NSE 6 Security Operations (FortiSOAR): guida 2026

NSE 6 in Security Operations è il livello specialistico del programma Fortinet dedicato al SOC: non alla difesa perimetrale, ma a chi il traffico bloccato lo deve poi analizzare, orchestrare e chiudere. La particolarità è che non esiste «l’esame NSE 6 Security Operations»: Fortinet ne pubblica cinque, e per ottenere la certificazione ne basta uno. Questa guida spiega come funziona il livello e scende nel dettaglio dell’esame che simuliamo su CertUp, Fortinet NSE 6 - FortiSOAR 7.6 Analyst.

Una premessa che vale più di ogni altra cosa, perché il web è pieno di guide invecchiate male: oggi il programma di certificazione Fortinet si chiama Network Security Expert e i livelli sono NSE 1-8. Sulle pagine ufficiali del Fortinet Training Institute le sigle FCP e FCSS non compaiono più: se una guida te ne parla al presente, stai leggendo una fotografia vecchia.

Cosa valida la certificazione NSE 6 in Security Operations

Fortinet la descrive come la capacità di installare, gestire e monitorare i prodotti avanzati di security operations e di lavorare sui compiti quotidiani che ci girano intorno. I requisiti pubblicati sono due e vanno letti insieme:

• devi possedere la certificazione NSE 4 FortiOS;
• devi superare uno degli esami proctored NSE 6 Security Operations entro 2 anni.

La certificazione vale 2 anni dalla data in cui completi il requisito più recente. Il vincolo su NSE 4 non si esaurisce al conseguimento: anche il rinnovo di NSE 6 richiede una NSE 4 attiva, e se completi un’azione di rinnovo senza averla, la NSE 6 non viene emessa finché non rimetti in regola il prerequisito. Dettaglio che fa piacere: ottenere NSE 6 Security Operations ricertifica anche NSE 1, NSE 2 e NSE 3, se sono ancora attive.

Gli esami che portano a questa certificazione sono cinque:

Gli ultimi due sono i più recenti: la pagina del track li segnala ancora con l’asterisco «l’esame sarà disponibile ad agosto 2026», ma le rispettive schede pubblicano ormai durata, numero di domande e obiettivi. Prima di prenotare controlla comunque lo stato sulla scheda del singolo esame: è il campo che Fortinet aggiorna per primo.

Il rinnovo si ottiene passando un altro esame del track prima della scadenza, completando la recertification assessment online quando è disponibile per la versione corrente, oppure salendo di livello (NSE 7 nel track, o un pratico NSE 8 se sei già NSE 7). Se lasci scadere la certificazione, si ricomincia dai requisiti iniziali.

L’esame che simuliamo: FortiSOAR 7.6 Analyst

Questi sono i dati pubblicati da Fortinet sulla scheda dell’esame, verificati il 18 settembre 2026:

Due cose che cambiano il modo di prepararsi. La prima: Fortinet non pubblica alcuna soglia numerica. L’esito è pass/fail e basta, quindi chiunque ti dica «serve il 70%» sta indovinando. La seconda: la regola di punteggio del programma NSE dice che una risposta deve essere corretta al 100% per valere, senza credito parziale e senza penalità per gli errori. Su una domanda a scelta multipla con tre risposte giuste, due su tre valgono zero: è il motivo per cui su questo esame la preparazione «più o meno» non paga.

Sul costo: gli esami NSE 4-6 costano 200 USD, tasse escluse. Il rincaro annunciato da Fortinet per il 2 novembre 2026 riguarda NSE 7, le Industry Certification e i pratici NSE 8, non il livello NSE 6. Dal 15 luglio 2026 esistono anche le recertification assessment, a 200 USD.

A chi si rivolge

Il candidato tipico è l’analista SOC o l’ingegnere di automazione che FortiSOAR lo usa già: chi scrive playbook, costruisce moduli, template, dashboard e widget, e gestisce incidenti. Fortinet raccomanda almeno 6 mesi di pratica reale su queste attività, e la raccomandazione è onesta: è un esame di prodotto, con domande che presuppongono di aver visto davvero l’interfaccia, i log di esecuzione e il comportamento dei passi di un playbook.

Se invece il tuo lavoro è la correlazione degli eventi e la caccia alle anomalie sul traffico, valuta gli altri esami dello stesso track (FortiSIEM, FortiNDR Cloud): portano alla stessa identica certificazione, e conviene scegliere il prodotto che tocchi ogni giorno. La scheda della certificazione NSE 6 Security Operations riassume requisiti, costo e lingue in un colpo solo.

