Quanto tempo occorre per preparare il CISSP?

Mettete in conto da 2 a 4 mesi e circa 200-250 ore: è la preparazione tipo che emerge da tre anni di testimonianze pubbliche di diverse migliaia di candidati, di cui 120 racconti di successo analizzati nel dettaglio. Ecco che cosa dicono questi racconti sulle durate reali, sul ritmo che regge e sul modo di scandire questi mesi.

Quanti mesi servono davvero per preparare il CISSP?

La durata che domina nettamente le testimonianze dei candidati è di 2-4 mesi: è il valore riportato più di frequente nei racconti di successo.

Durata della preparazione	Che cosa ne dicono le testimonianze dei candidati	Profilo interessato
Da qualche giorno a 3 settimane	Esiste, ma resta marginale	Solo 10-20 anni di esperienza
Da 2 a 4 mesi	Moda delle testimonianze	Profilo comune
Da 4 a 6 mesi	Unica menzione nelle testimonianze: oltre questa soglia, «perhaps the approach needs to change»	Non precisato
Da 6 a 12 mesi	Spesso associata a una bocciatura intermedia	Percorsi diluiti o interrotti

Questa forbice di 2-4 mesi copre situazioni molto diverse. Presuppone una regolarità: le testimonianze dei candidati descrivono sessioni quotidiane, non fine settimana di recupero isolati. Presuppone anche che si parta con l’esperienza professionale richiesta da ISC2 — cinque anni, o quattro con un titolo di studio o una certificazione idonea.

Quante ore in totale, e con quale ritmo settimanale?

Il monte ore citato si aggira sulle 200-250 ore, con estremi che vanno da 12 ore a 600 ore. Un candidato definisce lui stesso le sue 232 ore un «overkill»: la parte alta della forbice non è un obiettivo da inseguire.

Parametro	Valore rilevato nelle testimonianze
Monte ore totale	~200-250 h (estremi citati: da 12 h a 600 h)
Ritmo nei giorni feriali	1-3 h al giorno
Ritmo nel fine settimana	3-8 h
Domande di esercitazione affrontate	Da 1.000 a 3.200, con un picco tra 1.000 e 2.000

Il ritmo settimanale conta più del totale. Le testimonianze dei candidati descrivono una pratica quotidiana distribuita su più mesi, non fine settimana intensivi isolati: la regolarità consolida i riflessi di lettura che l’esame richiede. Il volume di domande è il secondo indicatore utile: le testimonianze dei candidati collocano il punto di convergenza tra 1.000 e 2.000 domande affrontate — affrontate significa riprese, non soltanto cliccate. La dispersione di questo volume e il suo significato sono dettagliati in quante domande fare prima dell’esame.

Si può superare il CISSP in 1-3 settimane?

Sì, e questi racconti esistono nelle testimonianze. Ma condividono tutti la stessa caratteristica: sono esclusivamente profili con 10-20 anni di esperienza in sicurezza. La sintesi individua nell’esperienza professionale la variabile numero uno del risultato, davanti alla scelta delle risorse e davanti al numero di ore.

Queste preparazioni lampo non sono dunque preparazioni: sono aggiornamenti sul formato dell’esame e sul vocabolario ISC2, innestati su quindici anni di pratica. Se avete appena raggiunto i cinque anni di esperienza richiesti, questi racconti non costituiscono un modello replicabile. Una citazione tratta dalle testimonianze riassume la posizione dominante: «Focus on your own paper. Some people pass in a week, some in 5 years… Build the plan that works for you, not anyone else.» Per farsi un’idea di questa dispersione su percorsi interi, si vedano le testimonianze di successo.

Perché le preparazioni oltre i sei mesi sono un problema?

I percorsi da 6 a 12 mesi compaiono nelle testimonianze, ma vi sono in maggioranza associati a una bocciatura intermedia — il candidato racconta il proprio successo dopo un primo tentativo fallito. L’avvertimento «Don’t spend more than 6 months on this certification» ricorre a più riprese.

Dai racconti emergono tre meccanismi. Il primo è la dimenticanza: i domini studiati al secondo mese non reggono fino al decimo senza ripasso, il che trasforma la preparazione in un ciclo senza fine. Il secondo è l’obsolescenza — l’esame e i materiali evolvono, e le testimonianze dei candidati attribuiscono esplicitamente una bocciatura allo studio su un’edizione superata del Sybex, mentre la 10ª edizione è uscita nel 2024. Il terzo è il rinvio indefinito, illustrato da questa testimonianza: «I have been trying to get CISSP for 11 years.»

Al contrario, la perseveranza è documentata: sulle 34 testimonianze di bocciatura seguite, 23 si concludono con un messaggio di congratulazioni. Una bocciatura non è un vicolo cieco, ma costa uno o due mesi di attesa prima di ripresentarsi.

Com’è fatta la sequenza in 4 fasi più frequente?

