La CCST Cybersecurity 100-160 è l’esame con cui Cisco apre la porta d’ingresso alla sicurezza informatica. Sta un gradino sotto tutto il resto del portfolio: non richiede altre certificazioni, non presuppone esperienza in un SOC, ed è costruito per chi sta imparando il mestiere.

Questa guida parte dal documento ufficiale degli objective domain pubblicato da Cisco: che candidato ha in mente, cosa viene chiesto area per area, cosa devi saper fare prima di prenotare e dove porta l’esame una volta superato.

Sul piano logistico Cisco pubblica poco, ma quel poco è utile: la prova dura 50 minuti, costa 125 USD ed è oggi disponibile in sette lingue: inglese, arabo, cinese, spagnolo, francese, giapponese e portoghese. Il numero di domande non è fisso, e Cisco avverte esplicitamente che può variare da candidato a candidato. Prezzo, lingue e disponibilità vanno verificati sulla pagina ufficiale dell’esame al momento dell’iscrizione.

C’è poi un dato che cambia i tuoi piani e che è facile non vedere, perché non sta sulla scheda d’esame ma nelle FAQ del programma: le CCST non sono più a vita. Cisco scrive che le certificazioni CCST conseguite dal 15 luglio 2025 in poi valgono 5 anni; restano valide a vita solo quelle ottenute prima di quella data. Il rinnovo non è una procedura a parte: si ricertifica superando un’altra CCST oppure un qualsiasi esame Cisco di livello associate, professional o expert. Detto altrimenti, se dopo la 100-160 prosegui verso il 200-201 la scadenza non è un problema, perché il passo successivo del percorso è anche il tuo rinnovo.

A chi si rivolge davvero

Il profilo dichiarato da Cisco è netto: studenti delle scuole superiori e del primo post-diploma, tirocinanti, tecnici IT e professionisti della sicurezza alle prime armi, quelli che il documento ufficiale chiama entry-level cybersecurity technicians. Il profilo reale è un po’ più ampio, e nella pratica la 100-160 ha senso per tre categorie di persone:

  • Chi studia e vuole una certificazione spendibile prima del diploma o della laurea. È il caso d’uso per cui l’esame è nato: valida un vocabolario tecnico condiviso e la capacità di orientarsi fra minacce, controlli e procedure.
  • Chi lavora in help desk o supporto e vuole spostarsi verso la sicurezza. Trova la 100-160 più facile del previsto su endpoint e sistemi, e più impegnativa sulla gestione del rischio e sull’incident response, che al primo livello di supporto raramente si toccano.
  • Chi viene da tutt’altro settore e valuta una riconversione. Qui la 100-160 vale come test di realtà: se i cinque domini ti interessano la direzione è giusta, altrimenti meglio scoprirlo adesso che dopo aver investito su un esame associate.

Non è invece l’esame giusto per chi ha già esperienza operativa in sicurezza: se leggi il blueprint e riconosci quasi tutto, il tuo riferimento è l’esame 200-201, oggi CCNA Cybersecurity.

Cosa valida l’esame, dominio per dominio

Cisco organizza il 100-160 in cinque domini. Il documento ufficiale degli objective domain li elenca senza attribuire pesi percentuali: significa che non esiste una base ufficiale per decidere cosa studiare di più, non che i cinque domini valgano lo stesso. In assenza del dato l’unica strategia difendibile è coprirli tutti, senza scommettere su quale “peserà di più”.

1. Essential Security Principles

È il dominio del vocabolario e dei modelli mentali: vulnerabilità, minacce, exploit e rischio come concetti distinti, vettori di attacco, hardening, difesa in profondità, triade CIA (riservatezza, integrità, disponibilità), tipologie di attaccanti, motivazioni degli attacchi e codice etico.

