NSE 5 Security Operations: guida all'esame 2026

NSE 5 in Security Operations è la certificazione Fortinet di livello intermedio per chi sta dentro un SOC: raccoglie i log del Security Fabric, li analizza, trasforma gli eventi in incidenti e automatizza la risposta. Nel programma Fortinet è l’unica combinazione livello + track che si ottiene con un solo esame, «Fortinet NSE 5 - FortiAnalyzer 7.6 Analyst». Una premessa che vale più di ogni altra cosa: se stai leggendo pagine che parlano di FCP o di FCSS come se fossero il presente, stai leggendo materiale scaduto. Il programma Fortinet è cambiato il 15 luglio 2026.

Cosa valida l’esame

L’esame verifica la tua capacità di far lavorare FortiAnalyzer come piattaforma di analytics e di automazione del SOC. La descrizione ufficiale è esplicita sul taglio: l’esame «tests your applied knowledge of FortiAnalyzer analytics, and includes operational scenarios, incident analysis, integration with the Security Fabric, and troubleshooting scenarios». Tradotto: non ti viene chiesto cosa è un event handler, ti viene dato uno scenario in cui un handler non genera l’evento atteso e ti si chiede perché.

I numeri pubblicati da Fortinet sono questi:

Due dettagli cambiano il modo di rispondere. Il primo: nel programma NSE «answers must be 100% correct to receive credit. No partial credit is awarded, and there are no deductions for incorrect answers» — su una domanda a scelta multipla o prendi tutto o niente, ma tirare a indovinare non costa nulla. Il secondo: dopo un tentativo non superato devi aspettare 15 giorni prima di riprovare. I formati previsti dal programma sono scelta singola, scelta multipla e drag-and-drop.

Sulla soglia, attenzione: Fortinet dichiara soltanto «Pass or fail. A score report is available from your Pearson VUE account». Il famigerato «serve il 70%» che gira sui blog non è un dato ufficiale: per questo esame non esiste nessuna percentuale pubblicata.

Il programma Fortinet è cambiato: come leggere il tuo curriculum

Dal 15 luglio 2026 Fortinet non emette più le certificazioni FCF, FCA, FCP, FCSS e FCX ed è tornata alla scala NSE 1-8, articolata su quattro track: Secure Networking, Security Operations, SASE e Cloud Security. Le certificazioni già conseguite sono state convertite mantenendo le date originali di rilascio e scadenza:

Conseguenza pratica per chi si prepara: i codici d’esame con prefisso FCP_ che trovi sui siti di dump non sono un criterio di attualità. Il codice di prenotazione Pearson VUE di questo esame è tuttora FCP_FAZ_AN-7.6 — il prefisso riflette quando è stata creata la SKU, non il nome che la certificazione ha oggi. Un codice FCP_ non significa «esame ritirato»; e specularmente, un titolo che dice «NSE 5» non garantisce che la pagina sia aggiornata.

A chi si rivolge, e il prerequisito che sorprende

Il profilo è quello dell’analista di sicurezza, non dell’amministratore di firewall: chi passa la giornata in Log View, FortiView e Incidents & Events. Fortinet raccomanda «a minimum of 6 months to 1 year of hands-on experience with FortiGate and FortiAnalyzer».

Qui c’è la distinzione che fa perdere tempo a molti candidati, e vale la pena scriverla in modo netto:

• Per sostenere l’esame non serve alcun prerequisito formale. Puoi prenotarlo domani.
• Per ottenere la certificazione serve invece la NSE 4 FortiOS attiva: «you must hold the NSE 4 FortiOS certification and pass the proctored NSE 5 Security Operations exam within 2 years».

Se superi l’esame senza avere una NSE 4 valida ottieni il badge d’esame, ma non la certificazione: quella viene emessa solo quando la NSE 4 c’è. La certificazione dura poi 2 anni «from the date the most recent requirement is completed», e se scade il prerequisito decade anche ciò che ci sta sopra. La scheda completa, con costo e collocazione nel percorso Fortinet, è sulla pagina della certificazione NSE 5 Security Operations.

Per il rinnovo hai più strade: ripassare un esame NSE 5 del track, completare la recertification assessment online introdotta il 15 luglio 2026, rinnovare la NSE 7 in Security Operations, oppure superare un esame pratico NSE 8. E c’è un effetto collaterale utile: ottenere la NSE 5 Security Operations ricertifica anche NSE 1, NSE 2 e NSE 3, se ancora attive.

I quattro domini d’esame

Fortinet pubblica quattro domini e tredici sotto-obiettivi. Non pubblica i pesi percentuali: nel blocco «Exam Topics» della scheda ufficiale non compare nessuna percentuale. Chi ti mostra una tabella con «Log Analysis 25%» se l’è inventata. L’unica cosa onesta è ordinare i domini per numero di sotto-obiettivi — ed è quello che facciamo nel nostro percorso di studio, dicendolo.

