Chi si affaccia alle certificazioni Cisco arriva quasi sempre allo stesso bivio: CCNA 200-301 o CyberOps Associate 200-201? Sono entrambe di livello associate, costano più o meno uguale, nessuna delle due ha prerequisiti formali e Cisco le presenta entrambe come porta d’ingresso. Da qui la confusione: sembrano due varianti della stessa cosa.
Non lo sono. E la differenza non è nemmeno “reti contro sicurezza”, perché la CCNA contiene un intero dominio di Security Fundamentals e il CBROPS è pieno di protocolli di rete. Sta nei verbi del blueprint: la CCNA ti chiede di configurare e verificare, la CyberOps di descrivere, interpretare e classificare. Una certifica chi mette in piedi la rete, l’altra chi guarda cosa succede su una rete che ha messo in piedi qualcun altro.
Cosa valida davvero la CCNA 200-301
Il blueprint in vigore è la versione 1.1, organizzata in sei domini: Network Fundamentals, Network Access, IP Connectivity, IP Services, Security Fundamentals e Automation and Programmability. Le tecnologie concrete che devi saper toccare con mano:
- Fondamenti: router, switch Layer 2 e Layer 3, firewall di nuova generazione e IPS, access point e controller; topologie two-tier, three-tier e spine-leaf; TCP contro UDP; subnetting IPv4 e indirizzamento IPv6 (unicast globale, unique local, link local, modified EUI-64).
- Accesso alla rete: VLAN su più switch, trunk 802.1Q e native VLAN, CDP e LLDP, EtherChannel con LACP, Rapid PVST+ con root bridge, PortFast e BPDU guard; architetture wireless Cisco, modalità degli AP, collegamento fra AP e WLC.
- IP Connectivity: lettura della routing table (distanza amministrativa, metrica, gateway of last resort), longest prefix match, routing statico IPv4 e IPv6 compreso il floating static, OSPFv2 single area con elezione DR e BDR, first hop redundancy.
- IP Services: NAT inside source statico e con pool, NTP, DHCP e DNS, SNMP, syslog, QoS per-hop fra classificazione, marking, queuing, policing e shaping.
- Security Fundamentals: access control list, VPN IPsec site-to-site e remote access, DHCP snooping, dynamic ARP inspection, port security, AAA, protocolli wireless WPA, WPA2 e WPA3.
- Automation: reti controller-based, overlay, underlay e fabric, separazione di control plane e data plane, API northbound e southbound, API REST e JSON, Ansible e Terraform, AI generativa e predittiva nelle operazioni di rete.
È una certificazione da laboratorio: gran parte di queste voci si impara digitando comandi.
Cosa valida davvero la CyberOps 200-201
Il blueprint in vigore è la versione 1.2, e nello stesso documento Cisco segnala che dal 21 gennaio 2025 la certificazione si chiama Cisco Certified Cybersecurity Associate, ferma restando la sigla CBROPS e il codice 200-201. I cinque domini sono Security Concepts, Security Monitoring, Host-Based Analysis, Network Intrusion Analysis e Security Policies and Procedures. Qui la sostanza è tutta analitica:
- Concetti: triade CIA; SIEM, SOAR e log management; threat intelligence, threat hunting, run book automation, DevSecOps; access control da DAC e MAC fino a RBAC e ABAC; terminologia CVSS (attack vector, attack complexity, privileges required, scope); approccio a 5-tuple per isolare un host compromesso dentro un insieme di log.
- Monitoring: quali dati producono tcpdump, NetFlow, firewall stateful e di nuova generazione, filtraggio web ed email; come ACL, NAT, tunneling, TOR, cifratura ed encapsulation riducono la visibilità; attacchi web (SQL injection, cross-site scripting), endpoint (buffer overflow, command and control, ransomware) e social engineering, incluso quello generato con l’AI.
- Host-Based Analysis: HIDS, antimalware e firewall host-based; componenti di Windows e Linux; indicatori di compromissione e di attacco, chain of custody; lettura di log di sistema, di SIEM e SOAR e del report di una sandbox.
- Network Intrusion Analysis: mappatura degli eventi verso IDS e IPS, firewall, proxy log e NetFlow; falsi e veri positivi e negativi; deep packet inspection contro packet filtering; traffico inline contro tap; estrazione di file da uno stream TCP dentro un PCAP con Wireshark; lettura degli header Ethernet, IPv4, IPv6, TCP, UDP, ICMP, DNS, HTTP e ARP.
- Policy e procedure: asset, patch e vulnerability management; incident response secondo il NIST SP 800-61; NIST SP 800-86 su raccolta delle prove e dati volatili; profiling di rete e di server; dati protetti come PII e PHI; Cyber Kill Chain e Diamond Model; metriche SOC di time to detect, contain e respond.
Non c’è una sola voce che chieda di configurare un apparato. È un esame da analista, non da installatore.
