Le 12 domande che seguono sono rappresentative dell’esame SC-900 aggiornato al blueprint 2026, distribuite sui 4 domini ufficiali. Ricorda che SC-900 è concettuale: valuta se sai cosa fa una soluzione e quando si usa, non come configurarla.

Rispondi mentalmente prima di leggere la spiegazione. Se hai dubbi, ripassa la sezione corrispondente nella guida completa SC-900 2026, organizzata sugli stessi 4 domini. Alla fine trovi il link alla simulazione SC-900 gratuita.

Concetti di security, compliance e identity

1. Quale principio è alla base del modello Zero Trust?

  • A) Fidarsi di tutto il traffico proveniente dalla rete interna
  • B) Verificare esplicitamente ogni richiesta, indipendentemente dalla posizione
  • C) Affidarsi esclusivamente al firewall perimetrale
  • D) Concedere sempre i privilegi massimi per semplificare il lavoro

Risposta: B. Il modello Zero Trust si fonda su “mai fidarsi, verificare sempre”: ogni richiesta va verificata esplicitamente (identità, device, posizione, rischio), si applica il least privilege e si assume sempre una possibile compromissione (assume breach). L’idea che la rete interna sia sicura per definizione (A, C) è proprio il modello tradizionale che Zero Trust supera. Concedere privilegi massimi (D) viola il least privilege.

2. Un sistema, dopo che l’utente ha effettuato il login, verifica se ha il permesso di aprire un determinato file. Come si chiama questo processo?

  • A) Autenticazione
  • B) Autorizzazione
  • C) Federazione
  • D) Cifratura

Risposta: B. L’autorizzazione stabilisce cosa un’identità già autenticata è abilitata a fare (quali risorse, con quali permessi). L’autenticazione (A) è il passo precedente: verifica chi è l’utente. La federazione (C) è un rapporto di fiducia tra identity provider diversi. La cifratura (D) protegge la riservatezza dei dati, non gli accessi.

Capacità di Microsoft Entra

3. Vuoi richiedere l’MFA solo quando un utente accede da una rete esterna a quella aziendale. Quale funzionalità usi?

  • A) Privileged Identity Management (PIM)
  • B) Conditional Access
  • C) Self-Service Password Reset (SSPR)
  • D) Microsoft Entra Connect

Risposta: B. Il Conditional Access applica controlli (come richiedere l’MFA) in base a segnali: utente, gruppo, posizione di rete, stato del device, livello di rischio. “Se fuori dalla rete aziendale, allora MFA” è esattamente una policy di Conditional Access. PIM (A) gestisce l’attivazione just-in-time dei ruoli privilegiati. SSPR (C) è il reset autonomo della password. Entra Connect (D) sincronizza le identità da Active Directory on-premises.

4. Un amministratore deve attivare privilegi elevati solo per il tempo necessario a un intervento, con approvazione e audit. Quale strumento Entra usa?

  • A) Conditional Access
  • B) Privileged Identity Management (PIM)
  • C) Access Review
  • D) Password Protection

Risposta: B. PIM (Privileged Identity Management) abilita l’accesso just-in-time ai ruoli privilegiati: l’utente attiva il ruolo solo quando serve, per un tempo limitato, con eventuale approvazione e tracciamento. Le Access Review (C) servono a rivedere periodicamente chi ha accesso a cosa, non ad attivare privilegi temporanei. Conditional Access (A) governa le condizioni di accesso. Password Protection (D) blocca password deboli.

5. Quale tipo di identità di Microsoft Entra consente a una risorsa Azure di autenticarsi ad altri servizi senza gestire credenziali nel codice?

  • A) Account utente
  • B) Service principal creato manualmente
  • C) Managed identity
  • D) Gruppo di sicurezza

Risposta: C. La managed identity è un’identità gestita automaticamente da Entra e associata a una risorsa Azure (es. una VM o una Function): permette alla risorsa di autenticarsi ad altri servizi (Key Vault, Storage) senza credenziali hardcoded, con rotazione gestita da Azure. Un service principal manuale (B) risolve lo stesso problema ma richiede gestione manuale del segreto. Utente (A) e gruppo (D) rappresentano persone, non risorse.

6. La funzionalità che permette agli utenti di reimpostare da soli la password dimenticata, senza contattare l’help desk, si chiama:

  • A) Multi-Factor Authentication (MFA)
  • B) Self-Service Password Reset (SSPR)
  • C) Single Sign-On (SSO)
  • D) Conditional Access

Risposta: B. Il SSPR (Self-Service Password Reset) consente all’utente di reimpostare o sbloccare autonomamente la propria password, previa verifica con metodi registrati (telefono, Authenticator, domande di sicurezza), riducendo il carico dell’help desk. L’MFA (A) aggiunge un secondo fattore al login. L’SSO (C) permette un unico login per più applicazioni. Conditional Access (D) governa le condizioni d’accesso.

