Associate of ISC2: lo status di chi ha superato l’esame senza l’esperienza

Superare l’esame senza i cinque anni di esperienza fa di voi un Associate of ISC2: un’adesione, non una certificazione, accompagnata da un termine per accumulare gli anni mancanti. Nelle testimonianze il tema torna sotto due forme: la delusione di chi scopre che il successo all’esame non equivale alla certificazione, e la scelta consapevole — sostenere l’esame presto, finché il ripasso è fresco, e lasciare che l’esperienza si costituisca dopo. Il riferimento ufficiale su queste regole resta isc2.org.

Che cos’è lo status di Associate of ISC2?

È lo status attribuito a chi supera l’esame senza soddisfare la condizione di esperienza. La formulazione più netta delle testimonianze viene da un neolaureato in contabilità e business analytics, senza alcuna esperienza professionale in sicurezza, che ha sostenuto e superato l’esame a cento domande:

«Technically anyone can take it, but passing the exam without the required experience will only allow for an Associate of ISC2 membership without the certification (which is my case).»

«Tecnicamente chiunque può sostenerlo, ma superare l’esame senza l’esperienza richiesta dà diritto soltanto a un’adesione Associate of ISC2, senza la certificazione (è il mio caso).»

Emergono due punti. Si tratta di un’adesione, non di una certificazione: il titolo CISSP non è acquisito, nemmeno in parte. E l’accesso all’esame non è vincolato all’esperienza — la verifica interviene alla tappa successiva, quella dell’endorsement.

Un Associate non è però privo di obblighi. Uno di loro descrive così la propria situazione: «i will have to annually pay my membership maintenance and gather 15 CPE» («dovrò pagare la mia quota annuale e raccogliere quindici CPE»). Precisa di contare sul suo Security+ per togliere un anno sui cinque. Importi e volumi esatti sono regole ISC2, da confermare alla fonte.

Quanto tempo si ha per completare la propria esperienza?

È il punto su cui le testimonianze si contraddicono più apertamente. In un solo e unico thread di discussione, due membri danno due risposte diverse:

Affermazione delle testimonianze	Formulazione originale	Status
5 anni	«You can be an associate and you have 5 years to gain the 5 years of expierence»	senza fonte
6 anni	«You actually have 6 years as an associate to gain your experience.»	senza fonte, presentata come una correzione

Traduzione rispettiva: «Puoi essere Associate e hai cinque anni per acquisire i cinque anni di esperienza» e «In realtà hai sei anni come Associate per acquisire la tua esperienza».

Nessuno dei due messaggi rimanda a una pagina ufficiale, e noi non prendiamo posizione: la durata applicabile è quella pubblicata su isc2.org.

Le testimonianze tacciono anche su ciò che accade alla scadenza di questo termine — perdita del beneficio dell’esame, proroga, nuovo esame: nessun membro racconta di aver raggiunto quella scadenza.

Che cosa si può scrivere sul curriculum e sul profilo LinkedIn?

È il punto su cui la community è più ferma, e l’unico che essa ricollega esplicitamente al codice deontologico ISC2:

«You are not a CISSP and you cannot refer to yourself as being a CISSP until you’ve been properly credentialed by ISC2. You can’t even put things like "CISSP In Progress" or "Passed CISSP exam" on your resume. At most, you can only put "Associate of ISC2". And quite frankly, most recruiters aren’t even going to know what that means.»

«Non siete CISSP e non potete presentarvi come CISSP finché ISC2 non vi ha rilasciato regolarmente il titolo. Non potete nemmeno scrivere "CISSP In Progress" o "Passed CISSP exam" sul curriculum. Al massimo potete indicare "Associate of ISC2". E francamente, la maggior parte dei recruiter non saprà nemmeno che cosa significhi.»

Tre diciture vengono quindi escluse in un colpo solo: il titolo stesso, la formula «in corso» e la menzione del superamento dell’esame. La giustificazione è deontologica — il codice deontologico ISC2 impegna i suoi membri sull’onestà delle loro dichiarazioni professionali, e il suo testo è pubblicato da ISC2.

In pratica, i candidati prudenti trasferiscono questa regola anche all’orale. Uno di loro, a un colloquio di lavoro prima del suo endorsement, riassume così la propria linea di condotta: «I was very careful to state that I had only provisionally passed CISSP» («Ho fatto molta attenzione a precisare che avevo superato il CISSP solo provvisoriamente»).

Lo status ha valore agli occhi dei recruiter?

Dipende da chi lo legge: le testimonianze danno due risposte opposte, ed entrambe sono credibili a seconda del contesto.