1. Features and concepts

Che cosa è FortiAnalyzer e che fine fa un log dal momento in cui arriva: integrazione col Fabric e raccolta dei log, data flow, normalizzazione e parsing, funzionalità SOC della piattaforma. È il dominio dell’architettura: ADOM, modalità Analyzer e Collector, log analytics contro log di archivio, politiche di retention.

2. Log Analysis

Il mestiere quotidiano: analizzare log, eventi e incidenti, leggere dashboard e widget FortiView, diagnosticare i problemi di generazione dei report. Qui l’esame è spietato sui confini fra strumenti — per esempio FortiView mostra i dati dei log analytics, non quelli di archivio: scaduta la finestra di analytics il widget resta vuoto anche se i log sono ancora sull’apparato.

3. SOC operation and automation

Il dominio più ampio del blueprint, con quattro sotto-obiettivi: configurare e gestire eventi ed event handler, configurare incidenti e indicatori, configurare playbook e automazione del Fabric, fare troubleshooting su playbook e automazioni. Aspettati scenari su trigger, connettori, stati dei job nel Playbook Monitor e profili amministrativi granulari per gli analisti.

4. Reports

Uso di report, chart e dataset, configurazione dei report, troubleshooting della generazione. È il dominio in cui la teoria SQL incontra la pratica: dataset, hcache e auto-cache, output profile, report vuoti o lentissimi.

Tre trappole tecniche su FortiAnalyzer 7.6

Sono i punti su cui la conoscenza generica sbaglia, e su cui un esame a scenario colpisce volentieri.

1. Il database è ClickHouse, non PostgreSQL. La documentazione 7.6 è categorica: «FortiAnalyzer uses a ClickHouse SQL database». Molto materiale in circolazione dice ancora PostgreSQL, ed è sbagliato su questa versione.
2. Gli «alert handler» non esistono in 7.6. Sono la rinomina introdotta in FortiAnalyzer 8.0: «In FortiAnalyzer 8.0, event handlers are renamed to “alert handlers”». Se studi sulla documentazione latest stai leggendo la 8.0, non la versione d’esame.
3. I playbook di FortiAnalyzer sono nativi. Non sono delegati a FortiSOAR, che è un altro prodotto e un altro esame (stesso track, livello NSE 6). I connettori che vedi qui sono Security Fabric connector e connettori ITSM.

Aggiungi un avvertimento sulle etichette dei menu: la documentazione 7.6 si contraddice in più punti sul percorso GUI degli handler. Studia il comportamento, non la stringa esatta della voce di menu.

Come prepararsi

1. Sistema prima la NSE 4. È il collo di bottiglia vero: senza quella la certificazione non viene emessa. Se non ce l’hai, pianificala prima dell’esame NSE 5.
2. Lavora sul prodotto, non sulle definizioni. Un FortiAnalyzer di lab con un FortiGate che gli manda log vale più di dieci ore di lettura: crea un event handler, fallo scattare, apri un incidente, collegaci un playbook e guarda dove si rompe.
3. Studia sulla documentazione 7.6, non su latest. È letteralmente la differenza fra rispondere «event handler» e rispondere «alert handler».
4. Allena il troubleshooting al contrario. Tre sotto-obiettivi su tredici sono esplicitamente di diagnosi: abituati a partire dal sintomo (report vuoto, playbook in Upstream_failed, widget senza dati) e risalire alla causa.
5. Chiudi con le simulazioni. Il percorso di preparazione NSE 5 Security Operations copre i quattro domini modulo per modulo, e la simulazione d’esame NSE-5-SO ti dice dove sei debole.

Sulla simulazione, i nostri numeri vanno tenuti distinti da quelli ufficiali:

Due cose da dire chiaramente. La soglia 700/1000 è una convenzione di CertUp, perché Fortinet non ne pubblica nessuna: usala come termometro, non come garanzia di superamento. E le domande sono in inglese come all’esame vero: l’italiano non è previsto da Fortinet per nessun esame del programma NSE.

In sintesi

NSE 5 in Security Operations certifica che sai far fruttare FortiAnalyzer in un SOC reale: raccogliere e normalizzare i log, analizzarli, costruire eventi e incidenti, automatizzare con i playbook e diagnosticare quando qualcosa non torna. Si ottiene con un solo esame da 65 minuti, ma richiede la NSE 4 attiva per essere emessa e va rinnovata ogni 2 anni. È il livello che segna il passaggio da «so configurare un FortiGate» a «so capire cosa è successo sulla rete».