Cel: zdać CompTIA Security+ SY0-701 z wynikiem 750/900 (próg zaliczenia).
Format egzaminu: 90 minut, do 90 pytań (multiple choice + 5–10 Performance-Based Questions). 100% po angielsku.
5 domen: Concepts (12%) · Threats (22%) · Architecture (18%) · Operations (28%) · Program Management (20%).
Czas przygotowania: 100–200 godzin (2–6 miesięcy w zależności od startu).
Koszty: egzamin 404 USD + materiały 100–200 USD = razem ≈ 2400–3300 PLN.
Angielski: B2+ wymagany. Bez niego nie zrozumiesz pytań — egzaminu nie da się zaliczyć z PL słownikiem.
- Czym jest Security+ i czemu jest „złotym standardem"
- Format egzaminu SY0-701 — co dokładnie cię czeka
- 5 domen egzaminu — szczegółowy rozbiór
- Rola angielskiego — czemu B2+ to minimum
- Plan 4-miesięczny — tydzień po tygodniu
- Top 8 materiałów (free + paid)
- Strategia na Performance-Based Questions
- Dzień egzaminu — checklist
- 10 błędów polskich kandydatów
- Co po Security+ — ścieżki rozwoju
- FAQ
Czym jest Security+ i czemu jest „złotym standardem"
CompTIA Security+ (najnowsza wersja: SY0-701, wydana w listopadzie 2023, aktualnie obowiązująca w 2026) to certyfikat vendor-neutral (niezależny od konkretnego producenta) potwierdzający znajomość podstaw cyberbezpieczeństwa. Wydawany przez amerykańską organizację CompTIA (Computing Technology Industry Association).
Dlaczego „złoty standard" wejściowych ról cyber
- Vendor-neutral — nie uczy konkretnego produktu (jak certyfikaty Cisco czy Microsoft), ale CONCEPTS, które działają wszędzie.
- Akceptowany przez DoD 8570 — amerykański Department of Defense wymaga go dla pracowników kontraktowych. To powoduje, że organizacje współpracujące z NATO i armią (banki, energetyka, telekomy) traktują go jako baseline.
- Wymóg w ofertach — w polskich ogłoszeniach SOC Tier 1, Security Engineer, GRC Analyst pojawia się w ≈90% ofert jako „required" lub „strong plus".
- Przystępny dla początkujących — w przeciwieństwie do CISSP (5 lat doświadczenia wymagane) czy OSCP (zaawansowany pentesting), Security+ celuje w juniorów z 0–2 latami doświadczenia.
- Otwiera drzwi do kolejnych certyfikatów — bez Security+ trudno przeskoczyć od razu na CySA+, CASP+ czy CISSP.
Co Security+ NIE jest
- NIE jest certyfikatem hands-on — testuje wiedzę teoretyczną, nie umiejętności techniczne. Zdanie Security+ ≠ umieć wykryć włamanie. Po Security+ idziesz na CySA+ albo OSCP, żeby zdobyć praktykę.
- NIE jest gwarantem pracy — sam certyfikat bez doświadczenia / portfolio / angielskiego B2+ to za mało. To „karta wstępu" — nie zastępuje rozmowy kwalifikacyjnej.
- NIE wystarczy na role senior — dla mid-level i wyższych potrzebne są CISSP, CISM, CASP+ albo specjalistyczne (OSCP, GCIH).
- NIE pokrywa specjalizacji — uczy szerokiej teorii (sieć + endpointy + chmura + IR + GRC). Specjalizujesz się PO Security+, nie podczas.
Format egzaminu SY0-701 — co dokładnie cię czeka
Konkretne parametry egzaminu (oficjalne dane CompTIA, 2026):
- Numer egzaminu: SY0-701 (poprzednia wersja SY0-601 wycofana; SY0-501 i wcześniejsze dawno nieobsługiwane).
- Czas trwania: 90 minut.
- Liczba pytań: maksymalnie 90 (zwykle 75–85 w praktyce — system adaptacyjny).
- Typy pytań: wielokrotnego wyboru (Multiple Choice — single i multi-answer) + Performance-Based Questions (PBQ — interaktywne symulacje, drag-and-drop, fill-in-the-blank).
- Próg zaliczenia: 750 punktów na 900 (≈83 procent) — uwaga, punkty NIE odpowiadają liniowo procentowi pytań poprawnych, bo pytania mają różną wagę.
- Ważność certyfikatu: 3 lata. Po tym czasie: Continuing Education Units (CEU) lub powtórny egzamin.
- Język: angielski (US English). Brak polskiej wersji.
- Dostępność: Pearson VUE (egzamin w centrum) albo OnVUE (online z domu z monitoringiem proctora).
- Cena: 404 USD (oficjalna). Vouchery na promocjach (Black Friday, edukacyjne, partnerskie) — 250–350 USD.
Adaptacyjne pytania: system Pearson VUE potrafi dostosowywać trudność pytań do twoich odpowiedzi. Jeśli odpowiadasz dobrze, pytania robią się trudniejsze. Nie panikuj, gdy pytanie wydaje się skomplikowane — to sygnał, że idziesz dobrze, nie znak, że oblewasz.
Online vs centrum egzaminacyjne — co wybrać
OnVUE (online): taniej, w domu, bez dojazdu. Wymaga: cichego pokoju (proctor patrzy przez kamerę), zasłonięcia/zdjęcia notatek ze ścian, pustego biurka, dobrego internetu (proctor monitoruje cały czas), zewnętrznej kamery LUB skanu pokoju przed startem. Minus: jeśli internet padnie w trakcie, tracisz egzamin (i pieniądze). Częste „problemy techniczne" w OnVUE.
