の雑誌の定期購読でCPE獲得が可能なのか私には理解できない。
Webサイトによると(ISC)2サーベイへの協力はBクレジットと書いてあるが、実際にはAクレジットがついていたりする。 また、たとえばブログにセキュリティについて書いた場合は"publish a security article"に入るのか？あるいは映画"ファイヤーウォール"を見に行ったら2 CPEもらえるのかｗなど疑問は尽きない。
疑問は尽きないが、気にしてはいけない。気にしたら負けだ。とりあえず登録して監査に引っかかったらそこで考えよう。「そういう考え方はセキュリティのプロとして如何なものか？」という謗りは甘んじて受けるが、もともと(ISC)2のオペレーションはとってもアメリカン(≒あまあま、ガタガタ）なので、私一人が言ったところでどうなるものでもない。
最後は愚痴っぽくなったけど、私のCPEポートフォリオを以下に紹介して終わりたい。
日経ネットワーク 1年定期購読： 5クレジット
定期購読Trusted CPEクレジット付与対象雑誌というのは厳密に決まっているので以下URL参照
https://www.isc2.org/japan/trustedCPE_mag.html
CISSP フォーラム参加: 4 CPE
ISC2 Japanが主催するCISSP取得者のためのイベント。だいたい年に1回は開催されている感じ。偉い人のお話はだいたい1回につき2時間程度。というわけでこのイベントについて4CPE申請した。
セミナー参加： 70 CPE
仕事の都合上この半年はセキュリティ系のセミナーに参加することが非常に多く、これだけで合計したら70CPEに達した。かなり稀なケースだと思う。
試験官： 8 CPE
CISSP試験の試験官を務めると自動的に付与される。試験時間だけで6時間、準備や後片付けがあるので完全に1日拘束される仕事。それで8CPEはつらい。
本に寄稿： 10 CPE
たまたま本にセキュリティ記事を寄稿する機会があったので、その分を"published a security article"として申請。
アンケート回答： 5 CPE
"CISSP Job Analysis 2005 Online Survey"など不定期にアンケート調査が行われている。拘束時間に対するCPE取得の効率は高い。
東京大学CCR情報セキュリティコミュニティ入会： 18 CPE
会費は年間1万円だが、入会するとシンポジウムの講演内容の入ったDVDが送られてくる。
このDVDを見たという前提で18CPEが付与される。
参考：
https://www.isc2.org/download/CISSP%20Recertification%20Guidelines.pdf
