AWS Certified Security – Specialty (SCS-C03) è la certificazione AWS dedicata a chi ha la responsabilità di mettere in sicurezza le soluzioni sul cloud. È di livello Specialty, tra i più impegnativi del percorso AWS: non i fondamentali, ma la padronanza operativa della sicurezza su AWS — proteggere identità, rete e dati, rilevare e rispondere agli incidenti e governare la sicurezza su più account. Dà per acquisiti i concetti che trovi nella Cloud Practitioner e l’esperienza tipica di una certificazione Associate.

Cosa valida SCS-C03

SCS-C03 valida la capacità di progettare e gestire controlli di sicurezza su AWS: applicare la classificazione dei dati e i meccanismi di protezione, implementare l’encryption at-rest e in-transit, usare protocolli sicuri, garantire ambienti di produzione sicuri con i servizi AWS e prendere decisioni che bilancino costo, sicurezza e complessità di deployment. È un esame pratico e a scenario: raramente chiede una definizione, quasi sempre chiede quale controllo o servizio soddisfa un requisito di sicurezza rispettando il least privilege e la difesa in profondità. Non ti viene chiesto di scrivere codice: ti viene chiesto di scegliere policy, servizi e configurazioni corrette e di conoscerne il comportamento reale.

I numeri d’esame sono pubblicati: 170 minuti, 65 domande (50 valutate più 15 non valutate), 300 USD, con punteggio minimo 750 su 1000 — più alto del 700 richiesto per Associate e Professional. Una nota pratica: SCS-C03 non è disponibile in italiano — si sostiene in inglese (e in alcune altre lingue). Come tutte le certificazioni AWS è valida 3 anni.

SCS-C03 vs SCS-C02: cosa è cambiato

SCS-C03 è la versione corrente: ha sostituito SCS-C02, ritirato il 1° dicembre 2025. L’aggiornamento non stravolge l’esame ma lo riorganizza: Detection e Incident Response, che nella versione precedente erano un unico dominio, sono ora due domini distinti, e la copertura si estende ai temi emergenti — in particolare la sicurezza dei workload di generative AI e machine learning. La struttura resta a sei domini e l’impostazione a scenario è invariata. Se ti stai preparando su materiale datato, verifica di allinearti alla nuova ripartizione.

A chi si rivolge

Il candidato tipico ha l’equivalente di 3-5 anni di esperienza nella sicurezza delle soluzioni cloud e conosce a fondo il modello di responsabilità condivisa, la gestione dell’identità su larga scala, la governance multi-account, le strategie di incident response e vulnerability management, il logging e monitoring e le metodologie di encryption. Non è un esame per chi si avvicina ora al cloud: presuppone che tu abbia già costruito e operato ambienti AWS e ti chiede di renderli sicuri. È l’obiettivo naturale per security engineer, cloud security specialist e architect che vogliono certificare competenze di sicurezza applicate.

I sei domini d’esame

SCS-C03 è organizzato in sei domini che coprono l’intero ciclo di vita della sicurezza su AWS.

1. Detection (16%)

Rilevare minacce, anomalie e configurazioni non conformi. Amazon GuardDuty per il threat detection continuo, Amazon Inspector per le vulnerabilità di EC2, container e Lambda, Amazon Macie per la scoperta di dati sensibili, AWS Security Hub per aggregare e normalizzare i finding e valutarli rispetto a standard come AWS FSBP e CIS. Sul fronte logging: AWS CloudTrail, Amazon CloudWatch, AWS Config e i VPC Flow Logs, con l’analisi centralizzata dei log su S3 tramite Amazon Athena.

2. Incident Response (14%)

Contenere e rispondere agli incidenti. I playbook di containment (isolare un’istanza compromessa sostituendo i security group con un quarantine SG, staccarla dall’Auto Scaling), l’acquisizione forense (snapshot EBS, preservazione dello stato in un account isolato), la revoca delle credenziali e delle sessioni IAM compromesse, l’analisi della causa con Amazon Detective e l’automazione della risposta con Amazon EventBridge e AWS Systems Manager o AWS Lambda.

