Il 350-701 SCOR, “Implementing and Operating Cisco Security Core Technologies”, regge l’intera traccia di sicurezza professional di Cisco: è il core della CCNP Security ed è contemporaneamente l’esame qualifying che apre l’accesso al lab CCIE Security. Questa doppia funzione spiega perché sia uno degli esami Cisco su cui si arriva più spesso male calibrati: non è un esame di prodotto, non è un esame di teoria, ed è più ampio di quanto la parola “core” lasci intendere.

C’è poi un elemento di tempistica che nel 2026 conta più del contenuto stesso, ed è già successo: il 26 agosto 2026 è stato l’ultimo giorno per sostenere la v1.1 del blueprint, e dal 27 agosto si esamina solo sulla v2.0, prima revisione maggiore in sei anni e mezzo. Chi prenota adesso non ha una versione da scegliere: ha del materiale da controllare, perché buona parte di quello in circolazione è ancora tarata sulla versione precedente.

Un esame che da solo non rilascia la certificazione

È il punto che genera più fraintendimenti. Il modello Cisco per le professional prevede due esami, un core condiviso e un concentration a scelta: il SCOR copre il primo ruolo, e finché non si aggiunge un concentration non esiste alcun titolo rilasciato.

Il paniere dei concentration Security non è però un elenco stabile, e nel 2026 la traccia ha attraversato un rimescolamento consistente. Gli esami storici su sicurezza email, sicurezza web e VPN — 300-720 SESA, 300-725 SWSA e 300-730 SVPN — hanno avuto il 26 agosto 2026 come ultimo giorno utile, la stessa data che ha chiuso il blueprint v1.1 del core: da allora non sono più prenotabili. Per la VPN Cisco ha scritto esplicitamente che non esiste un esame sostitutivo diretto: i contenuti sono stati redistribuiti fra il core e il concentration sui firewall, dove la configurazione VPN su Secure Firewall resta a blueprint. Prima ancora, il 2 febbraio 2026, era stato ritirato il 300-735 SAUTO sull’automazione, anche questo senza sostituto dichiarato nella tabella ufficiale degli esami ritirati. Attenzione a cosa significa: a chiudere sono i singoli esami, non la CCNP Security, che resta viva e si ottiene con una delle concentration ancora a catalogo. Se il tuo piano era SVPN cambia il concentration, non la certificazione; e se l’avevi già superato non perdi nulla, perché quel risultato continua a valere per la CCNP Security anche abbinato a un core sostenuto dopo il cambio di versione.

Le concentration offerte oggi sono quattro: il 300-710 SNCF sui firewall, il 300-715 SISE su Identity Services Engine, il 300-740 SSCA sull’accesso cloud sicuro per utenti ed endpoint e il 300-745 SDSI sul design dell’infrastruttura di sicurezza. Attenzione al 300-740: fino ad agosto 2026 l’acronimo era SCAZT, e cercando il vecchio nome sul sito Cisco non lo trovi. Il codice non è cambiato, il perimetro sì, perché oggi l’esame si concentra sul Security Service Edge e su Cisco Secure Access invece di coprire anche security operations e incident response. Resta poi il principio generale: qualunque lista pubblicata fuori dal sito Cisco, questa inclusa, invecchia nel giro di poche settimane, quindi l’elenco valido va riletto sulla pagina ufficiale della traccia CCNP Security prima di impegnare tempo e budget su un esame.

Non è del tutto un caso che fra gli esami chiusi ci siano proprio quelli sugli appliance email e web: è lo stesso movimento che nella v2.0 del core ha fatto sparire il dominio Content Security per far posto a un dominio dedicato al Secure Service Edge. L’email però non è evaporata dal SCOR: è rientrata come singolo obiettivo di configurazione, dentro il dominio sugli endpoint.

Il secondo ruolo dell’esame è indipendente dal primo: il 350-701 è il written qualifying per il lab CCIE Security, e chi punta alla expert lo sostiene comunque, anche senza intenzione di prendere la CCNP.

Il blueprint è in transizione: verifica su quale versione sosterrai l’esame

Il 350-701 è un esame che Cisco sta aggiornando. Questo è il singolo controllo più importante da fare prima di comprare materiale di studio: apri la pagina ufficiale dell’esame e guarda quale versione del blueprint è indicata, perché determina cosa ti verrà chiesto e quali corsi e libri sono ancora allineati.

