CompTIA Security+: competenze, destinatari e valore della certificazione

CompTIA Security+ è la certificazione con cui moltissimi professionisti italiani fanno il primo vero passo nella sicurezza informatica. Non è un corso di penetration testing né un attestato generico: è una certificazione vendor-neutral che misura se sai riconoscere una minaccia, applicare un controllo, leggere un log e rispondere a un incidente con criteri verificabili. Ed è anche una delle poche credenziali di sicurezza citate esplicitamente in framework di ruolo internazionali.

C'è però un dettaglio che in questo periodo pesa sulle decisioni: la versione attualmente in vigore (V7) verrà affiancata da una nuova versione (V8) a partire dal 17 novembre 2026. Chi deve certificarsi nei prossimi mesi si trova quindi davanti a una scelta concreta. In questa guida mettiamo in fila i fatti verificati sulle pagine ufficiali CompTIA alla data del 7 settembre 2026, traducendoli in indicazioni operative.

Che cosa valida davvero Security+

Nella descrizione ufficiale CompTIA presenta Security+ come la certificazione che stabilisce le competenze essenziali per le funzioni core della sicurezza e per una carriera nel settore: proteggere reti, applicazioni e dispositivi, garantire integrità, riservatezza e disponibilità dei dati. La parola chiave è "pratiche": il programma è costruito su attività che un analista o un amministratore di sistema svolge realmente, non su definizioni astratte.

Tradotto in lavoro quotidiano, significa saper fare cose come queste:

• distinguere un attacco di phishing da un accesso anomalo legittimo e sapere quale segnale cercare nei log;
• scegliere il controllo giusto per un rischio specifico (preventivo, detective, correttivo, compensativo) invece di applicare sempre lo stesso rimedio;
• configurare correttamente firewall, IDS/IPS, filtro DNS, DLP, NAC e soluzioni EDR/XDR;
• gestire identità e accessi con MFA, SSO e strumenti di privileged access management;
• spiegare a un auditor come funziona la gestione del rischio e dove sono documentate le procedure.

È un profilo difensivo e trasversale. Chi cerca una specializzazione offensiva troverà in Security+ le fondamenta, non il mestiere.

I cinque domini della V7

La V7 (esame SY0-701) organizza il programma in cinque aree con pesi dichiarati da CompTIA. Conoscerli serve a pianificare lo studio in modo proporzionato, perché il punteggio non è distribuito uniformemente.

Due osservazioni utili per chi studia. La prima: le operazioni di sicurezza valgono da sole più di un quarto dell'esame, quindi la parte "pratica" non è un dettaglio. La seconda: il 20% dedicato a governance, rischio e compliance spiega perché Security+ venga apprezzata anche in contesti dove la sicurezza si gestisce a livello di processo, non solo di apparati.

A chi è destinata (e a chi no)

CompTIA indica come esperienza raccomandata la certificazione Network+ e due anni di lavoro in un ruolo di security o systems administrator. È una raccomandazione, non un prerequisito formale: l'esame si può sostenere in qualsiasi momento. Nella pratica, però, chi arriva senza basi di rete e senza aver mai gestito un sistema operativo in produzione fatica molto di più.

Il profilo che si trova bene con Security+ è tipicamente:

• chi lavora già in IT (sistemista, network engineer, supporto di secondo livello) e vuole spostarsi verso la sicurezza;
• chi ha completato un percorso entry-level come A+ e Network+ e cerca la prima certificazione davvero orientata alla security;
• chi deve rispondere a requisiti contrattuali o di ruolo, dove la certificazione è richiesta come prova documentale di competenza;
• chi gestisce compliance e rischio e ha bisogno di un vocabolario tecnico condiviso con i team di sicurezza.

Meno adatto, almeno come primo passo, a chi parte da zero assoluto: in quel caso A+ e Network+ restano il punto di ingresso più sensato. E non è la scelta giusta per chi cerca una certificazione offensiva.

L'esame: numeri, formato e lingua

I dati ufficiali della V7 sono questi:

• Codice esame: SY0-701, unico esame.
• Lancio: 7 novembre 2023.
• Domande: massimo 90, mix di scelta multipla e performance-based question (PBQ).
• Durata: 90 minuti.
• Punteggio minimo: 750 su una scala da 100 a 900.
• Lingue: inglese, giapponese, portoghese, spagnolo e thai. L'italiano non è tra le lingue disponibili.
• Ritiro: inglese 11 giugno 2027; giapponese, portoghese, spagnolo e thai 13 agosto 2027.

