Sono entrambe certificazioni introduttive alla sicurezza, entrambe sostenibili senza esperienza pregressa, ed entrambe compaiono nelle stesse liste di “prime certificazioni da fare”. Ma coprono due mestieri diversi, e sceglierle a caso significa spesso studiare per settimane la cosa sbagliata.
La distinzione più utile è questa: SC-900 ti insegna come un’azienda Microsoft applica i controlli di sicurezza; 100-160 ti insegna contro cosa li applica.
SC-900: la sicurezza come proprietà della piattaforma
Microsoft rivolge SC-900 a chi vuole familiarizzare con i fondamenti di sicurezza, compliance e identità nei servizi cloud Microsoft e in quelli correlati. Il profilo di candidato è insolitamente ampio e lo dice esplicitamente: l’esame è pensato per stakeholder di business, professionisti IT nuovi o già esperti, e studenti. La condizione utile è avere familiarità con Azure e Microsoft 365, perché l’esame descrive come le soluzioni si estendono su entrambi gli ambiti.
Il blueprint, aggiornato a fine luglio 2026, è organizzato in quattro aree:
- concetti di sicurezza, compliance e identità, dove si trovano il modello di responsabilità condivisa, la difesa in profondità, il modello Zero Trust, cifratura e hashing;
- capacità di Microsoft Entra, che è la parte sull’identità;
- soluzioni di sicurezza Microsoft, l’area più corposa dell’esame;
- soluzioni di compliance Microsoft.
Tre aree su quattro parlano di prodotti Microsoft. È il tratto distintivo di questa certificazione, e non è un difetto: è il motivo per cui è utile. In un’azienda che ha già Microsoft 365, i controlli di sicurezza si applicano con quegli strumenti, e conoscerne nomi e capacità è ciò che permette di partecipare alle decisioni.
Il registro è descrittivo, come in tutte le Fundamentals: i verbi del blueprint sono “describe”. Non ti si chiede di configurare un criterio di accesso condizionale, ma di sapere cosa fa e quando serve.
100-160: la sicurezza come disciplina
Cisco descrive l’esame CCST Cybersecurity come validazione di competenze e conoscenze di cybersecurity di livello entry, e ne elenca gli ambiti: principi di sicurezza, concetti di sicurezza di rete e degli endpoint, vulnerability assessment e risk management, gestione degli incidenti.
Nessuno di questi ambiti è legato a un prodotto. È una differenza sostanziale rispetto a SC-900: qui si parla di come funziona un attacco, di come si valuta una vulnerabilità, di come si classifica un rischio e di cosa si fa quando un incidente è in corso. Il vocabolario che ne esce è portabile su qualunque stack tecnologico.
Cisco è anche esplicita sul posizionamento: 100-160 è dichiarata come primo passo verso la certificazione CyberOps Associate. Non è pensata come badge isolato ma come gradino di un percorso, e il percorso formativo associato prepara a ruoli come tecnico di cybersecurity, analista di cybersecurity e supporto help desk di primo livello.
I numeri d’esame sono pubblicati: 50 minuti di durata, 125 USD di costo. La durata contenuta merita attenzione — è un esame breve, quindi il ritmo conta.
Le due differenze che decidono davvero
Oltre al contenuto, ci sono due asimmetrie pratiche che nella scelta pesano più di qualsiasi confronto fra blueprint.
La lingua. SC-900 è disponibile in italiano. 100-160 no: Cisco la eroga in inglese, arabo, cinese, spagnolo, francese, giapponese e portoghese. Per molti candidati italiani questa è la variabile decisiva, e su un esame da 50 minuti l’attrito linguistico si sente più che su uno lungo. Vale però la controindicazione detta sopra: nella sicurezza informatica l’inglese arriva comunque, e rimandarlo ha un costo.
Il percorso a valle. Le due certificazioni portano in direzioni diverse. Da SC-900 il percorso Microsoft continua con SC-300 Identity and Access Administrator e, più in alto, con SC-100 Cybersecurity Architect. Da 100-160 il percorso Cisco continua con CyberOps Associate 200-201, che è la certificazione da SOC analyst.
Guarda il gradino successivo, non solo il primo: è quello che determina se fra un anno ti troverai su un percorso coerente o dovrai ricominciare.
Come scegliere in cinque minuti
Rispondi a una sola domanda: dove ti immagini a lavorare fra un anno?
- In un’azienda, come persona che si occupa di IT a 360 gradi e fra le tante cose anche di sicurezza → SC-900. Gli strumenti che descrive sono quelli che avrai davanti.
- In un team dedicato alla sicurezza, in un SOC o presso un fornitore di servizi gestiti → 100-160. I concetti che descrive sono quelli con cui si comunica in quel contesto.
- In un ruolo non tecnico che deve però decidere o verificare su temi di sicurezza e compliance → SC-900, che Microsoft indica esplicitamente anche per stakeholder di business.
- Non lo sai ancora e vuoi capire se la sicurezza ti piace → 100-160, perché ti mette davanti alla materia (minacce, vulnerabilità, incidenti) invece che a un catalogo di prodotti. Se ti annoia, l’hai scoperto in 50 minuti e 125 dollari.
Cosa non deve entrare nella decisione: quale vendor “conta di più” (nessuno dei due decide la tua carriera a questo livello) e quale esame è più difficile (sono entrambi entry-level, la differenza percepita dipende da cosa hai già visto).
Un’ultima nota sul metodo
Entrambe le certificazioni sono descrittive, e questo genera un errore ricorrente: studiarle come se fossero manuali operativi. Non lo sono. Su SC-900 non serve saper configurare Microsoft Defender, serve sapere quale prodotto della famiglia risolve quale problema. Su 100-160 non serve saper condurre un penetration test, serve sapere cosa distingue una vulnerabilità da una minaccia e da un rischio.
Il modo più efficiente di prepararsi a un esame descrittivo è alternare lettura e simulazione già dalle prime ore, non alla fine: le domande ti mostrano il livello di dettaglio che il vendor si aspetta, che è quasi sempre più basso di quello che un tecnico sceglierebbe da solo.
Su CertUp il banco domande è pubblicato per entrambe. Se stai valutando anche il confronto interno al mondo Microsoft, può servirti AZ-900 o SC-900: quale fare prima; se invece guardi al ramo Cisco, il passaggio successivo è discusso in CCNA o CyberOps.