Il 300-715 SISE, “Implementing and Configuring Cisco Identity Services Engine”, è uno degli esami concentration della CCNP Security ed è probabilmente il più operativo dell’intero ramo sicurezza di Cisco. Non chiede di ragionare su architetture astratte o su modelli di minaccia: chiede di sapere come si configura Cisco Identity Services Engine per decidere chi entra in rete, con quale dispositivo, in quale stato di conformità e con quali permessi. Questa guida analizza il blueprint, tenendo conto del cambio di versione in corso fra v1.1 e v1.2, chiarisce quali competenze servono davvero prima di prenotare e dove si colloca l’esame nel percorso Cisco.

A chi si rivolge davvero

Il profilo di marketing parla genericamente di “security engineer”. Il profilo reale è più stretto e vale la pena dirlo con chiarezza, perché è la principale causa di preparazioni sbagliate.

Il candidato naturale è chi ha già ISE davanti agli occhi: l’amministratore NAC che gestisce un deployment esistente, il network engineer incaricato di portare 802.1X su un campus che finora ha lavorato a porte aperte, il security engineer del team infrastruttura che ha ereditato ISE da un progetto altrui, il consulente di un partner Cisco che installa ISE presso i clienti. In tutti questi casi l’esame formalizza e sistematizza un lavoro già svolto, colmando i buchi lasciati dall’esperienza sul campo, che tipicamente è profonda su due o tre domini e assente sugli altri.

Chi invece arriva da una sicurezza “generalista” — SIEM, analisi di incidenti, vulnerability management, penetration testing — rischia di trovarsi spaesato. Il 300-715 non è un esame di security concettuale: è un esame di rete. Se il modello supplicant, authenticator e authentication server non è automatico, se un pacchetto RADIUS non dice nulla, se la differenza fra una VLAN assignment e una dACL va cercata, il salto è più lungo di quanto suggerisca il nome del track.

Vale la stessa avvertenza per chi ha una CCNA solo teorica. Il blueprint usa spesso il verbo “configure”, non “describe”: presuppone che le mani sulla riga di comando ci siano già state.

Quale blueprint vale, e da quando

Il 300-715 sta attraversando un cambio di versione, ed è la prima cosa da fissare perché condiziona tutto il resto dello studio.

Fino al 26 agosto 2026 l’esame erogato segue il blueprint v1.1. Dal 27 agosto 2026 subentra la v1.2, il cui documento è già pubblicato sul sito Cisco: è autentico, ma non descrive ancora il test che stai prenotando oggi. Quello che conta è il giorno in cui ti siedi davanti alla prova, non quello in cui apri il primo libro. Se la tua data cade a cavallo del passaggio, o se rischi di dover rimandare, studia l’unione delle due liste: sono molto vicine e la sovrapposizione copre la quasi totalità della materia.

Va detto anche cosa Cisco non pubblica per questo esame: i pesi percentuali dei domini. Il dato non esiste, e la sua assenza non va letta come “i domini valgono tutti uguale” — significa soltanto che il peso non è noto. L’unica cosa osservabile è quante voci ciascun dominio porta con sé nel blueprint, ed è su quella base che più avanti si parla di domini ampi e domini compatti.

Cosa valida l’esame, area per area

Entrambe le versioni organizzano la materia in sette domini. Di seguito il contenuto reale di ciascuno, con le tecnologie concrete che vi compaiono e l’indicazione di cosa cambia con la v1.2.

Architecture and Deployment

Riguarda come ISE viene messo in piedi prima ancora di scrivere una policy. Si chiede di configurare le personas — il ruolo che ogni nodo assume all’interno del deployment, fra amministrazione, monitoring e servizi di policy — e di descrivere le opzioni di deployment, dal nodo standalone alle architetture distribuite su più sedi. Compaiono inoltre le specifiche di performance delle appliance fisiche e delle macchine virtuali, cioè il dimensionamento, e lo zero-touch provisioning.

