Droga Mistrza i Juniora, czyli jak przygotowaliśmy się do egzaminu CompTIA Security+

CompTIA Security+ to ostatnio jeden z najbardziej pożądanych certyfikatów w branży CyberSec. Dla jednych jego zdobycie to formalne potwierdzenie wiedzy gromadzonej przez lata praktyki, dla innych – konieczność opanowania obszernego materiału w celu zdobycia zupełnie nowych kwalifikacji. Już za kilka dni ruszamy z kolejną edycją szkolenia przygotowującego do tego egzaminu. Z tej okazji zebraliśmy dla Was doświadczenia dwóch członków ekipy sekuraka, Tomka Turby i Bartka Sikory. Mieli różne cele – Tomek i Team naszych trenerów szli po to, żeby kurs od sekuraka jak najlepiej przygotowywał do egzaminu, Bartek chciał zdobyć uznany cert, który otwiera drzwi do świata CyberSec. Dla każdego z nich droga do uzyskania tego certyfikatu okazała się zupełnie innym wyzwaniem.

Bartek Sikora

15 lat kariery zawodowej poświęcił e-commerce oraz mediom społecznościowym. Swoją pasję do cyberbezpieczeństwa odkrył w 2025 roku – i od razu uznał, że to jego nowa życiowa droga. Uczestnik programu Sekurak.Academy oraz szkoleń sekuraka.

Jak się przygotować, gdy dopiero startujesz?

Cyberbezpieczeństwo to niezwykle rozległa dziedzina i trudno być ekspertem w każdym jej obszarze. Podchodząc do egzaminu, trzeba jednak przyswoić podstawy całego spektrum tematów: od bezpieczeństwa aplikacji, przez kryptografię, aż po zabezpieczenia systemów OT. Kluczem jest tu dobre zaplanowanie nauki. Warto ułożyć swoją ścieżkę tak, aby nie wpaść do przysłowiowej króliczej nory i nie dać się całkowicie pochłonąć jednemu zagadnieniu kosztem pozostałych.

Tutaj z pomocą przychodzi podręcznik, który kolejno przedstawia wszystkie kwestie i jest dobrym kierunkowskazem pokazującym, na jakich elementach warto się skupić. Jeśli jednak do tej pory nie miałeś wiele wspólnego z głęboko technicznymi tematami, potrzebne będzie Ci wsparcie kogoś doświadczonego. Dla mnie takim wsparciem okazali się trenerzy sekuraka, którzy w trakcie kursu przygotowawczego pokazali, jak sprawnie poruszać się po środowisku Linux, czytać logi i generować klucze. Co więcej, mogłem to wszystko przećwiczyć samodzielnie w udostępnionych w ramach kursu labach. Jak się później okazało, każda z tych umiejętności przydała mi się podczas egzaminu w zakresie pytań PBQ.

Akronimy i porty, czyli co zakuć, żeby zdać

Nie ma co ukrywać – jeśli na co dzień nie siedzisz w tematach IT, to numer 1433 może Ci się bardziej kojarzyć z datą końca wojny z Krzyżakami niż z portem powiązanym z Microsoft SQL Server. Tutaj jedyne wyjście stanowi stare, dobre zakuwanie. Podobnie jest z akronimami, choć ich rozwinięcia pojawiają się w trakcie nauki tyle razy, że z czasem łatwiej je sobie przyswoić. Listę wszystkich najistotniejszych skrótów otrzymałem podczas kursu. Dzięki temu zdecydowanie łatwiej było odsiać te, które na egzaminie na pewno się nie pojawią.

Ważna uwaga: W testach próbnych i materiałach przygotowujących akronimy często występują od razu z rozwinięciem. Podczas samego egzaminu możesz o tym zapomnieć. Upewnij się zatem, czy potrafisz samodzielnie przywołać je z pamięci.

Laby: czy warto bawić się w praktykę podczas przygotowań do egzaminu teoretycznego?

Jak już wspomniałem, laby sekuraka uratowały moje zadania PBQ. Jeśli w trakcie przygotowań wygenerujesz klucz prywatny kilka razy w środowisku testowym, to bez problemu odtworzysz tę sekwencję w zadaniu polegającym na uporządkowaniu kroków całego procesu. Laboratoria sekuraka były dostępne po prawie każdej sesji i pozwalały mi utrwalić całą wiedzę. Na osoby bez doświadczenia z obsługą terminala czekała zawsze rozbudowana instrukcja, a w razie problemów zawsze można było szukać pomocy u trenera lub innych uczestników kursu na dedykowanym kanale Discord.

