Quando due soluzioni del CISSP si contraddicono, chi ha ragione?

Quando due soluzioni si contraddicono, la causa è quasi sempre una di queste tre: edizioni diverse, fonti dottrinali diverse, o un vero refuso — il CBK, dal canto suo, è stabile. Il disaccordo fa parte del panorama: sulle 138 domande di esercitazione condivise da candidati tra il 2023 e il 2026 e rilette per questo dossier, 13 lasciano la community durevolmente divisa, e una manciata di dibattiti resta realmente aperta. Qui non viene riprodotto il testo di nessuna domanda, e le posizioni citate sono pareri di candidati, mai correzioni ufficiali di ISC2.

Perché due soluzioni ufficiali danno risposte diverse?

Perché «ufficiale» copre più cose: uno stesso editore pubblica una guida di studio, raccolte di test, un’applicazione mobile e domande di ripasso, scritte da autori diversi, in date diverse, a partire da fonti dottrinali diverse.

Le testimonianze dei candidati ne danno un caso esemplare su una domanda di continuità operativa: quale di queste azioni rientra in un piano di continuità? Una raccolta di test attribuisce la risposta a una misura di tolleranza ai guasti, sostenendo che la continuità è proattiva e il ripristino reattivo; l’applicazione ufficiale di ISC2 attribuisce la risposta al passaggio a un sito alternativo, sostenendo che una misura preventiva permanente non figura in un piano che si attiva. I due ragionamenti sono entrambi difendibili: partono da due definizioni del confine tra continuità e ripristino.

Ritornano altre tre cause. Anzitutto lo sfasamento di edizione: una domanda sui messaggi scambiati durante l’assegnazione di un indirizzo di rete è giudicata mal redatta dalla community, che vede nella sua soluzione una sbavatura editoriale riportata da un’edizione all’altra — pur riconoscendo che la risposta del libro resterebbe difendibile con un’altra lettura del testo.

Poi lo slittamento dottrinale. Una domanda sul rinnovo sistematico di un parco di apparecchiature ancora funzionanti e ancora aggiornate riceve una soluzione che invoca la fine del supporto; i commentatori replicano che un hardware che riceve ancora patch non è a fine supporto, ma in obsolescenza programmata. Conclusione del thread: anche le fonti più autorevoli sbagliano.

Infine la divergenza di framework. Una domanda che chiede su quale base giustificare l’acquisto di un controllo contrappone una metrica di rischio annualizzata a una metrica di redditività: uno schieramento ragiona in termini di gestione del rischio, l’altro di decisione di investimento. Entrambi i framework sono insegnati, e la domanda non dice quale mobiliti.

Due care o due diligence: la domanda ha una risposta stabile?

No. È il caso più istruttivo delle testimonianze: lo stesso testo vi ritorna cinque volte in tre anni, quasi parola per parola, e le soluzioni pubblicate si dividono tra le due nozioni. Il principio verificato è sempre lo stesso: come si chiama l’obbligo, per una persona, di adempiere alle proprie responsabilità con esattezza ed entro i tempi?

Tre fonti attribuiscono la risposta alla due diligence, una sola alla due care, e ogni volta una parte della community contesta la soluzione. Gli espedienti mnemonici che circolano sono a loro volta contraddittori:

«Due Diligence = Do Detect; Due Care = Do Correct»

è il più diffuso, e spinge verso la due care per un’azione di esecuzione. Ma la spiegazione che raccoglie il consenso nei thread più argomentati inverte la prospettiva: la due care sarebbe lo standard ampio della persona ragionevole, e la due diligence la sua componente specifica, quella che consiste nell’assolvere una responsabilità affidata in modo esatto e puntuale — formulazione ripresa quasi letteralmente nel testo della domanda.

La condotta da tenere non è quindi memorizzare una lettera, ma conoscere l’asse del disaccordo: uno standard generale di prudenza da un lato, un’esecuzione verificabile di una responsabilità assegnata dall’altro. I due schieramenti concordano su un punto: quando la domanda riprende parola per parola la definizione di un manuale, è quel manuale ad avere ragione, non l’uso professionale corrente.

Che fare quando la community contesta una soluzione ufficiale?

Distinguere due situazioni molto diverse: la soluzione è errata, oppure la soluzione è giusta per una ragione che il lettore rifiuta.

Le testimonianze dei candidati contengono un caso di contestazione massiccia, su una domanda sulla catena di fornitura del software. Una persona incaricata di una revisione documentale rileva presso un fornitore mancanze gravi, e la soluzione si aspetta che revochi l’autorizzazione all’uso del componente. I commentatori più votati giudicano assurdo che un valutatore revochi unilateralmente un’autorizzazione critica senza analisi di impatto; la maggior parte avrebbe prodotto un rapporto. La domanda è stata riproposta sette mesi dopo, con lo stesso verdetto: il disaccordo riguarda la separazione tra ruolo di valutatore e ruolo di decisore, e non viene mai risolto.

Al contrario, diverse soluzioni giudicate dapprima sbagliate si rivelano solide una volta letta la spiegazione. Un candidato contesta una risposta sul test di preparazione al ripristino dell’attività, finché non gli si ricorda che un esercizio su copione in ambiente non di produzione non interferisce con la produzione. Un altro contesta una risposta sui privilegi di amministrazione sottolineando, a ragione, che descrive una cattiva pratica — ma la domanda poneva un vincolo preciso, e la risposta lo soddisfa.

Il test che dirime sta in due verifiche. La spiegazione ufficiale si appoggia a una definizione attribuibile a una fonte di riferimento? In caso affermativo, adottatela per l’esame, anche a costo di non applicarla in ufficio. Ignora un criterio esplicito del testo, oppure si contraddice da una domanda all’altra dello stesso capitolo? Allora annotatela come errore probabile e passate oltre.

