SC-100 — Microsoft Cybersecurity Architect è l’esame di livello expert del percorso sicurezza Microsoft. È l’unico esame che porta il codice della certificazione Microsoft Certified: Cybersecurity Architect Expert, ma non è l’unica condizione per ottenerla: su questo punto si inceppano moltissimi candidati, e ne parliamo subito perché cambia la pianificazione.

La differenza rispetto a tutti gli esami di sicurezza che vengono prima è di prospettiva. SC-200 chiede come si indaga un incidente in Microsoft Sentinel. SC-300 chiede come si configura una policy di accesso condizionale. SC-100 chiede tutt’altro: data un’organizzazione con ambiente ibrido, obblighi normativi, un budget e un livello di maturità dichiarati, quale insieme di capability progetti, in che ordine, e quali alternative escludi e perché. Microsoft non pubblica come sono costruiti i singoli item, ma nell’esperienza di chi l’ha sostenuto le opzioni da scartare sono spesso tecnicamente funzionanti: sono sbagliate perché violano un vincolo scritto nello scenario, non perché non funzionerebbero.

Il prerequisito che spiazza chi parte adesso

La pagina ufficiale della certificazione è esplicita: per diventare Microsoft Certified: Cybersecurity Architect Expert devi ottenere almeno una fra queste tre certificazioni associate, oltre a superare SC-100:

  • Microsoft Certified: Identity and Access Administrator Associate (esame SC-300)
  • Microsoft Certified: Security Operations Analyst Associate (esame SC-200)
  • Microsoft Certified: Azure Security Engineer Associate (esame AZ-500)

Qui arriva il punto operativo: AZ-500 si ritira il 31 agosto 2026, e con l’esame escono di scena anche gli assessment di rinnovo di quella certificazione. Chi la possiede già la può ancora usare come prerequisito, ma solo finché resta attiva: senza rinnovo possibile, la validità di dodici mesi si esaurisce entro un anno dall’ultimo conseguimento e con essa il prerequisito. In pratica va speso prima della decadenza, superando SC-100 entro quella finestra. Costruirci sopra un piano di studio che parte oggi non ha comunque alcun senso.

Se devi ancora scegliere l’associate propedeutico, la scelta ragionevole è fra SC-300 e SC-200: SC-300 se il tuo terreno è l’identità, Entra ID, l’accesso condizionale e la governance degli accessi; SC-200 se vieni dal SOC, dal threat hunting e dalla risposta agli incidenti. Se stai valutando altre tappe del percorso, vale la pena controllare prima la pagina degli esami ritirati: il calendario 2026 ha spostato parecchie caselle.

Nulla ti impedisce di sostenere SC-100 per primo, ma il badge Expert non compare finché non completi anche l’associate.

A chi si rivolge davvero

Il profilo ufficiale parla di cybersecurity architect che traducono una strategia di sicurezza in capability concrete. Nella realtà chi passa SC-100 arriva quasi sempre da uno di questi punti:

  • Security engineer senior che hanno implementato Defender, Sentinel o Entra in produzione e stanno passando dal “come si configura” al “come si giustifica davanti al CISO”.
  • Cloud e infrastructure architect con un mandato di sicurezza, che devono difendere scelte di landing zone, segmentazione e identità davanti a un comitato tecnico.
  • Consulenti e presales presso partner Microsoft, per cui la credenziale ha anche un valore contrattuale nei programmi partner.
  • Responsabili di security operations che hanno visto abbastanza incidenti da riconoscere quali controlli reggono e quali sono cosmetici.

Il candidato che fatica di più è quello verticale: bravissimo su un prodotto, quasi digiuno sugli altri. SC-100 tocca identità, endpoint, rete, dati, applicazioni, AI e compliance nella stessa sessione: la profondità richiesta su ciascuno non è enorme, la copertura sì.

Cosa valida l’esame, area per area

La guida ufficiale organizza le competenze in quattro aree, con pesi pubblicati in intervalli. Le due centrali pesano leggermente più delle altre.

Un avvertimento sulle date prima di entrare nel merito. Quanto segue descrive il blueprint della versione inglese, quella che Microsoft aggiorna per prima. Le versioni localizzate, italiano compreso, vengono allineate circa otto settimane dopo: se l’aggiornamento è recente, chi sostiene l’esame in italiano in quella finestra viene valutato sul blueprint precedente, quindi senza i temi più nuovi come Entra Agent ID e la sicurezza dei dati nei carichi AI. In fondo alla guida ufficiale allo studio trovi la data dell’ultimo aggiornamento e il registro delle modifiche: controllalo prima di fissare lingua e data d’esame, perché determina su cosa sarai effettivamente interrogato.