Egzamin stacjonarny – jak to wygląda?

Sam egzamin zdawałem stacjonarnie, ponieważ certyfikowane centrum testowe mam zaledwie 15 minut od domu. Procedura weryfikacyjna jest tu zdecydowanie szybsza niż w przypadku egzaminu zdawanego online z domu. Obejmuje szybkie sprawdzenie tożsamości, zrobienie zdjęcia i obowiązkową kontrolę każdej kieszeni. Rzeczy osobiste zostawiasz w szafce, siadasz przed komputerem i ruszasz. Przed Tobą 90 minut i minimum 80% punktów do zdobycia! Warunki są bardzo komfortowe, wokół panuje absolutna cisza (a gdyby ta była zbyt głośna, dostajesz jeszcze paczkę stoperów 😉). Przyznam, że w miejscu, w którym zdawałem egzamin, sprzęt nie był już pierwszej świeżości, a łącze internetowe lekko przycinało, jednak do „przeklikania” się przez test wystarczyło w zupełności.

Test – jaką strategię obrać?

Na starcie przyznam jedno: pytania PBQ wybijają z rytmu. Wpadają na samym początku i potrafią niesamowicie wciągnąć, ponieważ sformułowane są tak, że samo zrozumienie idei zadania zjada dłuższą chwilę. Polecam zostawić je na sam koniec i przejść od razu do części testowej. W moim przypadku trafiły mi się w niej 72 pytania o bardzo zróżnicowanym poziomie trudności. Pytania testowe nie były jednak przeszkodą. Na bardzo podobne odpowiadałem wiele razy w ramach testów oraz próbnego egzaminu udostępnionego w ramach szkolenia. Na wiele z nich można by odpowiedzieć starym, dobrym „to zależy”, jednak jest to celowy zabieg i wymaga po prostu skupienia się na kontekście i wybrania najlepiej dopasowanej odpowiedzi.

PBQ – jak to wszystko poukładać?

Performance-Based Questions (PBQ) to zazwyczaj 3–4 zadania, które wymagają dopasowania elementów z dostępnych „klocków” lub rozwijanych list. Nie ukrywam – bywają bardzo zagmatwane i pierwszy rzut oka na nie lekko mnie sparaliżował. Przeczytaj zatem każde polecenie uważnie, przemyśl na spokojnie – i dopiero działaj. Co ważne, każdy prawidłowo przypisany lub zaznaczony element pozwala uzyskać punkty. Nawet jeśli nie uda Ci się poprawnie ogarnąć całości odpowiedzi, to i tak warto przynajmniej strzelać. W trakcie nauki polecam też zapoznać się ze schematami różnych infrastruktur – sam miałem bowiem do uporządkowania architekturę chmurową oraz komponenty web aplikacji. Na szczęście sporo na ich temat zapamiętałem z części szkolenia prowadzonej przez Maćka Szymczaka.

Zdany egzamin

Tuż po wypełnieniu i zakończeniu testu na ekranie pojawia się informacja o punktacji. W moim przypadku było to 808 punktów i spory powód do dumy! Oficjalna informacja o certyfikacie zazwyczaj trafia na konto online następnego dnia. Wtedy też można pochwalić się wynikiem na LinkedIn. Emocje powoli opadają i człowiek może wracać do dalszej nauki 😉.

CompTIA Security+ – czy warto?

Nie ukrywam, że moim głównym celem była zmiana branży i wejście w świat cyberbezpieczeństwa. Czy to się udało? Tak. Dzięki moim umiejętnościom miękkim oraz potwierdzonej certyfikatem wiedzy z zakresu CyberSec dwa miesiące po zdaniu egzaminu dołączyłem do ekipy Securitum i sekurak.pl. To chyba najlepszy dowód na to, że ten certyfikat faktycznie działa!

Tomek Turba

W branży IT od 2006 roku. Od wielu lat specjalista do spraw cyberbezpieczeństwa. Posiadacz wielu uznanych certyfikatów z dzieciny CyberSec. Trener sekuraka współtworzący wiele najpopularniejszych szkoleń, w tym programu przygotowującego do egzaminu CompTIA Security+.

Czy da się podejść do egzaminu z marszu?

Moja droga do certyfikacji wyglądała zupełnie inaczej. Na co dzień robię pentesty, prowadzę szkolenia i siedzę w analizie powłamaniowej, w OSINT, AI, Wazuhu, Zabbiksie, Wiresharku i wielu innych, więc postanowiłem sprawdzić, ile z tej praktyki przekłada się na egzamin. Bez książek, bez testów próbnych. Przejrzałem tylko wymagania egzaminacyjne. Wybrałem termin na za tydzień, zainstalowałem aplikację Pearson VUE i podszedłem do egzaminu zdalnie, z domu.