Non riportiamo qui l’elenco dei domini con i rispettivi pesi. Il motivo è pratico: quell’elenco cambia con le revisioni del blueprint, e una tabella copiata in un articolo diventa una fotografia scaduta che il lettore scambia per informazione corrente. Cisco pubblica i topic d’esame aggiornati sulla propria pagina, ed è l’unica fonte che riflette la situazione del giorno in cui prenoti.

Quello che vale la pena sapere in anticipo, perché non cambia con le revisioni, è la direzione in cui si muove questo esame. Il baricentro della sicurezza Cisco si è spostato dagli appliance dedicati — i box per email e web che per anni hanno occupato una fetta del programma — verso i modelli di accesso distribuito: SASE, secure service edge, zero trust. Se ti prepari su materiale di qualche anno fa, il rischio non è studiare argomenti sbagliati: è studiare gli argomenti giusti con il peso sbagliato, dedicando settimane a tecnologie che oggi contano meno di quanto contassero.

Per questo, se stai iniziando adesso, guarda con sospetto il materiale di terze parti che non dichiara a quale versione si riferisce: un titolo che non nomina la versione, di norma, è quello vecchio. C’è poi una conseguenza pratica sul calendario: il training ufficiale Cisco U. sulla v2.0 e la formazione con istruttore sono usciti a settembre 2026, mentre il nuovo corso SNCF consolidato e il practice exam ufficiale del SCOR sono attesi entro fine anno. Chi prenota adesso si muove in un ecosistema di risorse ancora in assestamento, e le fonti ufficiali pesano più del solito.

Cosa valida davvero, area per area

Security Concepts. Minacce contro ambienti on-premises, ibridi e cloud, vulnerabilità ed exploit con OWASP top ten, buffer overflow, path traversal, cross-site scripting e request forgery, SQL injection, prioritizzazione tramite CVE e punteggi CVSS, più i controlli contro phishing e social engineering. La v2.0 ha aggiunto qui due blocchi che prima non esistevano: le vulnerabilità dei modelli AI e LLM — prompt injection, system prompt leakage, debolezze di vettori ed embedding, supply chain — e la crittografia post-quantistica, che compare sia fra le minacce sia fra i componenti crittografici, accanto a hashing, PKI, SSL, TLS, QUIC, MASQUE, IPsec, NAT-T per IPv4, preshared key e autorizzazione basata su certificati. Resta anche l’architettura zero trust, da saper descrivere. Include i tipi di deployment VPN site-to-site e remote access, dalle virtual tunnel interface a DMVPN, FlexVPN e GETVPN, la defense in depth secondo il modello SAFE e l’interpretazione di script che invocano API di appliance, tipicamente in Python.

Network Security. È la parte più operativa. Segmentazione con VLAN o SGT, port security di livello 2, DHCP snooping, dynamic ARP inspection, storm control e difese contro attacchi MAC, ARP, VLAN hopping, STP e DHCP rogue. Poi AAA con TACACS+ e RADIUS in chiave di troubleshooting, gestione sicura dei device con SNMPv3, NetConf, RestConf, API, syslog sicuro e NTP autenticato, hardening secondo benchmark CIS su Secure Firewall e IOS XE, e la scelta del modello di gestione: manager singolo o multidevice, in-band o out-of-band, on-premises o cloud con Cisco Security Cloud Control. Il cuore pratico sta su Cisco Secure Firewall, ex FTD: policy di access control, AVC, URL filtering, protezione malware, intrusion prevention, configurazione di VPN site-to-site e remote access con Cisco Secure Client e troubleshooting della fase di instaurazione del tunnel.

Cloud Security. Modelli di responsabilità condivisa, soluzioni per cloud pubblico, privato, ibrido e community, riferimenti NIST 800-145 per SaaS, PaaS e IaaS, Cloud Access Security Broker. Sul piano prodotti compaiono Cisco Multicloud Defense e Cisco Secure Workload, la configurazione di Splunk per l’ingest di log e monitoraggio, la sicurezza applicativa e di workload incluso eBPF, e DevSecOps con Infrastructure as Code, pipeline CI/CD e orchestrazione di container.

