El formato CAT del examen CISSP, explicado pregunta a pregunta

El examen CISSP consiste en un test adaptativo informatizado —CAT, por Computerized Adaptive Testing—. En concreto: no se recibe una lista de preguntas fijada de antemano, sino una serie de preguntas elegidas sobre la marcha en función de las respuestas anteriores. Desde el 15 de abril de 2024, esa serie consta de 100 a 150 preguntas, que hay que resolver en 3 horas como máximo. Antes de esa fecha, el formato era de 125 a 175 preguntas en 4 horas: una parte importante de los testimonios disponibles en línea describe, por tanto, un examen que ya no existe.

Estas referencias proceden de testimonios de candidatos, de agosto de 2023 a julio de 2026 (nuestro método); la norma oficial está en isc2.org.

¿Qué es el formato CAT del examen CISSP?

Un CAT no busca que responda al mayor número posible de preguntas: busca estimar su nivel con suficiente certeza para decidir. Cada respuesta afina esa estimación, y la pregunta siguiente se elige para reducir la incertidumbre restante.

El principio básico

Un candidato resume la mecánica en octubre de 2024, en el relato más citado sobre el tema:

«At the beginning of the test, the CAT presents a question of medium difficulty. [...] If they answer correctly, the next question will be more challenging; if they answer incorrectly, the next question will be easier.» («Al principio del test, el CAT presenta una pregunta de dificultad media. [...] Si el candidato responde correctamente, la pregunta siguiente será más difícil; si responde mal, será más fácil.»)

Consecuencia directa: un candidato que acierta ve cómo su examen se vuelve cada vez más duro. La dificultad percibida no es, por tanto, una mala señal, sino el funcionamiento normal del dispositivo.

Lo que el CAT no es

No es un cuestionario lineal que se recorre a su ritmo. Ningún candidato menciona la posibilidad de volver a una pregunta ya validada, y el consejo que más se repite es pasar página: «forgot about every question everytime I pressed next» («olvidaba cada pregunta en cuanto pulsaba siguiente»). Esta imposibilidad de volver atrás cambia la forma de tratar cada enunciado, algo que se detalla en el método para responder a una pregunta CISSP.

¿Cuántas preguntas y cuánto tiempo desde abril de 2024?

Periodo	Número de preguntas	Duración
Hasta el 14 de abril de 2024	125 a 175	4 horas
Desde el 15 de abril de 2024	100 a 150	3 horas

El rango de 100-150 preguntas en 3 horas del formato actual está confirmado por numerosos relatos: el relato de un suspenso menciona «the entire 150 questions for 3hours».

Cuidado con una confusión documentada el mismo día del cambio: un comentarista afirmaba entonces «Think it shifted from 125-175 to 100-125». El límite superior es inexacto: varios relatos posteriores describen exámenes terminados en 150 preguntas exactas.

¿Cómo elige el algoritmo la pregunta siguiente?

Más allá del «respuesta correcta, pregunta más difícil», un comentarista da el criterio de selección de los ítems:

«So the CAT uses something called discriminative efficiency. [...] the point biserial correlation coefficient, which correlates the score on a specific item with the overall test score.» («El CAT utiliza lo que se llama eficiencia discriminativa: el coeficiente de correlación biserial puntual, que correlaciona el resultado en una pregunta concreta con el resultado global del test.»)

Dicho de otro modo, el algoritmo prioriza las preguntas que mejor separan a los candidatos de su nivel estimado.

«Fácil» y «difícil» son subjetivos

La dificultad de una pregunta es una propiedad estadística del ítem, no su percepción. El mismo comentarista lo formula así: «Maybe you are an expert in incident response, so those questions are easier. Where maybe you hate databases (we all do it’s ok).» («Quizá sea usted experto en respuesta a incidentes, así que esas preguntas le parecen fáciles. Y quizá deteste las bases de datos.») Una pregunta calibrada como difícil puede parecerle trivial.

El algoritmo busca sus límites

Varios candidatos describen un examen que insiste en un mismo tema: «The adaptive test will zero in on your every weakness like a crazy ex !!» («El test adaptativo apuntará a cada una de sus debilidades como un ex obsesivo.») Pero la interpretación es engañosa: un candidato muy sólido en criptografía fue bombardeado con preguntas de cripto y aprobó. Su conclusión: «Don’t stress the CAT too much, it’s going to do what it wants and you’re just along for the ride.» («No se obsesione con el CAT: hará lo que quiera, usted solo va de pasajero.»)

¿Qué es una pregunta beta y cuenta en la puntuación?

Una parte de las preguntas formuladas no se puntúan: son preguntas en proceso de calibrado, insertadas para evaluar contenido futuro.

