Perché non si supera il CISSP?

Si viene bocciati al CISSP anzitutto perché ci si è preparati all’esame sbagliato: un ripasso tarato su una prova tecnica, mentre la prova valuta decisioni. È la causa numero uno che emerge da cinquanta testimonianze pubbliche di candidati dedicate alla bocciatura e al nuovo tentativo, pubblicate tra luglio 2023 e giugno 2026 — cause auto-diagnosticate da candidati bocciati, poi spesso promossi. Perché questa è la buona notizia del tema: la maggior parte di questi racconti di bocciatura si conclude con un successo.

Essere bocciati al CISSP è davvero raro?

No. Delle cinquanta testimonianze selezionate, trentaquattro raccontano almeno una bocciatura vissuta dall’autore: undici post scritti a caldo e ventitré racconti di un successo ottenuto dopo una o più bocciature. I sedici successi al primo tentativo non descrivono un’esperienza molto diversa: quasi tutti parlano di un candidato convinto di essere bocciato durante la prova.

Questa proporzione non è un tasso di bocciatura — si pubblica perché si ha qualcosa da raccontare —, ma basta a stabilire che essere bocciati è comune, e che si recupera. Quanto al «solo il 20% dei candidati passa al primo tentativo» che si incontra spesso, viene da un commento senza fonte, e ISC2 non pubblica questo tipo di statistica: non è verificabile.

#	Causa auto-diagnosticata	Presenza nelle testimonianze
1	Preparazione troppo tecnica, registro di risposta sbagliato	~12 testimonianze su 34
2	Solo mindset, senza le conoscenze	3 testimonianze esplicite
3	Materiali unici, gratuiti o obsoleti	~8 testimonianze
4	Gestione del tempo e lettura troppo rapida	~6 testimonianze
5	Eccesso di sicurezza legato all’esperienza	3 testimonianze
6	Barriera dell’inglese	2 testimonianze esplicite
7	Stanchezza, stress, salute	4 testimonianze
8	Fallimento amministrativo prima dell’inizio della prova	1 racconto

Uno stesso racconto somma spesso più di una di queste cause. Qui esse descrivono ciò che non ha funzionato nei candidati bocciati; il loro corrispettivo sul versante del metodo, cioè le abitudini di studio da correggere prima di arrivare a quel punto, è trattato in gli errori da evitare quando si prepara il CISSP.

Perché una preparazione troppo tecnica porta alla bocciatura?

È la causa numero uno, e di gran lunga. L’archetipo è quel candidato bocciato alla domanda 113 con cinque anni di esperienza nella sicurezza, che si aspettava un esame tecnico. La risposta più votata del suo thread, con 64 punti, formula la diagnosi senza giri di parole:

«All the area you are strong in are great except they aren’t going to be on the cissp exam. It’s about making managerial choices and business decisions. The technical control answers are there to throw you off.»

Tutte quelle aree in cui sei forte non compariranno nell’esame CISSP. Si tratta di fare scelte gestionali e prendere decisioni di business. Le risposte che riguardano controlli tecnici sono lì per sviarti.

La stessa diagnosi torna a proposito di un ingegnere di rete bocciato con cinque domini sotto la soglia — «you have to stop thinking like an engineer and a super technician to pass it», devi smettere di pensare come un ingegnere e un super-tecnico. Un promosso al secondo tentativo riassume il cambiamento: «The biggest mistake I made the first time was studying content instead of practicing decision-making questions», il mio errore più grosso è stato studiare contenuti invece di allenarmi su domande di decisione.

Si può essere bocciati puntando tutto sul mindset?

Sì, ed è il punto che la maggior parte delle sintesi passa sotto silenzio. Le testimonianze dei candidati documentano l’errore simmetrico: puntare unicamente sul famoso «think like a manager» porta alla bocciatura quanto una preparazione puramente tecnica. Un candidato di vent’anni è stato bocciato alla domanda 100 esattamente per questa ragione:

«I decided to focus on the mindset foremost […] and let the technical knowledge take a bit of a backseat. This was a huge mistake. I was utterly blindsided by questions asking for technical applications of concepts I had never heard of.»

Ho deciso di concentrarmi prima di tutto sul mindset […] lasciando le conoscenze tecniche un po’ in secondo piano. È stato un errore enorme. Sono stato colto completamente alla sprovvista da domande su applicazioni tecniche di concetti di cui non avevo mai sentito parlare.

Un partecipante uscito da un bootcamp fa la stessa constatazione a livello di gruppo: a molti era stato detto che bastava pensare come un manager, «that advice gave many of them a false sense of confidence, and several ended up failing». Il commento più votato in quel dibattito, con 51 punti, propone la sintesi adottata dalle testimonianze: «KNOW the material like a technician, then APPLY that knowledge like a manager» — conosci la materia come un tecnico, poi applica quella conoscenza come un manager.

Quali materiali di studio ricorrono nelle bocciature?

Ricorrono quattro configurazioni. La fonte unica, spesso gratuita e superficiale: «I ONLY studied with YouTube and the pdf of the study guide». Il libro obsoleto, a cui un candidato attribuisce esplicitamente la propria bocciatura. La memorizzazione delle domande invece dei concetti: «I found myself memorizing the questions rather than actually understanding the concepts», il che ha finito per causare la sua bocciatura. Infine il bootcamp di una settimana seguito dall’esame quindici giorni dopo, chiuso con cinque domini sotto la soglia.

