Dove trovare CPE gratuiti per il proprio CISSP

BrightTALK, i summit virtuali SANS e i contenuti della dashboard di membro ISC2: ecco il trio di fonti gratuite che la community consiglia per primo, con risposte notevolmente stabili su tre anni. Il resto — podcast, conferenze, certificazioni — è complementare. L’ammissibilità di un’attività e il gruppo a cui viene ricondotta dipendono dal CPE Handbook pubblicato su isc2.org: le testimonianze contengono un caso di riqualificazione a posteriori di 20 ore dal gruppo A al gruppo B.

Un punto da segnalare subito: tutte le fonti censite qui sono in inglese, perché in tre anni di archivi non viene citata nessuna fonte di CPE in italiano. Mantenere la propria certificazione presuppone quindi, in pratica, di essere a proprio agio con l’inglese sia all’ascolto sia alla lettura.

Qual è la fonte più consigliata dalla community?

BrightTALK, senza concorrenti seri. È la risposta istintiva, a volte data senza altri commenti:

«BrightTALK. Nothing else.»

Traduzione: «BrightTALK. Nient’altro.»

L’interesse principale sta nell’accredito automatico: i canali sponsorizzati da ISC2 versano i CPE direttamente sull’account quando vi è stato inserito il numero di membro. I canali citati nelle testimonianze sono ISC2 Think Tank, Knowledge Vault, APAC Secure Webinars e Security Briefings, tra cui una declinazione EMEA.

Tornano due riserve. La prima è il volume di sollecitazioni commerciali che segue l’iscrizione, al punto che il consiglio condiviso è di usare un indirizzo e-mail dedicato. La seconda è che l’accredito automatico viene descritto come capriccioso: funziona il più delle volte, non sistematicamente.

Quali fonti accreditano automaticamente l’account ISC2?

Emergono tre famiglie: BrightTALK, i summit virtuali SANS e i contenuti interni a ISC2 (quiz e webinar della dashboard di membro). I summit SANS sono oggetto del commento più votato di uno dei thread:

«SANS virtual summits are my main source of CPEs. They’re free, always high quality and they register your CPEs with ISC2 automatically»

Traduzione: «I summit virtuali SANS sono la mia fonte principale di CPE. Sono gratuiti, sempre di buona qualità, e registrano i vostri CPE presso ISC2 automaticamente.»

Ecco le fonti gratuite citate, con gli ordini di grandezza e i tempi così come sono riferiti nelle testimonianze.

Fonte (gratuita)	Ordine di grandezza in CPE	Tempo prima della comparsa sul contatore
BrightTALK, canali sponsorizzati ISC2	1 per ora di webinar	Automatico, circa 1 settimana se l’indirizzo corrisponde all’account
Summit virtuali SANS	Da 12 a 15 per summit di 2 giorni	Automatico, tempi non precisati
Webinar della dashboard ISC2	Abbastanza, secondo un commento, da coprire i 120	Da 15 a 45 giorni
Quiz Insights ISC2	2 nel gruppo A per quiz, circa 6 quiz all’anno	Da 15 a 45 giorni
Podcast	1 per ora di ascolto	Dichiarazione manuale
Microsoft Learn (percorsi SC-200, SC-300)	Circa 40 per un percorso	Dichiarazione manuale
ISO 27001 Lead Auditor, formazione gratuita	Circa 11	Dichiarazione manuale
FutureCon, con codice di accesso gratuito	Circa 10 al mese	Dichiarazione manuale
SECON, chapter ISC2 del New Jersey, online	5	Dichiarazione manuale
Webcast settimanali Black Hills / Antisyphon	1 per ora, attestato fornito	Dichiarazione manuale
Webinar di vendor e riviste specializzate	1 per ora	Dichiarazione manuale
Volontariato, scrittura, riunioni di chapter locale	Variabile	Dichiarazione manuale

I quiz meritano una menzione particolare: sono accreditati nel gruppo A, i tentativi sono illimitati e una mezza dozzina è disponibile nell’arco di un anno, cioè una dozzina di crediti senza sforzo. Il loro unico difetto è il tempo di registrazione, che può arrivare a 45 giorni.

Un commento va oltre sui contenuti interni ISC2:

«The webinars that are available to you in your membership dashboard are enough to earn all 120 cpes»

Traduzione: «I webinar disponibili nella vostra dashboard di membro bastano a ottenere la totalità dei 120 CPE.»

Quanti CPE dà una conferenza?

Le conferenze sono la seconda grande famiglia di fonti. Offrono il miglior rendimento orario, ma non sono tutte gratuite.

Evento	Gratuito o a pagamento	Ordine di grandezza in CPE
ISC2 Security Congress	Non precisato nelle testimonianze	Circa 70 in una volta
DefCon	Non precisato nelle testimonianze	Da 20 a 32
BSides	Non precisato nelle testimonianze	Da 8 a 16
SecureWorld	A pagamento, citati 320 dollari USA	12
FutureCon	Gratuito con codice di accesso	Circa 10 al mese
SECON del chapter ISC2 New Jersey	Gratuito, online	5
Riunioni di chapter locale	Generalmente gratuito	Variabile

Sul piano dei giustificativi, una conferenza non impone alcun formalismo: un membro sottoposto ad audit dopo DefCon racconta di aver fornito screenshot dei propri post pubblicati sul posto, e che i 35 crediti dichiarati sono stati accettati.

