Quand deux corrigés du CISSP se contredisent, qui a raison ?

Quand deux corrigés se contredisent, la cause est presque toujours l’une de ces trois-là : des éditions différentes, des sources doctrinales différentes, ou une vraie coquille — le référentiel, lui, est stable. Le désaccord fait partie du paysage : sur les 138 questions d’entraînement partagées par des candidats entre 2023 et 2026 et relues pour ce dossier, 13 laissent la communauté durablement partagée, et une poignée de débats restent réellement ouverts. Aucun énoncé n’est reproduit ici, et les positions citées sont des avis de candidats, jamais des corrections officielles d’ISC2.

Pourquoi deux corrigés officiels donnent-ils des réponses différentes ?

Parce que « officiel » recouvre plusieurs choses : un même éditeur publie un guide d’étude, des recueils de tests, une application mobile et des questions de révision, écrits par des auteurs différents, à des dates différentes, à partir de sources doctrinales différentes.

Le témoignage des candidats en donne un cas exemplaire sur une question de continuité d’activité : laquelle de ces actions relève d’un plan de continuité ? Un recueil de tests attribue la réponse à une mesure de tolérance de panne, au motif que la continuité est proactive et la reprise réactive ; l’application officielle d’ISC2 attribue la réponse au basculement vers un site de repli, au motif qu’une mesure préventive permanente ne figure pas dans un plan qu’on active. Les deux raisonnements sont défendables : ils partent de deux définitions de la frontière entre continuité et reprise.

Trois autres causes reviennent. Le décalage d’édition d’abord : une question sur les messages échangés lors de l’attribution d’une adresse réseau est jugée mal rédigée par la communauté, qui voit dans son corrigé une maladresse d’édition reconduite d’une édition à l’autre — tout en reconnaissant que la réponse du livre resterait défendable sous une autre lecture de l’énoncé.

Le glissement doctrinal ensuite. Une question sur le renouvellement systématique d’un parc d’équipements encore fonctionnels et encore mis à jour reçoit un corrigé qui invoque la fin de support ; les commentateurs répondent qu’un matériel qui reçoit encore des correctifs n’est pas en fin de support, mais en obsolescence programmée. Conclusion du fil : même les ressources réputées se trompent.

La divergence de cadre enfin. Une question demandant sur quelle base justifier l’achat d’un contrôle oppose une métrique de risque annualisée à une métrique de rentabilité : un camp raisonne en gestion du risque, l’autre en décision d’investissement. Les deux cadres sont enseignés, et la question ne dit pas lequel elle mobilise.

Due care ou due diligence : la question a-t-elle une réponse stable ?

Non. C’est le cas le plus instructif des témoignages : le même énoncé y revient cinq fois en trois ans, quasiment mot pour mot, et les corrigés publiés se partagent entre les deux notions. Le principe testé est toujours le même : comment nommer l’obligation, pour une personne, d’accomplir ses responsabilités avec exactitude et dans les délais ?

Trois sources attribuent la réponse à la due diligence, une seule à la due care, et à chaque fois une partie de la communauté conteste le corrigé. Les moyens mnémotechniques qui circulent sont eux-mêmes contradictoires :

« Due Diligence = Do Detect ; Due Care = Do Correct »

est le plus répandu, et il pousse vers due care pour une action d’exécution. Mais l’explication qui emporte l’adhésion dans les fils les plus argumentés inverse la perspective : la due care serait le standard large de la personne raisonnable, et la due diligence sa composante spécifique, celle qui consiste à s’acquitter d’une responsabilité confiée de manière exacte et ponctuelle — formulation reprise presque littéralement dans l’énoncé.

La conduite à tenir n’est donc pas de mémoriser une lettre, mais de connaître l’axe du désaccord : un standard général de prudence d’un côté, une exécution vérifiable d’une responsabilité assignée de l’autre. Les deux camps s’accordent sur un point : quand la question reprend mot pour mot la définition d’un manuel, c’est ce manuel qui a raison, pas l’usage professionnel courant.

Que faire quand la communauté conteste un corrigé officiel ?

Distinguer deux situations très différentes : le corrigé est erroné, ou le corrigé est juste pour une raison que le lecteur refuse.

Le témoignage des candidats contient un cas de contestation massive, sur une question de chaîne d’approvisionnement logicielle. Une personne chargée d’une revue documentaire constate chez un fournisseur des manquements graves, et le corrigé attend qu’elle révoque l’autorisation d’exploitation du composant. Les commentateurs les mieux notés jugent absurde qu’un évaluateur révoque unilatéralement une autorisation critique sans analyse d’impact ; la plupart auraient produit un rapport. La question a été reposée sept mois plus tard, avec le même verdict : le désaccord porte sur la séparation entre rôle d’évaluateur et rôle de décideur, et il n’est jamais tranché.

À l’inverse, plusieurs corrigés d’abord jugés faux se révèlent solides une fois l’explication lue. Un candidat conteste une réponse sur le test de préparation à la reprise d’activité, jusqu’à ce qu’on lui rappelle qu’un exercice scripté en environnement hors production ne perturbe pas la production. Un autre conteste une réponse sur les privilèges d’administration en soulignant, à juste titre, qu’elle décrit une mauvaise pratique — mais la question posait une contrainte précise, et la réponse y répond.

Le test qui départage tient en deux vérifications. L’explication officielle s’appuie-t-elle sur une définition attribuable à une source de référence ? Si oui, adoptez-la pour l’examen, quitte à ne pas l’appliquer au bureau. Ignore-t-elle un critère explicite de l’énoncé, ou se contredit-elle d’une question à l’autre du même chapitre ? Alors notez-la comme erreur probable et passez.

