Gli errori da evitare quando si prepara il CISSP

Dodici trappole ricorrono con costanza in tre anni di testimonianze pubbliche di diverse migliaia di candidati, di cui 120 racconti di successo analizzati nel dettaglio. Eccole, ordinate per danni rilevati, ciascuna con la sua contromossa.

Posizione	Trappola	Che cosa fare invece
1	Preparare un esame tecnico quando è invece un esame di giudizio	Tradurre ogni nozione in decisione: che cosa farebbe un responsabile, e perché
2	Puntare tutto sul mindset e trascurare la tecnica	Mantenere una base tecnica reale: la quota tecnica delle domande estratte è molto variabile
3	Accumulare risorse (resource fatigue)	Una o due fonti principali, più banche di domande varie
4	Fidarsi dei punteggi delle banche facili o dell’IA per giudicare la propria preparazione	Usare l’analisi degli errori come indicatore, mai una percentuale
5	Leggere l’Official Study Guide come un romanzo	Leggere solo gli «Exam Essentials», il resto come riferimento mirato
6	Studiare su un’edizione superata	Verificare l’edizione: l’OSG è alla 10ª, uscita nel 2024
7	Memorizzazione sterile e sovra-preparazione	Conoscere i classici, poi passare alle domande
8	Comprare Quantum Exams il giorno prima, o non aprirlo mai	Integrarlo nelle ultime 2-6 settimane
9	Guardare passivamente video di interi domini	Prendere appunti, proseguire subito con le domande del dominio
10	Rileggere i libri dopo una bocciatura	Passare a domande, registro degli errori e ragionamento
11	Rimandare l’esame all’infinito	Prenotare prima la data, studiare poi
12	La trappola dei forum	Leggere le sintesi, non le domande «impossibili» isolate

Le prime due trappole sono errori di metodo?

No, ed è per questo che sono trattate altrove. La trappola n. 1 — studiare per un esame tecnico quando la prova valuta il giudizio — e la sua simmetrica, la trappola n. 2 che consiste nel puntare tutto sul «think like a manager» lasciando da parte la tecnica, riguardano il registro di preparazione più che l’organizzazione del lavoro: sono le due cause di bocciatura meglio documentate nelle testimonianze, analizzate nel dettaglio in perché si viene bocciati al CISSP.

La regola per uscirne sta in una frase, quella che la community oppone ai due eccessi: «KNOW the material like a technician, then APPLY that knowledge like a manager.» Tutto ciò che segue riguarda l’altra metà del problema — il modo di lavorare, dove si annidano altre dieci trappole.

Quante risorse usare senza affogare?

La terza trappola ha un nome nelle testimonianze: la resource fatigue. Il meccanismo non è il volume ma la contraddizione — due autori insegnano due modi di affrontare la stessa domanda, e il candidato perde il proprio punto d’appoggio. «Holding conflicting methodologies will destroy your confidence.» L’indicazione che ricorre è di una semplicità brutale: «pick something and focus on it.»

La nona trappola ne è una variante: accumulare ore di video guardati passivamente. L’ascolto «di sottofondo» di interi domini non conta come studio nei racconti; ciò che conta è la presa di appunti e poi il passaggio immediato alle domande del dominio trattato.

La regola che ne deriva è duplice, e vanno tenute entrambe le metà: una o al massimo due fonti principali, ma senza dipendere da un’unica fonte. Le testimonianze dei candidati documentano entrambi i fallimenti: quello del candidato che accumula cinque metodi contraddittori e quello del candidato che ha letto un solo libro, o soltanto video gratuiti. In pratica, questo significa un libro o un corso per imparare, risorse gratuite di consolidamento e più banche di domande — la varietà è utile sulle domande, dannosa sulla dottrina. Il dettaglio di questa combinazione figura in il confronto tra le risorse.

Perché non bisogna fidarsi dei punteggi delle banche facili né dell’IA?

Perché nessuno dei due misura ciò che misura l’esame. Il punteggio è adattivo e non lineare, cosa che le testimonianze dei candidati formulano senza giri di parole: «This is why people can score 50% on practice exams and pass, and why people who score 80% fail.»

Il caso più eloquente è il readiness score di LearnZapp, spesso usato come semaforo verde: va dal 48% al 97% tra i candidati promossi, ed è stata rilevata una bocciatura all’88%. Non predice nulla, e nessuna soglia può sostituirlo — le forbici rilevate sulle altre banche sono dettagliate in i punteggi delle simulazioni d’esame.

L’IA generativa pone un problema affine. Le testimonianze dei candidati la descrivono come un ottimo tutor — 33 citazioni sui 120 racconti di successo analizzati, con l’uso «spiegamelo come a un bambino di cinque anni» e l’analisi degli errori — ma insistono su due limiti: non è mai giudice della preparazione, e le sue allucinazioni sui contenuti CISSP sono reali e riportate. L’unico indicatore di progresso che le testimonianze dei candidati convalidano è qualitativo: saper dire perché le tre risposte sbagliate sono sbagliate, non soltanto perché quella giusta è giusta.

Come leggere l’Official Study Guide senza perdere tempo?

