Microsoft Certified: Security, Compliance, and Identity Fundamentals (SC-900) es la primera puerta de la línea de certificaciones de seguridad de Microsoft. No es un examen para configurar firewalls ni para escribir reglas de detección: es una certificación de nivel Fundamentals que comprueba si sabes distinguir qué servicio de Microsoft responde a cada amenaza y qué herramienta cubre cada requisito de cumplimiento, de modo que puedes afrontarla sin experiencia práctica en seguridad.
Este artículo es la guía de nuestra serie de 13 análisis en profundidad por dominio de SC-900. Antes de entrar en cada tema, traza el mapa completo: la estructura del examen, a quién va dirigido y qué lugar ocupa esta certificación en una carrera profesional en Azure.
---
¿Para quién es SC-900?
SC-900 no pregunta si eres capaz de detener una intrusión por tu cuenta. Pregunta si sabes qué mostrador revisa las credenciales, cuál vigila las cámaras y cuál gestiona las normas de conservación de documentos. No hace falta ser vigilante para usar un edificio con seguridad: basta con saber a qué mostrador preguntarle cada cosa.
Esta certificación encaja especialmente bien con los siguientes perfiles.
| Público objetivo | Por qué encaja | |------|------| | Roles no técnicos (ventas, planificación, legal, cumplimiento, auditoría) | Relacionar los requisitos de seguridad y cumplimiento con los nombres de servicios de Microsoft adecuados | | Personas que empiezan en TI y estudiantes | Conocer el panorama completo antes de iniciar una carrera en seguridad | | Administradores de Microsoft 365 y Azure | Ordenar de forma sistemática las funciones de Entra ID, Defender y Purview que ya usas | | Profesionales en transición hacia seguridad | El paso previo a certificaciones Associate como SC-300 y SC-200 | | Gerentes y responsables de decisiones | Entender Zero Trust y el modelo de responsabilidad compartida para fundamentar inversiones en seguridad |
No hay certificaciones previas ni cursos obligatorios. El examen está disponible en español y las certificaciones Fundamentals no caducan. Eso sí, Microsoft da por hecho que el candidato está familiarizado con Azure y Microsoft 365, así que si nunca has usado ninguno de los dos te resultará más fácil empezar por los términos básicos con la guía de AZ-900.
---
Información General del Examen
| Elemento | Detalle | |------|------| | Código del examen | SC-900 | | Nombre completo | Microsoft Certified: Security, Compliance, and Identity Fundamentals | | Nivel | Fundamentals (principiante) | | Puntuación aprobatoria | 700 (sobre 1,000) | | Duración | 45 minutos (65 minutos de tiempo en el asiento, con instrucciones y acuerdos) | | Preguntas | Varía (Microsoft no publica el número exacto de preguntas) | | Costo | Varía según el país (99 USD en Estados Unidos) | | Vigencia | No caduca (no requiere renovación) | | Idiomas | 13 idiomas, incluido el español | | Modalidad | Centro de exámenes Pearson VUE o examen supervisado en línea | | Requisitos previos | Ninguno |
Con solo 45 minutos, no puedes permitirte detenerte demasiado en una sola pregunta. Lo más seguro es marcar para revisión la que te genere dudas, avanzar y volver al final. Si no apruebas, puedes volver a presentarte pasadas 24 horas; a partir de ahí cada intento exige una espera de 14 días, con un máximo de cinco intentos en un periodo de 12 meses.
---
Distribución de Dominios
SC-900 se compone de cuatro dominios, y el peso de cada uno se publica como un rango. El desglose siguiente sigue el temario oficial que entra en vigor el 21 de octubre de 2026.
| Dominio | Tema | Peso | Artículos | |------|------|------|------| | Dominio 1 | Describir los conceptos de seguridad, cumplimiento e identidad | 10–15% | 2 artículos | | Dominio 2 | Describir las capacidades de Microsoft Entra | 25–30% | 3 artículos | | Dominio 3 | Describir las capacidades de las soluciones de seguridad de Microsoft | 35–40% | 4 artículos | | Dominio 4 | Describir las capacidades de las soluciones de cumplimiento de Microsoft | 20–25% | 4 artículos |
El Dominio 3 es el de mayor peso, con un 35–40%. También es el que más servicios menciona, desde la seguridad de red de Azure hasta Defender for Cloud, Microsoft Sentinel y Defender XDR, así que merece la mayor parte de tu tiempo de estudio. El Dominio 1 es pequeño, con un 10–15%, pero los conceptos de Zero Trust, autenticación y autorización que cubre son la base de los otros tres, así que no te lo saltes.
!Ponderación de los 4 dominios del examen SC-900
Dominio 1: Describir los conceptos de seguridad, cumplimiento e identidad (10–15%)
Este dominio evalúa conceptos, no servicios. Los otros tres dominios se construyen sobre este vocabulario, así que estúdialo primero.
Temas clave: Modelo de responsabilidad compartida; defensa en profundidad; Zero Trust; cifrado y hashing; gobernanza, riesgo y cumplimiento (GRC); autenticación y autorización; proveedores de identidad; servicios de directorio y Active Directory; federación.