Secure Service Edge. È il dominio nuovo della v2.0, quello che nessun materiale tarato sulla versione precedente copre, ed è anche il più operativo fra i nuovi. Chiede di spiegare che cosa sono Security Service Edge (SSE) e Secure Access Service Edge (SASE), e poi di configurare Cisco Secure Access nelle sue due modalità, Secure Internet Access e Secure Private Access, con data loss prevention e guardrail AI sul traffico verso internet. Chiude con l’interpretazione di punteggi e indicatori di Secure Access Investigate: come altrove nel SCOR, non basta sapere cosa fa il prodotto, bisogna saper leggere quello che riporta.

Endpoint Protection and Detection. Differenza fra piattaforme EPP e soluzioni EDR, gestione dei device e inventario asset con MDM, posture assessment, Cisco Secure Client e Cisco Secure Malware Analytics, configurazione dell’antimalware con Cisco Secure Endpoint e interpretazione dei relativi eventi. Qui la v2.0 ha ricollocato anche l’email: la configurazione delle funzioni di email security con Email Threat Defense, che nella versione precedente stava nel dominio Content Security.

Network Access, Visibility and Enforcement. Identity management, guest services, profiling, posture e BYOD; configurazione di 802.1X e MAB con Cisco Identity Services Engine e gestione del Change of Authorization; conformità dei device e application control; tecniche di esfiltrazione, dal DNS tunneling a HTTPS, email, FTP, SSH, SCP, SFTP, ICMP, messenger, IRC, NTP e cloud storage; visibilità da telemetria con capacità AI e ML native, XDR e piattaforme SIEM e SOAR come Splunk e Cisco XDR; Cisco Duo in architettura zero trust con Trust Monitor, MFA, device trust, health check, adaptive access policy e SSO.

I prerequisiti veri

Formalmente non ce ne sono: Cisco non richiede la CCNA né altro per prenotare il 350-701. I prerequisiti sostanziali sono un’altra cosa.

Prima di prenotare dovresti saper leggere una topologia e capire dove passa il traffico, configurare e verificare routing e switching senza consultare la documentazione, ragionare su NAT senza confonderti sulla direzione delle traduzioni, e spiegare cosa succede durante un handshake TLS e durante la negoziazione IKE di un tunnel IPsec. Devi aver messo le mani su almeno un firewall in un contesto reale, gestito regole che qualcuno usava davvero, e visto almeno una volta un’autenticazione 802.1X fallire dovendola diagnosticare.

Il livello di partenza realistico è quello di chi ha una CCNA in tasca o competenze equivalenti maturate sul campo, più esperienza operativa su infrastrutture di sicurezza. Chi arriva da un ruolo di analista SOC, con background sull’esame 200-201 CCNACBR — la certificazione che oggi si chiama CCNA Cybersecurity e che prima era nota come CyberOps Associate — conosce bene monitoring, telemetria ed esfiltrazione ma tipicamente ha un buco sulla configurazione: il SCOR chiede di implementare, non solo di osservare. Chi arriva da un ruolo di network engineer ha il problema opposto ed è forte sulla configurazione ma debole su cloud, endpoint e identity.

Come prepararsi

Il punto di partenza è il blueprint ufficiale nella versione che intendi sostenere, usato come checklist. Ogni sotto-punto va convertito in una domanda del tipo “so farlo o so solo descriverlo”, perché il blueprint distingue esplicitamente i verbi: descrivere, configurare, troubleshootare e interpretare non chiedono lo stesso livello di padronanza, e allocare tempo uniforme su tutto è il modo più efficiente di sprecarlo.

Sul lato pratico serve un laboratorio. Cisco Modeling Labs, EVE-NG o le immagini virtuali dei prodotti permettono di montare uno scenario minimo con un firewall, un server di identità e qualche endpoint. Le attività che pagano di più sono: costruire un tunnel site-to-site e romperlo volutamente per imparare a leggere i messaggi di fase 1 e fase 2; configurare 802.1X con ISE e osservare cosa cambia fra un MAB e un’autenticazione con supplicant; scrivere una policy di access control su Secure Firewall verificando l’effetto di URL filtering e ispezione malware; leggere eventi di Secure Endpoint fino a saperli interpretare senza aiuto.