La sintesi individua una struttura comune a circa il 70% dei successi analizzati.

Fase	Durata	Contenuto	Obiettivo
1. Fondamenta	4-8 settimane	UNA fonte principale letta o vista per intero, prendendo appunti	Coprire gli 8 domini una volta, senza lacune
2. Consolidamento	Variabile	MindMaps ed Exam Cram a ripetizione, flashcard di vocabolario e processi	Fissare DRP/BCP, OSI, forensic, risk management, SDLC, IR
3. Domande intensive	Ultime 2-6 settimane	Banche di domande varie, registro degli errori	Allenare il ragionamento e la resistenza
4. Ultimi giorni	Non precisata	Ripasso mirato, nessun contenuto nuovo, riposo il giorno prima	Arrivare riposati

La fase 1 si conduce dominio per dominio: video di sintesi del dominio, poi capitolo del libro, poi tutte le domande dell’applicazione su quel dominio, poi ripresa degli errori fino a raggiungere il 70-80% su quel dominio preciso. La fase 3 poggia su una regola esplicita delle testimonianze: capire perché le tre risposte sbagliate sono sbagliate, e non soltanto perché quella giusta è giusta.

Bisogna prenotare la data d’esame prima di essere pronti?

È il consiglio più ripetuto di tutte le testimonianze dei candidati, formulato così: «No one ever feels 100% ready. Commit to a timeline and stick to it.» Diversi candidati che avevano rimandato l’esame per 7-11 anni ci sono riusciti solo dopo aver prenotato prima e studiato poi.

La ragione sta nel fatto che l’alternativa non esiste: non c’è alcun indicatore affidabile di preparazione. Il readiness score di LearnZapp, quello che molti usano come semaforo verde, va dal 48% al 97% tra i candidati promossi, ed è stata rilevata una bocciatura all’88%: non predice nulla. Il dettaglio delle forbici osservate su ciascuna banca figura in i punteggi delle simulazioni d’esame.

La spiegazione sta nel formato: il punteggio dell’esame adattivo non è lineare, e le testimonianze dei candidati lo formulano senza giri di parole — «This is why people can score 50% on practice exams and pass, and why people who score 80% fail.» Aspettare un punteggio-soglia equivale dunque ad aspettare un segnale che non arriverà. Una data prenotata, invece, fissa la fine della fase 3.

Come adattare questo piano al proprio profilo?

Poiché l’esperienza professionale è la variabile principale, il punto di partenza determina dove investire le ore — non quante ne servono.

Profilo	Difficoltà dominante segnalata	Aggiustamento suggerito dalle testimonianze
GRC, audit, conformità	Domini 3 e 4: crittografia, rete	Allungare la fase 1 sui domini tecnici
Ingegneria, rete, pentest	Registro governance e gestione del rischio	Caricare la fase 3 di domande di giudizio
Esperienza di 10-20 anni	Formato e vocabolario ISC2	Preparazione breve possibile, centrata sulle domande
Cinque anni di esperienza appena compiuti	Copertura degli 8 domini	Restare sui 2-4 mesi, senza comprimere

Due punti valgono per tutti i profili. La data d’esame si prenota presto, qualunque sia il livello di fiducia. E se un primo tentativo fallisce, le testimonianze dei candidati sono nette: non rileggere i libri, ma passare alle domande, all’analisi degli errori e al lavoro sul ragionamento — i candidati che si ripresentano e riescono cambiano due cose: colmano le vere lacune tecniche e smettono di applicare in eccesso un’unica euristica.

Per scegliere i materiali di ogni fase, si veda il confronto tra le risorse CISSP; per ciò che fa deragliare un piano, si vedano le 12 trappole classiche.

Una parola sugli strumenti, segnalando che Cybridia è il nostro prodotto. Lo schema che emerge dalle testimonianze ricorre a tre mattoni distinti — «OSG builds knowledge, LearnZapp builds reps, QE trains thinking» —, quindi a tre abbonamenti, tre interfacce e tre monitoraggi di avanzamento separati. Abbiamo costruito il nostro perché ricopra i tre ruoli nello stesso posto: un corso di 226 sezioni sugli 8 domini e un glossario di 318 schede in italiano, più 4.298 domande spiegate — in inglese, come all’esame — tra cui 8 esami simulati a tempo e una modalità adattiva ricalcata sul CAT. Le domande sono scritte incrociando gli approcci di 14 esperti diversi, e le 398 schede completano il versante memorizzazione.

È esattamente ciò che chiede la regola trasversale delle testimonianze: una o due fonti principali, non un accumulo. E il calendario delle quattro fasi non va più tenuto a mano. La coda di ripasso si riempie da sola — sbagliate, segnate e indovinate ammesse tornano subito, quelle sapute ripassano più avanti —, il monitoraggio per dominio indica quello ancora debole, e i 8 esami simulati si sbloccano per livello di difficoltà. È la differenza tra un piano che si scrive e un percorso che si pilota.