Lo scetticismo domina nei commenti generalisti: «most recruiters aren’t even going to know what that means». L’argomento è semplice — un titolo che nessuno riconosce non funziona come segnale. Si accompagna al richiamo, anch’esso molto condiviso, che il CISSP non è una certificazione di primo livello e che gli annunci che lo presentano come un «plus» per una posizione junior sono fuori dalla realtà.

All’opposto, un candidato ventenne rivendica senza imbarazzo il proprio status: «I know, associate of isc2 works for all of my immediate goals though» («Lo so, ma Associate of ISC2 basta per tutti i miei obiettivi immediati»). Il suo datore di lavoro chiedeva solo il superamento dell’esame — un caso frequente nelle organizzazioni che finanziano la certificazione o la impongono contrattualmente.

Una precisazione su questo profilo, perché torna altrove su questo sito da un’altra angolazione: si tratta dello stesso autore in entrambi i casi, quello del thread «Failed at 100, passed at 100». Questo candidato dichiara circa tre anni di esperienza in cybersecurity; aveva diciannove anni al primo tentativo, che ha fallito alla centesima domanda per aver puntato tutto sulla mentalità manageriale a scapito della tecnica, ed è stato promosso al secondo tentativo a vent’anni. È questo fallimento iniziale a essere citato nei nostri racconti di candidati senza esperienza in cybersecurity; è invece il successo a valergli qui lo status di Associate. Un solo percorso, due tappe — e non due persone dagli esiti contraddittori.

Il valore dello status dipende quindi da chi lo legge: prossimo a zero davanti a un recruiter generalista, reale davanti a un datore di lavoro che conosce il meccanismo. La testimonianza dei candidati non quantifica da nessuna parte l’effetto dello status di Associate sugli stipendi o sui colloqui — i racconti di ricadute immediate, contatti di recruiter e aumenti di retribuzione compresi, riguardano tutti candidati pienamente endorsed; sono raccolti nel bilancio di carriera dei certificati.

Conviene sostenere l’esame presto o aspettare di avere l’esperienza?

Il dibattito esiste sul forum e non è risolto. Gli argomenti raccolti nella testimonianza dei candidati, da una parte e dall’altra:

• Sostenerlo presto: l’esame viene superato finché il ripasso è fresco, il conto alla rovescia dello status Associate corre in parallelo all’esperienza che si accumula, e ad alcuni datori di lavoro basta il superamento. Il caso più spettacolare è quello di un candidato pienamente endorsed a 23 anni grazie a 4,5 anni di esperienza e all’equivalenza SSCP: cercava qualcuno più giovane di lui e notava che «many were still Associates of ISC2 rather than fully certified CISSP holders with verified experience» («molti erano ancora Associates of ISC2 anziché titolari pienamente certificati con esperienza verificata»).
• Aspettare: la posizione avversa, espressa in reazione allo stesso racconto, si richiama allo spirito della certificazione. «CISSP was not meant for a 23-year-old. […] the intent of this certification was for seasoned professionals not for someone that can pass a test.» («Il CISSP non è stato pensato per un ventitreenne. […] l’intenzione dietro questa certificazione guardava a professionisti navigati, non a qualcuno capace di superare un test.») Nello stesso thread gli viene opposto un controesempio immediato: una candidata promossa a 22 anni, titolare anche del PMP.

Si aggiunge un argomento tecnico: l’esperienza operativa non prepara necessariamente all’esame, che si aspetta un ragionamento da responsabile. «5 years of experience is great, but if it’s not in that managerial role then it won’t be as useful as you think.» Aspettare di avere i cinque anni non garantisce quindi di riuscire meglio nella prova.

La testimonianza dei candidati non dirime queste posizioni e non contiene alcun dato comparativo sui tassi di superamento in base all’anzianità.

Come si passa da Associate a CISSP certificato?

Accumulando l’esperienza mancante e facendola poi convalidare con la procedura di endorsement — identica a quella dei candidati che soddisfano da subito la condizione. È tuttavia la parte meno documentata delle testimonianze: le cinquanta testimonianze analizzate contengono diversi candidati diventati Associate, ma nessun racconto dettagliato di una conversione verso il CISSP certificato. Due punti emergono comunque:

• l’equivalenza di un anno resta utilizzabile in questo calcolo, e diversi Associate dichiarano di farci affidamento (Security+, SSCP);
• nel frattempo l’Associate mantiene la propria adesione: quota annuale e CPE.

Per il resto — riapertura della domanda, nuovo endorser, sorte dei CPE accumulati, scadenza raggiunta senza l’esperienza —, la procedura da seguire è quella descritta da ISC2.

Per valutare se il vostro percorso attuale vi avvicina ai cinque anni, si veda l’esperienza richiesta per il CISSP. Sulla provenienza di queste testimonianze e sui loro limiti, si veda il nostro metodo, e l’insieme degli argomenti trattati sul blog o su Cybridia.