I løpet av samme år lanserte ISACA en ny sertifisering for styring av sikkerhetsrisiko knyttet til KI, GIAC publiserte fire nye sertifiseringer for KI-sikkerhetsarbeid, og CompTIA begynte å revidere sin viktigste eksamen på inngangsnivå for å legge til KI-innhold. Det er ingen tilfeldighet; det er en sertifiseringsbransje som synlig reagerer på et felt som stadig beveger seg under den. Denne artikkelen ser på hva disse sertifiseringene faktisk tester, hvilket grunnlag som finnes for hvor raskt kunnskapen bak dem foreldes, hva offentlige data sier om verdien deres, og hva folk gjør i stedet for eller ved siden av dem — uten å anbefale for eller mot noe bestemt betalt produkt.
Bakgrunn
Inngangsnivået i cybersikkerhetssertifisering er eldre enn den nåværende bølgen av KI-spesifikke sertifiseringer og utgjør fortsatt grunnlaget de fleste av dem bygger på. ISC2s sertifisering på inngangsnivå (CC) forutsetter ingen arbeidserfaring og dekker fem domener: sikkerhetsprinsipper, sikkerhetsstyring, identitets- og tilgangsstyring, begreper innen nettverks- og skysikkerhet, samt sikkerhetsdrift og hendelseshåndtering [3]. CompTIAs Security+ forbereder kandidater til roller som sikkerhetsanalytiker, sikkerhetsingeniør og systemadministrator, og CompTIA har opplyst at neste versjon, Security+ V8, som lanseres 17. november 2026, vil legge til «expanded coverage of areas such as AI-related risks, security operations, and modern environments» i den eksisterende eksamenen [4].
Oppå dette grunnlaget kom KI-spesifikke sertifiseringer raskt og fra flere retninger. ISACAs Advanced in AI Security Management (AAISM), som organisasjonen beskriver som den første KI-sentrerte sertifiseringen for sikkerhetsledelse, krever at kandidatene allerede har en aktiv CISM-, CISM-tilsvarende eller CISSP-sertifisering før registrering, og tester tre domener: AI Governance and Program Management, AI Risk Management og AI Technologies and Controls, til en pris av $459 for medlemmer og $599 for ikke-medlemmer, pluss et søknadsgebyr på $50 ved bestått eksamen [1]. GIAC la på sin side fire KI-spesifikke sertifiseringer til katalogen: AI Security Automation Engineer (GASAE, knyttet til SANS-kurset SEC598), AI Platform Security (GAIPS, knyttet til SEC545), Offensive AI Analyst (GOAA, knyttet til SEC535) og AI Penetration Tester (GAIPT, knyttet til SEC536), som alle testes med GIACs praktiske CyberLive-format i stedet for ren gjengivelse av kunnskap [2].
Grunnlag
Hva disse sertifiseringene tester, er bevisst forskjellig, og forskjellen har betydning for hvordan de eldes. AAISMs tre domener gjelder prosess- og styringsarbeid — programledelse, risikostyring, teknologiske kontrolltiltak — den typen struktur som bare endres når en organisasjons overordnede tilnærming til risiko endres, ikke hver gang en ny modell lanseres [1]. GIACs fire KI-sertifiseringer testes derimot praktisk mot et levende miljø, og hver er knyttet til et bestemt, navngitt SANS-kurs snarere enn en generell kunnskapsmasse, noe som betyr at sertifiseringsorganet har koblet sertifiseringens aktualitet til hvor ofte det reviderer det ene kurset [2].
Det finnes direkte belegg, fra standardiseringsorganene selv, for at det underliggende stoffet beveger seg raskt nok til å kreve revisjon med korte mellomrom. NIST publiserte sitt AI Risk Management Framework i januar 2023, fant det deretter nødvendig å legge til en Generative AI Profile i juli 2024, og har en ytterligere Critical Infrastructure Profile planlagt til april 2026 — tre separate publikasjoner på omtrent tre år for et dokument som skal beskrive en stabil struktur for risikostyring [5]. MITRE ATLAS publiseres slett ikke som et fast dokument: Innholdet versjoneres etter et skjema med år, måned og revisjon, atskilt fra formatversjonen til de underliggende datafilene, nettopp fordi katalogen over teknikker og casestudier stadig vokser [6]. OWASPs Top 10 for LLM Applications vedlikeholdes på samme måte, som en levende, versjonert liste — den gjeldende utgaven navngir ti kategorier, fra promptinjeksjon til ubegrenset forbruk — snarere enn et dokument som publiseres én gang og deretter blir liggende [7].