Confronto sintetico
| Criterio | CCNA 200-301 | CyberOps 200-201 (CBROPS) |
|---|---|---|
| Livello | Associate | Associate |
| Verbi del blueprint | Configure, verify, interpret, describe | Describe, compare, identify, interpret, classify |
| A chi si rivolge | Network engineer junior, sistemisti che gestiscono LAN e WAN, help desk che vuole salire di livello | SOC analyst L1 e L2, security analyst, incident responder junior |
| Prerequisiti reali | Nessuno formale. Servono un lab e pazienza per il subnetting | Nessuno formale. Servono basi di TCP/IP e dimestichezza con i log di Windows e Linux |
| Costo indicativo | Circa 300 USD | Circa 300 USD |
| Validità | Tre anni, rinnovo con esame o crediti Continuing Education | Tre anni, rinnovo con esame o crediti Continuing Education |
| Cosa NON copre | SIEM e SOAR, analisi investigativa di PCAP, incident response NIST, Cyber Kill Chain; sul fronte rete niente OSPF multi-area, BGP, MPLS o SD-WAN | Configurazione di apparati, VLAN, routing, spanning tree, progettazione di rete, hardening dei prodotti Cisco, penetration testing |
Scegli la CCNA 200-301 se…
- Lavori in help desk o field service e vuoi passare al team di rete: è ancora la carta d’ingresso più riconosciuta per quel salto.
- Sei sistemista Windows o Linux e la rete è la tua zona d’ombra: IP Connectivity ti dà il vocabolario per parlare con chi gestisce gli apparati.
- Sei studente o autodidatta e non hai ancora deciso il ramo: la CCNA è il prerequisito implicito di quasi tutto il resto.
- Lavori in un MSP o in un system integrator dove ti chiedono di mettere in piedi switch, VLAN e VPN per il cliente, non di monitorarne il traffico.
Se ti riconosci qui, la scheda della CCNA 200-301 ha i domini in dettaglio e una simulazione gratuita per capire subito dove sei messo.
Scegli la CyberOps 200-201 se…
- Vuoi entrare in un SOC come analista L1: triage degli alert e gestione degli incidenti sono letteralmente il contenuto dell’esame.
- Hai già basi di rete (per lavoro, per studio o perché hai già la CCNA) e vuoi specializzarti sulla difesa senza percorsi lunghi.
- Lavori in compliance, audit o IT governance e ti serve capire cosa fa davvero il team di sicurezza: NIST SP 800-61, chain of custody e dati protetti sono terreno di casa.
- Ti interessa il lato investigativo più di quello costruttivo: se leggere un PCAP ti diverte più che configurare un trunk, hai già la risposta.
Anche la scheda della CyberOps Associate 200-201 ha una simulazione gratuita, utile per misurare quanto sei a tuo agio con l’analisi.
Si possono fare entrambe? Sì, e l’ordine conta
Non sono alternative escludenti: averle entrambe è una combinazione sensata per chi punta a ruoli di sicurezza operativa dentro infrastrutture di rete.
L’ordine consigliato è prima la CCNA, poi la CyberOps, e la ragione sta nel blueprint stesso del CBROPS: Network Intrusion Analysis chiede di leggere i campi degli header Ethernet, IPv4, IPv6, TCP, UDP, ICMP, DNS e ARP, mentre Security Monitoring chiede di ragionare su come NAT, tunneling ed encapsulation degradano la visibilità. Sono le cose che la CCNA ti fa smontare e rimontare a mano. Chi arriva al CBROPS con la CCNA in tasca legge quei topic come ripasso; chi arriva senza deve impararli comunque, ma peggio, perché il CBROPS li dà per scontati.
Al contrario non funziona: la 200-201 non ti prepara alla CCNA, perché non ti fa mai configurare nulla.
Un’eccezione: se punti solo alla security e vuoi un gradino più morbido prima del CBROPS, c’è la CCST Cybersecurity 100-160, di livello entry e con un costo indicativo attorno ai 125 USD.
Cosa viene dopo, ramo per ramo
Dopo la CCNA il passo naturale è il livello professional: la CCNP Enterprise si costruisce superando l’esame core ENCOR 350-401 più una concentrazione a scelta, fra architetture enterprise, routing avanzato, wireless e automazione. Se invece ti ha attirato la sicurezza delle infrastrutture, il core della CCNP Security è lo SCOR 350-701, con concentrazioni come il SISE 300-715 su ISE.
Dopo la CyberOps Associate si sale alla Cisco Certified Cybersecurity Professional, il cui esame core è il CBRCOR 350-201: stessa filosofia analitica, ma con automazione della risposta, threat hunting strutturato e processi SOC più maturi. È la strada di chi resta nel centro operativo e vuole passare da L1 a L2.
Fra i due rami c’è anche un ponte, ed è proprio lo SCOR 350-701: chi arriva dalla CyberOps con basi di rete solide può usarlo per spostarsi dall’analisi alla gestione dei controlli di sicurezza.
In sintesi
Nessuna delle due ti trova un lavoro da sola. Quello che fanno è dichiarare in modo verificabile che sai fare certe cose: la CCNA che sai far funzionare una rete, la CyberOps che sai capire cosa sta succedendo su una rete sotto attacco.
Il modo più rapido per decidere non è leggere un altro confronto: apri entrambe le simulazioni gratuite, fai qualche domanda per ciascuna e guarda quale ti fa venire voglia di continuare.