Simulatore d'esame DevSecOps Foundation
Come funziona questo simulatore
Il DevSecOps Foundation non è un esame tecnico di sicurezza: chiede di capire perché la sicurezza va spostata dentro il flusso di sviluppo e chi ne risponde quando non esiste più un controllo finale. Questo simulatore riproduce stile, taglio e difficoltà delle domande dell'esame DevSecOps Foundation del DevOps Institute.
✅ Come si accede: su questa pagina trovi un quiz di prova gratuito, per capire com'è fatta una simulazione prima di decidere. Per la certificazione c'è l'exam bundle DevSecOps Foundation, che comprende materiale di autoapprendimento e voucher d'esame PeopleCert.
| Esame DevSecOps Foundation | |
|---|---|
| Domande di questa prova gratuita | 15 a risposta multipla, in italiano |
| Domande dell'esame ufficiale | 40 a scelta multipla |
| Durata | 60 minuti |
| Soglia di superamento | 65% |
| Lingua dell'esame | inglese |
| Come si sostiene | online con proctoring |
| Ente che governa lo schema | DevOps Institute — esami erogati da PeopleCert |
| Prerequisiti | nessuno: è utile aver già basi DevOps |
| Ambito | cultura e obiettivi DevSecOps, panorama delle minacce, modello reattivo, stakeholder, pratiche, pipeline e conformità continua |
Come usarlo per prepararti
| Fase | Che cosa fare |
|---|---|
| 1. Misura il punto di partenza | Fai una simulazione completa senza ripassare nulla. Il punteggio non conta: serve a capire se il problema è il vocabolario della sicurezza o la logica del DevOps. |
| 2. Studia il principio, non la domanda | Dietro quasi ogni domanda c'è un principio: responsabilità condivisa, spostare i controlli a sinistra, automatizzare l'evidenza. Per ogni errore torna al principio, non alla formulazione. |
| 3. Ripeti a distanza | Una simulazione ogni due o tre giorni vale più di cinque nello stesso pomeriggio: è l'intervallo fra le ripetizioni che consolida la memoria. |
| 4. Simula le condizioni reali | Nelle ultime prove fai una simulazione intera da 40 domande in 60 minuti senza interruzioni: un minuto e mezzo per domanda, che è abbondante solo se non ti blocchi sui termini inglesi. |
🎓 Il simulatore accompagna la preparazione, non la sostituisce.
◆ Exam bundle DevSecOps Foundation — 515,00 €✓ DevSecOps: che cos'è✓ Simulatore DevOps Foundation
Domande frequenti
Com'è fatto l'esame DevSecOps Foundation?
Quaranta domande a scelta multipla in 60 minuti, con soglia di superamento al 65%, in inglese, online con proctoring. Lo schema è governato dal DevOps Institute e gli esami sono erogati da PeopleCert.
Le domande sono in italiano?
Quelle di questa prova gratuita sì, perché servono a farti capire il taglio e il livello di dettaglio. L'esame ufficiale è in inglese, e buona parte della terminologia — shift left, SBOM, secrets management — non si traduce: conviene impararla in originale.
Serve essere uno specialista di sicurezza?
No, ed è il fraintendimento più comune. L'esame Foundation verifica la comprensione di cultura, obiettivi e pratiche: non chiede di configurare uno strumento né di conoscere vulnerabilità specifiche.
Conviene fare prima il DevOps Foundation?
Non è un prerequisito, ma aiuta molto: il DevSecOps presuppone che tu sappia già che cos'è una pipeline, perché si riducono i lotti e come funziona il feedback. Qui trovi anche il simulatore DevOps Foundation.
Qual è la differenza con il livello Practitioner?
Il Foundation verifica la comprensione dei concetti, il Practitioner la capacità di applicarli: progettare controlli nella pipeline, impostare la conformità continua, gestire il debito di sicurezza.
Superare le simulazioni garantisce di passare l'esame?
No, e nessun simulatore serio può garantirlo. Quello che il simulatore fa è togliere l'effetto sorpresa sul formato e farti scoprire in anticipo dove la preparazione è scoperta.
Prova gratuita: 15 domande DevSecOps Foundation
Come funziona: scegli una risposta per ogni domanda, poi premi Correggi per vedere il punteggio e la spiegazione. Puoi anche aprire la soluzione di una singola domanda senza rispondere.
Queste quindici domande sono in italiano, per farti capire il taglio delle domande e il livello di dettaglio richiesto. Le domande della banca completa e l'esame ufficiale sono in inglese.
