Come noto, a partire dal 1 maggio 2021 l'esame subirà un aggiornamento. Le informazioni pubblicate da ISC2 sui cambiamenti sono contenute in questa pagina:
https://www.isc2.org/Certifications/CISSP/Domain-Refresh-FAQ
In questo documento vengono messi a confronto l'indice attuale degli argomenti e quello nuovo:
https://www.isc2.org/-/media/ISC2/Certifications/Domain-Refresh/CISSP-Domain-Refresh.ashx
Dal confronto i cambiamenti sembrano relativamente limitati, probabilmente ci sarà un po' di razionalizzazione dei domini 1, 2 e 7, mentre compare una nuova voce nel dominio 5.
In linea generale, un nuovo CBK non comporta un cambiamento significativo dei contenuti, ma magari una redistribuzione degli argomenti nei domini o un aggiornamento rispetto a normative o tecnologie. Quindi non si deve ripartire da capo per preparare l'esame, al più si studiano due o tre argomenti aggiuntivi. Di sicuro Bell-LaPadula e Biba rimangono!
Una modifica ulteriore è un aumento del prezzo dell'esame: si passa da 699 a 749 dollari (da 650 a 665 Euro). Questo non incide su chi ha già acquistato voucher o esame ma non lo ha ancora sostenuto.
Nelle prossime settimane si terranno dei webinar per l'aggiornamento dei trainer; in quella sede avrò maggiori informazioni relativamente al cambiamento dei contenuti dei singoli domini, e potrò postare nuove informazioni.
Ciao Roberto,
ma per cui, per chi si è preparato usando l'ottava edizione della study guide (quella "valida" fino al 30 aprile), a parte quel paio di concetti che indicavi (CIANA+PS e il just in time delle identità) ci sono altre modifiche da tenere in considerazione, oppure si può andare tranquilli a sostenere l'esame?
Grazie
Laura
Oggi ho partecipato al secondo di cinque incontri di aggiornamento; la risposta definitiva ai nuovi argomenti l'avrò verso la fine di aprile, quando avrò concluso tutti gli incontri.
Con il secondo incontro, ti posso dire che la parte di crittografia si alleggerisce, mentre vengono un po' più approfondite le architetture variamente distribuite (fog computing, edge computing, microservices, IoT, etc.) che sono ora sempre più di moda.
Inoltre, vengono introdotti alcuni concetti che non erano in precedenza citati o approfonditi:
- advanced persistent threat
- cyber kill chain
- MITRE ATT&CK
- zero trust architectures
- SDN e NFV (queste c'erano già, probabilmente si darà maggiore enfasi)
In generale mi sembra di poter dire che c'è stato un po' di aggiornamento dei concetti per adattare il contenuto alla realtà attuale.
Aggiornamento dopo il terzo incontro:
relativamente al dominio 8; si alleggeriscono le classificazioni (es. modelli di sviluppo, tipologia di malware) mentre si aggiungono alcuni concetti attuali (devsecops, ransomware, graph/noSQL, ...).
Aggiornamento dopo il quarto incontro:
- è stata deprecata la dicitura blackhat/whitehat testing; i termini "blackhat" e "hacking" sono ora riservati ad azioni di attacco
- sono stati ridefiniti i termini "classification" e "categorization": classification indica ora il processo di valutazione dell'impatto in caso di perdita di una o più caratteristiche di sicurezza di un elemento informativo; categorization è il processo successivo di raggruppamento dei diversi elementi informativi che hanno simili valori di impatto e simili necessità di controlli di sicurezza. Però si riconosce che i termini sono spesso usati come sinonimi o in modo non consistente (anche nei documenti NIST)
- aggiunti i concetti di Security Orchestration, automation and response (SOAR), Software Defined Security, threath intelligence, user and entity behaviour analytics
- è tornato il CPTED (Crime prevention through environmental design)
- microtraining
ciao Roberto
grazie mille degli aggiornamenti, magari e' una domanda stupida e, ma hanno per caso detto se tutti questi agiornamenti saranno nella nuova edizione dell'Official book?
grazie
Angelo
Si, tutti i testi verranno aggiornati. Ma non chiedermi quando, non ci hanno dato un calendario di pubblicazione; credo che la study guide uscirà a breve, mentre il CBK potrebbe arrivare dopo l'estate.
Una new entry che so che farà piacere a molti: accanto a SOC1, SOC2 e SOC3 è comparso anche un "SOC for cybersecurity", per il quale non c'è la distinzione tra tipo I e tipo II.
Maggiori informazioni qua: https://www.aicpa.org/interestareas/frc/assuranceadvisoryservices/cybersecurityfororganizations.html