Når det gjelder hva en sertifisering er verdt i lønn, er den eneste innhentede kilden med konkrete tall generell snarere enn KI-spesifikk: ISC2s globale data fra 2024 plasserte gjennomsnittslønnene i hele sertifiseringsporteføljen mellom $94,948 for SSCP og $119,577 for CISSP, uten noen inndeling etter KI-spesialisering [10]. ISACAs undersøkelse State of Cybersecurity 2025 oppgir, i det omfanget som er offentlig synlig på rapportsiden, at den dekker «a high demand for technical skills» sammen med mangler i mykere ferdigheter, og KIs innvirkning på «attack vectors, defense strategies and policy development» blant nesten 4 000 fagfolk som deltok; den fullstendige rapporten krever registrering, så denne artikkelen siterer bare det oppgitte omfanget, ikke noe funn om sertifiseringer spesifikt [11].
Analyse
Sett i sammenheng er den nyeste bølgen av KI-sikkerhetssertifiseringer ikke bygget slik en statisk eksamen basert på pugging og gjengivelse ville vært, og det ser ut som et direkte svar på problemet denne artikkelen undersøker. AAISM tester en styringsprosess som endres over år, ikke måneder, fordi en organisasjons risikostruktur er mer varig enn noen enkelt modell eller verktøy [1]. GIACs fire KI-sertifiseringer aksepterer i stedet at verktøyene endres hele tiden, og tester aktuell, praktisk ferdighet mot et levende miljø i stedet for faste fakta. Det holder sertifiseringen meningsfull i testøyeblikket, men skyver aldringsproblemet over på sertifiseringsorganet, som må fortsette å revidere det underliggende kurset for å holde eksamenen aktuell [2]. Ingen av tilnærmingene får kunnskapen til å stå stille; hver av dem er en annen, forsvarlig måte å håndtere at den ikke gjør det. At NIST selv måtte legge en Generative AI Profile til sitt AI RMF innen atten måneder etter publisering, og at MITRE ATLAS valgte å versjonere innholdet etter en tidsplan på månedsnivå i stedet for å publisere det én gang, er begge i realiteten innrømmelser fra myndigheter og standardiseringsorganer om at et fast øyeblikksbilde av dette stoffet raskt blir utdatert [5] [6].
Det er argumentet for å behandle en sertifisering som én innsatsfaktor snarere enn hele svaret, og flere alternativer finnes ved siden av den, hver med en reell avveining snarere enn en klar seier. En portefølje eller en historikk med bidrag til åpen kildekode viser aktuell, spesifikk kompetanse direkte, men har ingen ekstern verifisering og intet standardformat en arbeidsgiver kan sammenligne på tvers av kandidater. Publiserte gjennomganger og forskning har den samme avveiningen i skarpere form: genuint aktuelt og åpent for alle, helt uten portvoktere, noe som er en styrke for hastighet og en svakhet for verifisering. Konkurransepreget øving ligger mellom de to: Carnegie Mellon Universitys CyLab Security Academy driver picoCTF, en gratis plattform hvis omfang nå strekker seg «from basic security fundamentals to advanced areas such as AI security», og CTFtime vedlikeholder et kontinuerlig oppdatert arkiv over konkurranser og lagrangeringer i stedet for en fast eksamensdato, så en CTF-historikk er per konstruksjon nærmere «hva denne personen kan gjøre mot dagens oppgaver» enn en sertifisering oppnådd på ett tidspunkt [8] [9]. Avveiningen er reell: CTF-deltakelse favoriserer folk som har tid til å konkurrere utenom jobben, formatet passer langt bedre for offensive og tekniske roller enn for styringsrettede, og i motsetning til en sertifisering samsvarer den ikke med noen arbeidsgivers formelle sjekkliste for ansettelse.
| Tilnærming | Hva den verifiserer | Hvordan den eldes | Passer best for |
|---|---|---|---|
| Styringsrettet sertifisering (f.eks. AAISM) | Kunnskap om prosesser, retningslinjer og risikostyring | Langsomt — knyttet til organisasjonens risikostruktur, ikke til et bestemt verktøy | Ledelses- og etterlevelsesspor [1] |
| Praktisk sertifisering testet i levende miljø (f.eks. GIACs KI-sertifiseringer) | Aktuell ferdighet mot et levende miljø | Like raskt som verktøyene — krever at utstederen reviderer kurset | Fagfolk som spesialiserer seg innen ett teknisk område [2] |
| CTF-er (picoCTF, CTFtime) | Påvist, aktuell problemløsningsevne | Kontinuerlig — selve oppgavesettet endres | Tekniske roller med offensiv tyngde [8] [9] |
| Portefølje / bidrag til åpen kildekode | Konkret arbeid som kan inspiseres | Like aktuell som siste bidrag | Alle som kan vise, ikke bare påstå, nylig arbeid |
Anbefalinger
- Ny i feltet: Bygg først et felles vokabular, enten gjennom en sertifisering på inngangsnivå som ISC2s CC eller CompTIA Security+, eller gjennom et tilsvarende gratis kurs som FireAI Universitys Foundations of cybersecurity; en KI-spesialisering bygger på dette, den erstatter det ikke [3] [4].
