SC-500 Cloud and AI Security Engineer: guida

Microsoft ha ritirato la certificazione Azure Security Engineer Associate e l’esame AZ-500 il 31 agosto 2026: la pagina ufficiale lo dice senza giri di parole, e aggiunge che dopo quella data la certificazione non si può più né ottenere né rinnovare. Al suo posto c’è SC-500 — Implementing End-to-End Security Controls for Cloud and AI Workloads, l’esame che porta a Microsoft Certified: Cloud and AI Security Engineer Associate. Il cambio di prefisso, da AZ a SC, racconta lo spostamento: il ruolo non è più «chi mette in sicurezza Azure», ma chi mette in sicurezza un patrimonio aziendale in cui girano anche modelli e agenti.

Cosa valida SC-500

Il profilo del candidato pubblicato da Microsoft descrive un security engineer che protegge sistemi e dati su ambienti cloud e ibridi, con un ruolo che attraversa più domini: identità, rete, applicazioni, dati e calcolo. Le responsabilità elencate sono sei: proteggere l’accesso alle risorse con Microsoft Entra ID e Azure Key Vault; far rispettare sicurezza e conformità normativa; mettere in sicurezza storage, database e rete; mettere in sicurezza il calcolo; mettere in sicurezza le soluzioni di AI; gestire e monitorare la postura di sicurezza.

La quinta voce è la novità che giustifica un esame nuovo. Tutto il resto è, a grandi linee, il perimetro che conosceva chi ha preparato AZ-500 — riorganizzato, non riscritto.

Quella riga sulle lingue merita attenzione, perché è una perdita concreta: AZ-500 si poteva sostenere in inglese, giapponese, cinese semplificato e tradizionale, coreano, tedesco, francese, spagnolo, portoghese brasiliano e italiano. La pagina di SC-500 elenca una lingua sola, l’inglese. Chi contava di dare l’esame di sicurezza Azure nella propria lingua, con SC-500 non può più. Microsoft ricorda che se l’esame non è disponibile nella tua lingua preferita puoi richiedere 30 minuti aggiuntivi per completarlo.

A chi si rivolge

Non è un esame d’ingresso. Microsoft chiede esperienza pratica di amministrazione di ambienti Azure e ibridi — calcolo, rete, storage — una forte familiarità con Microsoft Entra ID e una familiarità con l’amministrazione di Microsoft 365. Quest’ultimo punto non è decorativo: diversi obiettivi vivono in Microsoft 365 e in Microsoft Purview, non nel portale Azure.

Il candidato tipico è un security engineer, un sistemista cloud che ha già in mano identità e rete, o un amministratore Azure che vuole spostarsi sulla sicurezza. Lavora accanto ad architetti, analisti SOC e sviluppatori. Se stai ancora decidendo, la scheda della certificazione SC-500 su CertUp colloca l’esame nel percorso Microsoft; ma il salto conviene farlo dopo aver amministrato qualcosa davvero.

I numeri d’esame: quelli pubblicati e quelli no

Qui serve una distinzione netta, perché in giro si leggono cifre che Microsoft non ha mai scritto.

Sul punteggio minimo non c’è ambiguità: la study guide rimanda alla pagina sui punteggi con la frase «A score of 700 or greater is required to pass». È un punteggio in scala, non una percentuale di risposte esatte: 700 non significa «il 70% delle domande».

Sulla durata, la pagina della certificazione scrive che avrai 120 minuti per completare l’esame. Attenzione alla differenza fra exam duration e seat time: la tabella ufficiale sulle durate distingue il tempo per rispondere dal tempo da mettere in agenda, che include istruzioni, accettazione del candidate agreement e commenti finali. Prenota una finestra più larga dei 120 minuti.

Sul numero di domande, Microsoft non lo pubblica per il singolo esame e lo dichiara: la quantità può cambiare con gli aggiornamenti, e la maggior parte degli esami di certificazione Microsoft ne contiene tipicamente fra 40 e 60, con variazioni da esame a esame. Chi ti dice «SC-500 ha esattamente N domande» sta riportando un’impressione, non un dato.

Sul prezzo, la pagina dice soltanto che dipende dal paese o dalla regione in cui l’esame viene erogato: la cifra la vedi nel flusso di prenotazione su Pearson VUE. Per gli esami role-based Microsoft il riferimento di listino resta intorno ai 165 USD (in Italia circa 165 EUR più IVA), ma è la schermata di registrazione a fare fede.

Sulla validità: le certificazioni associate, expert e specialty scadono dopo un anno e si rinnovano gratis con un assessment online su Microsoft Learn, non proctored e a libro aperto, in una finestra di sei mesi prima della scadenza e con tentativi illimitati finché la certificazione è ancora valida. Le fundamentals non scadono.

Un’ultima nota pratica: al momento il Practice Assessment ufficiale Microsoft per SC-500 non è disponibile — la pagina della certificazione lo scrive, e spiega che di norma arriva entro otto settimane dall’uscita dell’esame dalla fase beta.

I quattro domini coi pesi ufficiali

Manage identity, access, and governance (20-25%)

Chi entra, con quali privilegi, per quanto tempo, e come lo dimostri a un auditor. Entra ID: PIM, accesso condizionale, metodi di autenticazione (MFA e passwordless), identità per le applicazioni con enterprise applications e app registrations, consensi e OAuth permission grant, managed identity per le risorse Azure. Key Vault: deploy, impostazioni, accesso, firewall, gestione di chiavi, segreti e certificati, scansione dei segreti con Defender CSPM e Defender for Key Vault. Governance: Azure Policy con definizioni built-in e custom, conformità normativa e security standard in Defender for Cloud, resource lock, ruoli built-in e custom, rimedio agli accessi sovra-privilegiati con RBAC, protezione dei backup e controlli distribuiti come infrastructure as code.