Le aree su cui si arriva sistematicamente impreparati sono tre. La prima è automazione e API: pochi si esercitano a leggere uno script Python che chiama un endpoint REST, e le domande su questo tema sono di interpretazione, non di scrittura. La seconda è il cloud, spesso studiato come teoria astratta quando invece l’esame chiede di scegliere fra modelli e soluzioni concrete. La terza è tutto il materiale nuovo della v2.0 — il dominio Secure Service Edge e i blocchi su AI, LLM e crittografia post-quantistica — per cui il materiale di terze parti è ancora scarso e conviene lavorare direttamente sulle fonti ufficiali, a partire dai topic d’esame e dalla serie video che Cisco ha pubblicato dominio per dominio.

Per misurare la preparazione senza consumare tentativi a pagamento, su CertUp trovi una simulazione gratuita del 350-701 e un percorso di studio dedicato al SCOR organizzato per domini.

Gli errori tipici

Il primo è studiare il SCOR come se fosse un esame su Cisco Secure Firewall. Il firewall è centrale ma vale una porzione del blueprint: chi ci passa quasi tutto il tempo arriva scoperto su identity, cloud ed endpoint.

Il secondo è affidarsi a dump e a materiale di terze parti ancora allineato alla v1.1. Con una revisione maggiore appena avvenuta il rischio non riguarda qualche domanda marginale: un intero dominio è cambiato, e chi studia sul blueprint vecchio il Secure Service Edge non lo incontra mai.

Il terzo è cercare la soglia di superamento. Cisco non pubblica un punteggio minimo fisso per questo esame, e i valori che circolano nei forum non hanno fonte ufficiale: la preparazione va pianificata sul contenuto.

Il quarto è dimenticare che l’esame non chiude il percorso. Capita di superare il core, rimandare la scelta del concentration e ritrovarsi mesi dopo con un investimento fatto e nessun titolo. Quella scelta andrebbe fatta prima di prenotare il core, perché orienta anche cosa approfondire, e va fatta guardando la pagina ufficiale della traccia: come si è visto il paniere si muove, e un concentration disponibile quando cominci a studiare può avere una data di chiusura prima di quando pensavi di sostenerlo. C’è anche una scadenza esplicita, ed è la regola del programma più fraintesa: fra il primo dei due esami e il secondo hai tre anni, e i Continuing Education credits non la allungano — ricertificano un titolo che già possiedi, non comprano tempo per ottenerne uno. Lo stesso vale per l’idoneità al lab CCIE, che dura tre anni dalla data del written.

Dove si colloca nel percorso

A monte il riferimento naturale è la CCNA 200-301 per le fondamenta di rete, eventualmente affiancata dalla CCNA Cybersecurity, il cui esame è il 200-201 CCNACBR, per chi viene dalla sicurezza operativa. Sono due CCNA distinte e non vanno confuse: la 200-301 è quella di networking, la 200-201 quella di sicurezza. Nessuna delle due è obbligatoria, ma saltarle entrambe significa affrontare il SCOR senza la baseline su cui l’esame è costruito.

A valle si aprono due direzioni: con un concentration si chiude la CCNP Security, mentre lo stesso 350-701 abilita la prenotazione del lab CCIE Security, prova pratica di tutt’altra natura e scala.

L’esame con cui viene più spesso confuso è il 350-401 ENCOR, che ha struttura identica ma è il core della CCNP Enterprise e copre routing, switching e wireless, non sicurezza. Frequente anche la confusione con i concentration del proprio track: il 300-715 SISE tratta ISE in profondità, mentre nel SCOR ISE compare solo per la configurazione di 802.1X, MAB e CoA. Sono esami complementari, non alternativi.

Sul piano formale, le certificazioni Cisco professional hanno validità di 3 anni e si rinnovano superando esami idonei o accumulando Continuing Education credits. Sul costo vanno tenute distinte le due tariffe: il core 350-701 è listato a 400 USD, mentre i concentration della stessa traccia costano meno, 300 USD nel caso del 300-715 SISE, quindi il conto del percorso completo è la somma dei due. Prima di prenotare controlla sulla pagina ufficiale quali concentration risultano offerte alla data scelta: puoi confrontare le alternative nel catalogo certificazioni e verificare quali esami risultano ritirati o in ritiro nella pagina dedicata.