Policy Enforcement

È il dominio che porta il maggior numero di voci nel blueprint ed è il cuore dell’esame. Copre l’integrazione con Active Directory nativo e con LDAP, e la descrizione delle opzioni di identity store disponibili: nella v1.1 l’elenco comprende LDAP, Active Directory, PKI, autenticazione multifattore, database locale, SAML IDP e Rest ID, e gli ultimi due escono dall’elenco con la v1.2.

Da lì si passa alla configurazione dell’accesso wireless tramite 802.1X e dell’accesso cablato tramite 802.1X e IBNS 2.0, con le sue modalità operative: monitor mode, low impact e closed mode. Le varianti di host mode diventano una voce d’esame esplicita solo con la v1.2, ma restano comunque un argomento che vale la pena conoscere, perché è difficile ragionare su MAB e telefoni IP senza. Completano il dominio l’implementazione del MAB per i dispositivi che non supportano un supplicant, la configurazione di Cisco TrustSec e la costruzione delle policy con i relativi profili di autenticazione e autorizzazione.

Web Auth and Guest Services

Copre la configurazione della web authentication, dei servizi di accesso per gli ospiti e dei portali, sia quello destinato agli utenti guest sia quello destinato agli sponsor che ne autorizzano l’ingresso.

Profiler

Riguarda il riconoscimento automatico di cosa si sta collegando alla rete: implementazione dei servizi di profiling, configurazione delle probe che raccolgono gli indizi sugli endpoint, uso del Change of Authorization per rivalutare una sessione già attiva e gestione dell’endpoint identity management.

BYOD

Si parte dalla descrizione della funzionalità BYOD di Cisco, con casi d’uso, requisiti, componenti della soluzione e flusso completo. La parte configurativa richiede di realizzare l’onboarding dei dispositivi usando la CA interna di ISE insieme a switch Cisco e wireless LAN controller Cisco, e di gestire i certificati per il BYOD.

L’ultima voce del dominio è quella che cambia: nella v1.1 riguarda la configurazione di block list e allow list dei dispositivi, mentre nella v1.2 lascia il posto alle operazioni sul ciclo di vita dei dispositivi registrati. Chi prenota entro il 26 agosto 2026 deve sapere dove si mette in blocco un endpoint e cosa succede alla sessione in corso.

Endpoint Compliance

Riguarda la conformità degli endpoint. Nella v1.1 il dominio comprende la descrizione dei servizi di posture e del client provisioning, la configurazione delle condizioni e delle policy di posture insieme al provisioning del client, la configurazione del compliance module, la configurazione degli agent di posture e delle loro modalità operative, e la descrizione di supplicant, opzioni del supplicant, authenticator e server.

Con la v1.2 il blueprint introduce l’uso del Posture Work Center di ISE, voce che nella v1.1 non compare.

Network Access Device Administration

L’ultimo dominio cambia prospettiva: non si tratta più di chi accede alla rete, ma di chi amministra gli apparati. La v1.1 chiede di confrontare i protocolli AAA — il verbo usato è “compare”, non “describe”, quindi servono le differenze operative fra RADIUS e TACACS+, non una definizione di ciascuno — e di configurare la device administration via TACACS+ con la command authorization. L’accounting entra esplicitamente fra le voci d’esame con la v1.2.

In sintesi, cosa cambia il 27 agosto 2026

Escono dal blueprint SAML IDP e Rest ID fra gli identity store e la configurazione di block list e allow list. Entrano le varianti di host mode, le operazioni sul ciclo di vita dei dispositivi BYOD, il Posture Work Center e l’accounting nella device administration. Tutto il resto della materia resta sostanzialmente stabile, il che significa che una preparazione fatta bene oggi non va buttata via a fine agosto.

Per verificare quanto di questa materia è già assestato, su CertUp trovi una simulazione gratuita del 300-715 costruita sui domini del blueprint.