Deux contributeurs se présentant comme rédacteurs de questions pour ISC2 rappellent au passage ce qui est réellement testé :

« As an exam writer for the CISSP, I can absolutely say that is NOT what we are looking for. Understanding the concepts and how to apply them, is. »

« En tant que rédacteur de questions pour le CISSP, je peux affirmer que ce n’est PAS ce que nous cherchons. Comprendre les concepts et savoir les appliquer, oui. »

Comment reconnaître une question générée par IA ou un brain dump ?

Le témoignage des candidats contient sept questions dont l’origine artificielle est annoncée par l’auteur du message ou identifiée par les commentateurs. Leurs signatures sont assez constantes pour être listées.

Signal	Ce qu’il indique
Scénario de dix lignes énumérant une pile de sécurité complète	Décor généré, sans lien avec la demande
Question à deux volets : le risque et le contrôle à recommander	Format absent de l’examen réel
Options associant un risque à un remède mal assorti	Génération automatique non relue
Incohérence interne de l’énoncé	Absence de relecture experte
Aucun rôle indiqué alors que la réponse en dépend	Question non répondable
Question de pure définition, niveau introductif	Calibrage très en dessous de l’examen
Aucune source citée, provenance réclamée	Suspicion de brain dump

Le verdict des commentateurs est expéditif : l’une de ces questions est qualifiée d’« AI slop », une autre est déclarée non répondable faute de rôle indiqué, une troisième recommande un module matériel de sécurité contre des attaques par canal auxiliaire — un remède qui ne traite pas le risque décrit.

Le cas du brain dump est plus grave, parce qu’il engage la déontologie autant que l’efficacité. Le témoignage des candidats documente au moins une question dont les modérateurs ont signalé qu’elle provenait vraisemblablement d’une banque pirate, ce qui a mis fin à la discussion. Une banque qui diffuse des questions d’examen réelles viole l’accord de confidentialité, et ses corrigés n’ont aucune valeur pédagogique.

Reste une catégorie intermédiaire : des banques communautaires sérieuses mais non validées, que les commentateurs disent « très difficiles et pas entièrement validées ». Elles se reconnaissent à des corrigés que personne ne parvient à justifier autrement qu’en réécrivant la question. Le tri entre ces sources est l’objet de notre comparatif des ressources CISSP, qui applique le même critère : une banque vaut ce que valent ses explications.

Quelles questions provoquent le plus de désaccords ?

La répartition par domaine est instructive : le domaine 1, gestion des risques et de la sécurité, représente 38 des 138 questions, loin devant les opérations de sécurité (24), la gestion des identités (21) et l’architecture (18). C’est aussi le domaine qui concentre les désaccords, pour une raison simple : ses notions sont définitionnelles et leurs frontières sont conventionnelles.

Cinq zones concentrent l’essentiel des litiges. La distinction due care / due diligence, déjà décrite. La frontière entre continuité d’activité et reprise après sinistre. La chaîne de redevabilité, où la bonne réponse dépend des options proposées : quand le conseil d’administration n’est pas listé, on prend le niveau le plus élevé disponible. La définition de la gouvernance de sécurité. Et le vocabulaire des cycles de vie matériels, fin de commercialisation contre fin de support.

À l’inverse, certaines notions délicates sont parfaitement stables : menace, vulnérabilité et risque ; restriction du périmètre d’une base de contrôles et ajustement ; phases de la réponse à incident ; besoin d’en connaître. Quand vous vous trompez sur l’une d’elles, le problème est une lacune, pas un corrigé douteux.

Dernier repère : plusieurs questions des témoignages sont jugées trop pointues, avec le rappel récurrent que « CISSP is NOT a technical exam ». Un corrigé contesté sur une question hyper-technique est rarement une raison d’ouvrir un manuel.

Faut-il réviser une notion contestée ou passer à autre chose ?

La règle qui ressort des témoignages tient à la fréquence, pas à la difficulté.

Si la notion revient plusieurs fois dans vos banques de questions — c’est le cas des cinq zones ci-dessus —, elle mérite une révision, mais pas celle qu’on croit : il ne s’agit pas de retenir une réponse, mais d’apprendre les deux définitions concurrentes et le critère qui fait pencher d’un côté ou de l’autre.

Si la question est isolée, mal écrite, générée automatiquement ou d’origine inconnue, la réponse est nette : passez. Le coût réel de ces questions n’est pas le point perdu, c’est le temps et la confiance consommés — deux ressources que le volume de questions à traiter avant l’examen suffit déjà à mettre sous tension. S’acharner sur un corrigé douteux est d’ailleurs répertorié parmi les erreurs de révision les plus fréquentes. Et traitez chaque question dans son propre vide, sans chercher à réconcilier les sources.

Reste le geste qui rend une banque de questions utile, quelle qu’elle soit : exiger d’elle qu’elle explique. Un corrigé qui se contente de nommer la bonne option ne permet même pas de détecter qu’il se trompe. C’est le principe retenu par Cybridia, dont chacune des 4 298 questions est accompagnée d’une explication indiquant pourquoi les mauvaises réponses sont fausses — le seul geste de révision que cet ensemble de témoignages recommande sans réserve.

Pour la lecture de l’énoncé, voir la méthode de réponse ; pour l’écartement des options, l’élimination des distracteurs. Les limites de cet ensemble de témoignages sont détaillées dans notre méthode.