Come rispondere a una domanda del CISSP, passo dopo passo

Una domanda del CISSP si affronta con quattro gesti: leggere la richiesta reale prima delle opzioni, individuare la decisione richiesta e a chi spetta, rispettare alla lettera i criteri espliciti del testo e non aggiungere alcuna ipotesi. Questi gesti sono ricostruiti a partire da 138 domande di esercitazione condivise da candidati tra il 2023 e il 2026 e soprattutto dalle giustificazioni che le accompagnano — pareri di candidati, mai correzioni ufficiali di ISC2, e qui non viene riprodotto il testo di nessuna domanda.

Da dove cominciare la lettura di una domanda CISSP?

Dalla fine. Una delle indicazioni più ripetute nelle testimonianze consiste nel leggere prima l’ultima frase del testo — quella che porta la richiesta reale — prima di leggere lo scenario e prima di guardare le opzioni. Uno scenario di dieci righe su un istituto finanziario, la sua segmentazione di rete e il suo audit recente è spesso solo scenografia; la domanda sta nelle ultime quindici parole.

Questa lettura invertita è formalizzata in un metodo in quattro tempi che circola ampiamente: leggere l’ultima frase, eliminare, analizzare le due opzioni rimaste, decidere. Si accompagna a un imperativo di lentezza:

«READ each question S L O W L Y and at least TWICE — a single word often gives away the answer or eliminates two choices.»

«Leggete ogni domanda L E N T A M E N T E e almeno DUE VOLTE — una sola parola spesso rivela la risposta o elimina due scelte.»

Le testimonianze dei candidati contengono un caso da manuale di questa singola parola. Una domanda chiede dove trovare l’informazione pubblicata da un attore malevolo organizzato; il riflesso spinge verso i canali abituali della threat intelligence, mentre la preposizione cambia tutto — ciò che l’autore di un attacco pubblica in prima persona non si trova là dove i difensori pubblicano le loro analisi. La difficoltà non era la conoscenza, era la lettura.

Una terza formula completa il quadro: «Read like a lawyer» — leggete come un giurista. Ogni parola del testo è opponibile. Appartiene al trittico «think like a manager, understand like a technician, read like a lawyer», che è, a sua volta, la formula più ripetuta delle testimonianze.

Come individuare la decisione realmente richiesta?

Una volta isolata la richiesta, resta da qualificarla prima di guardare le opzioni. La griglia più compiuta delle testimonianze sta in quattro domande da porsi:

«Identify the decision before looking at the answers: Who owns this decision? What phase am I in — governance, design, implementation, operation, response? What objective is being optimised — risk reduction, continuity, compliance, safety, cost? What authority does the actor actually have?»

«Individuate la decisione prima di guardare le risposte: a chi appartiene questa decisione? In quale fase mi trovo — governance, progettazione, implementazione, esercizio, risposta? Quale obiettivo viene ottimizzato — riduzione del rischio, continuità, conformità, sicurezza delle persone, costo? Di quale autorità dispone realmente l’attore?»

La fase è il filtro che rende di più. Un analista che verifica se un alert è un vero positivo prima di qualsiasi azione è ancora in rilevamento, non in risposta; un’organizzazione che valuta i propri obblighi legali di notifica lo fa nella fase di segnalazione, quando i fatti sono accertati. In entrambi i casi, l’opzione scelta per errore descrive una fase vicina e perfettamente corretta — al momento sbagliato.

Il verbo della richiesta fissa l’obiettivo. Una domanda che chiede di evitare un’esposizione non attende la stessa famiglia di risposte di una domanda che chiede di ridurla: nel primo caso prevale la minimizzazione dei dati, nell’altro la sorveglianza o il controllo tecnico.

Che ruolo ha la persona indicata nel testo?

È il perfezionamento più solido delle testimonianze, e quello che risolve il maggior numero di ambiguità:

«The role given in the question is your cue. CISO or senior leadership → think governance. Architect or engineer → think technical and operational. That single filter resolved a lot of ambiguous questions for me.»

