🏅 Recensione: SC-900 – Microsoft Certified: Security, Compliance & Identity Fundamentals

🔐 Panoramica SC-900: Security, Compliance & Identity Fundamentals

❗ Una premessa: questa recensione riflette esclusivamente la mia esperienza personale.

ℹ️ Introduzione

La SC-900 è stata la primissima certificazione Microsoft che ho conseguito, e si è rivelata molto più di un semplice punto d’ingresso nell’ecosistema Microsoft. Prepararmi per questo esame mi ha dato una comprensione a tutto tondo di sicurezza, compliance e identità (SCI) — non solo in relazione a Microsoft Azure e ai servizi cloud, ma anche da una prospettiva più ampia e indipendente dal vendor.

Questo doppio focus è uno dei punti di forza della SC-900: pur introducendoti a strumenti Microsoft come Entra ID, Defender, Sentinel e Purview, ti radica anche nei principi SCI universali, validi su più piattaforme, provider e ambienti. Di conseguenza, non esci solo con familiarità su prodotti specifici, ma acquisisci anche conoscenze trasferibili che rafforzano la comprensione complessiva di come i concetti SCI funzionano nella pratica.

Che tu stia esplorando la sicurezza cloud per la prima volta o voglia consolidare la conoscenza delle soluzioni Microsoft in un quadro di settore più ampio, la SC-900 offre un punto di partenza equilibrato, accessibile e significativo.

📢 Perché SC-900 è importante

Accessibile ma di valore: pensata per principianti in ruoli IT, business o accademici, la SC-900 non ha prerequisiti e introduce i fondamenti essenziali di sicurezza e identità.
Trampolino strategico: spiana la strada a percorsi avanzati come Security Operations Analyst, Identity & Access Administrator e altri ruoli specializzati.
Rilevanza concreta: con l’adozione di Zero Trust e modelli cloud-native, la SC-900 costruisce una base solida sia sui principi SCI generali sia sulle soluzioni Microsoft come Entra ID, Sentinel, Defender e Purview.

📊 Competenze valutate (aggiornate al 7 novembre 2025)

Questa sezione copre le competenze valutate per la certificazione SC-900. I domini sono suddivisi in quattro aree di conoscenza principali, ciascuna con un peso diverso nell’esame:

Descrivere i concetti di sicurezza, compliance e identità (10–15%)
- Modello di responsabilità condivisa
- Difesa in profondità (defense-in-depth)
- Modello Zero Trust
- Crittografia e hashing
- Governance, rischio e compliance (GRC)
- L’identità come perimetro di sicurezza primario
- Autenticazione vs. autorizzazione
- Identity provider
- Servizi di directory / Active Directory
- Federazione
Descrivere le funzionalità di Microsoft Entra (25–30%)
- Panoramica di Microsoft Entra ID
- Tipi di identità (utente, gruppo, service principal, ecc.)
- Identità ibrida
- Metodi di autenticazione
- Autenticazione a più fattori (MFA)
- Protezione e gestione delle password
- Accesso condizionale (Conditional Access)
- Ruoli di Microsoft Entra e RBAC
- Entra ID Governance
- Revisioni degli accessi (access review)
- Privileged Identity Management (PIM)
- Entra ID Protection
Descrivere le funzionalità delle soluzioni di sicurezza Microsoft (35–40%)
- Servizi di sicurezza dell’infrastruttura in Azure
  - Azure DDoS Protection
  - Azure Firewall
  - Web Application Firewall (WAF)
  - Segmentazione di rete con Virtual Network (VNet)
  - Network Security Group (NSG)
  - Azure Bastion
  - Azure Key Vault
- Funzionalità di gestione della sicurezza
  - Microsoft Defender for Cloud
  - Cloud Security Posture Management (CSPM)
  - Policy e iniziative di sicurezza
  - Funzionalità di protezione dei carichi di lavoro cloud
- Microsoft Sentinel (SIEM/SOAR)
  - Concetti di SIEM e SOAR
  - Rilevamento e mitigazione delle minacce in Sentinel
- Servizi Defender XDR
  - Defender for Office 365
  - Defender for Endpoint
  - Defender for Cloud Apps
  - Defender for Identity
  - Defender Vulnerability Management
  - Defender Threat Intelligence
  - Portale Defender
Descrivere le funzionalità delle soluzioni di compliance Microsoft (20–25%)
- Offerte del Service Trust Portal
- Principi sulla privacy di Microsoft
- Microsoft Priva
- Portale di compliance Microsoft Purview
- Compliance Manager
- Usi e vantaggi del compliance score
- Classificazione dei dati
- Content Explorer e Activity Explorer
- Etichette e policy di riservatezza (sensitivity label)
- Data Loss Prevention (DLP)
- Gestione dei record (records management)
- Policy di conservazione, etichette e policy di etichetta
- Gestione del rischio interno (insider risk management)
- eDiscovery in Purview
- Soluzioni di audit in Purview