La parte più concreta riguarda minacce e vulnerabilità comuni: malware, ransomware, denial of service, botnet, attacchi fisici, man in the middle, vulnerabilità IoT, minacce interne e Advanced Persistent Threat. Il social engineering è dettagliato: tailgating, phishing, spear phishing, vishing, smishing.

Chiudono il dominio due blocchi spesso sottovalutati: la gestione degli accessi (AAA, RADIUS, autenticazione multifattore, politiche di password) e la crittografia applicata, cioè hashing, certificati, PKI, algoritmi forti contro algoritmi deboli e gli stati del dato con la protezione appropriata a ciascuno (in transito, a riposo, in uso).

2. Basic Network Security Concepts

Qui l’esame chiede le vulnerabilità intrinseche dei protocolli TCP/IP, nominandoli uno per uno: TCP, UDP, HTTP, ARP, ICMP, DHCP, DNS. Non basta sapere a cosa servono, serve sapere come vengono abusati. Segue l’impatto dell’indirizzamento sulla sicurezza (IPv4 e IPv6, indirizzi MAC, segmentazione, notazione CIDR, NAT, reti pubbliche contro reti private) e l’infrastruttura: architettura di sicurezza di rete, DMZ, virtualizzazione, cloud, honeypot, proxy server, IDS e IPS.

Due obiettivi sono dichiaratamente operativi, e si riconoscono dai verbi usati nel blueprint: configurare una rete wireless SoHo sicura con filtraggio MAC, standard e protocolli di cifratura e gestione dell’SSID, e implementare tecnologie di accesso sicuro come ACL, firewall, VPN e NAC.

3. Endpoint Security Concepts

Il dominio più tangibile, e quello dove chi viene dal supporto tecnico parte avvantaggiato. Copre la sicurezza dei sistemi operativi su Windows, macOS e Linux: Windows Defender e firewall host-based, uso della CLI e di PowerShell, permessi su file e directory, escalation dei privilegi.

Cisco nomina poi tre strumenti di raccolta informazioni: netstat, nslookup e tcpdump. Qui il blueprint chiede di dimostrare familiarità con gli strumenti di assessment sull’endpoint, non di padroneggiarli: devi sapere a cosa serve ciascuno e riconoscerne l’output, non ricordare a memoria le opzioni da riga di comando.

Seguono la verifica di conformità degli endpoint alle policy (inventario hardware e software, deployment dei programmi, backup, compliance normativa con PCI DSS, HIPAA e GDPR, gestione del BYOD), gli aggiornamenti software e hardware (Windows Update, applicazioni, driver, firmware, patching), l’interpretazione dei log (Event Viewer, audit log, log di sistema e applicativi, syslog, identificazione delle anomalie) e la rimozione del malware, anch’essa formulata come familiarità con il processo: scansione, lettura dei log di scansione e bonifica.

4. Vulnerability Assessment and Risk Management

Qui si passa dal singolo dispositivo al processo. Il primo obiettivo è il vulnerability management: identificazione, gestione e mitigazione, ricognizione attiva e passiva, testing con port scanning e automazione.

Il secondo insiste su un punto interessante, cioè usi e limiti dei database di vulnerabilità: CVE (Common Vulnerabilities and Exposures), report e news di sicurezza, servizi in abbonamento, intelligence collettiva, threat intelligence ad hoc contro automatizzata, e l’importanza di aggiornare la documentazione prima, durante e dopo un incidente.

Il terzo obiettivo è il risk management: differenza fra vulnerabilità e rischio, ranking dei rischi, approcci e strategie di mitigazione, livelli di rischio, rischi legati ai tipi di dato e alla loro classificazione, security assessment dei sistemi IT. Chiude il dominio la continuità operativa: disastri naturali e provocati dall’uomo, piani di disaster recovery (DRP) e business continuity (BCP), backup, e controlli nelle tre categorie detective, preventive e corrective.