-
Che cosa significa, in DevSecOps, che la sicurezza è una responsabilità condivisa?
- A Che il team di sicurezza risponde anche degli errori degli sviluppatori
- B Che ogni persona che contribuisce al prodotto risponde della sicurezza di ciò che produce
- C Che la responsabilità legale passa al fornitore cloud
- D Che la sicurezza viene decisa per consenso fra i team
Mostra la risposta
Risposta corretta: B
La responsabilità condivisa significa che la sicurezza non è il mestiere di un reparto a cui si consegna il lavoro finito: chi scrive il codice, chi costruisce l'infrastruttura e chi gestisce l'esercizio ne rispondono ciascuno per la propria parte.
-
Che cosa vuol dire «shift left» applicato alla sicurezza?
- A Spostare il team di sicurezza nell'organigramma sotto lo sviluppo
- B Ridurre il numero di controlli per accelerare il rilascio
- C Anticipare i controlli di sicurezza nelle fasi iniziali del ciclo di vita
- D Delegare i controlli agli strumenti automatici invece che alle persone
Mostra la risposta
Risposta corretta: C
Shift left significa eseguire i controlli quando il difetto è appena nato: costa meno correggerlo, e soprattutto non blocca un rilascio già pronto. Non significa fare meno controlli, ma farli prima e più spesso.
-
Quale di questi è un anti-pattern tipico nell'adozione del DevSecOps?
- A Automatizzare le verifiche di sicurezza nella pipeline
- B Mantenere un'approvazione manuale di sicurezza come unico controllo, subito prima del rilascio
- C Formare referenti di sicurezza all'interno dei team di sviluppo
- D Misurare il tempo medio di correzione delle vulnerabilità
Mostra la risposta
Risposta corretta: B
Il cancello di sicurezza finale è esattamente ciò che il DevSecOps supera: crea una coda, arriva quando cambiare è costoso e trasforma la sicurezza nel reparto che dice no. I controlli vanno distribuiti nel flusso.
-
Che cos'è un SBOM (Software Bill of Materials)?
- A Il preventivo di sviluppo di un componente software
- B L'inventario dei componenti e delle dipendenze che compongono un artefatto software
- C La lista dei requisiti di sicurezza di un progetto
- D Il registro degli accessi privilegiati a un sistema
Mostra la risposta
Risposta corretta: B
L'SBOM elenca componenti, versioni e dipendenze di un artefatto. Serve a rispondere in fretta alla domanda che conta quando esce una vulnerabilità grave: «dove, nei nostri sistemi, c'è quella libreria?»
-
Quale tecnica analizza il codice sorgente senza eseguirlo?
- A DAST
- B SAST
- C Penetration test manuale
- D RASP
Mostra la risposta
Risposta corretta: B
SAST è l'analisi statica: legge il codice e ne cerca i difetti senza eseguirlo. DAST prova l'applicazione in esecuzione dall'esterno; RASP la protegge a runtime dall'interno.
-
A che serve la Software Composition Analysis (SCA)?
- A A misurare la complessità del codice scritto in casa
- B A individuare componenti di terze parti e open source con vulnerabilità o licenze problematiche
- C A verificare la copertura dei test unitari
- D A simulare un attacco sull'ambiente di collaudo
Mostra la risposta
Risposta corretta: B
La SCA guarda ciò che non hai scritto tu, che oggi è la maggior parte di un'applicazione: librerie e dipendenze, con le loro vulnerabilità note e i loro vincoli di licenza.
-
Qual è il problema principale delle credenziali scritte nel codice sorgente?
- A Rallentano la compilazione
- B Finiscono nella storia del repository e restano recuperabili anche dopo la rimozione
- C Non sono compatibili con le pipeline automatiche
- D Impediscono la revisione del codice
Mostra la risposta
Risposta corretta: B
Un segreto committato è compromesso: anche se si cancella nel commit successivo resta nella storia del repository e in ogni copia clonata. Per questo serve un gestore di segreti esterno, e la rotazione della credenziale esposta.
-
Che cosa descrive il principio del minimo privilegio?
- A Concedere a ciascuna identità soltanto i permessi necessari a svolgere il proprio compito
- B Ridurre al minimo il numero di utenti con accesso al sistema
- C Assegnare i privilegi in base all'anzianità nel ruolo
- D Revocare tutti i privilegi al termine di ogni rilascio
Mostra la risposta
Risposta corretta: A
Il minimo privilegio riguarda l'ampiezza dei permessi, non il numero di persone: ogni identità — utente, servizio, processo della pipeline — ottiene solo ciò che le serve, e per il tempo in cui le serve.
