O Microsoft Certified: Security, Compliance, and Identity Fundamentals (SC-900) é a primeira porta da linha de certificações de segurança da Microsoft. Não é uma prova de configurar firewalls nem de escrever regras de detecção: é uma certificação de nível Fundamentals que verifica se você sabe distinguir qual serviço da Microsoft responde a cada ameaça e qual ferramenta atende a cada requisito de conformidade, de modo que dá para encará-la sem experiência prática em segurança.
Este artigo é o guia da nossa série de 8 análises aprofundadas por domínio do SC-900. Antes de entrar em cada tema, ele traça o mapa completo: a estrutura do exame, para quem ele é indicado e onde esta certificação se encaixa em uma carreira em Azure.
---
Para quem é o SC-900?
O SC-900 não pergunta se você consegue barrar uma invasão sozinho. Ele pergunta se você sabe qual balcão confere os crachás, qual acompanha as câmeras e qual cuida das regras de retenção de documentos. Não é preciso ser vigilante para usar um prédio com segurança: basta saber a qual balcão perguntar cada coisa.
Esta certificação é especialmente indicada para os seguintes perfis.
| Público-alvo | Por que faz sentido | |------|------| | Funções não técnicas (vendas, planejamento, jurídico, compliance, auditoria) | Relacionar os requisitos de segurança e conformidade com os nomes corretos de serviços da Microsoft | | Iniciantes em TI e estudantes | Conhecer o panorama completo antes de iniciar uma carreira em segurança | | Administradores de Microsoft 365 e Azure | Organizar de forma sistemática os recursos de Entra ID, Defender e Purview que você já usa | | Profissionais em transição para segurança | A etapa anterior a certificações Associate como SC-300 e SC-200 | | Gerentes e tomadores de decisão | Entender Zero Trust e o modelo de responsabilidade compartilhada para embasar investimentos em segurança |
Não há certificações prévias nem cursos obrigatórios. O exame está disponível em português (Brasil) e as certificações Fundamentals não expiram. Ainda assim, a Microsoft pressupõe familiaridade com Azure e Microsoft 365, então, se você nunca usou nenhum dos dois, é mais fácil começar pelos termos básicos com o guia do AZ-900.
---
Informações Gerais do Exame
| Item | Detalhe | |------|------| | Código do exame | SC-900 | | Nome completo | Microsoft Certified: Security, Compliance, and Identity Fundamentals | | Nível | Fundamentals (iniciante) | | Pontuação de aprovação | 700 (de 1.000) | | Duração | 45 minutos (65 minutos de tempo de assento, com instruções e termos) | | Questões | Varia (a Microsoft não divulga o número exato de questões) | | Taxa | Varia conforme o país (US$ 99 nos Estados Unidos) | | Validade | Não expira (sem necessidade de renovação) | | Idiomas | 13 idiomas, incluindo português (Brasil) | | Modalidade | Centro de testes Pearson VUE ou exame supervisionado online | | Pré-requisitos | Nenhum |
Com apenas 45 minutos, não dá para ficar muito tempo em uma única questão. O mais seguro é marcar para revisão a que gerar dúvida, seguir em frente e voltar no final. Se você for reprovado, pode refazer o exame após 24 horas; a partir daí cada tentativa exige 14 dias de espera, com o máximo de cinco tentativas em um período de 12 meses.
---
Distribuição de Domínios
O SC-900 é composto por quatro domínios, e o peso de cada um é publicado como uma faixa. A distribuição abaixo segue o conteúdo oficial que entra em vigor em 21 de outubro de 2026.
| Domínio | Tópico | Peso | Artigos | |------|------|------|------| | Domínio 1 | Descrever os conceitos de segurança, conformidade e identidade | 10–15% | 1 artigo | | Domínio 2 | Descrever os recursos do Microsoft Entra | 25–30% | 2 artigos | | Domínio 3 | Descrever os recursos das soluções de segurança da Microsoft | 35–40% | 2 artigos | | Domínio 4 | Descrever os recursos das soluções de conformidade da Microsoft | 20–25% | 3 artigos |
O Domínio 3 é o de maior peso, com 35–40%. Também é o que mais cita serviços, da segurança de rede do Azure ao Defender for Cloud, Microsoft Sentinel e Defender XDR, então merece a maior parte do seu tempo de estudo. O Domínio 1 é pequeno, com 10–15%, mas os conceitos de Zero Trust, autenticação e autorização que ele cobre são a base dos outros três, então não o pule.
!Peso dos 4 domínios do exame SC-900
Domínio 1: Descrever os conceitos de segurança, conformidade e identidade (10–15%)
Este domínio avalia conceitos, não serviços. Os outros três domínios são construídos sobre este vocabulário, então estude-o primeiro.
Tópicos principais: Modelo de responsabilidade compartilhada; defesa em profundidade; Zero Trust; criptografia e hashing; governança, risco e conformidade (GRC); autenticação e autorização; provedores de identidade; serviços de diretório e Active Directory; federação.
Dica: Verificar "quem é você?" é autenticação; decidir "o que você pode fazer?" é autorização. Tenha clara também a diferença entre a criptografia, que pode ser revertida com uma chave, e o hashing, que não pode ser revertido.