Le testimonianze dei candidati ospitano invece un disaccordo dichiarato sul volume delle risorse. Un promosso difende la concentrazione — «focusing on one solid resource can be more beneficial than spreading yourself too thin» — mentre un altro rivendica il contrario: «I used all the material I could get my hands on». Ciò che accomuna i successi non è il numero di materiali, ma l’averne cambiato almeno uno.

In che modo la gestione del tempo fa fallire l’esame?

Viene meno in due direzioni opposte. La prima è la pura mancanza di tempo — «Ran out of time and got to 117», ho esaurito il tempo e mi sono fermato a 117 — a cui la risposta più votata oppone l’allenamento cronometrato. Diversi racconti sono identici.

La seconda è la fretta, in particolare dopo la centesima domanda: «I failed mainly because I rushed after 100 questions». Un altro descrive il ragionamento errato che produce questo comportamento: «thinking if I didn’t complete the exam I would fail», pensando che non terminare significasse essere bocciato. È falso, e il panico che spinge a cliccare a caso ha affondato diversi candidati. I riferimenti di ritmo utilizzabili durante la prova sono raccolti in la gestione del tempo all’esame.

C’è infine la lettura troppo rapida dei testi delle domande, che i promossi trattano come una competenza a sé stante: «ANSWER THE QUESTION BEING ASKED!!! Reading comprehension is important», rispondi alla domanda che ti viene posta. Da qui l’immagine ampiamente ripresa: leggere ogni domanda come un giurista.

L’esperienza e l’inglese sono trappole?

L’esperienza protegge meno di quanto si creda e può trasformarsi in eccesso di sicurezza:

«I have got ~19 years in Networking/Cloud Security, so I assumed CISSP and CCSP would be manageable. I went in overconfident… and failed both back-to-back.»

Ho circa diciannove anni di esperienza in sicurezza di rete e cloud, quindi ho dato per scontato che CISSP e CCSP fossero gestibili. Ci sono andato troppo sicuro di me… e sono stato bocciato a entrambi uno dopo l’altro.

Il meccanismo è quello dell’ampiezza: l’esame copre otto domini, e la competenza su uno o due non garantisce nulla sugli altri sei. Le testimonianze dei candidati contengono il caso di un professionista con più di dieci anni di SOC bocciato cinque volte, e quello di un direttore della cybersicurezza che scrive di aver cominciato a dubitare di sé già dall’undicesima domanda.

L’inglese costituisce una difficoltà distinta e reale: «the wording of each question in the exam is too hard, as English is not my first Language». Le contromisure descritte sono faticose — letture ripetute della guida ufficiale, migliaia di domande di allenamento, lista delle parole sconosciute. Segno che il problema va oltre la lingua madre, se ne lamentano anche i madrelingua inglesi: «You’d think being English helps with twisted sentences - nope.»

Si può perdere il tentativo prima ancora di iniziare?

Sì, in due modi. Il primo è amministrativo. Un candidato arrivato in anticipo stava riempiendo la lavagnetta senza guardare lo schermo; il termine per accettare l’accordo di riservatezza è scaduto. Verdetto visualizzato: «Grade - Rejected», quota d’esame persa. Un commento cita l’e-mail del centro d’esame: «Failure to read or accept the agreement within the allotted five minutes will result in your exam ending and a forfeit of your exam fees» — non accettare l’accordo entro i cinque minuti previsti pone fine all’esame e comporta la perdita della quota. Da qui l’indicazione: accettare subito e cominciare il brain dump solo a esame avviato, dato che il cronometro parte soltanto al clic di avvio.

Il secondo modo è fisiologico: «study as hard as I could all the way up until the hour of the exam. YOU SHOULD NOT DO THIS. I dealt with a lot of brain fatigue at question 80» — ho studiato con tutta l’intensità possibile fino all’ora dell’esame, non fatelo, ho avuto una forte stanchezza mentale alla domanda 80. Le testimonianze dei candidati contengono anche il caso di una candidata che aveva dormito cinque ore in tutto il fine settimana precedente. Il sonno non è un consiglio di comodità: è un parametro del risultato.

Che cosa significa il numero di domande al momento dell’arresto?

In caso di bocciatura, il punto di arresto è un’informazione utilizzabile. Un arresto precoce è il segnale più sfavorevole: «If you failed at 100 you are below on near all subjects (as it states on the paperwork)» — se sei stato bocciato a 100, sei sotto la soglia su quasi tutti gli argomenti, come indica il rapporto dei risultati. Al contrario, un arresto tardivo significa che l’algoritmo non è riuscito a decidere prima: «If you got to 150, you were right on the edge of passing», eri proprio al limite della soglia.

Questa lettura non consola, ma orienta. Una bocciatura precoce richiede una ripresa ampia dei domini sotto la soglia. Una bocciatura tardiva richiede un lavoro di precisione: lettura dei testi delle domande, gestione del tempo, scelta tra due risposte plausibili. Che cosa significhi esattamente un arresto alla centesima domanda, in un senso come nell’altro, è dettagliato in l’esame che si ferma a 100 domande.

In entrambi i casi, il seguito passa da un lavoro dominio per dominio piuttosto che da una rilettura integrale — il modo di lavorare proposto da Cybridia, con 4.298 domande spiegate e 8 simulazioni d’esame per rivedere i propri errori dominio per dominio.

Resta il seguito: quando reiscriversi, quanto costa e che cosa modificare. È l’oggetto della pagina ripetere il CISSP dopo una bocciatura — e il nostro metodo descrive da dove vengono queste testimonianze.