Il 350-701 SCOR, “Implementing and Operating Cisco Security Core Technologies”, regge l’intera traccia di sicurezza professional di Cisco: è il core della CCNP Security ed è contemporaneamente l’esame qualifying che apre l’accesso al lab CCIE Security. Questa doppia funzione spiega perché sia uno degli esami Cisco su cui si arriva più spesso male calibrati: non è un esame di prodotto, non è un esame di teoria, ed è più ampio di quanto la parola “core” lasci intendere.

C’è poi un elemento di tempistica che nel 2026 conta più del contenuto stesso: il blueprint è in fase di sostituzione, e chi prenota adesso deve decidere consapevolmente quale versione sostenere.

Un esame che da solo non rilascia la certificazione

È il punto che genera più fraintendimenti. Il modello Cisco per le professional prevede due esami, un core condiviso e un concentration a scelta: il SCOR copre il primo ruolo, e finché non si aggiunge un concentration non esiste alcun titolo rilasciato.

Il paniere dei concentration Security non è però un elenco stabile. Cisco lo riorganizza con una certa frequenza, ritira esami e ne introduce di nuovi, e nel 2026 la traccia sta attraversando un rimescolamento consistente: gli esami storici su sicurezza email, sicurezza web e VPN, cioè 300-720 SESA, 300-725 SWSA e 300-730 SVPN, hanno il 26 agosto 2026 come ultimo giorno utile per essere sostenuti, la stessa data che chiude il blueprint v1.1 del core. Non sono quindi opzioni sensate per chi sceglie adesso. Il 300-735 SAUTO sull’automazione non compare più fra gli esami Cisco e la sua pagina rimanda ad altri codici.

Fra le concentration su cui ha senso ragionare oggi ci sono il 300-710 SNCF sui firewall, il 300-715 SISE su Identity Services Engine e il 300-740 SCAZT su accesso cloud sicuro e zero trust. Sono esempi, non l’elenco completo: qualunque lista pubblicata fuori dal sito Cisco, questa inclusa, invecchia nel giro di poche settimane, quindi l’elenco valido va letto sulla pagina ufficiale della traccia CCNP Security prima di impegnare tempo e budget su un esame.

Non è del tutto un caso che fra gli esami in chiusura ci siano proprio quelli sugli appliance email e web: è lo stesso movimento che nella v2.0 del core fa sparire il dominio Content Security per far posto a Secure Service Edge.

Il secondo ruolo dell’esame è indipendente dal primo: il 350-701 è il written qualifying per il lab CCIE Security, e chi punta alla expert lo sostiene comunque, anche senza intenzione di prendere la CCNP.

Il blueprint è in transizione: verifica su quale versione sosterrai l’esame

Il 350-701 è un esame che Cisco sta aggiornando. Questo è il singolo controllo più importante da fare prima di comprare materiale di studio: apri la pagina ufficiale dell’esame e guarda quale versione del blueprint è indicata, perché determina cosa ti verrà chiesto e quali corsi e libri sono ancora allineati.

Non riportiamo qui l’elenco dei domini con i rispettivi pesi. Il motivo è pratico: quell’elenco cambia con le revisioni del blueprint, e una tabella copiata in un articolo diventa una fotografia scaduta che il lettore scambia per informazione corrente. Cisco pubblica i topic d’esame aggiornati sulla propria pagina, ed è l’unica fonte che riflette la situazione del giorno in cui prenoti.

Quello che vale la pena sapere in anticipo, perché non cambia con le revisioni, è la direzione in cui si muove questo esame. Il baricentro della sicurezza Cisco si è spostato dagli appliance dedicati — i box per email e web che per anni hanno occupato una fetta del programma — verso i modelli di accesso distribuito: SASE, secure service edge, zero trust. Se ti prepari su materiale di qualche anno fa, il rischio non è studiare argomenti sbagliati: è studiare gli argomenti giusti con il peso sbagliato, dedicando settimane a tecnologie che oggi contano meno di quanto contassero.

Per questo, se stai iniziando adesso, conviene impostare la preparazione sulla versione più recente del blueprint anche quando la precedente è ancora sostenibile per qualche settimana: il materiale che studi resterà valido più a lungo.

