Siber güvenlik sertifikaları 2025: hangisi size uygun?
Cyberlord Ekibi Yazar profili
Aynı soruyu neredeyse her hafta duyuyoruz: "CISSP, CEH, OSCP, Security+ — hangisini almalıyım?" Bu soru yanlış cevaplandığında maliyeti yalnızca kafa karışıklığı olmuyor. Tanıdığım bir BT uzmanı, kâğıt üzerinde etkileyici görünen bir sertifikaya 5.000 dolar harcadı; altı ay sonra hedeflediği sızma testi rolünde bu yönetim odaklı belgenin ilanlarda neredeyse hiç geçmediğini fark etti.
Siber güvenlik sertifikaları söz konusu olduğunda evrensel bir "en iyi" yok. Doğru seçim; kariyer aşamanıza, hedeflediğiniz role ve uzmanlaşmak istediğiniz alana göre değişiyor. Bu rehber Security+, CEH, OSCP, CISSP, CISM ve CISA'yı maliyet, zorluk, sınav biçimi ve açtığı pozisyonlar açısından karşılaştırıyor; sonunda da gerçekçi bir yol haritası ve yatırım getirisi hesabı sunuyor.
Baştan net olalım: sertifika kapıyı açar, ama kapının ardında sizi ayakta tutan şey uygulamalı beceridir. Mülakatlarda hem duvarı belgeyle dolu olup temel bir kavramı açıklayamayan adaylarla hem de tek bir doğru sertifika ve dolu bir portföyle gelen adaylarla karşılaştık.
Sertifika neden hâlâ gerekli?
İşe alım süreçlerinin çoğu artık bir yazılımla başlıyor. İlan metninde belirli bir sertifika yazıyorsa, aday izleme sistemi özgeçmişi o anahtar kelimeye göre filtreliyor; belge yoksa dosyanız hiçbir insan tarafından görülmeyebilir. Kamu ve savunma sanayiinde durum daha katı: bazı rollerde sertifika tercih değil, sözleşme şartı.
İkinci neden maaş. Sektör araştırmaları, benzer işi yapan sertifikalı profesyonellerin sertifikasız meslektaşlarından yüzde 15-30 daha fazla kazandığını gösteriyor. Üçüncü neden ise deneyim açığı: sektöre yeni giren biri için sertifika, "temelleri biliyorum" demenin ölçülebilir yoludur.
Buna karşılık sertifika tek başına yetmez. Belge, işe alım uzmanının ilk filtresini geçirir; teknik mülakatı geçiren ise laboratuvarda harcadığınız saatlerdir.
Altı sertifika, tek bakışta
| Sertifika | Seviye | Sınav ücreti | Biçim | Hedef rol |
|---|---|---|---|---|
| CompTIA Security+ | Başlangıç | ~392 $ | 90 soru / 90 dk | BT ve güvenlik desteği, kamu |
| CEH | Orta | ~1.199 $ | 125 soru / 4 saat | SOC, uyum, savunma sanayii |
| CompTIA CySA+ | Orta | ~392 $ | 85 soru / 165 dk | SOC analisti, tehdit avcısı |
| CompTIA PenTest+ | Orta | ~392 $ | 85 soru / 165 dk | Sızma testi asistanı |
| OSCP | İleri | ~1.749 $ | 24 saat lab + 24 saat rapor | Sızma testi uzmanı, red team |
| CISSP | İleri | ~749 $ | 100-150 soru / 3 saat | Güvenlik mimarı, yönetici |
| CISM | İleri | ~575 $ | 150 soru / 4 saat | Güvenlik yöneticisi |
| CISA | İleri | ~575 $ | 150 soru / 4 saat | BT denetçisi, uyum |
Tabloda dikkat çeken bir ayrıntı var: en pahalı sınav en yüksek maaşı getirmiyor, en zor sınav da herkes için en iyi getiriyi sağlamıyor. Ücretler ülkeye ve üyelik durumuna göre değişiyor; CISM ve CISA, ISACA üyesi olmayanlar için yaklaşık 760 dolara çıkıyor.