5. Incident Handling

Il dominio più vicino al lavoro di un SOC. Si parte dal monitoraggio degli eventi e dal capire quando serve un’escalation: ruolo di SIEM e SOAR, packet capture e voci di log, riconoscimento di eventi sospetti mentre accadono.

Segue la digital forensics e l’attribuzione degli attacchi, con tre modelli nominati esplicitamente: Cyber Kill Chain, MITRE ATT&CK Matrix e Diamond Model. A questi si aggiungono le TTP (tattiche, tecniche e procedure), le fonti di evidenza (artefatti), la conservazione dell’evidenza digitale e la catena di custodia.

Restano l’impatto dei framework di compliance sull’incident handling (GDPR, HIPAA, PCI-DSS, FERPA, FISMA e i relativi obblighi di segnalazione) e gli elementi della risposta agli incidenti secondo la NIST Special Publication 800-61, sezioni 2.3 e da 3.1 a 3.4. È uno dei pochi casi in cui il blueprint ti indica letteralmente il documento da leggere.

I prerequisiti veri

Formalmente non ce ne sono: chiunque può prenotare il 100-160.

Il prerequisito reale è però scritto nello stesso documento ufficiale, ed è spesso ignorato. Cisco descrive il candidato che supera l’esame come un tecnico work-ready con almeno 150 ore fra istruzione ed esperienza pratica. Non è un vincolo di iscrizione, è una dichiarazione di livello atteso.

Tradotto in cose che dovresti già saper fare prima di prenotare:

  • muoverti da riga di comando su Windows e su Linux, senza aver bisogno di cercare ogni comando;
  • sapere cosa succede quando un pacchetto attraversa una rete, almeno a livello di indirizzamento, porte e protocolli principali;
  • aver aperto almeno una volta un file di log e averci cercato qualcosa di specifico;
  • avere un’idea concreta di cosa sia una policy aziendale e perché esistono obblighi normativi.

Se questi punti ti sono in gran parte estranei la 100-160 resta fattibile, ma la preparazione si allunga: non è un esame che si supera leggendo definizioni.

Come prepararsi

Il punto di partenza sensato è il blueprint stesso, usato come checklist. I verbi scelti da Cisco non sono decorativi: define, explain e demonstrate familiarity chiedono comprensione e riconoscimento, mentre set up, implement, verify e interpret chiedono pratica. Anche dove basta la familiarità, però, il modo più rapido per ottenerla è provare. Cosa conviene mettere in pratica, in un laboratorio casalingo o in macchine virtuali:

  1. Configurare un router wireless domestico cambiando SSID, protocollo di cifratura e filtri MAC, e capire perché il filtraggio MAC non è un controllo robusto.
  2. Lanciare netstat, nslookup e tcpdump su una macchina reale, almeno per vedere che output producono. Una cattura di traffico osservata dal vivo insegna più di venti pagine di teoria.
  3. Aprire Event Viewer su Windows e i log di sistema su Linux cercando un evento preciso, per esempio un tentativo di autenticazione fallito.
  4. Impostare permessi su file e directory provocando deliberatamente un errore di accesso, per vedere come si manifesta.
  5. Leggere una scheda CVE reale, poi scorrere la MITRE ATT&CK Matrix mappando una tecnica su un attacco di cui hai letto nelle news.

I punti su cui si arriva impreparati sono quasi sempre gli stessi tre: la crittografia applicata, in particolare la corrispondenza fra stato del dato e protezione appropriata; il risk management con la sua terminologia formale; la parte di compliance e notifica nell’incident handling, materia procedurale e non tecnica, meno gratificante da studiare ma pienamente valutata.

Per allenare il ritmo di risposta e individuare le lacune prima dell’esame reale, su CertUp trovi la simulazione gratuita della CCST Cybersecurity 100-160 e un percorso di studio guidato sul 100-160 che segue l’ordine dei domini ufficiali.