💡 Consigli pratici per superare la SC-900

Dai priorità in base ai pesi: dedica più tempo a sicurezza (35–40%) e identità (25–30%), che valgono più punti.
Sfrutta i percorsi ufficiali di Microsoft Learn: usa i moduli gratuiti di Microsoft, che seguono direttamente la traccia dell’esame e sono aggiornati regolarmente.
Usa i test di pratica in modo strategico: le valutazioni di pratica di Microsoft sono molto allineate al test ed evidenziano le aree da migliorare.
Tieni traccia delle aree deboli: le valutazioni di pratica forniscono un’analisi delle tue prestazioni, facilitando il ripasso dove serve di più.
Familiarizza con la logistica:
- ~40–60 domande (a risposta multipla, drag-and-drop, vero/falso)
- durata di ~45 minuti.
- punteggio di 700/1000 richiesto per superarlo.
- disponibile online (con proctoring) o in presenza nei centri Pearson VUE.

🗂️ Strategia di studio

Per questa certificazione — e per i successivi esami Fundamentals — ho generalmente seguito questo approccio:

Raccogli e organizza tutte le risorse rilevanti e tienile a portata di mano.
Guarda lo Study Cram di John Savill. Savill ha il talento di semplificare argomenti complessi e condividerli con passione, gratuitamente, con la community. In breve, è il GOAT di Azure — te lo consiglio vivamente.
Completa il corso ufficiale SC-900 di Microsoft. È completo, gratuito e aggiornato con costanza.
Riguarda la sessione Study Cram di John Savill dopo aver completato i percorsi di apprendimento. Un secondo passaggio aiuta a consolidare ciò che hai studiato e a rinforzare i punti deboli.
Fidati della tua preparazione e mantieni la calma il giorno dell’esame. Quando ti siederai per il test, avrai costruito una base solida con uno studio strutturato. Concentrati su ciò che sai, gestisci bene il tempo e affronta l’esame con mente lucida.

🎟️ Voucher e sconti d’esame

Quando ho sostenuto la prima volta la SC-900 nel 2022, ho avuto la fortuna di ottenere un voucher d’esame gratuito partecipando a un Microsoft Virtual Training Day dedicato a sicurezza, compliance e identità. L’esperienza è stata preziosa per molti aspetti: l’evento includeva presentazioni di esperti Microsoft, slide aggiuntive da rivedere e il voucher che mi ha permesso di sostenere l’esame gratuitamente.

Quell’esperienza mi ha insegnato una lezione importante: prepararsi per una certificazione non passa solo dallo studio autonomo. A volte, il contesto, le risorse e la motivazione extra che ottieni dagli eventi dal vivo possono fare davvero la differenza.

Al 2026 il panorama è un po’ cambiato. Non sono a conoscenza di offerte di sconto al 100% legate ai Virtual Training Day. Tuttavia, partecipare a uno di questi eventi di solito offre uno sconto del 50% sull’esame correlato. Le esenzioni totali sono ancora possibili, ma tendono a essere legate a occasioni speciali, come Microsoft Ignite o le AI Skills Challenge.

Se stai valutando la SC-900, ti consiglio vivamente di tenere d’occhio Microsoft Events. Potresti ottenere non solo un voucher, ma anche spunti pratici direttamente dai professionisti Microsoft, che possono integrare il tuo studio autonomo.

📦 Considerazioni finali e punti chiave

La SC-900 è un solido primo passo nel mondo di sicurezza, compliance e identità. È accessibile, strutturata in modo logico e offre spunti trasferibili che giovano sia agli specialisti Microsoft sia a chi lavora su più piattaforme cloud.

Da quando ho superato questo esame nel 2022, ho riflettuto su alcuni punti chiave per il successo:

Conosci gli strumenti e il loro scopo: gli esami Microsoft Fundamentals enfatizzano la capacità di descrivere concetti e spiegare funzionalità. Una comprensione ampia dell’ecosistema fa molta strada.
Sfrutta le convenzioni di denominazione di Microsoft: molte soluzioni hanno nomi azzeccati (es. “Azure Firewall”, “Azure DDoS Protection”), che rendono più facile dedurne la funzione. Fai però attenzione ai frequenti rebranding storici.
Adattati al tuo stile: la preparazione è diversa per ciascuno. Individua i tuoi punti di forza e adatta la strategia per le aree più deboli. Per me, le soluzioni di compliance (25%) e distinguere i vari prodotti Defender (40%) sono state le più difficili. La mia soluzione è stata puntare a una precisione quasi perfetta nelle altre sezioni, migliorando intanto la comprensione di quei punti deboli.
Gestisci bene il tempo: se stress o incertezza ti rallentano, segna le domande difficili e tornaci più tardi. Spesso la chiarezza arriva dopo aver affrontato il resto dell’esame.

🚨 Disclaimer: questo articolo si basa esclusivamente sul mio resoconto personale. Non ho ricevuto alcuna sponsorizzazione o compenso da Microsoft o da parti correlate. Il mio intento è condividere spunti che possano aiutare altri a valutare se la SC-900 sia in linea con i propri obiettivi ed esigenze. Ti incoraggio anche a informarti su sconti, voucher o risorse della community che possano aiutare a coprire i costi di questi esami.