Il formato CAT dell’esame CISSP, spiegato domanda per domanda

L’esame CISSP si svolge sotto forma di test adattivo computerizzato — CAT, per Computerized Adaptive Testing. In concreto: non ricevete un elenco di domande fissato in anticipo, ma una sequenza di domande scelte via via in funzione delle vostre risposte precedenti. Dal 15 aprile 2024 questa sequenza conta da 100 a 150 domande, da affrontare in 3 ore al massimo. Prima di quella data il formato prevedeva 125-175 domande in 4 ore: una parte importante delle testimonianze disponibili online descrive quindi un esame che non esiste più.

Questi riferimenti provengono da testimonianze di candidati, da agosto 2023 a luglio 2026 (il nostro metodo); la regola ufficiale è su isc2.org.

Che cos’è il formato CAT dell’esame CISSP?

Un CAT non ha lo scopo di farvi rispondere al maggior numero possibile di domande: cerca di stimare il vostro livello con sufficiente certezza per decidere. Ogni risposta affina questa stima e la domanda successiva è scelta per ridurre l’incertezza residua.

Il principio di base

Un candidato riassume la meccanica nell’ottobre 2024, nel racconto più ripreso sull’argomento:

«At the beginning of the test, the CAT presents a question of medium difficulty. [...] If they answer correctly, the next question will be more challenging; if they answer incorrectly, the next question will be easier.» («All’inizio del test il CAT propone una domanda di difficoltà media. [...] Se il candidato risponde correttamente, la domanda successiva sarà più difficile; se risponde in modo errato, sarà più facile.»)

Conseguenza diretta: un candidato che sta andando bene vede il proprio esame diventare sempre più duro. La difficoltà percepita non è quindi un cattivo segno, ma il funzionamento normale del dispositivo.

Che cosa non è il CAT

Non è un questionario lineare che si percorre al proprio ritmo. Nessun candidato menziona la possibilità di tornare su una domanda già confermata, e il consiglio più ricorrente è quello di voltare pagina: «forgot about every question everytime I pressed next» («dimenticavo ogni domanda non appena premevo avanti»). Questa impossibilità di tornare indietro cambia il modo di affrontare ciascun quesito, illustrato in il metodo per rispondere a una domanda CISSP.

Quante domande e quanto tempo da aprile 2024?

Periodo	Numero di domande	Durata
Fino al 14 aprile 2024	da 125 a 175	4 ore
Dal 15 aprile 2024	da 100 a 150	3 ore

L’intervallo di 100-150 domande in 3 ore del formato attuale è confermato da numerosi racconti — un resoconto di bocciatura parla di «the entire 150 questions for 3hours».

Attenzione a una confusione documentata proprio il giorno del cambiamento: un commentatore sosteneva allora «Think it shifted from 125-175 to 100-125». Il limite superiore è inesatto: diversi resoconti successivi descrivono esami conclusi esattamente a 150 domande.

Come sceglie l’algoritmo la domanda successiva?

Al di là del principio «risposta esatta, domanda più difficile», un commentatore fornisce il criterio di selezione degli item:

«So the CAT uses something called discriminative efficiency. [...] the point biserial correlation coefficient, which correlates the score on a specific item with the overall test score.» («Il CAT utilizza quella che si chiama efficienza discriminante: il coefficiente di correlazione biseriale puntuale, che correla il risultato a una data domanda con il risultato complessivo del test.»)

In altri termini, l’algoritmo privilegia le domande che separano meglio i candidati al vostro livello stimato.

«Facile» e «difficile» sono soggettivi

La difficoltà di una domanda è una proprietà statistica dell’item, non la vostra percezione. Lo stesso commentatore lo formula così: «Maybe you are an expert in incident response, so those questions are easier. Where maybe you hate databases (we all do it’s ok).» («Forse siete esperti di incident response, quindi quelle domande vi sembrano facili. E forse detestate i database.») Una domanda calibrata come difficile può sembrarvi banale.

L’algoritmo cerca i vostri limiti

Diversi candidati descrivono un esame che insiste su uno stesso tema: «The adaptive test will zero in on your every weakness like a crazy ex!!» («Il test adattivo punterà su ogni vostra debolezza come un ex ossessivo.») Ma l’interpretazione è insidiosa: un candidato molto solido in crittografia si è visto bombardare di domande di crittografia ed è stato promosso. La sua conclusione: «Don’t stress the CAT too much, it’s going to do what it wants and you’re just along for the ride.» («Non fissatevi troppo sul CAT: farà quello che vuole, voi siete solo passeggeri.»)

Che cos’è una domanda beta e conta nel punteggio?

Una parte delle domande poste non è valutata: sono domande in corso di calibrazione, inserite per valutare contenuti futuri.