«Il ruolo indicato nella domanda è il vostro indizio. CISO o alta direzione → pensate governance. Architetto o ingegnere → pensate tecnico e operativo. Questo unico filtro mi ha chiarito molte domande ambigue.»

Quando non viene indicato alcun ruolo, la posizione predefinita adottata dalle testimonianze è quella del consulente di rischio. Ma quando un ruolo è indicato, prevale su qualsiasi riflesso, comprese le priorità che si credono assolute. Caso emblematico delle testimonianze: un incidente mette fuori servizio un’apparecchiatura vitale in una struttura che ospita persone vulnerabili, e il testo indica che chi risponde è membro del team di risposta agli incidenti. Il riflesso «prima la vita umana» spinge verso l’evacuazione — ma evacuare non è la decisione di quel team, spetta al personale sanitario. La priorità alle persone non è sospesa; è l’autorità del personaggio che non la copre.

Questo filtro spiega anche perché il mantra «think like a manager» ha perso terreno dopo il 2024: funziona quando il ruolo indicato è manageriale, e altrimenti produce risposte sbagliate. Due contributori che si presentano come autori di domande per ISC2 vanno oltre e smentiscono il concetto stesso; le loro affermazioni, e le riserve che impongono identità solo dichiarate, sono esaminate nel dibattito sul mantra. Per la lettura di cui ci occupiamo qui, la lezione sta in una riga: il ruolo scritto nel testo si legge, non si indovina.

Quali criteri espliciti non vanno mai ignorati?

Tutti. Un criterio scritto nel testo prevale su qualsiasi euristica, compresa la preferenza spontanea per la soluzione più sicura. Le testimonianze dei candidati ne fanno una regola secca:

«You cannot just ignore explicitly stated key criteria like "lowest cost".»

«Non potete semplicemente ignorare criteri chiave enunciati in modo esplicito come "il costo più basso".»

L’esempio di partenza merita di essere trasposto. Immaginate un gateway di filtraggio, in un’azienda di logistica, che si riavvia regolarmente e resta indisponibile una ventina di minuti ogni volta; il testo chiede di mantenere la disponibilità al costo più basso, e precisa che altri controlli coprono lo stesso flusso. Le opzioni più robuste — ridondanza, failover automatico — soddisfano la disponibilità ma violano il secondo criterio, scritto nero su bianco. Sono stati posti due criteri: la risposta deve soddisfarli entrambi.

Le parole che cambiano la risposta sono poche e ritornano di continuo: BEST, MOST, FIRST, NEXT, LEAST, PRIMARY, PREVENT, MINIMUM. Le testimonianze dei candidati sulle domande ne aggiungono una nona, particolarmente discriminante: una domanda su chi è «ultimately» responsabile non cerca chi esegue ma chi non può delegare. E «minimum» squalifica qualsiasi opzione che protegga tutto senza distinzione.

Conta anche il simmetrico: il costo resta sullo sfondo anche quando non è menzionato. «Best ≠ most secure» — la risposta migliore non è la più sicura.

Quali ipotesi bisogna vietarsi in modo assoluto?

Tutte. È l’errore più documentato delle testimonianze, ed è la causa diretta della maggior parte dei disaccordi tra un candidato e una soluzione. La regola sta in una frase:

«If the question didn’t say it, it didn’t happen.»

«Se la domanda non l’ha detto, non è successo.»

La sua variante mnemonica è più dura: «Think like a pedantic auditor» — pensate come un auditor pignolo. Non esistono né il budget che immaginate vincolato, né il livello di servizio mai menzionato, né l’architettura che completate mentalmente.