I prerequisiti veri

Cisco non impone prerequisiti formali agli esami professional: si può prenotare il 300-715 senza aver superato nulla prima. I prerequisiti sostanziali, però, esistono eccome.

Prima di fissare una data dovresti essere in grado di spiegare a voce, senza consultare nulla, come si svolge uno scambio 802.1X completo e quale ruolo hanno supplicant, authenticator e authentication server. Dovresti conoscere RADIUS al livello degli attributi e delle coppie AV, non solo come sigla, e sapere cosa comporta un Change of Authorization su una sessione stabilita. Serve dimestichezza con i certificati: catena di fiducia, richiesta di firma, cosa distingue EAP-TLS da PEAP e perché una policy corretta continua a fallire quando la trust chain non è a posto.

Sul piano configurativo servono le mani su uno switch Cisco — comandi di autenticazione, dot1x, mab, le policy-map di IBNS 2.0 — e su un wireless LAN controller, per la parte di WLAN, server AAA e AAA override. Serve infine una conoscenza pratica di Active Directory a livello di gruppi, attributi utente e join al dominio.

C’è un ultimo prerequisito che nessuno elenca ma che è decisivo: saper leggere i Live Logs di ISE. Buona parte della materia d’esame è, di fatto, la capacità di guardare un tentativo di autenticazione fallito e capire a quale passo si è rotto.

Come prepararsi

Il punto di partenza è il blueprint della versione che sosterrai davvero — v1.1 se la data è entro il 26 agosto 2026, v1.2 se cade dopo — letto riga per riga e usato come lista di controllo. È un documento breve e ogni voce è un argomento da spuntare, con attenzione al verbo utilizzato: dove Cisco scrive “configure” ci si aspetta la procedura, dove scrive “describe” basta il modello concettuale, dove scrive “compare” servono le differenze fra due tecnologie messe a confronto.

Sul formato della prova, l’unico dato duro pubblicato da Cisco è la durata: 90 minuti, invariati fra v1.1 e v1.2. Il numero di domande non è dichiarato e nemmeno la soglia di superamento, quindi il ritmo è l’unica variabile su cui puoi allenarti in anticipo. Novanta minuti su domande che descrivono scenari configurativi lasciano poco margine per ricostruire da zero un flusso 802.1X ragionando: le sequenze devono arrivare già automatiche.

Il laboratorio non è opzionale. ISE è disponibile come virtual appliance con licenza di valutazione a tempo e va affiancato ad almeno uno switch e un WLC, anche virtuali. Il percorso minimo da provare davvero è questo: costruire un policy set completo, autenticare un client wired e uno wireless, aggiungere un dispositivo senza supplicant tramite MAB, farlo riconoscere dal profiler, pubblicare un portale guest con approvazione dello sponsor, completare un onboarding BYOD con certificato emesso dalla CA interna, applicare una posture policy con il relativo client provisioning e infine rompere deliberatamente ciascuno di questi flussi per imparare a diagnosticarli dai log.

Se preferisci una traccia già ordinata per domini, il percorso di studio 300-715 su CertUp segue la struttura del blueprint.

Le aree su cui ci si presenta impreparati più spesso sono ricorrenti. Cisco TrustSec è la prima: molti candidati non hanno mai propagato un Security Group Tag né configurato SXP, perché in azienda TrustSec non è stato adottato. La seconda è la posture, che richiede di allestire client provisioning, compliance module e agent, e viene quindi saltata in laboratorio per pigrizia. La terza è il flusso certificativo del BYOD, spesso studiato a parole e mai eseguito. La quarta è la device administration via TACACS+, tipicamente estranea a chi si occupa solo di accesso utente, e per questo trascurata nonostante sia un dominio autonomo.

Gli errori tipici

L’errore più frequente è studiare ISE come una successione di voci di menu, memorizzando dove si clicca invece di capire il flusso decisionale. Le domande d’esame descrivono scenari e chiedono l’effetto di una configurazione: la memoria visiva dell’interfaccia non basta.

