Esperienza richiesta per il CISSP: cinque anni, due domini, un’equivalenza

Servono cinque anni di esperienza professionale pertinente, distribuita su almeno due degli otto domini del CBK, riducibili di un anno con un titolo di studio o una certificazione approvata. Il CISSP ha una particolarità: l’esame è solo metà del percorso, l’altra metà è amministrativa, e i candidati ne parlano quasi sempre a posteriori, quando il «provisional pass» è in tasca. Quel che segue riprende le loro formulazioni originali; i criteri che fanno fede sono pubblicati sulla pagina esperienza del CISSP di ISC2.

Quanti anni di esperienza servono davvero?

Cinque. È la cifra che ricorre senza eccezioni nelle testimonianze, e il richiamo più frequente rivolto ai candidati che annunciano il proprio successo:

«Passing the test is one of the requirements, the second is that you need to have 5 years of relevant work experience in order to fully receive the certification.»

«Superare il test è uno dei requisiti, il secondo è avere cinque anni di esperienza professionale pertinente per ottenere pienamente la certificazione.»

Il commento è accompagnato da un link alla pagina ufficiale — riflesso condiviso dalla maggior parte dei membri che rispondono su questo tema. Sotto lo stesso post, un messaggio più brusco: «Congrats, you still won’t have the CISSP certification for years though» («Complimenti, ma la certificazione CISSP non ce l’avrete comunque per anni»).

Questo requisito spiega anche la stizza ricorrente del forum davanti agli annunci di lavoro mal calibrati — una stizza che si ricollega al dibattito più ampio su ciò che il titolo porta realmente, trattato nel nostro articolo il CISSP ne vale la pena?:

«Anyone who lists the CISSP as "nice to have" for an "entry-level" job is full of crap. […] The CISSP REQUIRES five full years of cybersecurity experience in the eight exam domains before a person can be granted the certification. That is, by definition, NOT AN ENTRY LEVEL CERTIFICATION.»

«Chi presenta il CISSP come un "nice to have" per una posizione "entry-level" dice sciocchezze. […] Il CISSP RICHIEDE cinque anni pieni di esperienza in cybersecurity negli otto domini dell’esame prima che possa essere rilasciato. Non è, per definizione, UNA CERTIFICAZIONE DI PRIMO LIVELLO.»

Da notare: nessuna delle cinquanta testimonianze analizzate affronta i tirocini, l’apprendistato, il part-time, la somministrazione o il servizio militare — su questi punti informa soltanto la documentazione ISC2.

Su quanti domini del CBK deve essere distribuita questa esperienza?

Almeno due degli otto. La formulazione più completa delle testimonianze si rivolge a un tecnico informatico con due anni di anzianità e molte certificazioni:

«Do you have the required experience to obtain the CISSP certification? Your current certifications would only count as 1 year. You would then need at least 4 years of working experience in at least 2 of the 8 security domains.»

«Hai l’esperienza richiesta per ottenere la certificazione CISSP? Le tue certificazioni attuali conterebbero solo per un anno. Ti servirebbero poi almeno quattro anni di esperienza professionale in almeno due degli otto domini di sicurezza.»

In altri termini, non è richiesto di coprire gli otto domini, né di aver ricoperto una posizione il cui titolo contenga la parola «sicurezza». Due domini bastano, ed è questa lettura a rendere la domanda accessibile a molti profili di infrastruttura.

Un titolo di studio o una certificazione possono ridurre il requisito?

Sì, di un anno — e di un anno soltanto. La community è costante su questo tetto: titolo di studio e certificazione non si cumulano oltre l’anno.

Giustificativo riportato	Effetto descritto	Situazione del candidato
Bachelor (BS) in cybersecurity	1 anno di equivalenza	4 anni e più di cyber su 13 anni di IT — endorsed
SSCP (ISC2)	1 anno di equivalenza	4,5 anni di cyber — pienamente endorsed a 23 anni
Security+	1 anno di equivalenza (menzionato da un Associate)	esperienza insufficiente — passato per lo status Associate
Accumulo di certificazioni IT	1 anno in totale, non di più	2 anni di anzianità — altri quattro anni da accumulare

I due casi di endorsement effettivamente ottenuto sono espliciti:

«Four + years of cyber, but cumulative 13 years of IT overall. Also a BS in cybersecurity to get that one year waiver.»

«Più di quattro anni di cyber, ma tredici anni di IT in totale. Più un bachelor in cybersecurity per ottenere quell’anno di equivalenza.»

«I currently have 4.5 years of cybersecurity experience, and the remaining one-year experience requirement was fulfilled through the ISC2 SSCP waiver.»

«Attualmente ho 4,5 anni di esperienza in cybersecurity, e l’anno restante è stato coperto dall’equivalenza SSCP di ISC2.»

Nessuna testimonianza cita invece un titolo di studio italiano — laurea magistrale in sicurezza, master universitario, titolo di ingegnere — né un elenco delle certificazioni che danno diritto all’equivalenza: quell’elenco è tenuto da ISC2 e cambia nel tempo, ed è quello da consultare prima di costruire una domanda su un’equivalenza.

La mia posizione di supporto, sistemista o rete conta come esperienza di sicurezza?