Nie ma jak w domu – egzamin zdalny

Pierwsze wyzwanie pojawiło się, zanim zobaczyłem jakiekolwiek pytanie. Zdalny egzamin to procedura, przy której niejeden audyt bezpieczeństwa fizycznego wypada blado. Test systemu i kamery, check-in pół godziny przed startem, zdjęcie dokumentu, selfie i zdjęcia stanowiska z każdej strony. Biurko ma być puste: żadnych kartek, długopisów ani drugiego monitora, telefon poza zasięgiem ręki. Proktor mówiący po angielsku poprosił jeszcze o pokazanie pokoju kamerą, więc przez chwilę „oprowadzałem” obcą osobę po swoim gabinecie. Dla kogoś, kto zawodowo zagląda innym w systemy, było to ciekawe odwrócenie ról: przez półtorej godziny to ja byłem monitorowanym endpointem.

W trakcie obowiązują kolejne zasady. Nie czytasz pytań na głos, nie odchodzisz od komputera, nie uciekasz zbyt często wzrokiem poza ekran i nikt nie może wejść do pokoju. Domownicy zostali uprzedzeni, drzwi zamknięte, powiadomienia wyłączone. Praktyczna rada: test systemu zróbcie dzień wcześniej, najlepiej na prywatnym komputerze. Służbowy laptop z VPN-em, EDR-em i restrykcyjnym firewallem potrafi skutecznie zablokować aplikację egzaminacyjną.

Sam egzamin to maksymalnie 90 pytań na 90 minut, a próg zaliczenia wynosi 750 punktów w skali 100–900. Na start dostajesz pytania typu PBQ, czyli małe symulacje, w których trzeba np. skonfigurować reguły albo dopasować zabezpieczenia do scenariusza. Tu doświadczenie faktycznie pomaga, ale PBQ potrafią zjeść sporo czasu. Oflagowałem je, przeszedłem przez pytania zamknięte i wróciłem do nich na końcu. Polecam tę kolejność każdemu.

„To zależy” – jak odpowiedzieć, gdy wszystkie odpowiedzi wydają się poprawne

Największe zaskoczenie? To, że wieloletnia praktyka czasem przeszkadza. W realnym projekcie odpowiedź na większość pytań brzmi „to zależy”. Na egzaminie trzeba wybrać odpowiedź BEST, FIRST albo MOST appropriate – i to według logiki CompTIA, a nie według tego, co sam zrobiłbym u klienta. Kilka razy złapałem się na tym, że odpowiadam jak pentester, a pytanie było zadane z perspektywy osoby zarządzającej ryzykiem – i to na początkującym poziomie. Druga sprawa to obszary, których nie dotykam codziennie, tylko incydentalnie: governance, zgodność z regulacjami, rodzaje umów z dostawcami czy wskaźniki ciągłości działania, jak RTO i RPO. Tam intuicja nie wystarczy, trzeba znać terminologię, więc dobrze jest to sobie powtórzyć przed samym egzaminem. Ja pamiętałem i się udało.

Zdałem, a wynik 849/900 pojawił się na ekranie zaraz po zakończeniu. Czy polecam podejście bez przygotowania? Jeśli masz za sobą kilkanaście lat praktyki w różnych obszarach bezpieczeństwa, to da się 🙂. Gdybym jednak miał zrobić to jeszcze raz, poświęciłbym przynajmniej jeden wieczór na oficjalne exam objectives i listę akronimów, którą CompTIA do nich dołącza. Nie po to, żeby uczyć się wszystkiego od nowa, ale żeby wyłapać własne białe plamy. Ciekawe przeżycie, ale moim zdaniem zbyt ryzykowne dla osoby, która po prostu chce wejść do tego świata 🙂. Dlatego stworzyliśmy własną metodologię prowadzenia przygotowania do egzaminu CompTIA Security+. Oficjalne materiały, przemnożone przez nasze doświadczenia w branży cybersecurity. Podczas naszego kursu oprócz prezentacji dostajesz także webinary organizacyjne z wszelkimi informacjami o tym, jak się uczyć i jak zdać egzamin, uwzględniając wszystkie wytyczne, obostrzenia i reguły. Na deser dodam, że otrzymujesz od nas  także cztery egzaminy próbne na naszej platformie 🙂

~Bartek Sikora

~Tomek Turba