Il secondo errore è confondere authentication policy e authorization policy, cioè il momento in cui si stabilisce l’identità e quello in cui si decide cosa quell’identità può fare. È una distinzione che l’esame verifica in continuazione e su cui l’esperienza approssimativa non aiuta.

Il terzo errore è trattare i domini più compatti come trascurabili. Architecture and Deployment e Network Access Device Administration occupano poche righe di blueprint e sono prevedibili: sono i punti più economici da mettere al sicuro, e rinunciarvi significa doversi giocare tutto sulle aree più estese. Attenzione però a non confondere brevità e facilità: anche Endpoint Compliance si riassume in poche righe, ma dietro quelle righe c’è un allestimento — client provisioning, compliance module, agent — che non si recupera leggendo, e resta una delle aree in cui si arriva più impreparati.

Il quarto errore è preparare l’esame su materiale non allineato alla versione del blueprint che sosterrai, o peggio su raccolte di domande non ufficiali. Vale in modo particolare in questo periodo: un documento marcato v1.2 è autentico ma descrive l’esame dal 27 agosto 2026, non quello erogato prima. ISE evolve, i blueprint vengono aggiornati e le versioni degli esami cambiano nel tempo: prima di iniziare conviene verificare sulla pagina Cisco quale versione sia in vigore alla tua data e controllare lo stato di eventuali esami in ritiro, tema su cui teniamo una pagina dedicata ai ritiri.

Dove si colloca nel percorso

La CCNP Security è costruita su due esami: un core, il 350-701 SCOR, e un concentration a scelta. Il 300-715 è uno dei concentration disponibili. Superandolo si ottiene comunque un titolo autonomo, la Cisco Certified Specialist - Security Identity Management Implementation, che resta valido anche senza il core; la CCNP Security completa arriva solo quando entrambi gli esami sono superati. L’ordine è libero, ma molti candidati preferiscono affrontare prima SCOR, perché è più ampio e fornisce il vocabolario di sicurezza su cui SISE poi si specializza.

Sul prezzo, la distinzione fra i due livelli conta: gli esami concentration professional, 300-715 compreso, sono a listino 300 dollari USA, mentre i core come il 350-701 SCOR stanno a 400. Il prezzo effettivo va comunque confermato sulla pagina ufficiale al momento della prenotazione, perché varia per paese e non comprende le imposte locali.

A monte, la baseline realistica è una CCNA solida o un’esperienza equivalente su reti Cisco: senza quella, lo studio si trasforma nel recupero simultaneo di due livelli. A valle, le direzioni naturali sono un altro concentration del track security oppure, per chi punta in alto, il percorso CCIE Security. Su questo però serve una cautela: Cisco riorganizza le concentration con una certa frequenza, accorpandole, spostandole di traccia o chiudendole. Fra le altre, 300-720 SESA, 300-725 SWSA e 300-730 SVPN hanno il 26 agosto 2026 come ultimo giorno utile per essere sostenute, quindi non sono più una scelta sensata per chi parte adesso. Non fidarti di elenchi di concentration trovati in giro, questa guida compresa: l’unica lista attendibile è quella sulla pagina ufficiale del track al momento in cui scegli.

Le confusioni più comuni sono tre. La prima è fra 300-715 e 350-701: il secondo è il core ed è trasversale, il primo è verticale su un unico prodotto. La seconda è fra i concentration del track, che coprono prodotti diversi e non sono intercambiabili. La terza riguarda l’identità: il 300-715 viene talvolta accostato a SC-300 di Microsoft, ma i due esami condividono solo la parola. SISE governa l’accesso alla rete fisica e wireless tramite ISE, SC-300 governa l’identità cloud su Microsoft Entra ID. Sono complementari in un’infrastruttura reale, mai alternativi in un piano di studio.

Sul piano formale, la certificazione ha validità triennale e si rinnova superando altri esami idonei o accumulando Continuing Education credits.

Per confrontare questo esame con le altre certificazioni disponibili, puoi consultare il catalogo completo.