«Beta questions on the CISSP exam serve as unscored questions that help test developers evaluate new content. These questions are mixed into the exam without affecting the test-taker’s score.» («Le domande beta sono domande non valutate che aiutano i progettisti a valutare nuovi contenuti. Sono mescolate all’esame senza incidere sul punteggio del candidato.»)

La banca è vasta: «The pool of questions is tens of thousands questions» («la banca conta decine di migliaia di domande»).

Un candidato del luglio 2024 stima la loro quota percepita a «10% that were probably questions they were testing out» — un’impressione, non un dato ufficiale. Nulla permette di individuarle durante la prova, il che basta a invalidare l’interpretazione «questa domanda è facile, quindi sto andando male».

Quando e perché l’esame si interrompe?

La prova si interrompe non appena l’algoritmo dispone di informazioni sufficienti, oppure quando si raggiunge uno dei limiti (150 domande, 3 ore). Sui 48 resoconti d’esame disponibili, l’arresto a 100 domande è di gran lunga il caso dominante, davanti a un secondo gruppo concluso a 150. Il conteggio completo di questi esiti e ciò che se ne può concludere sono riportati in esame fermato a 100 domande: promosso o bocciato?.

Queste proporzioni non sono un tasso di superamento: i racconti «Passed!» sono massicciamente sovrarappresentati online. Un arresto a 100 domande significa soltanto che l’algoritmo ha deciso — in un senso come nell’altro, con un commento che riporta «Failed at 100, proficient on 3 domains and below on the other 5» («Bocciato a 100, al livello su 3 domini e sotto sugli altri 5»).

Quali informazioni si ricevono al termine della prova?

Lo schermo si spegne senza preavviso — «out of nowhere the screen goes black» («senza avvisare, lo schermo diventa nero») — e segue un questionario di gradimento, anch’esso a tempo. Il risultato viene poi consegnato su carta dal proctor, spesso senza una parola; lo svolgimento completo di questa uscita dall’aula è descritto in il giorno dell’esame CISSP al centro Pearson VUE. In caso di promozione indica uno stato provvisorio:

«Congratulations! We are pleased to inform you that you have provisionally passed...» («Congratulazioni! Siamo lieti di informarvi che avete provvisoriamente superato…»)

In caso di promozione non viene comunicato alcun punteggio numerico. In caso di bocciatura il rapporto riporta un posizionamento per dominio, del tipo «150 Questions — Result: 3 Above, 2 Near, 3 Below — Time Left: 5 minutes». Il dettaglio del punteggio e della soglia di 700/1000 è trattato in punteggio CISSP 700/1000: perché non è il 70%.

Che cosa comporta il formato per chi non è di madrelingua inglese?

Tutti i racconti disponibili descrivono un esame sostenuto in inglese, e il carico linguistico ritorna con regolarità:

«I have to say, as a non-native English speaker, some questions were really more of a language test than cybersecurity» («Devo dire che, da non madrelingua inglese, alcune domande erano più un test di lingua che di cybersicurezza.»)

Un autore di domande ISC2 intervenuto in queste discussioni afferma che è un difetto contro cui si lavora: «we have been trying very hard to make the questions as 'linguistically agnostic' as possible» («ci stiamo impegnando molto per rendere le domande il più possibile neutre sul piano linguistico»).

La barriera della lingua figura del resto tra le cause di bocciatura autodiagnosticate censite in perché si viene bocciati al CISSP. Lingue disponibili e maggiorazioni di tempo sono regole ufficiali, da verificare presso ISC2. È documentato un caso di tempo esteso a 6 ore ottenuto tramite un’esenzione medica trasmessa a ISC2.

L’allenamento in condizioni vicine al formato conta quindi doppio quando l’inglese non è la vostra lingua: l’applicazione Cybridia propone a questo scopo una modalità adattiva ricalcata sul CAT e 8 simulazioni d’esame a tempo.

In che senso le vecchie testimonianze sono superate?

Un resoconto dell’agosto 2023 racconta «I answered 175 questions in total» («ho risposto a 175 domande in totale»). Quel formato non esiste più. Il passaggio è documentato in diretta il 15 aprile 2024, quando un candidato si stupisce di avere finito a 100 domande:

«Congratulations and as to why you managed to pass at 100. It is because the exam format changed today requiring fewer overall questions.» («Congratulazioni — e quanto al perché siate riusciti a passare a 100 domande, è perché il formato dell’esame è cambiato oggi e richiede meno domande in totale.»)

Questo stesso candidato ha rischiato di cadere in trappola: mal informato, calcolava il proprio ritmo sul vecchio formato e «sped run through the questions» («ha divorato le domande di corsa»). È il rischio concreto delle fonti superate — se ne parla in gestione del tempo all’esame CISSP.

Regola di lettura per qualunque testimonianza trovata online: verificatene la data. Prima di aprile 2024 il numero di domande, la durata e i riferimenti di ritmo non valgono più — gli altri articoli del blog si basano sul formato attuale.