Consejo: Comprobar "¿quién eres?" es autenticación; decidir "¿qué puedes hacer?" es autorización. Ten clara también la diferencia entre el cifrado, que se puede revertir con una clave, y el hashing, que no se puede revertir.
Artículos relacionados: Conceptos clave de seguridad, cumplimiento e identidad, Cifrado, Hash, Proveedores de Identidad y Servicios de Directorio
Dominio 2: Describir las capacidades de Microsoft Entra (25–30%)
Este dominio cubre Microsoft Entra, el servicio de administración de identidades y accesos de Microsoft. Se aprende mejor como un flujo: qué funciones intervienen, y en qué orden, antes de que un inicio de sesión se permita.
Temas clave: Microsoft Entra ID; tipos de identidad, incluidas las identidades de carga de trabajo; identidad híbrida; métodos de autenticación y MFA; protección de contraseñas; Acceso condicional; roles de Entra y RBAC; ID Governance; revisiones de acceso; Privileged Identity Management (PIM); ID Protection.
Consejo: "Conceder permisos de administrador solo durante el tiempo necesario" → PIM. "Detectar automáticamente inicios de sesión de riesgo" → ID Protection. "Permitir o bloquear el acceso según condiciones" → Acceso condicional.
Artículos relacionados: Microsoft Entra ID y autenticación, Métodos de Autenticación, Protección de Contraseñas e Identidad Híbrida en Entra, Gestión de accesos y gobernanza de identidades
Dominio 3: Describir las capacidades de las soluciones de seguridad de Microsoft (35–40%)
Este dominio cubre los servicios de seguridad de la infraestructura de Azure y los productos de detección y respuesta ante amenazas de Microsoft. Los nombres se parecen, por lo que es el dominio donde más fácil resulta confundirse.
Temas clave: Azure DDoS Protection; Azure Firewall; Web Application Firewall (WAF); grupos de seguridad de red (NSG); Azure Bastion; Azure Key Vault; Microsoft Defender for Cloud y CSPM; Microsoft Sentinel (SIEM y SOAR); Microsoft Defender XDR (Defender for Office 365, Endpoint, Cloud Apps e Identity); el portal de Defender.
Consejo: "Reunir registros de muchas fuentes, detectar amenazas y automatizar la respuesta" → Microsoft Sentinel. "Mostrar la postura de seguridad de los recursos de Azure como una puntuación y dar recomendaciones" → Defender for Cloud. "Ver como un único incidente un ataque que atraviesa correo, endpoints, identidades y aplicaciones" → Defender XDR.
Artículos relacionados: Servicios de Seguridad de Azure, Defender for Cloud: Directivas de Seguridad, Estándares y Puntuación de Seguridad, Microsoft Sentinel y Defender XDR, Servicios de Microsoft Defender XDR a Fondo
Dominio 4: Describir las capacidades de las soluciones de cumplimiento de Microsoft (20–25%)
Este dominio cubre las herramientas, centradas en Microsoft Purview, para clasificar y proteger datos y para gestionar el estado de cumplimiento.
Temas clave: Service Trust Portal y los principios de privacidad de Microsoft; el portal de Purview; Compliance Manager y la puntuación de cumplimiento; clasificación de datos; etiquetas de confidencialidad; prevención de pérdida de datos (DLP); administración de registros y directivas de retención; administración de riesgos internos; eDiscovery; auditoría.
Consejo: "Encontrar los informes de auditoría y documentos de cumplimiento de Microsoft" → Service Trust Portal. "Evaluar con una puntuación el estado de cumplimiento de nuestra organización" → Compliance Manager. "Impedir que la información confidencial salga de la organización" → DLP.
Artículos relacionados: Service Trust Portal y Privacidad, Cumplimiento y Protección de Información con Purview, Clasificación de Datos, Etiquetas de Confidencialidad y de Retención en Purview, Riesgo Interno, eDiscovery y Auditoría
---
¿Dónde se ubica SC-900 en la ruta de certificación de seguridad de Microsoft?
Las certificaciones de seguridad de Microsoft también ascienden de Fundamentals a Associate y luego a Expert. SC-900 es el punto de partida.
| Aspecto | SC-900 | SC-300 | SC-100 | |------|------|------|------| | Nivel | Fundamentals | Associate | Expert | | Nombre completo | Security, Compliance, and Identity Fundamentals | Identity and Access Administrator Associate | Cybersecurity Architect Expert | | Público principal | Cualquier rol, incluidos los no técnicos | Administradores que diseñan y operan identidades y accesos con Microsoft Entra | Arquitectos que diseñan la estrategia de seguridad de toda la organización | | Certificación previa | Ninguno | Ninguno | Se requiere una certificación Associate de seguridad (como SC-300 o SC-200) | | Vigencia | No caduca | 1 año (renovación gratuita en línea) | 1 año (renovación gratuita en línea) |
Los conceptos que aprendes en SC-900, como Zero Trust, Acceso condicional, Defender y Purview, se dan por sabidos en las certificaciones superiores. Para la administración de identidades y accesos, el siguiente paso es SC-300; para operaciones de seguridad, donde se d