I casi delle testimonianze sono istruttivi perché sono tutti in buona fede. Un candidato contesta una soluzione sulla migrazione di server verso un hosting esterno: aveva supposto che i server fossero già lì, cosa che il testo non diceva. Un altro scarta, su una domanda di ripristino dell’attività, l’opzione più economica benché il testo indicasse l’obiettivo di ripristino: è un livello di servizio mai menzionato ad aver alimentato l’obiezione. In entrambi i casi la conoscenza c’era; è l’informazione aggiunta ad aver prodotto la risposta sbagliata.

Il contro-mantra emerso dalle testimonianze alla fine del 2024 si chiama semplicemente Just Answer The Question, e prende di mira esattamente questa deriva: cercare un’intenzione nascosta equivale ad aggiungere al testo ciò che non contiene. La sua formulazione più citata, e il modo in cui ha detronizzato il mantra manageriale, sono riportati nel nostro articolo sul dibattito.

L’ipotesi aggiunta è del resto uno degli errori di preparazione più tenaci, perché si rafforza man mano che si acquisisce esperienza sul campo: figura in buona posizione tra gli errori da evitare nel ripasso.

Rispondere secondo l’esperienza sul campo o secondo il CBK?

Secondo il CBK, ogni volta che i due divergono — e divergono spesso. Una domanda chiede come impedire che un attaccante che ha compromesso l’account di uso quotidiano di un amministratore ottenga privilegi elevati: l’elevazione controllata figura tra le opzioni, ma la soluzione moderna che la mette in sicurezza — l’autenticazione a più fattori — non è proposta, e la risposta attesa consiste nel separare rigorosamente i privilegi dall’account di lavoro. Tutti i commentatori del thread riconoscono che si tratta di una cattiva pratica in produzione, e concludono che bisogna rispondere alla preoccupazione così come è formulata.

Stesso meccanismo altrove: un candidato obietta che in caso di incidente grave, nella vita reale, le autorità vengono avvisate quasi subito; la logica del CBK colloca questa valutazione in una fase successiva e prevale.

È vero anche l’inverso, ed è la sfumatura che i candidati mancano più spesso: il CBK non è anti-tecnico. Una domanda che chiede un accesso remoto a riga di comando a un apparato di rete attende una risposta tecnica precisa, non una policy. La formula che dirime:

«Thinking like a manager doesn’t mean you should discard technical answers.»

«Pensare come un manager non significa che si debbano scartare le risposte tecniche.»

Per questo il ripasso utile non consiste nel memorizzare risposte corrette ma nel saper enunciare perché ogni opzione sbagliata è falsa — il gesto che Cybridia ha sistematizzato: per ciascuna delle sue 4.298 domande, la spiegazione dettaglia perché i distrattori sono sbagliati. È anche la ragione per cui una percentuale ottenuta in un esame di prova dice poco sul livello reale, come spiega il nostro riferimento sui punteggi delle simulazioni.

Che fare quando la domanda sembra scritta male?

Succede, anche in testi autorevoli. Le testimonianze dei candidati documentano una domanda sugli scambi di un protocollo di assegnazione degli indirizzi la cui risposta ufficiale è largamente ritenuta un refuso editoriale, mai corretto da un’edizione all’altra. Un’altra viene dichiarata non rispondibile: senza indicazione di ruolo, tutte e quattro le opzioni si difendono.

La condotta consigliata sta in tre gesti. Trattare ogni domanda a sé stante, senza cercare coerenza con un’altra domanda della stessa serie. Scegliere l’opzione meno sbagliata secondo i termini esatti del testo. Poi passare alla successiva: il vero pericolo di una domanda mal scritta non è il punto perso, è il dubbio che instilla per il resto della prova. Questo meccanismo è lo stesso descritto a proposito della sensazione di stare fallendo durante l’esame, e si combatte allo stesso modo: chiudendosi ogni domanda alle spalle.

Resta da saper scartare le opzioni. È il tema del nostro articolo sull’eliminazione dei distrattori, e, quando due soluzioni serie si contraddicono, di come dirimere tra banche di domande.