-
Su quale assunto si fonda il modello zero trust?
- A Che la rete interna sia sicura e quella esterna no
- B Che nessuna richiesta sia affidabile per la sua provenienza: va sempre autenticata e autorizzata
- C Che la cifratura renda superflui i controlli di accesso
- D Che gli utenti interni non commettano errori
Mostra la risposta
Risposta corretta: B
Zero trust abbandona l'idea del perimetro affidabile: posizione in rete e indirizzo IP non sono credenziali. Ogni accesso viene verificato per identità, contesto e stato del dispositivo, ogni volta.
-
A che cosa serve il threat modeling?
- A A classificare le vulnerabilità rilevate dopo il rilascio
- B A ragionare in anticipo su come un sistema potrebbe essere attaccato, per decidere quali contromisure progettare
- C A misurare l'impatto economico di un incidente
- D A verificare la conformità a una norma
Mostra la risposta
Risposta corretta: B
Il threat modeling si fa prima di scrivere il codice, sul disegno: chi potrebbe attaccare, da dove, che cosa vale la pena proteggere. È l'attività shift left per eccellenza, e non richiede strumenti.
-
Che cosa si intende per conformità continua (continuous compliance)?
- A Sostituire gli audit periodici con un'autocertificazione annuale
- B Esprimere i requisiti come controlli automatici nella pipeline, generando evidenza a ogni esecuzione
- C Affidare la conformità a un fornitore esterno certificato
- D Congelare le configurazioni fra un audit e il successivo
Mostra la risposta
Risposta corretta: B
La conformità continua traduce i requisiti in controlli eseguibili: l'evidenza non si costruisce a posteriori per l'auditor, si produce automaticamente a ogni build e a ogni rilascio.
-
Perché l'infrastructure as code migliora la sicurezza?
- A Perché cifra automaticamente le configurazioni
- B Perché elimina la necessità di gestire i permessi
- C Perché rende la configurazione versionata, revisionabile e ripetibile, eliminando le derive manuali
- D Perché impedisce l'accesso diretto ai server di produzione
Mostra la risposta
Risposta corretta: C
Se l'infrastruttura è codice, si revisiona come codice, si analizza con strumenti automatici e si ricrea identica. Spariscono le configurazioni divergenti fatte a mano, che sono una delle cause più comuni di esposizione.
-
Che cosa caratterizza un post mortem senza colpa (blameless)?
- A Non si individuano le cause per non imbarazzare nessuno
- B Si cercano le condizioni di sistema che hanno reso possibile l'errore, invece del responsabile
- C Si svolge soltanto per gli incidenti gravi
- D Lo conduce un soggetto esterno al team
Mostra la risposta
Risposta corretta: B
Senza colpa non significa senza analisi: significa assumere che le persone abbiano agito ragionevolmente con le informazioni che avevano, e cercare che cosa nel sistema ha permesso l'errore. È la condizione perché le persone raccontino i fatti.
-
Che ruolo ha un security champion in un team di sviluppo?
- A Approva i rilasci per conto del reparto sicurezza
- B È un membro del team che diffonde competenze e attenzione alla sicurezza, facendo da ponte con gli specialisti
- C Conduce i penetration test sulle applicazioni del team
- D Risponde formalmente degli incidenti del prodotto
Mostra la risposta
Risposta corretta: B
Il security champion non è un cancello né uno specialista: è la persona che dentro il team tiene alta l'attenzione, porta le domande giuste e sa a chi rivolgersi. È il meccanismo che fa scalare la sicurezza senza assumere cento esperti.
-
Quale metrica dice meglio quanto velocemente un'organizzazione chiude una vulnerabilità nota?
- A Numero di vulnerabilità rilevate per rilascio
- B Mean time to remediate
- C Percentuale di copertura dei test di sicurezza
- D Frequenza di rilascio
Mostra la risposta
Risposta corretta: B
Il tempo medio di rimedio misura l'esito che conta: quanto resta aperta una finestra di esposizione. Il numero di vulnerabilità trovate dice quanto cerchi, non quanto sei sicuro.
DevSecOps Foundation℠ è una certificazione del DevOps Institute; PeopleCert è un marchio di PeopleCert International. Le domande di questa prova sono materiale didattico originale BITIL.COM costruito sui contenuti del syllabus: non sono domande d'esame reali né riproduzioni di esse.