Başlangıç seviyesi: Security+ ve CC
CompTIA Security+: herkesin önerdiği temel
Sektöre giren birine tek bir başlangıç noktası önerecek olsak, çoğu durumda bu Security+ olur. Sınav; ağ güvenliği, tehdit analizi, kimlik ve erişim yönetimi, kriptografi, risk yönetimi ve olay müdahalesi başlıklarını kapsıyor. Bunların hiçbiri soyut akademik konular değil; her güvenlik programının yapı taşları.
Resmî bir ön koşul yok. CompTIA, Network+ ve yaklaşık iki yıl BT deneyimi öneriyor ama bunlar zorunluluk değil. Üç yıllık geçerlilik için 36 sürekli eğitim kredisi (CEU) toplamanız gerekiyor. Kamu ve savunma sanayii ilanlarında sıkça aranan bu belge, ürün bağımsız olduğu için farklı teknoloji ortamlarında da geçerliliğini koruyor.
(ISC)² CC: sıfır bütçeyle başlangıç
Certified in Cybersecurity, ücretsiz sınavı ve ücretsiz eğitim materyaliyle sektöre girişi kolaylaştırmak için tasarlanmış bir belge. İçerik Security+ kadar geniş değil; güvenlik ilkeleri, iş sürekliliği, erişim kontrolü ve güvenlik operasyonlarının temellerini kapsıyor. Yıllık yenileme için 15 sürekli eğitim kredisi isteniyor.
Stratejik değeri, (ISC)² ekosistemine giriş kapısı olması. İleride CISSP hedefleyen biri için terminolojiye ve kurumun bakış açısına alışmak ciddi avantaj sağlıyor. Bütçesi hiç olmayan ya da alana ilgi duyup duymadığını ölçmek isteyen adaylar için doğru başlangıç.
Orta seviye: CEH, CySA+, PenTest+
CEH: tanınır ama tartışmalı
Certified Ethical Hacker, dünyada en çok bilinen saldırı odaklı sertifikalardan biri; aynı zamanda en çok tartışılanı. Müfredat tarama, numaralandırma, kötü amaçlı yazılım analizi, sosyal mühendislik, web uygulama açıkları ve kriptografi gibi yirmi alanı kapsıyor. Sınav 125 çoktan seçmeli sorudan oluşuyor ve dört saat sürüyor.
Tartışmanın nedeni teorik ağırlık: sınavı geçmek kavramları anladığınızı kanıtlıyor, canlı bir sistemde uygulayabildiğinizi değil. Yine de uyum gerektiren roller, kamu ihaleleri ve savunma sanayii için geçerli bir belge. Teknik sızma testi kariyeri hedefliyorsanız aynı bütçeyi OSCP'ye ayırmak daha verimli olabilir. İki yolun ayrıntılı kıyası için CEH ve sızma testi uzmanlığı karşılaştırması yazımıza bakabilirsiniz.
CySA+: SOC analistinin belgesi
CySA+, Security+ ile CISSP arasındaki boşluğu dolduruyor ve doğrudan güvenlik operasyon merkezinde yapılan işe odaklanıyor: tehdit ve zafiyet yönetimi, izleme, olay müdahalesi, uyum değerlendirmesi. Sınavda performans tabanlı sorular var; yani yalnızca doğru şıkkı tanımanız değil, bir görevi gerçekten yapmanız bekleniyor.
PenTest+: bütçe dostu ara adım
PenTest+ da performans tabanlı sorular içeriyor ve sızma testi sürecinin tamamını kapsıyor: kapsam belirleme, bilgi toplama, zafiyet taraması, raporlama ve müşteriyle iletişim. Sızma testi topluluğunda altın standart hâlâ OSCP; ancak bütçesi kısıtlı olan ya da bu alanın kendisine uygun olup olmadığını ölçmek isteyenler için PenTest+ makul bir ara adım.
İleri seviye: OSCP, CISSP, CISM, CISA
OSCP: uygulamalı sınavın standardı
Offensive Security Certified Professional, diğerlerinden temelden farklı. Sınavda çoktan seçmeli soru yok: 24 saat boyunca bir laboratuvar ortamındaki sistemler üzerinde çalışıyor, ardından 24 saat içinde profesyonel bir sızma testi raporu yazıyorsunuz. Geçme oranı yüzde 30-40 bandında ve deneyimli uzmanların bile ilk denemede kaldığı oluyor.