Il punto sulle lingue merita attenzione per il pubblico italiano: l'esame va sostenuto in inglese. Non è un ostacolo insormontabile, perché il lessico tecnico è in gran parte già noto a chi lavora nel settore, ma richiede una preparazione linguistica consapevole: termini come hardening, least privilege o attestation vanno riconosciuti senza esitazione anche sotto pressione.

Le PBQ sono la parte che sorprende chi ha studiato solo sui libri. Si tratta di attività simulate in cui bisogna fare qualcosa — configurare una regola, trascinare componenti in uno schema, analizzare un output — invece di scegliere tra quattro opzioni. Si allenano in laboratorio, non con i quiz a quiz.

V7 o V8: la decisione da prendere adesso

CompTIA ha annunciato che Security+ V8 (codice SY0-801) sarà disponibile a partire dal 17 novembre 2026. Le due versioni convivranno per un periodo: la V7 non sparisce il giorno del lancio, ma resta in vigore fino alle date di ritiro indicate sopra.

Dati ufficiali della V8:

• Codice esame: SY0-801.
• Lancio previsto: 17 novembre 2026.
• Domande e durata: massimo 90 domande, 90 minuti.
• Punteggio minimo: 750 su 100-900.
• Lingue al lancio: inglese.
• Esperienza raccomandata: security administrator con due anni di esperienza pratica.
• Accreditamento: ISO 17024 tramite ANAB.
• Ritiro: stimato a circa tre anni dal lancio.

La distribuzione dei domini cambia, e non di poco:

La V8 aumenta il peso dei concetti generali e della parte offensiva, e riduce quello di governance. CompTIA dichiara inoltre che la nuova versione amplia la copertura di aree come rischi legati all'intelligenza artificiale (modelli, prompt, privacy, esposizione dei dati), sicurezza degli ambienti cloud, ibridi, on-premise e connected, federazione degli accessi, automazione e flussi di lavoro assistiti dall'AI, e resilienza di sistemi operativi e ambienti OT.

Come decidere, in pratica:

1. Se prevedi di sostenere l'esame entro i prossimi sei o sette mesi, la V7 resta una scelta solida: i materiali sono maturi, esistono simulazioni collaudate e le date di ritiro lasciano margine.
2. Se stai iniziando ora e il tuo esame cadrà nel 2027, punta direttamente alla V8: studiare la V7 per poi affrontare la V8 significa rifare una parte del lavoro.
3. Se ti interessa in modo specifico la sicurezza dell'AI, la V8 è la versione che la tratta come dominio esplicito all'interno delle minacce.

In tutti i casi, la mossa prudente è verificare sul sito ufficiale CompTIA quale versione è erogata nel momento in cui prenoti il voucher, perché le finestre di transizione possono essere aggiornate.

Quanto vale sul mercato

Un certificato non è una garanzia di lavoro, ma la sua spendibilità dipende da quanto è riconosciuto in modo formale. Su questo Security+ ha due argomenti concreti.

Il primo: il framework DoD 8140 del Dipartimento della Difesa statunitense elenca Security+ tra le credenziali valide per un insieme ampio di ruoli professionali, tra cui cyber defense analyst, incident responder, vulnerability analyst, security control assessor, system administrator, network specialist e information security manager. Un riconoscimento di quel tipo ha effetti a cascata anche sui contratti con fornitori internazionali, che spesso lo citano come requisito.

Il secondo: la certificazione è accreditata ISO 17024 tramite ANAB (indicato espressamente nella pagina della V8). L'accreditamento riguarda lo schema di certificazione personale, cioè il modo in cui l'ente verifica le competenze: è un elemento che gli uffici acquisti delle grandi organizzazioni guardano.

Su un mercato italiano che sta recependo NIS2 e che vive di audit ISO 27001, va detto con chiarezza: le certificazioni personali non sostituiscono i controlli organizzativi richiesti dalle norme. Non esiste un articolo di NIS2 che imponga Security+ a un analista. Esiste però la necessità, per molte aziende, di dimostrare che chi gestisce la sicurezza ha competenze documentate. In questo senso la certificazione è un tassello utile, non un lasciapassare normativo.

