הסמכות סייבר: CISSP, CEH ו-OSCP - מה ההבדל

שלוש ההסמכות המדוברות בסייבר אינן שלוש רמות של אותו דבר. הן בודקות שלושה דברים שונים לחלוטין: CISSP בודקת רוחב ניהולי, CEH בודקת ידע, ו-OSCP בודקת אם אתם מסוגלים לפרוץ בפועל. בחירה לא נכונה ביניהן היא בזבוז של חודשים.

שמות ההסמכות והמבנה שלהן נבדקו מול אתרי הגופים המסמיכים בספטמבר 2026. תוכניות הסמכה משתנות - בדקו את הפרטים המחייבים, ובכללם עלות ותוקף, באתר הגוף עצמו לפני שנרשמים.

מה כל אחת בודקת

הסמכה	מה נבדק	פורמט	מתאימה ל
CISSP (ISC2)	רוחב ניהולי על פני שמונה תחומי אבטחה	בחינה ממוחשבת	מנהלי אבטחה, ארכיטקטים, GRC
CEH (EC-Council)	ידע על כלים ושיטות תקיפה	שאלות רב-ברירתיות	תפקידי הגנה, SOC, דרישות מכרז
OSCP (OffSec)	יכולת מעשית לפרוץ מערכות	מעבדה מעשית בת 24 שעות	בודקי חדירות, צוות אדום

העמודה השלישית היא ההבדל האמיתי. OSCP היא הסמכה שבה יושבים מול מעבדה ומוכיחים השתלטות על מכונות עם הגשת ממצאים - זו בחינה שאי אפשר לשנן אליה. CEH, לעומתה, בודקת ידע על התחום, וזו הסיבה שהיא מוערכת אחרת בקהילה המקצועית.

CISSP: מה השתנה ב-2026

CISSP דורשת חמש שנות ניסיון מצטבר בשניים לפחות משמונת תחומי הידע שלה. מי שעובר את הבחינה בלי הניסיון מקבל מעמד Associate ומקבל חלון זמן לצבור אותו - מסלול לגיטימי שהרבה אנשים לא מכירים.

השינוי החשוב: מאפריל 2026 הוסרו מרשימת ההסמכות המקנות פטור משנת ניסיון כמה הסמכות מוכרות, ובהן CEH, CISA, CRISC ו-OSCP. הסמכות שנשארו ברשימה כוללות בין היתר את CompTIA Security+ ואת ISACA CISM.

המשמעות המעשית: מי שבנה תוכנית שנשענת על הסמכה קיימת כקיצור דרך צריך לבדוק מחדש אם היא עדיין מוכרת. זה בדיוק סוג הפרט שמשתנה בשקט וממשיך להופיע במדריכים ישנים, ולכן האתר הרשמי של ISC2 הוא המקור היחיד שאפשר לסמוך עליו כאן.

איזו מהן שווה בשוק הישראלי?

התשובה תלויה בסוג המעסיק, וזה מה שרוב המדריכים מפספסים.

בחברות מוצר סייבר - והן הרוב בישראל - הסמכות פורמליות משקלן נמוך יחסית. מה שנבדק הוא מה שעשיתם: מחקר, כלים שבניתם, ממצאים שפרסמתם. OSCP בולטת שם יותר מהשתיים האחרות, כי היא הוכחת יכולת ולא תעודה.

בארגונים גדולים ובגופים מפוקחים - בנקים, ביטוח, גופים ציבוריים - התמונה הפוכה. שם CISSP נחשבת ולעיתים מופיעה כדרישה, כי היא מדברת בשפה של ממשל, סיכון וציות.

בחברות שירות ובמכרזים CEH מופיעה לא פעם כדרישה פורמלית. היא לא תרשים חוקר, אבל היא כן פותחת דלת במקומות שבהם מישהו צריך לסמן תיבה.

לסדר גודל: בלוח שלנו פתוחות כרגע 28 משרות בקטגוריית אבטחה ו-18 משרות שנושאות את תגית הסייבר. התמונה המלאה נמצאת בכמה משרות סייבר פתוחות בישראל.

מה שהסמכה לא תפתור בסייבר

• את היעדר הניסיון. התחום מוטה לדרג בכיר בצורה חדה, ותעודה לא משנה את זה.
• את הצורך לדעת לתכנת. חוקר שלא כותב קוד מוגבל; 365 משרות בלוח מזכירות Python.
• את חוסר ההיכרות עם מערכות. קשה להגן על מה שלא מבינים; 91 משרות מזכירות Linux.
• את שאלת הכניסה. הדרך פנימה עוברת לרוב דרך SOC, IT או תפקיד לא-אבטחתי בחברת סייבר.
• את הראיון. בראיון סייבר מבקשים לתאר תקיפה או תחקיר, לא לצטט הגדרות.

הרחבנו על נקודות הכניסה במאמר על כניסה לסייבר בלי ניסיון, ועל המסלול ההתקפי בקריירה כבודק חדירות.

איך בוחרים בלי לבזבז שנה

שאלה אחת מסדרת את הכל: לאיזה סוג ארגון אתם מכוונים בשנתיים הקרובות. מי שמכוון לחברת מוצר יבחר בהוכחת יכולת מעשית; מי שמכוון לארגון פיננסי או ציבורי יבחר בהסמכה הניהולית; ומי שצריך לעבור סינון פורמלי יבחר בזו שמופיעה במודעות שהוא רואה.

שווה גם לבדוק את הסדר. אנשים רבים מתחילים בהסמכה ניהולית לפני שצברו ניסיון, ומגלים שהם מחזיקים מעמד Associate בלי תפקיד. הסדר ההפוך - ניסיון קודם, הסמכה אחר כך - עובד טוב יותר כמעט תמיד.

שאלות נפוצות

איזו הסמכה שווה למי שמתחיל לגמרי?

אף אחת משלוש אלה. שלושתן מניחות בסיס קיים. מי שמתחיל צריך קודם יסודות ברשתות, במערכות הפעלה ובסקריפטינג, ורק אז לבחור כיוון. הסמכות כניסה קיימות בשוק, אך הן אינן תחליף ליסודות.

האם OSCP באמת קשה כמו שאומרים?

היא בחינה מעשית ארוכה מול מעבדה, וזה סוג מאמץ שונה מבחינה תיאורטית. הקושי אינו בידע נדיר אלא בעמידה בזמן, בתיעוד ובשיטתיות תחת לחץ. מי שלא תרגל מעבדות לפני, יתקשה.

האם CISSP מתאימה למי שרק רוצה להיכנס?

לא. דרישת הניסיון היא חמש שנים, ומסלול ה-Associate נועד למי שכבר בדרך ולא כתחליף לניסיון. מי שמכוון אליה בתחילת הדרך בדרך כלל מכוון לתחום הלא נכון עבורו.

מי משלם על ההסמכות האלה?

בארגונים גדולים לעיתים קרובות המעסיק, ובסטארטאפים פחות. זו שאלה שכדאי לשאול בראיון, במיוחד בהסמכות שדורשות חידוש תקופתי ותשלום שוטף.

האם הסמכה מחליפה תואר בסייבר?

היא ממלאת חלק מהתפקיד, בעיקר בסינון הראשוני. שימו לב שרוב המודעות בלוח אינן מזכירות תואר בכתב, ולכן החסם האמיתי הוא בדרך כלל ניסיון ולא השכלה פורמלית.