Due contributori che si presentano come autori di domande per ISC2 ricordano di passaggio che cosa viene realmente verificato:

«As an exam writer for the CISSP, I can absolutely say that is NOT what we are looking for. Understanding the concepts and how to apply them, is.»

«In quanto autore di domande per il CISSP, posso affermare che NON è questo che cerchiamo. Comprendere i concetti e saperli applicare, sì.»

Come riconoscere una domanda generata dall’IA o un brain dump?

Le testimonianze dei candidati contengono sette domande la cui origine artificiale è annunciata dall’autore del messaggio o identificata dai commentatori. Le loro firme sono abbastanza costanti da poter essere elencate.

Segnale	Che cosa indica
Scenario di dieci righe che elenca uno stack di sicurezza completo	Scenografia generata, senza legame con la richiesta
Domanda a due parti: il rischio e il controllo da raccomandare	Formato assente dall’esame reale
Opzioni che associano un rischio a un rimedio mal accoppiato	Generazione automatica non riletta
Incoerenza interna del testo	Assenza di revisione esperta
Nessun ruolo indicato benché la risposta ne dipenda	Domanda non rispondibile
Domanda di pura definizione, livello introduttivo	Calibrazione molto al di sotto dell’esame
Nessuna fonte citata, provenienza reclamata nei commenti	Sospetto di brain dump

Il verdetto dei commentatori è sbrigativo: una di queste domande viene definita «AI slop», un’altra è dichiarata non rispondibile in mancanza del ruolo indicato, una terza raccomanda un modulo hardware di sicurezza contro attacchi side-channel — un rimedio che non tratta il rischio descritto.

Il caso del brain dump è più grave, perché mette in gioco la deontologia oltre che l’efficacia. Le testimonianze dei candidati documentano almeno una domanda che i moderatori hanno segnalato come proveniente con ogni probabilità da una banca pirata, il che ha posto fine alla discussione. Una banca che diffonde domande d’esame reali viola l’accordo di riservatezza, e le sue soluzioni non hanno alcun valore didattico.

Resta una categoria intermedia: banche comunitarie serie ma non validate, che i commentatori definiscono «molto difficili e non del tutto validate». Si riconoscono da soluzioni che nessuno riesce a giustificare se non riscrivendo la domanda. La selezione tra queste fonti è l’oggetto del nostro comparativo delle risorse CISSP, che applica lo stesso criterio: una banca di domande vale quanto valgono le sue spiegazioni.

Quali domande provocano più disaccordi?

La ripartizione per dominio è istruttiva: il dominio 1, gestione dei rischi e della sicurezza, rappresenta 38 delle 138 domande, ben davanti alle operazioni di sicurezza (24), alla gestione delle identità (21) e all’architettura (18). È anche il dominio che concentra i disaccordi, per una ragione semplice: le sue nozioni sono definitorie e i loro confini sono convenzionali.

Cinque aree concentrano il grosso delle controversie. La distinzione due care / due diligence, già descritta. Il confine tra continuità operativa e ripristino dopo un disastro. La catena di accountability, in cui la risposta giusta dipende dalle opzioni proposte: quando il consiglio di amministrazione non è elencato, si prende il livello più alto disponibile. La definizione della governance di sicurezza. E il vocabolario dei cicli di vita dell’hardware, fine commercializzazione contro fine supporto.

Al contrario, alcune nozioni delicate sono perfettamente stabili: minaccia, vulnerabilità e rischio; restrizione del perimetro di un insieme di controlli di base e adattamento; fasi della risposta agli incidenti; need to know. Quando sbagliate su una di queste, il problema è una lacuna, non una soluzione dubbia.

Ultimo riferimento: diverse domande delle testimonianze sono giudicate troppo specialistiche, con il richiamo ricorrente che «CISSP is NOT a technical exam». Una soluzione contestata su una domanda iper-tecnica è raramente un motivo per aprire un manuale.

Bisogna ripassare una nozione contestata o passare oltre?

La regola che emerge dalle testimonianze dipende dalla frequenza, non dalla difficoltà.

Se la nozione ritorna più volte nelle vostre banche di domande — è il caso delle cinque aree qui sopra — merita un ripasso, ma non quello che si crede: non si tratta di ricordare una risposta, ma di imparare le due definizioni concorrenti e il criterio che fa pendere da una parte o dall’altra.

Se la domanda è isolata, mal scritta, generata automaticamente o di origine sconosciuta, la risposta è netta: passate oltre. Il costo reale di queste domande non è il punto perso, è il tempo e la fiducia consumati — due risorse che il volume di domande da affrontare prima dell’esame basta già a mettere sotto tensione. Accanirsi su una soluzione dubbia è del resto catalogato tra gli errori di ripasso più frequenti. E trattate ogni domanda a sé stante, senza cercare di riconciliare le fonti.

Resta il gesto che rende utile una banca di domande, qualunque essa sia: pretendere che spieghi. Una soluzione che si limita a nominare l’opzione giusta non permette nemmeno di accorgersi che sbaglia. È il principio adottato da Cybridia, dove ciascuna delle 4.298 domande è accompagnata da una spiegazione che indica perché le risposte sbagliate sono false — l’unico gesto di ripasso che questo insieme di testimonianze raccomanda senza riserve.

Per la lettura del testo della domanda, si veda il metodo di risposta; per scartare le opzioni, l’eliminazione dei distrattori. I limiti di questo insieme di testimonianze sono dettagliati nella nostra metodologia.