Secure storage, databases, and networking (25-30%)

È il dominio più pesante, e vale la pena dirlo perché l’attenzione va tutta altrove. Storage: configurazioni di sicurezza degli account, regole firewall, Defender for Storage, policy di accesso. Database: sicurezza di piattaforma in Azure SQL, auditing per Azure SQL Database e Managed Instance, Defender for Databases. Rete: NSG e ASG, Azure Virtual Network Manager, sicurezza di Virtual WAN e delle connessioni VPN, Microsoft Entra Private Access, private endpoint e Private Link, Azure Firewall, e la valutazione delle regole efficaci con la diagnostica di Network Watcher.

Secure compute (20-25%)

Dove gira il codice — e dove Microsoft ha collocato la sicurezza dell’AI. Oltre agli obiettivi su server e VM (cifratura dei dischi, Azure Bastion, accesso JIT, Azure Arc per ibrido e multicloud, Defender for Servers con vulnerability scanning ed EDR, scansione agentless, secure boot e vTPM, Azure Machine Configuration) e su piattaforme applicative (Defender for Containers, AKS, Container Registry, Container Instances e Container Apps, Functions, Logic Apps, App Service, Web Application Firewall, protezione delle API con API Management), c’è un blocco intero intitolato Implement security for AI.

Manage and monitor security posture (20-25%)

Vedere e reagire. Defender for Cloud: rischi con Defender CSPM, conformità ai framework, workload protection plan, connessione di AWS e GCP, Defender Vulnerability Management per le VM, EASM per scoprire asset non protetti. Microsoft Sentinel: workspace e ruoli, content hub, data connector, syslog e CEF, raccolta dei Windows Security event con le data collection rule e WEF, tabelle di log custom, automation rule e playbook, retention, query su Microsoft Purview Audit in Defender XDR. E infine Microsoft Security Copilot: workspace, permessi e ruoli, plugin, agenti.

La parte davvero nuova: la sicurezza dell’AI

Undici obiettivi, tutti dentro Secure compute, che AZ-500 non ha mai chiesto: individuare la sovraesposizione di dati in SharePoint; identificare i rischi legati a Microsoft Copilot e alle app di AI con Microsoft Purview DSPM; abilitare la protezione in tempo reale per gli agenti di Copilot Studio; applicare l’accesso condizionale a Microsoft Entra Agent ID; analizzare il blast radius di un Agent ID con Defender XDR; gestire l’accesso degli Agent ID; configurare e distribuire l’AI Gateway in Azure API Management per Microsoft Foundry; abilitare Defender for AI Service nella Cloud Workload Protection di Defender for Cloud; configurare i guardrail per la sicurezza degli agenti in Foundry; monitorare con la dashboard Data and AI security; e gestire gli agenti dall’interfaccia di amministrazione di Microsoft 365.

Due avvertenze. La prima: è materia recente, e qui l’esperienza pregressa aiuta poco — l’accesso condizionale per le agent identity, per dire, non si comporta come quello per gli utenti. La seconda: è un blocco dentro un dominio che pesa il 20-25%, non un quinto dominio a sé. Se studi solo l’AI, l’esame non lo passi.

Come prepararsi

1. Parti dagli obiettivi, non da un corso. La study guide elenca ogni sotto-obiettivo: usala come checklist e segna cosa hai fatto con le mani, non cosa hai letto.
2. Dai al perimetro dati e rete il peso che ha. È il dominio più corposo: private endpoint contro service endpoint, Private Link contro Entra Private Access, NSG contro Azure Firewall sono distinzioni che tornano in continuazione.
3. Esercitati sulla parte AI in laboratorio. Copilot Studio, Entra Agent ID, AI Gateway e Defender for AI Service cambiano in fretta: leggerli non basta.
4. Struttura lo studio. Il percorso di preparazione SC-500 segue i quattro domini nell’ordine ufficiale e copre i sotto-obiettivi uno a uno: serve a non scoprire una lacuna il giorno prima.
5. Chiudi con le simulazioni. Nelle ultime due settimane servono a trovare le aree deboli, non a memorizzare risposte.

La simulazione SC-500 su CertUp ha un banco di 110 domande; una sessione ne estrae 50 in 100 minuti. Sii consapevole di cosa è nostro e cosa no: la soglia 700 è quella ufficiale, mentre lunghezza e durata della sessione sono una nostra convenzione e non i numeri d’esame — il numero di domande Microsoft non lo pubblica, e la durata ufficiale è di 120 minuti. Le domande sono in inglese, come l’esame vero, con interfaccia e spiegazioni in italiano. Riproduciamo scelta singola e multipla, drag and drop, build list, matrici sì/no e case study; non riproduciamo i lab pratici che gli esami role-based possono contenere, né l’accesso a Microsoft Learn dentro l’esame, che Microsoft concede sugli esami role-based e che cambia parecchio la gestione del tempo.

In sintesi

SC-500 è il successore dichiarato di AZ-500, ritirato il 31 agosto 2026, e allarga il ruolo del security engineer alla protezione di modelli e agenti. I pesi ufficiali sono 20-25% per identità, accesso e governance, 25-30% per storage, database e rete, 20-25% per il calcolo (AI inclusa) e 20-25% per la postura. Si passa con 700, si hanno 120 minuti, si sostiene solo in inglese, la certificazione vale un anno e si rinnova gratis online. Numero di domande e prezzo Microsoft non li pubblica: se qualcuno te li dà come certi, chiedigli la fonte.