Soluzioni allineate a best practice e priorità (20-25%)

È l’area dei framework, ed è quella che i candidati tecnici sottovalutano. Copre la strategia di resilienza contro ransomware e altri attacchi, con BCDR e backup e ripristino sicuri per ambienti ibridi e multicloud, la prioritizzazione dell’accesso privilegiato e la valutazione delle soluzioni di security update. Poi le architetture di riferimento: MCRA (Microsoft Cybersecurity Reference Architectures) e MCSB (Microsoft Cloud Security Benchmark), incluso il disegno di soluzioni AI allineate al MCSB, la protezione da minacce interne, esterne e di supply chain, e il framework di adozione Zero Trust. Chiude con Cloud Adoption Framework e Azure Well-Architected Framework: strategia per un’adozione sicura dell’AI, governance tramite Azure landing zone e disegno di un processo DevSecOps.

Security operations, identità e compliance (25-30%)

L’area più densa. Su security operations: soluzioni di detection and response che combinano XDR e SIEM, logging e auditing centralizzati incluso Microsoft Purview Audit, monitoraggio ibrido e multicloud, SOAR con Microsoft Sentinel e Microsoft Defender XDR, workflow di incident response e threat hunting, e valutazione della copertura di detection tramite le matrici MITRE ATT&CK nelle varianti Enterprise, Mobile e ICS.

Su identità e accessi il blueprint è stato aggiornato con un tema recente e molto discriminante: le identità agentiche gestite con Microsoft Entra Agent ID e le relative policy di accesso condizionale. Accanto restano accesso a risorse SaaS, PaaS, IaaS, on-premises e multicloud, Microsoft Entra ID in scenari ibridi, identità esterne (B2B e identità decentralizzata), strategia di autenticazione e autorizzazione moderna con accesso condizionale, continuous access evaluation, risk scoring e protected actions, hardening di Active Directory Domain Services e gestione di segreti, chiavi e certificati.

L’accesso privilegiato ha un blocco dedicato: enterprise access model, Privileged Identity Management, entitlement management e access review, resilienza di AD DS agli attacchi comuni, amministrazione sicura dei tenant cloud, cloud infrastructure entitlement management e workstation dedicate per l’accesso privilegiato, incluso l’accesso remoto. La compliance chiude l’area: traduzione dei requisiti normativi in controlli, Microsoft Purview, Azure Policy e validazione dell’allineamento agli standard tramite Microsoft Defender for Cloud.

Soluzioni di sicurezza per l’infrastruttura (25-30%)

Posture management ibrido e multicloud con Defender for Cloud e Microsoft Secure Score, selezione delle soluzioni di cloud workload protection, integrazione di ambienti eterogenei con Azure Arc, Defender External Attack Surface Management e i percorsi di attacco, la riduzione della superficie e le initiative di Microsoft Security Exposure Management.

Poi gli endpoint: requisiti per server su piattaforme diverse, dispositivi mobili e client, dispositivi IoT e sistemi embedded, valutazione di Defender for IoT per ambienti OT e ICS, baseline di sicurezza e Windows LAPS. Infine i requisiti per servizi SaaS, PaaS e IaaS (baseline, carichi IoT, carichi web, container e orchestrazione dei container, sicurezza dei servizi Azure AI) e la parte rete, oggi in chiave Security Service Edge: Microsoft Entra Internet Access come secure web gateway, il suo uso per i servizi Microsoft anche in configurazioni cross-tenant, e Microsoft Entra Private Access.

Soluzioni di sicurezza per applicazioni e dati (20-25%)

Sicurezza di Microsoft 365 valutata anche via Secure Score, Defender for Office 365 e Defender for Cloud Apps, gestione dei dispositivi con Microsoft Intune, protezione dei dati M365 con Purview e — tema entrato di recente — i controlli di sicurezza e compliance su Microsoft Copilot for Microsoft 365.

Sulle applicazioni: valutazione della posture di un portfolio esistente, threat modeling delle applicazioni business-critical, strategia di sicurezza applicativa a ciclo di vita completo, workload identity per l’accesso alle risorse Azure, sicurezza e gestione delle API e Azure Web Application Firewall.

Sui dati: discovery e classificazione, prioritizzazione delle minacce, cifratura a riposo e in transito con Azure Key Vault e infrastructure encryption, sicurezza dei dati usati nei carichi AI, protezione di Azure SQL, Synapse Analytics, Cosmos DB e Azure Storage, con Defender for Storage e Defender for Databases.