Belgenin süresi dolmuyor; bir kez alındığında kalıcı. Resmî ön koşul yok ama güçlü Linux bilgisi, ağ temelleri ve temel programlama olmadan süreç çok zorlaşıyor. Maaş etkisi belirgin: ABD pazarında OSCP sahipleri genellikle 120-160 bin dolar bandında konumlanıyor ve birçok sızma testi ilanı bu belgeyi açıkça arıyor. Bu etkinin ayrıntısı için etik hacker maaş rehberi yazımız faydalı olacak.
CISSP: yönetim ve mimari kapısı
CISSP, iş ilanlarında en çok talep edilen siber güvenlik belgelerinden biri. Sekiz alanı kapsıyor ve bilinçli olarak geniş tutulmuş: güvenlik ve risk yönetimi, varlık güvenliği, mimari ve mühendislik, iletişim ve ağ güvenliği, kimlik yönetimi, güvenlik değerlendirmesi, operasyonlar ve yazılım geliştirme güvenliği.
Ön koşul ciddi: sekiz alanın en az ikisinde beş yıl ücretli deneyim. Dört yıllık bir diplomayla bir yıl deneyim yerine sayılabiliyor. Sınav uyarlamalı; yani zorluk, verdiğiniz yanıtlara göre değişiyor. Üç yılda bir 120 sürekli eğitim kredisiyle yenileniyor. CISSP, güvenliği taktik kontroller listesi olarak değil, işle uyumlu bir strateji olarak görebildiğinizi gösterir.
CISM: güvenlik yönetimine odaklı
ISACA'nın CISM belgesi dört alandan oluşuyor ve her alanın adında yönetim geçiyor: yönetişim, risk yönetimi, program yönetimi ve olay yönetimi. Ön koşul beş yıl bilgi güvenliği deneyimi, bunun en az üç yılı yönetim alanında. Yıllık 20 krediyle yenileniyor.
CISSP ile CISM arasındaki seçim genellikle kariyer niyetine bağlı. CISSP daha geniş ve daha teknik; mimari ve karma rollerde esneklik sağlıyor. CISM ise doğrudan güvenlik yönetiminde kalmak isteyenler için daha keskin. Kıdemli profesyonellerin çoğu ikisini birlikte taşıyor.
CISA: denetim uzmanlığı
CISA, BT denetimi yapanlar için hazırlanmış bir belge; beş alanı denetim süreci, BT yönetişimi, sistem edinimi, operasyonlar ve bilgi varlıklarının korunması üzerine kurulu. Beş yıl denetim, kontrol veya güvenlik deneyimi isteniyor.
Buradaki kritik nokta uzmanlaşma: denetim, uyum veya risk değerlendirme kariyeri hedefliyorsanız CISA güçlü bir yatırım. Hedefiniz sızma testi ya da SOC ise aynı parayı başka bir belgeye ayırmak daha mantıklı.
Dört rota, dört sıra
Sertifikaları koleksiyon gibi toplamak yerine ilerleme olarak düşünmek gerekiyor. Dört yaygın rota şöyle:
- SOC analistinden güvenlik mühendisliğine: Security+ → 1-2 yıl SOC deneyimi → CySA+ → 2-3 yıl saha çalışması → CISSP. Toplam üç-beş yıl.
- Sızma testinden red team liderliğine: Security+ → isteğe bağlı CEH → OSCP → birkaç yıl saha deneyimi → ileri uzmanlık belgeleri. Dört-altı yıl.
- BT'den CISO'ya: Security+ → çeşitli güvenlik rollerinde deneyim → CISSP → CISM. Beş-sekiz yıl.
- Bulut mühendisliğinden bulut güvenlik mimarisine: Security+ → bulut platformu deneyimi → CISSP → CCSP. Beş-yedi yıl.
Ortak nokta şu: hiçbir rota doğrudan ileri seviyeyle başlamıyor. Önce temel, sonra deneyim, sonra uzmanlaşma.