3. Infrastructure Security (18%)

Proteggere rete e compute. La sicurezza della VPC (security group stateful vs network ACL stateless, segmentazione), AWS Network Firewall e Route 53 Resolver DNS Firewall per il filtraggio, AWS PrivateLink e i VPC endpoint per il traffico privato; alla frontiera AWS WAF, AWS Shield e Amazon CloudFront, con AWS Firewall Manager per applicare le policy su più account; e la sicurezza degli host con AWS Systems Manager (Session Manager senza bastion, Patch Manager) e l’accesso zero-trust con AWS Verified Access.

4. Identity and Access Management (20%, il dominio più pesante)

Il cuore dell’esame. La differenza tra identity-based e resource-based policy, i ruoli IAM e le trust policy, le credenziali temporanee con AWS STS, la logica di valutazione delle policy (il deny esplicito vince sempre), le permission boundary, le condition key (aws:PrincipalOrgID, aws:SourceArn, aws:SourceIp) e l’ABAC basato sui tag. E poi AWS IAM Identity Center con la federazione SAML/OIDC, l’accesso cross-account e IAM Access Analyzer per gli accessi esterni e le policy least-privilege.

5. Data Protection (18%)

Proteggere i dati at-rest e in-transit. AWS KMS (customer managed key, la key policy come autorizzazione radice, grant, rotazione, multi-Region key), l’envelope encryption, l’encryption dei servizi (S3, EBS, RDS, DynamoDB) e l’enforcement via bucket policy; AWS CloudHSM per i requisiti FIPS, AWS Certificate Manager e TLS per il transito, Amazon Macie per la classificazione, la protezione di Amazon S3 (Block Public Access, Object Lock) e AWS Secrets Manager con la rotazione automatica.

6. Security Foundations and Governance (14%)

Governare la sicurezza su scala. Il modello di responsabilità condivisa, AWS Organizations e le service control policy (SCP) come guardrail che limitano ma non concedono permessi, AWS Control Tower per la landing zone, AWS Config con conformance pack e remediation, AWS Security Hub con gli standard di sicurezza, AWS Audit Manager per le evidenze di compliance e la delega dell’amministrazione dei servizi di sicurezza a un account dedicato.

Come prepararsi

SCS-C03 premia chi ha fatto davvero security engineering su AWS. Un percorso efficace:

  1. Padroneggia IAM in profondità. È il dominio più pesante (20%) e permea tutti gli altri: policy evaluation, resource vs identity policy, permission boundary, STS, condition key. Molte domande di altri domini si risolvono ragionando su chi può fare cosa.
  2. Ragiona per controlli, non per servizi. L’esame contrappone opzioni tutte plausibili: la risposta giusta è quella più sicura e con least privilege, non quella che “funziona”. Attenzione ai comportamenti reali: security group stateful e solo-allow, NACL stateless, SCP che non concedono, key policy KMS necessaria per l’accesso.
  3. Non trascurare detection e incident response. In SCS-C03 sono due domini separati: GuardDuty, Security Hub, Detective, i playbook di isolamento e la revoca delle sessioni tornano spesso.
  4. Alterna teoria e simulazione. Nelle ultime una-due settimane passa alle prove pratiche per individuare le aree deboli. La simulazione SCS-C03 su CertUp usa domande in inglese come l’esame reale, con timer e spiegazione di ogni risposta.

Un candidato con esperienza di sicurezza su AWS arriva pronto con qualche settimana di studio mirato; chi non ha mai operato controlli di sicurezza in produzione dovrebbe mettere in conto tempo di laboratorio prima di prenotare.

In sintesi

SCS-C03 certifica che sai mettere in sicurezza soluzioni su AWS end-to-end: identità, rete, dati, detection, risposta agli incidenti e governance, bilanciando sicurezza, costo e complessità. È una delle certificazioni più spendibili per i profili di sicurezza cloud. Se stai valutando il percorso AWS più adatto, confronta la scheda con le altre certificazioni nella pagina AWS di CertUp.