È la domanda più frequente del tema, e la risposta della community è nettamente più ampia di quanto i candidati temano. Il commento di riferimento risponde a un «IT Specialist» ospedaliero convinto di non avere alcuna esperienza in sicurezza:

«During your 2 years as an IT Specialist have you worked with asset management, account creation/ permissions, end point security settings, VPN, OS hardening..etc? People seem to only consider the in-depth areas in each of the 8 domains.»

«Nei tuoi due anni come tecnico informatico hai lavorato sulla gestione degli asset, sulla creazione di account e sui permessi, sulle impostazioni di sicurezza degli endpoint, sulla VPN, sull’hardening dei sistemi operativi…? Sembra che si considerino solo gli aspetti più specialistici di ciascuno degli otto domini.»

L’esercizio consiste quindi nello scomporre una posizione generalista in attività, e poi nel ricondurre queste attività ai domini del CBK: un helpdesk che gestisce account e permessi tocca la gestione delle identità, un amministratore di rete che configura VPN e irrobustisce i sistemi tocca la sicurezza delle comunicazioni e delle operazioni.

Quali profili sono realmente passati per l’endorsement?

La testimonianza dei candidati permette di stilare un elenco di percorsi andati a buon fine, o il cui autore dichiarava di soddisfare le condizioni al momento della pubblicazione. Vale come campione di ciò che è stato accettato o presentato come accettabile — non come griglia ufficiale.

Profilo riportato	Situazione rispetto all’endorsement
Helpdesk, sistemista poi amministratore di rete, posizione descritta come senza futuro	Endorsed (aprile → maggio 2023), primo ruolo cyber in seguito
4 anni e più di cyber su 13 anni di IT, più un BS in cybersecurity	Endorsed
4,5 anni di cyber più equivalenza SSCP, 23 anni	Pienamente endorsed
Circa 5 anni di esperienza più SSCP	Domanda in corso di verifica («experience box-checking»)
5 anni di sola GRC	Si considera qualificato dopo il superamento
IAM (5 anni) più architettura di sicurezza	Superamento, condizioni soddisfatte
DBA 3,5 anni, ISSO 1 anno, analista rischio IT 2 anni	Superamento al terzo tentativo
Ingegnere sistemi, pentest, SOC, sicurezza di prodotto	Superamento
Giurista IT riconvertito a privacy e rischio, 8 anni di sicurezza	Superamento
Desktop support poi infosec, 16 anni	Superamento
Consulenza Big 4 (7 anni) più 1,5 anni da esperto di sicurezza	Superamento
Risposta agli incidenti, compliance, preparazione SOC 2 in MSP	Superamento, endorsement in attesa

Il contrasto con i profili senza esperienza è netto: quelli finiscono Associate of ISC2, senza alcuna eccezione riportata nelle testimonianze. I loro racconti d’esame sono invece raccolti in superare il CISSP senza esperienza in cybersecurity.

Una sfumatura ricorre infine tra i candidati molto tecnici: l’esperienza conta per la domanda, ma non garantisce il superamento dell’esame, che si aspetta un ragionamento da manager. Un membro lo formula così: «5 years of experience is great, but if it’s not in that managerial role then it won’t be as useful as you think» («Cinque anni di esperienza vanno benissimo, ma se non sono in un ruolo manageriale vi serviranno meno di quanto pensiate»). È la causa di fallimento più spesso auto-diagnosticata nelle testimonianze, dettagliata in perché si viene bocciati al CISSP.

Ci sono candidati a cui viene rifiutata l’esperienza?

Nelle cinquanta testimonianze analizzate non compare alcun rifiuto di endorsement. Quel che vi si trova sono due situazioni intermedie, entrambe seguite da un’approvazione:

• una richiesta di informazioni aggiuntive sulla cronologia della carriera, ricevuta in corso di istruttoria, domanda convalidata due settimane e mezza dopo;
• un messaggio di revisione approfondita («audit review message»), vissuto come una brutta sorpresa ma senza conseguenze sull’esito.

Questa assenza non prova che i rifiuti non esistano — un candidato respinto pubblica di rado — e le testimonianze non dicono nulla sui motivi di rifiuto né sulle vie di ricorso.

Che cosa bisogna verificare presso ISC2 prima di presentare la domanda?

L’elenco dei punti che queste testimonianze lasciano aperti è breve ma decisivo:

• la definizione esatta di tempo pieno, e il trattamento del part-time;
• il riconoscimento di tirocini, apprendistato e formazione duale;
• il riconoscimento del servizio militare o di funzioni pubbliche assimilate;
• l’elenco aggiornato dei titoli di studio e delle certificazioni che danno diritto all’anno di equivalenza, e in particolare la sorte dei titoli di studio italiani;
• la durata esatta dello status Associate, sulla quale due membri dello stesso thread si contraddicono (cinque anni per uno, sei per l’altro);
• i motivi di rifiuto e i ricorsi possibili.

Su ciascuno di questi punti la risposta si trova su isc2.org.

Una volta pronta la domanda, il seguito è descritto nel nostro articolo su i tempi di endorsement e le fasi della domanda. Per capire da dove vengono queste testimonianze e cosa permettono di affermare, si veda il nostro metodo oppure l’insieme dei temi del blog.