Superare il CISSP senza esperienza in cybersicurezza: cosa raccontano i candidati

Sì, si può superare l’esame CISSP senza lavorare nella cybersicurezza, e alcuni candidati lo raccontano: neolaureati, auditor, consulenti di rischio, riconversioni professionali. «Si può fare il CISSP senza lavorare nella cybersicurezza?» è una delle domande più frequenti tra i candidati, e l’archivio di tre anni di testimonianze pubbliche permette di rispondere con casi concreti. Una precisazione: superare l’esame non basta per essere certificati, perché ISC2 richiede inoltre una convalida dell’esperienza professionale, le cui regole sono dettagliate su isc2.org. Tutto ciò che segue riguarda la prova in sé.

Si può superare l’esame senza lavorare nella cybersicurezza?

Sì. Sui 200 racconti pubblicati in versione integrale, una decina proviene da candidati che dichiarano di non occupare alcun ruolo in cybersicurezza al momento della prova — circa un racconto su venti. Sono racconti volontari, non una statistica sui candidati.

Il titolo più esplicito è quello di un candidato che annuncia di non avere «alcuna esperienza in cybersicurezza» e di essere passato al primo tentativo a 150 domande, dopo quattro settimane di preparazione, con un’esperienza informatica di base e un master in cybersicurezza appena concluso. Un altro, specialista informatico in un ospedale da due anni, scrive:

«I wanted to write this to tell everyone who thinks that they shouldn’t take this, or can’t take this, if they don’t have the experience, that you can.»

Volevo scrivere questo per dire a tutti quelli che pensano di non doverlo, o non poterlo, fare per mancanza di esperienza: potete farlo.

Il contrario è altrettanto documentato: le testimonianze dei candidati dedicate alle bocciature riportano casi di candidati molto più esperti, e bocciati. L’assenza di esperienza non impedisce il successo; la sua presenza non lo garantisce.

Quali profili senza esperienza passano nei racconti?

I casi censiti si raggruppano in quattro categorie.

I neolaureati. Un candidato con una laurea triennale in contabilità e un master in business analytics, senza alcuna esperienza professionale, ha sostenuto il CISSP prima di entrare in una società di revisione. Un altro, due anni di informatica generale e una laurea in cybersicurezza, l’ha sostenuto per tentare di entrare nel settore.

I profili governance, audit e rischio. Sono i più numerosi. Un consulente di management e gestione dei rischi aziendali, dodici anni di carriera, descrive la propria situazione senza giri di parole:

«I’ve never provisioned accounts, troubleshot network issues, or worked with cryptography. However, my experience in risk management helped me understand what’s best for the business.»

Non ho mai creato account, mai diagnosticato un problema di rete, mai lavorato sulla crittografia. Tuttavia, la mia esperienza nella gestione dei rischi mi ha aiutato a capire che cosa è meglio per l’azienda.

Le professioni affini. Un ingegnere pre-sales di una piattaforma di sicurezza, assunto con «pochissima esperienza in sicurezza», ha costruito un piano di dieci settimane; un professionista della gestione della qualità nei dispositivi medici, poi diventato architetto PLM, ha puntato alla certificazione per poter discutere di sicurezza con i propri clienti.

Le riconversioni professionali. Un candidato riassume il proprio percorso in tre parole — «nessun background, riconversione» — e precisa di essere partito da un livello in cui la parola «kernel» non gli diceva nulla. È passato al secondo tentativo.

Qual è la difficoltà di un profilo non tecnico?

È concentrata sui domini tecnici, e gli autori la indicano esplicitamente. Un candidato proveniente dalla governance, dal rischio e dalla conformità, senza formazione informatica, descrive il proprio punto di partenza: un solo dominio sopra la soglia prima di iniziare a ripassare, quello della sicurezza e della gestione del rischio. I domini citati come più impegnativi sono quelli dell’architettura, delle comunicazioni e della sicurezza di rete, e dello sviluppo software.

La seconda difficoltà è psicologica. La sindrome dell’impostore ricorre esplicitamente in diverse di queste testimonianze, tra cui quella di una professionista che apriva le proprie riunioni annunciando che «non era tecnica».

La terza trappola è specifica di questi profili: credere che ragionare «come un manager» dispensi dalle conoscenze tecniche. Un candidato di diciannove anni, con circa tre anni di esperienza in cybersicurezza, ha costruito tutta la propria preparazione su questo presupposto ed è stato bocciato alla centesima domanda:

«I decided to focus on the mindset foremost […] This was a huge mistake. I was utterly blindsided by questions asking for technical applications of concepts I had never heard of.»