La quinta trappola è leggere l’OSG come un romanzo, pagina dopo pagina. Il verdetto di un candidato è netto: «the time I spent on it was utterly wasted.» L’opera è del resto la più polarizzante nelle testimonianze, valutata da 0 a 10 su 10 in 77 citazioni sui 120 racconti di successo analizzati — segno che il problema viene dall’uso più che dal libro.

Il metodo che funziona tra chi lo usa con profitto: leggere le sezioni «Exam Essentials», poi trattare il resto come un riferimento da consultare sui domini in cui le domande rivelano lacune. Il numero di pagine non è un obiettivo; la copertura degli otto domini sì.

La sesta trappola si risolve in trenta secondi ma costa un esame: verificare l’edizione. Le testimonianze dei candidati attribuiscono esplicitamente una bocciatura allo studio su un vecchio Sybex, mentre la 10ª edizione è uscita nel 2024. La verifica vale per tutti i materiali, libri come video: i contenuti anteriori all’ultimo cambio di programma circolano ancora ampiamente, spesso gratuitamente, il che li rende tanto più allettanti.

Quando la memorizzazione diventa sovra-preparazione?

La settima trappola è la memorizzazione sterile. Le tecniche mnemoniche costruite con pazienza non vengono, in molti racconti, mai utilizzate il giorno della prova. Un candidato definisce le sue 232 ore un «complete overkill», e i burnout dell’ultima settimana ricorrono con regolarità.

La posizione dominante delle testimonianze è un equilibrio: conoscere i classici — qualche porta, i grandi processi, DRP/BCP, le fasi forensic, la gestione del rischio, lo SDLC, la risposta agli incidenti — senza dedicarci settimane. Il volume di riferimento sta altrove, dal lato delle domande: da 1.000 a 3.200 affrontate, con un picco tra 1.000 e 2.000. Affrontate, cioè riprese una a una a posteriori, e non semplicemente cliccate.

La decima trappola nasce dallo stesso riflesso, applicato dopo una bocciatura: riaprire i libri per rileggere tutto. Le testimonianze dei candidati lo sconsigliano e prescrivono l’opposto — domande, registro degli errori e lavoro sul ragionamento. La procedura completa figura in ripetere il CISSP dopo una bocciatura.

In quale momento collocare una banca di domande difficile?

L’ottava trappola è un errore di calendario, e si presenta in due forme opposte. Comprare Quantum Exams il giorno prima dell’esame garantisce il panico e la notte in bianco: la banca è volutamente più difficile della prova, e scoprire i propri punteggi a ventiquattro ore dalla partenza non lascia alcun tempo per ricavarne qualcosa. Comprarla e poi non aprirla mai, all’estremo opposto, non serve a nulla. Il suo posto è nelle ultime 2-6 settimane, dopo le fondamenta, quando gli errori commessi diventano sfruttabili.

Segnaliamo qui ciò che occorre sapere per leggere questa pagina: Cybridia pubblica e vende una preparazione al CISSP: corso e glossario in italiano, più una banca di domande spiegate in inglese. Gli strumenti citati in questa classifica — LearnZapp, Quantum Exams, DestCert — sono dunque, in parte, concorrenti. I giudizi espressi su di essi provengono dalle testimonianze dei candidati, non da noi, ma il lettore deve poterne tenere conto.

L’undicesima trappola chiude il capitolo calendario: rimandare l’esame all’infinito. «I have been trying to get CISSP for 11 years.» Il suo antidoto è il consiglio più ripetuto di tutte le testimonianze dei candidati — prenotare prima la data, studiare poi, perché «No one ever feels 100% ready. Commit to a timeline and stick to it.» Gli ultimi giorni, invece, obbediscono a un’indicazione unica: nessun contenuto nuovo, riposo il giorno prima. Ciò che si gioca durante la prova stessa — ritmo, stop alla centesima domanda, gestione del cronometro — riguarda un altro argomento, trattato in la gestione del tempo all’esame.

Perché i forum stessi sono una trappola?

La dodicesima trappola riguarda la fonte di tutte le altre, e sarebbe disonesto non menzionarla in un articolo costruito su di essa. Le domande pubblicate online sono selezionate per la loro difficoltà: nessuno pubblica una domanda ovvia. Il lettore assiduo ne conclude che l’esame sia un muro, mentre sta osservando un bias di selezione. «Don’t dive too deep into the Reddit echo chamber.»

Lo stesso avvertimento vale per le cifre di successo che vi circolano. Il conteggio grezzo mostra 915 candidati che annunciano una promozione contro 95 che annunciano una bocciatura, ossia circa il 90,6% — una cifra gonfiata dal fatto che si celebra un successo più volentieri di una bocciatura. All’opposto, il tasso del «20% al primo tentativo» regolarmente citato proviene da un unico messaggio senza fonte. Entrambi questi estremi sono ugualmente poco affidabili e non devono mai essere presentati come un tasso di successo reale.

La lettura utile di questo insieme di testimonianze è dunque quella degli schemi, non dei casi particolari, e la conclusione più ripetuta resta personale: «Focus on your own paper. Some people pass in a week, some in 5 years… Build the plan that works for you, not anyone else.» Per costruire questo piano, si veda quanto tempo prevedere, e il nostro metodo per ciò che queste fonti permettono di affermare.