Capacità delle soluzioni di sicurezza Microsoft

7. Quale soluzione Microsoft è un SIEM e SOAR cloud-native, usato per raccogliere e correlare i log dell’intera infrastruttura e automatizzare la risposta agli incidenti?

  • A) Microsoft Defender for Cloud
  • B) Microsoft Sentinel
  • C) Azure Firewall
  • D) Microsoft Purview

Risposta: B. Microsoft Sentinel è il SIEM/SOAR cloud-native: ingerisce log da fonti diverse, li correla con analytics rules per generare incidenti e automatizza la risposta tramite playbook. Defender for Cloud (A) si occupa di postura di sicurezza (CSPM) e workload protection. Azure Firewall (C) è un controllo di rete. Purview (D) è la piattaforma di compliance.

8. Quale strumento fornisce un Secure Score e raccomandazioni per migliorare la postura di sicurezza di risorse Azure e multicloud?

  • A) Microsoft Sentinel
  • B) Microsoft Defender for Cloud
  • C) Conditional Access
  • D) Azure Bastion

Risposta: B. Microsoft Defender for Cloud offre il Cloud Security Posture Management (CSPM): valuta la configurazione delle risorse, assegna un Secure Score e propone raccomandazioni prioritizzate, anche su AWS e GCP. Sentinel (A) è per il rilevamento e la risposta (SIEM/SOAR). Conditional Access (C) è identità. Azure Bastion (D) è l’accesso RDP/SSH sicuro alle VM.

  • A) Microsoft Defender for Endpoint
  • B) Microsoft Defender for Office 365
  • C) Microsoft Defender for Identity
  • D) Microsoft Defender for Cloud Apps

Risposta: B. Defender for Office 365 protegge email e strumenti di collaborazione (con Safe Links, Safe Attachments, anti-phishing). Defender for Endpoint (A) protegge i dispositivi. Defender for Identity (C) monitora l’Active Directory on-premises per attacchi basati su identità. Defender for Cloud Apps (D) è il CASB che controlla l’uso delle app SaaS. Distinguere i quattro membri della famiglia Defender è uno dei punti più frequenti dell’esame.

Capacità delle soluzioni di compliance Microsoft

10. Vuoi classificare automaticamente e cifrare i documenti che contengono dati riservati. Quale funzionalità di Microsoft Purview usi?

  • A) Data Loss Prevention (DLP)
  • B) Sensitivity label
  • C) eDiscovery
  • D) Audit

Risposta: B. Le sensitivity label classificano i contenuti (es. “Riservato”) e possono applicare automaticamente protezioni come la cifratura e le restrizioni d’uso, che seguono il documento ovunque vada. La DLP (A) invece previene la fuoriuscita di dati sensibili (es. blocca l’invio esterno), ma non classifica né cifra il file in sé. eDiscovery (C) serve alle indagini legali; Audit (D) traccia le attività.

11. Vuoi impedire che gli utenti condividano numeri di carta di credito via email verso destinatari esterni. Quale soluzione applichi?

  • A) Sensitivity label
  • B) Data Loss Prevention (DLP)
  • C) Retention policy
  • D) Compliance Manager

Risposta: B. La Data Loss Prevention (DLP) rileva pattern di dati sensibili (numeri di carta, codici fiscali) e blocca o avvisa quando si tenta di condividerli in violazione delle regole, ad esempio via email esterna. Le sensitivity label (A) classificano e proteggono, ma non intercettano di per sé la condivisione. La retention policy (C) governa la conservazione/eliminazione dei dati. Compliance Manager (D) misura la conformità normativa complessiva.

12. Quale strumento di Microsoft Purview fornisce un compliance score e un inventario di azioni per soddisfare normative come il GDPR?

  • A) Service Trust Portal
  • B) Compliance Manager
  • C) eDiscovery
  • D) Insider Risk Management

Risposta: B. Compliance Manager valuta la postura di conformità dell’organizzazione, calcola un compliance score e propone azioni di miglioramento mappate su normative e standard (GDPR, ISO 27001, ecc.). Il Service Trust Portal (A) è invece il repository dove scaricare i report di audit e le certificazioni di Microsoft. eDiscovery (C) supporta le indagini legali; Insider Risk Management (D) gestisce il rischio interno.

Sei pronto? Prossimi step dopo il quiz

Se hai risposto correttamente ad almeno 10 su 12, sei in readiness zone: sistema i domini con più errori (di solito le soluzioni di sicurezza e compliance, per la quantità di nomi prodotto) e prenota l’esame entro 1-2 settimane. Sotto gli 8 corretti, torna sulla guida completa SC-900 e segui il piano di studio in 3 settimane prima di riprovare.

Quando ti senti a posto, prova la simulazione SC-900 completa con 40-60 domande timed che replica l’ambiente d’esame reale, incluso il timer server-side.