Ho deciso di concentrarmi prima di tutto sul mindset […] È stato un errore enorme. Sono stato colto completamente alla sprovvista da domande su applicazioni tecniche di concetti di cui non avevo mai sentito parlare.

La storia non finisce lì, ed è necessario precisarlo per evitare qualsiasi confusione con i racconti di Associate: lo stesso autore ha ripetuto l’esame e l’ha superato a vent’anni, anche in quel caso alla centesima domanda, dopo aver ripreso i contenuti invece del solo atteggiamento. Non avendo i cinque anni richiesti, è diventato Associate of ISC2 e rivendica questo status, che bastava al suo datore di lavoro. Un solo candidato, dunque, e due tappe: la bocciatura citata qui, il successo citato là.

Una delle formulazioni più riprese nelle testimonianze sulle bocciature è quella di un commento con moltissimi voti: conoscere la materia come un tecnico, poi applicarla come un decisore — entrambe le cose, non l’una o l’altra.

Un contrappunto, per chiudere questo punto. La mancanza di esperienza non è l’unico handicap possibile: le testimonianze dei candidati sulle bocciature individuano al contrario la preparazione troppo tecnica come la causa di bocciatura più frequentemente auto-diagnosticata, con candidati che hanno dieci o vent’anni di esperienza in reti, cloud o centro operativo e che vengono bocciati per aver risposto da esecutori invece che da consulenti. In altri termini, l’esperienza sul campo non vale come dispensa dalla preparazione, e la sua assenza non condanna. Questo versante non è l’oggetto dell’articolo: è trattato in perché si viene bocciati al CISSP.

Quanto tempo hanno lavorato questi candidati?

Le durate dichiarate vanno da sei settimane a più di un anno, con due costanti.

Profilo riportato	Durata dichiarata
Senza esperienza informatica	1,5 mesi intensivi, lavorando
Neolaureato senza esperienza	~2 mesi a ~5 ore al giorno
Senza basi tecniche	Da 2,5 a 3 mesi intensivi
Ingegnere pre-sales	Piano di 10 settimane
Audit e consulenza di rischio	11 mesi, con una bocciatura
Nessuna esperienza nel settore di riferimento	Più di un anno, con una bocciatura

Prima costante: queste preparazioni sono più lunghe e più dense di quelle dei profili esperti dello stesso insieme di testimonianze, dove esistono percorsi di due o tre settimane. Seconda costante: diversi di questi candidati vanno ben oltre la centesima domanda — 150 ricorre in questi racconti, e 175 in quelli più vecchi, nel formato precedente all’aprile 2024. Il campione è troppo piccolo per farne una regola, ma giustifica il fatto di prevedere la prova nella sua versione lunga invece di sperare in un arresto anticipato.

Bisogna cominciare da una certificazione più accessibile?

Non è indispensabile, e i racconti danno argomenti in entrambe le direzioni.

A favore. Il neolaureato citato sopra, benché promosso, conclude il proprio racconto con un avvertimento:

«Looking back […] the CISSP exam is probably not ideal for fresh graduates. I would recommend starting with something more foundational to build up your knowledge before tackling CISSP.»

Con il senno di poi […] il CISSP probabilmente non è ideale per un neolaureato. Consiglierei di cominciare con qualcosa di più fondamentale per costruirsi le basi prima di affrontare il CISSP.

Un altro candidato, già titolare di una certificazione cloud dello stesso ente, ritiene che aver sostenuto un primo esame di quell’ente gli abbia evitato di scoprire il formato il giorno dell’esame. Diversi racconti menzionano una sequenza progressiva di certificazioni generaliste prima del CISSP, presentata come la base che ha reso sopportabile la preparazione.

Contro. Altri autori giudicano il CISSP meno esigente in termini di memorizzazione pura rispetto a certe certificazioni reputate più accessibili, e un candidato senza formazione informatica l’ha sostenuto senza alcuna certificazione precedente. Il consulente di gestione dei rischi citato sopra rivolge un messaggio diretto ai propri simili: non scoraggiarsi per un profilo non tecnico né per punteggi mediocri nelle simulazioni d’esame, a condizione di saper applicare i concetti a una decisione aziendale.

Un candidato senza esperienza diretta consiglia infine di possedere una certificazione valida ai fini dell’esperienza richiesta da ISC2, così da avere tempo per costruire il proprio percorso dopo l’esame. Questa equivalenza è limitata a un anno complessivo, sommando tutti i titoli fatti valere, secondo la comunità: l’esperienza richiesta per il CISSP dettaglia ciò che i candidati sono riusciti a far valere. Le regole applicabili, invece, vanno verificate su isc2.org.

Per ricollocare questi casi nell’insieme delle testimonianze, vedi le 200 testimonianze di successo e il nostro metodo.