I prerequisiti veri, oltre a quelli formali

Al di là dell’associate obbligatorio, prima di prenotare dovresti essere in grado di:

  • Spiegare cosa fa concretamente ciascun prodotto della famiglia Defender e dove finisce il perimetro dell’uno e comincia quello dell’altro. Confondere Defender for Cloud, Defender for Cloud Apps e Defender XDR è l’errore più costoso dell’esame.
  • Leggere un requisito normativo e tradurlo in controlli tecnici, non in buoni propositi.
  • Descrivere l’enterprise access model e il ruolo delle workstation privilegiate senza recitare uno schema a memoria.
  • Ragionare su un’architettura ibrida: quasi nessuno scenario è cloud puro, e AD DS on-premises compare più spesso di quanto ci si aspetti.
  • Riconoscere quando la risposta corretta è organizzativa (processo, ownership, governance) e non un prodotto.

Come prepararsi

Parti dalla guida ufficiale allo studio e usala come checklist, spuntando riga per riga. Verifica anche la data dell’ultimo aggiornamento in fondo alla pagina e confrontala con la lingua in cui hai intenzione di sostenere l’esame: è il modo più rapido per capire se studierai il blueprint che ti verrà somministrato. Poi lavora su tre fronti in parallelo.

I documenti sorgente. MCRA, MCSB, il framework di adozione Zero Trust, il Cloud Adoption Framework e il Well-Architected Framework non sono contorno: sono la griglia con cui l’esame giudica le risposte. Vanno letti, non sfogliati.

Il laboratorio. Servono un tenant di prova e mani sporche su Defender for Cloud (secure score, regulatory compliance, attack path), Sentinel (connettori, regole analitiche, playbook), Entra ID (accesso condizionale, PIM, access review) e Purview (classificazione, etichette). Non ti verrà chiesto di configurare, ma chi non ha mai visto una console risponde per sentito dire.

Gli scenari. Alleneati a leggere un caso e a rispondere prima di guardare le opzioni. Su CertUp trovi una simulazione gratuita di SC-100 per abituarti al formato e un percorso di studio dedicato che segue le aree del blueprint.

Sui tempi, la formulazione onesta è questa: chi arriva da un associate di sicurezza recente e lavora quotidianamente su stack Microsoft ha bisogno di alcuni mesi di studio non intensivo; chi copre bene una sola area e deve costruire le altre tre dovrebbe pianificare sensibilmente di più. Non è un esame che si prepara in un fine settimana lungo.

I punti su cui si arriva impreparati sono ricorrenti: la sicurezza OT e ICS con Defender for IoT, le identità decentralizzate, il capitolo Security Service Edge con Entra Internet Access e Private Access, e le novità su AI e identità agentiche, dove il materiale di terze parti è ancora scarso e conviene andare direttamente alla documentazione Microsoft.

Gli errori tipici

  • Studiarlo come un esame di prodotto. Elencare feature non serve: l’esame chiede quale capability risolve un problema di business dichiarato.
  • Ignorare i vincoli dello scenario. Costo, complessità operativa, tempi e obblighi normativi sono nel testo apposta, e sono il criterio con cui una risposta funzionante diventa sbagliata.
  • Sopravvalutare la propria area forte. Chi viene dal SOC sottovaluta identità e dati; chi viene dall’identità sottovaluta posture management ed endpoint.
  • Scoprire tardi il prerequisito associate, magari puntando su AZ-500 senza accorgersi che è in ritiro e che dopo il 31 agosto 2026 non sarà nemmeno rinnovabile.
  • Sostenerlo in italiano senza pensarci. La terminologia dei prodotti resta inglese e le traduzioni introducono ambiguità, ma il punto più concreto è un altro: le versioni localizzate seguono quella inglese di circa otto settimane, quindi dopo un aggiornamento del blueprint l’esame in italiano misura ancora la versione precedente. Studiare le novità e trovarsi la vecchia forma d’esame è un rischio evitabile.

Dove si colloca nel percorso

Prima viene la base: SC-900 per chi arriva da zero sui concetti di sicurezza, compliance e identità Microsoft, poi l’associate obbligatorio, cioè SC-300 o SC-200. È un passaggio da fare comunque, quindi tanto vale farlo per primo e usarlo come base tecnica.

Con cosa si confonde. Con SC-300, che condivide molto vocabolario ma resta implementativo. Con AZ-500, che era il ponte storico verso questo Expert e sta uscendo di scena. E con AZ-305, l’altro esame expert di architettura: quello progetta infrastruttura Azure con la sicurezza come uno dei pilastri, SC-100 progetta sicurezza su tutto l’ecosistema Microsoft, cloud e on-premises.

Dopo non c’è un gradino superiore in questa direzione: è il vertice del percorso sicurezza Microsoft. Le evoluzioni sensate sono laterali, verso l’architettura Azure con AZ-305 o verso specializzazioni di prodotto. La certificazione ha validità di 12 mesi e si rinnova gratis con un assessment online su Microsoft Learn, cosa non banale in un’area che cambia ogni trimestre. Il catalogo completo degli esami è nella pagina certificazioni.