I concetti trasversali

Alcuni temi tornano in più domini, e sbagliarli costa in più punti dell’esame:

• Playbook: prima la logica, poi la sintassi. Trigger, passi, condizioni if/elif/else, cicli e for-each loop, regole di preprocessing e data ingestion. La domanda tipica non chiede «cosa fa questo passo», ma perché il playbook non ha prodotto il risultato atteso.
• Jinja è il linguaggio dei dati. Variabili dinamiche, funzioni, filtri di base: un filtro come join può restituire una stringa dove il passo successivo si aspettava una lista, e viceversa. Le conversioni implicite sono materia d’esame.
• JSON query e YAQL non sono la stessa cosa. Devi saper leggere entrambe e sapere quando FortiSOAR usa l’una o l’altra.
• Il modello di accesso. Utenti, ruoli e team, gerarchia dei team, differenza fra ownership e assignment del record. Molte domande sulle dashboard sono in realtà domande di RBAC: la stessa modifica vale «solo per me» o «per tutti» a seconda dei permessi che hai.
• API: REST sì, JSON-RPC per confronto. L’API di FortiSOAR è REST; il blueprint chiede anche i fondamenti JSON-RPC e l’API FortiManager, che stanno fuori dalla documentazione FortiSOAR. È un punto in cui il materiale di prodotto non basta: il confronto REST/JSON-RPC prendilo dal corso ufficiale.
• Diagnosi dai log giusti. Livello di logging dei playbook, log di esecuzione, input/output dei passi e argomenti valutati: alzare a DEBUG non fa riapparire i dettagli di un’esecuzione già avvenuta.

I cinque domini d’esame e i pesi ufficiali

Fortinet pubblica intervalli, non percentuali secche. E i punti medi degli intervalli sommano a 105, non a 100: leggili come indicazioni di peso relativo, non come una ripartizione esatta delle domande.

FortiSOAR architecture and data models (20-30%)

Modelli di deployment, architettura di sistema, navigazione dell’interfaccia, Content Hub, confronto SOAR vs SIEM e automazione vs orchestrazione. Poi il data model: moduli, record, campi e relazioni, agenti e tenant node, contenuti dei solution pack, picklist e correlazione visuale. Chiudono il dominio il controllo degli accessi (utenti, ruoli, team, gerarchia) e la configurazione di template, dashboard e widget.

Playbook Development (25-35%)

Il dominio più pesante. Costruire la logica dei playbook (passi, condizioni, cicli, data ingestion, preprocessing rule), manipolare i dati con i filtri Jinja, e leggere istruzioni JSON query e YAQL. Se hai poco tempo, è qui che va investito per primo.

Incident Handling (5-15%)

Il mestiere quotidiano: fasi dell’incidente, MITRE ATT&CK, code e turni per distribuire il carico di lavoro, war room, e la correlazione fra record di moduli diversi (link, correlazione visuale, tattiche e tecniche, mappatura sulle fasi).

APIs and Connectors (15-25%)

Configurazione dei connettori, richieste e risposte REST, API FortiSOAR e FortiManager, connettori personalizzati e i passi per costruirne uno; i metodi HTTP mappati sulle operazioni CRUD e il confronto fra REST e JSON-RPC.

Troubleshooting (15-25%)

Guasti ricorrenti di playbook e connettori, livello di logging, lettura dei log di esecuzione, input/output e argomenti valutati dei passi; l’editor Jinja come strumento di diagnosi, i file di log principali e lo stato dei servizi.

Come prepararsi

1. Metti le mani su FortiSOAR. Con sei mesi di pratica dichiarati come requisito, nessuna lettura sostituisce un playbook costruito, rotto e riparato da te.
2. Studia per Task, non per percentuale. Il blueprint elenca 17 Task: il peso dice quante domande aspettarsi, non quanto c’è da imparare. Incident Handling pesa poco ma ha quattro Task.
3. Allena Jinja e le query sui casi limite: tipo restituito da un filtro, variabili dinamiche, differenza fra una JSON query e la stessa selezione in YAQL.
4. Leggi la documentazione della versione giusta, la 7.6: l’esame è agganciato a quella release, e i rami di documentazione precedenti descrivono comportamenti diversi.
5. Struttura lo studio e poi misurati. Il percorso di preparazione NSE 6 Security Operations segue i cinque domini e copre tutti e 17 i Task; quando ti senti pronto, passa alla simulazione d’esame NSE-6-SO.

Sulla simulazione, i numeri in chiaro per evitare equivoci: il nostro banco ha 102 domande, e ogni sessione ne estrae 40 in 65 minuti con soglia 700/1000. Quel formato è nostro, non quello ufficiale (35-45 domande in 75 minuti), e la soglia 700/1000 è una convenzione di casa CertUp, perché Fortinet non pubblica nessun punteggio minimo. Riproduciamo entrambi i tipi di domanda dichiarati da Fortinet — scelta singola e multipla, e drag-and-drop — e come all’esame vero non assegniamo credito parziale: una domanda vale solo se è corretta per intero. Le domande sono in inglese come all’esame, mentre interfaccia e spiegazioni sono in italiano.

In sintesi

NSE 6 in Security Operations è una certificazione di track, non di esame singolo: scegli fra cinque prove quella sul prodotto che usi, e tieni viva la NSE 4 FortiOS che la regge. Sul versante FortiSOAR l’esame è breve, in inglese e tutto-o-niente, agganciato alla versione 7.6 e sbilanciato sui playbook. Vale 2 anni, costa 200 USD, e premia chi sul prodotto ci ha lavorato davvero.