Yatırım getirisi nasıl hesaplanır
Somut bir örnek: BT destek uzmanı olarak 65 bin dolarla başlayan biri, ilk yıl Security+ alıp 85 bin dolarlık SOC pozisyonuna geçiyor. Üçüncü yılda CySA+ ile 110 bine, altıncı yılda CISSP ile 145 bin dolara ulaşıyor. Sertifikalara toplamda yaklaşık 1.500 dolar harcamış oluyor; yıllık gelir artışı 80 bin dolar.
Bu hesabın çalışması tamamen sıralamaya bağlı. Aynı kişi CISA gibi alakasız bir belgeye yönelseydi ya da rastgele sertifika toplasaydı sonuç çok farklı olurdu. İyi getiri sağlayan belgelerin ortak özellikleri var: hedef rolle örtüşüyor, hedef sektörde tanınıyor, mevcut deneyimin üzerine biniyor ve daha yüksek ücretli bir pozisyonun kapısını açıyor.
Sektöre hiç deneyimi olmadan girenler için tablo daha karmaşık; üniversite diplomasının bu denklemdeki yerini siber güvenlik için diploma gerekli mi yazımızda ayrıca ele aldık.
En sık yapılan beş hata
- Yanlış sıra. Beş yıl deneyim olmadan CISSP'ye başvurmak ya da temel olmadan ileri seviye sınava girmek hem reddedilmeyle hem gereksiz stresle sonuçlanıyor.
- Popülerliğe göre seçim. CEH yaygın, ama sızma testi hedefliyorsanız OSCP daha değerli. CISSP tanınıyor, ama tek hedefiniz denetimse CISA daha isabetli.
- Beceri olmadan belge. Sertifika kapıyı açar, beceri açık tutar. Laboratuvar, CTF ve gerçek projeler olmadan belge yığını mülakatta çöküyor.
- Yenilemeyi unutmak. Üç yıllık döngü ve kredi şartları takip edilmezse belge sessizce geçersizleşiyor. Baştan bir takvim kurun.
- Gereksiz eğitime fazla ödemek. Başlangıç seviyesi bir sınav için 5.000 dolarlık kamp, kitapla geçilebilecek bir sınavda çoğu zaman gereksiz. Kamp yatırımı OSCP gibi zor sınavlarda daha anlamlı.
Sonuç
Siber güvenlik sertifikaları 2025'te hâlâ kariyer için güçlü bir araç; ama yalnızca doğru seçildiğinde ve gerçek beceriyle birleştiğinde. Yeni başlıyorsanız ücretsiz CC ya da Security+ ile başlayın. Sızma testi hedefliyorsanız rotayı OSCP'ye kurun. Yönetim hattındaysanız CISSP, ardından CISM. Bulut ağırlıklı bir ortamdaysanız CCSP, denetimdeyseniz CISA.
Kuruluşunuz için güvenlik ekibi kuruyor ya da mevcut ekibin yetkinlik haritasını çıkarmak istiyorsanız Cyberlord ile iletişime geçin: hangi rolün hangi yetkinliği gerektirdiğini birlikte netleştirip eğitim ve test planını yazılı kapsamla eşleştiriyoruz.
Sık sorulan sorular
İlk hangi sertifikayı almalıyım? Çoğu kişi için Security+ doğru başlangıç: ön koşulu yok, ücreti görece düşük ve kamu ile savunma sanayii ilanlarında geçerli. Bütçe hiç yoksa ücretsiz CC ile başlayıp ardından Security+ eklemek mantıklı bir sıra.
OSCP, CISSP'den daha mı zor? Teknik zorluk açısından evet. OSCP 24 saatlik uygulamalı laboratuvar ve 24 saatlik raporlama istiyor, geçme oranı yüzde 30-40 bandında. CISSP ise üç saatlik uyarlamalı bir sınav; ancak beş yıllık deneyim şartı ve sekiz alanın genişliği farklı bir zorluk yaratıyor. Biri uygulamayı, diğeri yönetim perspektifini ölçüyor.
Sertifikasız siber güvenlik işi bulunur mu? Bulunur, ama giriş seviyesinde belirgin biçimde daha zor. Bu durumda portföy, CTF katılımı, açık kaynak projeler ve referanslar açığı kapatıyor. Kamu ve savunma sanayii rollerinde ise belirli sertifikalar sözleşme şartı olduğu için alternatif kalmıyor.