Mantenere la certificazione attiva

Superare l'esame non chiude la partita. CompTIA gestisce il rinnovo attraverso il programma Continuing Education, che prevede quattro strade:

• completare un corso CertMaster CE, che rinnova automaticamente la certificazione per A+, Network+ e Security+;
• superare l'esame della versione più recente della stessa certificazione;
• conseguire una certificazione CompTIA di livello superiore, quando previsto per quella specifica credenziale;
• accumulare Continuing Education Units (CEU) da attività approvate, con il pagamento della quota di rinnovo.

La quantità di CEU richiesta e la durata di validità dipendono dalla singola certificazione: vanno verificate sul portale CompTIA insieme alla propria data di scadenza, visibile nell'account personale. Un promemoria pragmatico: mettere in calendario la data di rinnovo il giorno stesso del superamento dell'esame evita di scoprire la scadenza quando è troppo tardi.

Come prepararsi senza sprecare tempo

CompTIA dichiara le durate stimate dei propri strumenti: 25–40 ore per il percorso di studio guidato, 30–60 con i laboratori integrati, 15–25 per i soli laboratori, 10–20 per le simulazioni d'esame. Sono stime, ma danno un ordine di grandezza: chi ha tre ore a settimana non può pensare di chiudere in un mese.

Un piano realistico per chi lavora si distribuisce su otto-dieci settimane:

1. Settimane 1–3 — fondamenta. Controlli di sicurezza, crittografia e PKI, modelli architetturali: i concetti che ricorrono in tutti gli altri domini.
2. Settimane 4–6 — minacce e operazioni. Attori, vettori, vulnerabilità, hardening, IAM, monitoraggio. Qui conviene affiancare allo studio un laboratorio: un ambiente virtuale con firewall, un SIEM open source e qualche log da leggere valgono più di dieci pagine di teoria.
3. Settimane 7–8 — governance e rischio. Analisi del rischio, BIA, rischio di terze parti, audit: la parte che molti tecnici trovano più ostica, da affrontare con esempi reali di policy aziendali.
4. Settimane 9–10 — simulazioni. Almeno due esami completi a tempo, con analisi degli errori. Il punteggio conta meno di capire perché una risposta è sbagliata.

Un errore frequente è studiare sui quiz: si memorizzano le risposte, non i criteri. Le PBQ premiano chi sa applicare un ragionamento, quindi la pratica guidata in laboratorio è la parte che fa la differenza.

Domande frequenti

Serve esperienza per sostenere Security+? No, non è un prerequisito formale. CompTIA raccomanda Network+ e due anni di esperienza in ruoli di sicurezza o amministrazione di sistema, ma l'esame è aperto a tutti. La raccomandazione riflette il livello di partenza consigliato, non un vincolo.

Vale la pena prendere la V7 se la V8 esce a novembre 2026? Dipende dalla tua tempistica. Se l'esame è a breve raggio, la V7 è una scelta solida e resta in vigore fino a giugno 2027 (agosto 2027 per le altre lingue). Se inizi ora per certificarti nel 2027, conviene studiare direttamente sulla V8.

Security+ o CEH? Sono profili diversi. Security+ è una certificazione difensiva e trasversale, che copre operazioni, architettura, rischio e compliance. CEH (EC-Council) è orientata all'ethical hacking e alle tecniche offensive. Per molti percorsi ha senso partire da Security+ e specializzarsi dopo.

La certificazione scade? Sì, va rinnovata tramite il programma Continuing Education di CompTIA. La scadenza e i CEU richiesti dipendono dalla singola certificazione e sono visibili nel proprio account CompTIA.

In sintesi

Security+ è la certificazione che trasforma un profilo IT generico in un profilo con competenze di sicurezza documentate: cinque domini, un esame da 90 minuti, un punteggio minimo di 750 su 900 e un riconoscimento che arriva fino ai framework di ruolo internazionali. Il 2026 è però un anno di transizione: la V7 lascia spazio alla V8, e la scelta della versione va fatta in base a quando prevedi di sostenere l'esame, non in base a quale sembra "più nuova".

Se vuoi affrontare il percorso con un piano strutturato, laboratori pratici e docenti che conoscono le due versioni dell'esame, scopri i corsi CompTIA di Digital Lab: trovi il percorso Security+ insieme alle certificazioni che lo precedono e lo completano.

Scopri i corsi CompTIA