Cosa valida davvero, area per area

Security Concepts. Minacce contro ambienti on-premises, ibridi e cloud, vulnerabilità ed exploit con OWASP top ten, buffer overflow, path traversal, cross-site scripting e SQL injection, prioritizzazione tramite CVE e punteggi CVSS. Poi componenti crittografici: hashing, PKI, SSL, TLS, IPsec, NAT-T per IPv4, preshared key e autorizzazione basata su certificati. Include i tipi di deployment VPN site-to-site e remote access, dalle virtual tunnel interface a DMVPN, FlexVPN e GETVPN, la defense in depth secondo il modello SAFE e l’interpretazione di script che invocano API di appliance, tipicamente in Python.

Network Security. È la parte più operativa. Segmentazione con VLAN o SGT, port security di livello 2, DHCP snooping, dynamic ARP inspection, storm control e difese contro attacchi MAC, ARP, VLAN hopping, STP e DHCP rogue. Poi AAA con TACACS+ e RADIUS in chiave di troubleshooting, gestione sicura dei device con SNMPv3, NetConf, RestConf, syslog sicuro e NTP autenticato, hardening secondo benchmark CIS. Il cuore pratico sta su Cisco Secure Firewall, ex FTD: policy di access control, AVC, URL filtering, protezione malware, intrusion prevention, configurazione di VPN site-to-site e remote access con Cisco Secure Client e troubleshooting della fase di instaurazione del tunnel.

Cloud Security. Modelli di responsabilità condivisa, soluzioni per cloud pubblico, privato, ibrido e community, riferimenti NIST 800-145 per SaaS, PaaS e IaaS, Cloud Access Security Broker. Sul piano prodotti compaiono Cisco Multicloud Defense e Cisco Secure Workload, la configurazione di Splunk per l’ingest di log e monitoraggio, la sicurezza applicativa e di workload incluso eBPF, e DevSecOps con Infrastructure as Code, pipeline CI/CD e orchestrazione di container.

Endpoint Protection and Detection. Differenza fra piattaforme EPP e soluzioni EDR, gestione dei device e inventario asset con MDM, posture assessment, Cisco Secure Client e Cisco Secure Malware Analytics, configurazione dell’antimalware con Cisco Secure Endpoint e interpretazione dei relativi eventi.

Network Access, Visibility and Enforcement. Identity management, guest services, profiling, posture e BYOD; configurazione di 802.1X e MAB con Cisco Identity Services Engine e gestione del Change of Authorization; tecniche di esfiltrazione, dal DNS tunneling a FTP, SSH, SCP, SFTP, ICMP e cloud storage; visibilità da telemetria con XDR e piattaforme SIEM e SOAR come Splunk e Cisco XDR; Cisco Duo in architettura zero trust con MFA, device trust, adaptive access policy e SSO.

I prerequisiti veri

Formalmente non ce ne sono: Cisco non richiede la CCNA né altro per prenotare il 350-701. I prerequisiti sostanziali sono un’altra cosa.

Prima di prenotare dovresti saper leggere una topologia e capire dove passa il traffico, configurare e verificare routing e switching senza consultare la documentazione, ragionare su NAT senza confonderti sulla direzione delle traduzioni, e spiegare cosa succede durante un handshake TLS e durante la negoziazione IKE di un tunnel IPsec. Devi aver messo le mani su almeno un firewall in un contesto reale, gestito regole che qualcuno usava davvero, e visto almeno una volta un’autenticazione 802.1X fallire dovendola diagnosticare.

Il livello di partenza realistico è quello di chi ha una CCNA in tasca o competenze equivalenti maturate sul campo, più esperienza operativa su infrastrutture di sicurezza. Chi arriva da un ruolo di analista SOC, con background sull’esame 200-201 CCNACBR — la certificazione che oggi si chiama CCNA Cybersecurity e che prima era nota come CyberOps Associate — conosce bene monitoring, telemetria ed esfiltrazione ma tipicamente ha un buco sulla configurazione: il SCOR chiede di implementare, non solo di osservare. Chi arriva da un ruolo di network engineer ha il problema opposto ed è forte sulla configurazione ma debole su cloud, endpoint e identity.

Come prepararsi

Il punto di partenza è il blueprint ufficiale nella versione che intendi sostenere, usato come checklist. Ogni sotto-punto va convertito in una domanda del tipo “so farlo o so solo descriverlo”, perché il blueprint distingue esplicitamente i verbi: descrivere, configurare, troubleshootare e interpretare non chiedono lo stesso livello di padronanza, e allocare tempo uniforme su tutto è il modo più efficiente di sprecarlo.