Posts relacionados: Conceitos fundamentais de segurança, conformidade e identidade
Domínio 2: Descrever os recursos do Microsoft Entra (25–30%)
Este domínio cobre o Microsoft Entra, o serviço de gerenciamento de identidades e acessos da Microsoft. É mais fácil aprendê-lo como um fluxo: quais recursos entram em ação, e em que ordem, antes de um login ser liberado.
Tópicos principais: Microsoft Entra ID; tipos de identidade, incluindo identidades de carga de trabalho; identidade híbrida; métodos de autenticação e MFA; proteção de senha; Acesso Condicional; funções do Entra e RBAC; ID Governance; revisões de acesso; Privileged Identity Management (PIM); ID Protection.
Dica: "Conceder permissões de administrador apenas pelo tempo necessário" → PIM. "Detectar automaticamente logins de risco" → ID Protection. "Permitir ou bloquear o acesso conforme condições" → Acesso Condicional.
Posts relacionados: Microsoft Entra ID e autenticação, Gerenciamento de acesso e governança de identidades
Domínio 3: Descrever os recursos das soluções de segurança da Microsoft (35–40%)
Este domínio cobre os serviços de segurança da infraestrutura do Azure e os produtos de detecção e resposta a ameaças da Microsoft. Os nomes são parecidos, o que faz dele o domínio em que é mais fácil se confundir.
Tópicos principais: Azure DDoS Protection; Azure Firewall; Web Application Firewall (WAF); grupos de segurança de rede (NSG); Azure Bastion; Azure Key Vault; Microsoft Defender for Cloud e CSPM; Microsoft Sentinel (SIEM e SOAR); Microsoft Defender XDR (Defender for Office 365, Endpoint, Cloud Apps e Identity); o portal do Defender.
Dica: "Reunir logs de várias fontes, detectar ameaças e automatizar a resposta" → Microsoft Sentinel. "Mostrar a postura de segurança dos recursos do Azure como uma pontuação e dar recomendações" → Defender for Cloud. "Ver como um único incidente um ataque que atravessa e-mail, endpoints, identidades e aplicativos" → Defender XDR.
Posts relacionados: Serviços de Segurança do Azure, Microsoft Sentinel e Defender XDR
Domínio 4: Descrever os recursos das soluções de conformidade da Microsoft (20–25%)
Este domínio cobre as ferramentas, centradas no Microsoft Purview, para classificar e proteger dados e para gerenciar o estado de conformidade.
Tópicos principais: Service Trust Portal e os princípios de privacidade da Microsoft; o portal do Purview; Compliance Manager e a pontuação de conformidade; classificação de dados; rótulos de confidencialidade; prevenção contra perda de dados (DLP); gerenciamento de registros e políticas de retenção; gerenciamento de risco interno; eDiscovery; auditoria.
Dica: "Encontrar os relatórios de auditoria e documentos de conformidade da Microsoft" → Service Trust Portal. "Avaliar com uma pontuação o estado de conformidade da nossa organização" → Compliance Manager. "Impedir que informações confidenciais saiam da organização" → DLP.
Posts relacionados: Service Trust Portal e Privacidade, Conformidade e Proteção de Informações com Purview, Risco Interno, eDiscovery e Auditoria
---
Onde o SC-900 se encaixa na trilha de certificação de segurança da Microsoft
As certificações de segurança da Microsoft também sobem de Fundamentals para Associate e depois para Expert. O SC-900 é o ponto de partida.
| Aspecto | SC-900 | SC-300 | SC-100 | |------|------|------|------| | Nível | Fundamentals | Associate | Expert | | Nome completo | Security, Compliance, and Identity Fundamentals | Identity and Access Administrator Associate | Cybersecurity Architect Expert | | Público principal | Qualquer função, incluindo as não técnicas | Administradores que projetam e operam identidades e acessos com o Microsoft Entra | Arquitetos que projetam a estratégia de segurança de toda a organização | | Certificação prévia | Nenhum | Nenhum | Exige uma certificação Associate de segurança (como SC-300 ou SC-200) | | Validade | Não expira | 1 ano (renovação online gratuita) | 1 ano (renovação online gratuita) |
Os conceitos que você aprende no SC-900, como Zero Trust, Acesso Condicional, Defender e Purview, são tratados como conhecimento prévio nas certificações superiores. Para gerenciamento de identidades e acessos, o próximo passo é o SC-300; para operações de segurança, em que se detectam e respondem ameaças, é o SC-200 (Security Operations Analyst Associate). Se você sente que falta base em Azure, veja também o guia do AZ-900, e para avançar rumo à operação prática do Azure, o guia do AZ-104.
---
Roteiro de Estudos para Iniciantes
Uma ordem de estudo passo a passo para quem está estudando segurança pela primeira vez.
Etapa 1 (3–5 dias): Firme os conceitos. Comece por Zero Trust, defesa em profundidade e autenticação versus autorização do Domínio 1. É um domínio pequeno, mas tudo o que vem depois usa esses termos.
Etapa 2 (Semana 2): Aprenda o Microsoft Entra. Desenhe como um acesso é liberado passo a passo (