Gli errori tipici

Studiare solo il primo dominio. Essential Security Principles è il più facile da studiare passivamente e dà la falsa sensazione di essere pronti. Gli ultimi due domini richiedono più tempo e vengono quasi sempre compressi alla fine.

Trattarlo come un esame di networking. Il blueprint contiene TCP/IP, CIDR, NAT e ACL, ma sempre dal punto di vista della sicurezza. Chi arriva dal networking tende a ragionare da progettista di rete invece che da difensore.

Cercare soglie di superamento online. Cisco non pubblica una soglia di superamento per questi esami, e i numeri che circolano nei forum non hanno fonte ufficiale. Non c’è nemmeno un denominatore fisso su cui calcolarli, visto che il numero di domande può variare da candidato a candidato. Prepararsi per superare una presunta percentuale è un modo per studiare male.

Confondere memorizzazione e riconoscimento. Sapere che esiste il Diamond Model non basta: va distinto dalla Cyber Kill Chain e da ATT&CK, che rispondono a domande diverse. Vale anche per i riferimenti espliciti: quando il blueprint cita la NIST SP 800-61 con tanto di sezioni, quella è un’indicazione operativa, non un ornamento.

Dove si colloca nel percorso

Prima della 100-160 non c’è nulla: è il livello di ingresso, e questo la rende un buon primo esame in assoluto per chi vuole entrare nella sicurezza.

Dopo, la direzione indicata da Cisco è una sola, ma il nome è cambiato di recente ed è la fonte di confusione più comune. L’esame successivo è il 200-201, che riprende gli stessi temi (monitoraggio, analisi delle intrusioni, incident response) portandoli a livello operativo da analista SOC. Dal 3 febbraio 2026 la certificazione a cui porta si chiama CCNA Cybersecurity: prima era la CyberOps Associate, e le certificazioni già conseguite sono state migrate automaticamente al nuovo nome. Il codice esame non è cambiato, e oggi è indicato come 200-201 CCNACBR.

Se trovi ancora la vecchia dicitura non allarmarti: alla data di questa guida il documento ufficiale degli objective domain della 100-160 e diverse pagine CCST parlano ancora di “CyberOps” come passo successivo. Non sono due esami diversi, è lo stesso codice prima e dopo il rebranding. Il salto di difficoltà, quello, è reale, ma chi ha studiato bene incident handling e endpoint security nella 100-160 ritrova terreno familiare.

L’altra confusione frequente riguarda la CCNA 200-301. Dopo la riorganizzazione del 2026 “CCNA” non indica più una singola certificazione ma una famiglia di tracce: la 200-301 è quella di networking, il 200-201 quella di cybersecurity, e ce ne sono altre. Sono percorsi distinti: la 200-301 copre routing, switching, configurazione degli apparati e automazione, con un’estensione molto maggiore, e non è un prerequisito della CCST Cybersecurity né il contrario. Se stai valutando la 200-301, le date ora sono note e conviene fissarle: l’ultimo giorno utile per sostenere la versione corrente (v1.1) è il 2 febbraio 2027, e dal 3 febbraio 2027 si testa solo la v2.0, con un blueprint rivisto. Le due versioni non si sovrappongono nemmeno per un giorno: quella che sosterrai dipende dalla data della prova, non da quando hai comprato il voucher.

La regola generale, valida per qualunque passo successivo: Cisco riorganizza nomi, tracce e codici con una certa frequenza, e negli ultimi anni lo ha fatto più volte. Prima di prenotare, verifica la denominazione corrente e lo stato dell’esame sulla pagina ufficiale della certificazione, non su un elenco di terze parti (compreso questo).

Va infine chiarito cosa la 100-160 non è: non certifica esperienza sul campo. Valida che tu abbia il linguaggio, i modelli e le operazioni di base per lavorare in un contesto di sicurezza sotto supervisione, che per un profilo entry-level è esattamente ciò che serve dimostrare. Per confrontarla con le alternative, parti dal catalogo completo delle certificazioni.