- Legge til en KI-spesialisering som praktiker: Vei en praktisk sertifisering testet i levende miljø mot gratis, kontinuerlig oppdatert øving — picoCTFs moduler om KI-sikkerhet og en aktiv CTFtime-historikk — ut fra om en bestemt arbeidsgiver trenger sertifiseringen på CV-en eller bare ferdigheten den gir [2] [8] [9].
- På vei mot styring eller ledelse: En sertifisering bygget på prosess, med eksisterende CISM eller CISSP som forutsetning, eldes gjerne langsommere enn en verktøyspesifikk sertifisering, fordi den tester en struktur — NISTs funksjoner Govern, Map, Measure og Manage — snarere enn et øyeblikksbilde av dagens verktøy; FireAI Universitys Threat modelling and risk dekker den samme tankegangen uten eksamensavgift [1] [5].
- Vurdering av en bestemt betalt sertifisering: Undersøk hvem som utsteder den, hvilke forkunnskapskrav den har, om den testes praktisk mot et levende miljø eller ved ren gjengivelse, og når innholdet sist ble revidert, før du godtar påstandene på en markedsføringsside som svaret.
- På alle stadier bør du følge feltet gjennom materiale som oppdateres kontinuerlig — casestudiene i MITRE ATLAS, OWASPs versjonerte Top 10 eller en løpende forskningslogg som FireAI Radar — i stedet for å behandle én sertifisering, når den først er oppnådd, som et ferdig svar [6] [7].
Begrensninger
ISACAs rapport State of Cybersecurity 2025 var ikke tilgjengelig uten registrering som medlem; denne artikkelen siterer bare omfanget som er offentlig oppgitt på rapportsiden, ikke funnene, og fremsetter ingen påstand om hva rapporten konkluderer med om sertifiseringer spesifikt [11]. ISC2s lønnstall er fra mai 2024, dekker hele sertifiseringsporteføljen og er ikke spesifikke for KI-sikkerhetsroller; ingen kilde som er brukt i denne artikkelen, gir lønnsdata spesifikt for KI-sikkerhet [10]. Denne artikkelen vurderer ikke vanskelighetsgrad, beståttprosent eller eksamenskvalitet for noen av sertifiseringene som nevnes, siden ingen innhentet kilde ga slike data. GIACs fire KI-sertifiseringer beskrives her ut fra leverandørens egen katalogside som nylig tilgjengelige; i arbeidet med denne artikkelen er ingen eksamen tatt, og artikkelen kan ikke si noe om hvor raskt innholdet vil bli revidert framover, bare om det praktiske formatet de bruker i dag [2]. Om en bestemt sertifisering er verdt kostnaden for en gitt person, avhenger av arbeidsgiver, region og rolle, og ingen av kildene som siteres her, tallfester dette. Artikkelen rangerer eller anbefaler bevisst ingen bestemt betalt sertifisering.
Hvor FireAI og HisnLabs kommer inn
Ingenting her er et argument for eller mot noen betalt sertifisering; FireAI er en brannmur, ikke en opplæringstilbyder, og den ærlige måten å holde tritt med et så raskt felt på er den samme som artikkelen anbefaler alle andre: øving, publisert referansemateriale og en løpende oversikt over hva som faktisk endrer seg.
FireAI er HisnLabs’ eget produkt: en KI-brannmur som kjører direkte på Macen. Den viser hver tilkobling appene dine gjør, i klart språk, og lar deg bestemme hva som forlater Macen din — KI-en kjører lokalt, så trafikken din sendes aldri til oss eller noen andre. HisnLabs’ sikkerhetsforskningsteam er de som holder disse vurderingene pålitelige: de katalogiserer hvilke domener som er vanlig telemetri og hvilke som er en ekte tjeneste, sporer landet og nettverket bak en tilkobling, og trener den lokale modellen (FireAI Pilot-funksjonen) på ekte trafikkmønstre — uten at noe av det forlater Macen din.
Du kan lese om de tekniske valgene bak, eller prøve FireAI i 17 dager, på FireAI, fra HisnLabs.