«Beta questions on the CISSP exam serve as unscored questions that help test developers evaluate new content. These questions are mixed into the exam without affecting the test-taker’s score.» («Las preguntas beta son preguntas no puntuadas que ayudan a los diseñadores a evaluar nuevos contenidos. Se mezclan en el examen sin afectar a la puntuación del candidato.»)

El banco de preguntas es muy amplio: «The pool of questions is tens of thousands questions» («el banco cuenta con decenas de miles de preguntas»).

Un candidato de julio de 2024 estima su peso percibido en «10% that were probably questions they were testing out»: una impresión, no una cifra oficial. Nada permite detectarlas durante la prueba, lo que basta para descartar la lectura de «esta pregunta es fácil, así que voy a suspender».

¿Cuándo y por qué se detiene el examen?

La prueba se detiene en cuanto el algoritmo tiene información suficiente, o cuando se alcanza uno de los límites (150 preguntas, 3 horas). De los 48 relatos de examen disponibles, la parada en 100 preguntas es con diferencia el caso dominante, por delante de un segundo grupo terminado en 150. El recuento completo de esos desenlaces y lo que cabe concluir de ellos figura en examen parado en 100 preguntas: ¿aprobado o suspenso?.

Estas proporciones no son una tasa de aprobados: los relatos de «Passed!» están masivamente sobrerrepresentados en línea. Una parada en 100 preguntas solo significa que el algoritmo ha decidido, en un sentido o en otro, como muestra un comentario que recoge «Failed at 100, proficient on 3 domains and below on the other 5» («Suspendido en 100, al nivel en 3 dominios y por debajo en los otros 5»).

¿Qué información se recibe al final de la prueba?

La pantalla se corta sin aviso —«out of nowhere the screen goes black» («sin previo aviso, la pantalla se pone negra»)— y a continuación aparece un cuestionario de satisfacción, también cronometrado. Después, el supervisor entrega el resultado en papel, a menudo sin decir palabra; el desarrollo completo de esa salida de sala se describe en el día del examen CISSP en el centro Pearson VUE. En caso de aprobado, indica un estado provisional:

«Congratulations! We are pleased to inform you that you have provisionally passed...» («¡Enhorabuena! Nos complace informarle de que ha aprobado provisionalmente…»)

No se comunica ninguna puntuación numérica en caso de aprobado. En caso de suspenso, el informe da un posicionamiento por dominio, del tipo «150 Questions — Result: 3 Above, 2 Near, 3 Below — Time Left: 5 minutes». El detalle de la puntuación y del umbral de 700/1000 se trata en puntuación CISSP 700/1000: por qué no es el 70 %.

¿Qué cambia el formato para un candidato no anglófono?

Todos los relatos disponibles describen un examen realizado en inglés, y la carga lingüística aparece con regularidad:

«I have to say, as a non-native English speaker, some questions were really more of a language test than cybersecurity» («Tengo que decir que, como hablante no nativo de inglés, algunas preguntas eran más un test de idioma que de ciberseguridad.»)

Un redactor de preguntas de ISC2 que intervino en esas discusiones afirma que es un defecto que se combate: «we have been trying very hard to make the questions as 'linguistically agnostic' as possible» («nos esforzamos mucho por hacer las preguntas lo más neutras posible en el plano lingüístico»).

La barrera del idioma figura además entre las causas de suspenso autodiagnosticadas que se recogen en por qué se suspende el CISSP. Los idiomas ofrecidos y las ampliaciones de tiempo son normas oficiales, que hay que verificar con ISC2. Está documentado un caso de tiempo ampliado a 6 horas obtenido mediante una exención médica remitida a ISC2.

Entrenarse en condiciones próximas al formato cuenta doble, por tanto, cuando el inglés no es su lengua: la aplicación Cybridia ofrece para ello un modo adaptativo calcado del CAT y 8 simulacros de examen cronometrados.

¿Por qué han quedado obsoletos los testimonios antiguos?

Un relato de agosto de 2023 cuenta «I answered 175 questions in total» («respondí a 175 preguntas en total»). Ese formato ya no existe. El cambio está documentado en directo el 15 de abril de 2024, cuando un candidato se sorprende de haber terminado en 100 preguntas:

«Congratulations and as to why you managed to pass at 100. It is because the exam format changed today requiring fewer overall questions.» («Enhorabuena; y si ha podido aprobar en 100 preguntas, es porque el formato del examen ha cambiado hoy y exige menos preguntas.»)

Ese mismo candidato estuvo a punto de caer en la trampa: mal informado, calculaba su ritmo con el formato antiguo y «sped run through the questions» («fue a toda velocidad por las preguntas»). Ese es el riesgo concreto de las fuentes obsoletas, tratado en gestión del tiempo en el examen CISSP.

Regla de lectura para cualquier testimonio encontrado en línea: compruebe su fecha. Antes de abril de 2024, el número de preguntas, la duración y las referencias de ritmo ya no son aplicables; los demás artículos del blog se apoyan en el formato actual.