Sul lato pratico serve un laboratorio. Cisco Modeling Labs, EVE-NG o le immagini virtuali dei prodotti permettono di montare uno scenario minimo con un firewall, un server di identità e qualche endpoint. Le attività che pagano di più sono: costruire un tunnel site-to-site e romperlo volutamente per imparare a leggere i messaggi di fase 1 e fase 2; configurare 802.1X con ISE e osservare cosa cambia fra un MAB e un’autenticazione con supplicant; scrivere una policy di access control su Secure Firewall verificando l’effetto di URL filtering e ispezione malware; leggere eventi di Secure Endpoint fino a saperli interpretare senza aiuto.

Le aree su cui si arriva sistematicamente impreparati sono tre. La prima è automazione e API: pochi si esercitano a leggere uno script Python che chiama un endpoint REST, e le domande su questo tema sono di interpretazione, non di scrittura. La seconda è il cloud, spesso studiato come teoria astratta quando invece l’esame chiede di scegliere fra modelli e soluzioni concrete. La terza, sulla v2.0, è il blocco nuovo su AI, LLM e post-quantum, per cui il materiale di terze parti è ancora scarso e conviene lavorare direttamente sulle fonti ufficiali.

Per misurare la preparazione senza consumare tentativi a pagamento, su CertUp trovi una simulazione gratuita del 350-701 e un percorso di studio dedicato al SCOR organizzato per domini.

Gli errori tipici

Il primo è studiare il SCOR come se fosse un esame su Cisco Secure Firewall. Il firewall è centrale ma vale una porzione del blueprint: chi ci passa quasi tutto il tempo arriva scoperto su identity, cloud ed endpoint.

Il secondo è affidarsi a dump e a materiale di terze parti allineato a una versione precedente del blueprint. Con una transizione in corso il rischio non riguarda qualche domanda marginale: un intero dominio cambia.

Il terzo è cercare la soglia di superamento. Cisco non pubblica un punteggio minimo fisso per questo esame, e i valori che circolano nei forum non hanno fonte ufficiale: la preparazione va pianificata sul contenuto.

Il quarto è dimenticare che l’esame non chiude il percorso. Capita di superare il core, rimandare la scelta del concentration e ritrovarsi mesi dopo con un investimento fatto e nessun titolo. Quella scelta andrebbe fatta prima di prenotare il core, perché orienta anche cosa approfondire, e va fatta guardando la pagina ufficiale della traccia: come si è visto il paniere si muove, e un concentration disponibile quando cominci a studiare può avere una data di chiusura prima di quando pensavi di sostenerlo.

Dove si colloca nel percorso

A monte il riferimento naturale è la CCNA 200-301 per le fondamenta di rete, eventualmente affiancata dalla CCNA Cybersecurity, il cui esame è il 200-201 CCNACBR, per chi viene dalla sicurezza operativa. Sono due CCNA distinte e non vanno confuse: la 200-301 è quella di networking, la 200-201 quella di sicurezza. Nessuna delle due è obbligatoria, ma saltarle entrambe significa affrontare il SCOR senza la baseline su cui l’esame è costruito.

A valle si aprono due direzioni: con un concentration si chiude la CCNP Security, mentre lo stesso 350-701 abilita la prenotazione del lab CCIE Security, prova pratica di tutt’altra natura e scala.

L’esame con cui viene più spesso confuso è il 350-401 ENCOR, che ha struttura identica ma è il core della CCNP Enterprise e copre routing, switching e wireless, non sicurezza. Frequente anche la confusione con i concentration del proprio track: il 300-715 SISE tratta ISE in profondità, mentre nel SCOR ISE compare solo per la configurazione di 802.1X, MAB e CoA. Sono esami complementari, non alternativi.

Sul piano formale, le certificazioni Cisco professional hanno validità di 3 anni e si rinnovano superando esami idonei o accumulando Continuing Education credits. Sul costo vanno tenute distinte le due tariffe: il core 350-701 è listato a 400 USD, mentre i concentration della stessa traccia costano meno, 300 USD nel caso del 300-715 SISE, quindi il conto del percorso completo è la somma dei due. Prima di prenotare controlla sulla pagina ufficiale la versione del blueprint attiva alla data scelta e quali concentration risultano ancora sostenibili: puoi confrontare le alternative nel catalogo certificazioni e verificare quali esami risultano ritirati o in ritiro nella pagina dedicata.