Podcast, libri e video contano davvero?

Sì, come autoformazione, e la community li classifica nel gruppo A. Un trio di podcast torna regolarmente: Security Now, Darknet Diaries e Paul’s Security Weekly.

Emergono due punti pratici. Anzitutto, la dichiarazione si fa episodio per episodio, il che spiega la preferenza dichiarata per i formati lunghi: un podcast settimanale di due ore produce più crediti a parità di numero di inserimenti. In secondo luogo, un breve riassunto scritto basta come giustificativo: un membro sottoposto ad audit riferisce di aver fornito «uno screenshot di Spotify come documento giustificativo, ed è stato accettato».

Gli stessi principi si applicano ai libri, agli articoli, ai white paper e ai video di formazione. Anche le piattaforme a pagamento tornano regolarmente: corsi di oltre venti ore acquistati intorno ai 10 dollari USA, oppure un abbonamento di formazione online di cui un membro scrive:

«I binged probably 80 CPEs worth of LinkedIn Learning last year»

Traduzione: «L’anno scorso mi sono sparato l’equivalente di circa 80 CPE di LinkedIn Learning.»

Si può trasformare un’altra certificazione in CPE?

È uno dei filoni più redditizi. La preparazione di una certificazione conta come studio, e il conseguimento stesso è dichiarabile — a condizione che avvenga dopo la data di certificazione, cioè una volta approvato l’endorsement e pagata la quota. L’ordine di grandezza riscontrato si aggira intorno ai 40 CPE per una certificazione di primo livello di un fornitore cloud.

«My plan is to get one new certification per year. I just recorded my AWS SAA for 40 CPEs.»

Traduzione: «Il mio piano è ottenere una nuova certificazione all’anno. Ho appena dichiarato la mia certificazione AWS SAA per 40 CPE.»

Vengono citate due varianti gratuite dello stesso meccanismo: i percorsi Microsoft Learn, che danno una quarantina di punti per un percorso completo, e una formazione da auditor ISO 27001 di circa undici ore accessibile senza costi.

Le piattaforme di esercitazione pratica giocano nella stessa categoria, con la differenza che serve un abbonamento a pagamento per collegare l’account ISC2:

«Sign up to hackthebox and link your isc2 membership #. Every machine you pwn goes towards your cpe […] I’ve already earned 250 out of 120 cpes during my first year»

Traduzione: «Iscrivetevi a Hack The Box e collegate il vostro numero di membro ISC2. Ogni macchina compromessa conta per i vostri CPE. […] Ho già guadagnato 250 CPE sui 120 richiesti durante il mio primo anno.»

Viene citata una piattaforma equivalente con percorsi «che valgono 40-50 CPE ciascuno», e dichiarazioni di oltre quaranta ore accettate senza difficoltà.

Come recuperare rapidamente un ciclo in ritardo?

Nelle testimonianze figurano due tipiche richieste di aiuto: un membro al terzo anno di ciclo con zero crediti e dieci mesi davanti, un altro con un solo credito sui 120 attesi. In entrambi i casi le risposte convergono sullo stesso metodo.

1. Inanellare i webinar ad accredito automatico, BrightTALK in testa, per costituire una base senza lavoro di dichiarazione.
2. Inserire in calendario uno o due summit virtuali gratuiti, che portano da 12 a 15 crediti in due giorni ciascuno.
3. Puntare a un evento ad alto rendimento se il calendario lo consente: il congresso annuale ISC2 porta da solo più di metà di un ciclo.
4. Dichiarare retroattivamente quello che è già stato fatto dalla data di certificazione: letture, podcast, formazioni interne, riunioni professionali ammissibili al gruppo B.
5. Fare i quiz della dashboard ISC2 il prima possibile, a causa dei loro tempi di registrazione.

Le testimonianze mostrano che il recupero funziona. Mostrano anche quanto costa non recuperare: i casi di certificazioni perdute si concludono tutti con un esame da ripetere — quindi con un nuovo tentativo da pagare, agli importi censiti nella pagina dedicata al prezzo dell’esame CISSP, e con settimane di ripasso che i racconti di chi ha ripetuto l’esame descrivono come le più penose del percorso.

In quanto tempo i crediti compaiono sul contatore?

Nelle testimonianze sono quantificati solo due tempi, e bastano a orientare la pianificazione. L’accredito automatico BrightTALK arriva in circa una settimana, a condizione che l’indirizzo e-mail utilizzato corrisponda all’account ISC2. I quiz e i webinar ISC2 vengono accreditati entro 15-45 giorni.

La conseguenza è semplice: non contate sulle ultime settimane del ciclo. Un’attività svolta a fine dicembre per un ciclo che si chiude il 31 dicembre può comparire solo a gennaio. Il consiglio più condiviso nelle testimonianze va peraltro nella stessa direzione, e vale più di qualsiasi strategia di recupero:

«My advice to a newly minted CISSP is to try to get all the CPE out of the way as early as you can. After mine was issued, I was able to hit my 3 years' worth of CPE within the first 8 months.»

Traduzione: «Il mio consiglio a un CISSP appena certificato è di togliersi di mezzo tutti i CPE il prima possibile. Dopo che la mia è stata emessa, sono riuscito a raggiungere l’equivalente di tre anni di CPE in otto mesi.»

Per il dettaglio del conteggio, dei gruppi A e B e del funzionamento degli audit, si veda la guida ai 120 crediti.