Pearson VUE (centrum egzaminacyjne): w Polsce jest kilkanaście centrów (Warszawa, Wrocław, Kraków, Gdańsk, Poznań, Łódź, Katowice). Plus: stabilność, brak ryzyka technicznego, profesjonalne warunki. Minus: dojazd, rezerwacja terminu z wyprzedzeniem 2–3 tygodni.
Rekomendacja: centrum, jeśli to twój pierwszy egzamin certyfikacyjny. Online — gdy masz dobre warunki domowe i zdawałeś już wcześniej egzaminy zdalne.
5 domen egzaminu — szczegółowy rozbiór
Egzamin pokrywa 5 domen tematycznych z dokładnie określoną wagą procentową. Najlepsza strategia: zacznij od najmniejszej domeny (Concepts) i kończ na największej (Operations) — kumulujesz wiedzę, a najbardziej skomplikowana domena zostawiasz na koniec, gdy masz już bazę.
Co obejmuje: typy kontroli bezpieczeństwa (technical, managerial, operational, physical), zasady CIA Triad (Confidentiality, Integrity, Availability), zasada Zero Trust, change management, kryptografia podstawowa (symetryczna vs asymetryczna, hashing).
Trudność dla Polaków: niska. Większość pojęć ma polskie odpowiedniki, terminologia jest opisowa.
Czas nauki: 10–15 godzin.
Pułapki: rozróżnienie typów kontroli (Preventive vs Detective vs Corrective vs Compensating). CompTIA lubi pytać o konkretną klasyfikację.
Co obejmuje: rodzaje malware (ransomware, trojan, RAT, rootkit, worm, virus, fileless, logic bomb), typy ataków (phishing, smishing, vishing, BEC, supply chain, watering hole), threat actors (nation-state, organized crime, hacktivist, insider threat), social engineering, attack vectors, SQL injection, XSS, CSRF, buffer overflow, race condition.
Trudność dla Polaków: średnia. Dużo angielskiej terminologii branżowej (smishing, BEC, SOC) — poznaj wszystkie skróty na pamięć. Zobacz nasz słownik 100 terminów cybersecurity.
Czas nauki: 25–30 godzin.
Pułapki: rozróżnienie podobnych ataków (smishing = SMS, vishing = voice, whaling = CEO target, spear phishing = targeted email). Egzamin lubi pytać scenariuszami.
Co obejmuje: architektura sieci (VLAN, DMZ, jump server, screened subnet), bezpieczna infrastruktura (load balancer, proxy, NAC, IDS/IPS), zabezpieczanie chmury (IaaS / PaaS / SaaS, shared responsibility model), bezpieczeństwo danych (klasyfikacja, DLP, tokenization, masking), wirtualizacja, urządzenia mobilne (MDM, BYOD), IoT.
Trudność dla Polaków: WYSOKA, jeśli brak Network+ / doświadczenia sieciowego. To domena, która najbardziej oblepia bez tła sieciowego.
Czas nauki: 25–35 godzin (do 50 jeśli zaczynasz bez sieci).
Pułapki: pytania o porty (22 SSH, 443 HTTPS, 3389 RDP, 1812/1813 RADIUS, 389/636 LDAP/LDAPS) — naucz się ≈30 portów na pamięć. Pytania o protokoły kryptograficzne (TLS vs SSL, AES vs DES, SHA vs MD5).
Co obejmuje: Incident Response (4 fazy NIST: Preparation → Detection / Analysis → Containment / Eradication / Recovery → Post-Incident), SIEM (zbieranie, korelacja, alerty), SOAR, EDR/XDR, threat hunting, vulnerability management (skanowanie, prioritization, remediation), patch management, hardening (server, OS, application), log management, digital forensics (chain of custody, evidence preservation), Identity and Access Management (IAM, SSO, MFA, RBAC, ABAC, federation, SAML, OAuth, OpenID Connect).
Trudność dla Polaków: WYSOKA. To domena z największą liczbą skrótów (SIEM, SOAR, EDR, XDR, IAM, RBAC, MFA, SAML…) i procedur. Wymaga zrozumienia, JAK działa SOC.
Czas nauki: 35–50 godzin.
Pułapki: kolejność faz IR (NIST vs SANS — różnią się!), różnica między authentication a authorization, między authentication factors (something you know / have / are / do / where you are).
Co obejmuje: zarządzanie ryzykiem (risk assessment — qualitative vs quantitative, ARO/ALE/SLE, risk register, risk treatment — accept/avoid/mitigate/transfer), governance i compliance (GDPR / RODO, HIPAA, PCI DSS, SOX, ISO 27001), audyty, security awareness training, polityki bezpieczeństwa, third-party risk management, business continuity (BCP, DRP, RTO, RPO, MTBF, MTTR), data protection.
Trudność dla Polaków: średnia. Dużo akronimów i frameworków, ale logika jest biznesowa, nie techniczna.
Czas nauki: 20–25 godzin.
Pułapki: obliczanie ARO / SLE / ALE (Annual Rate of Occurrence × Single Loss Expectancy = Annual Loss Expectancy). RTO ≠ RPO (RTO = ile możesz nie działać, RPO = ile danych możesz stracić).
Rola angielskiego — czemu B2+ to praktyczne minimum
Egzamin Security+ jest WYŁĄCZNIE po angielsku. Nie ma polskiej wersji, polskich napisów, polskiego klucza. Każde pytanie, każda odpowiedź, każdy scenariusz w PBQ — w angielskim. Materiały (Prof. Messer, Dion, Chapple) również angielskie.
Dlatego angielski na poziomie B2+ jest praktycznym minimum. Konkretne wymagania:
- Czytanie ze zrozumieniem na poziomie B2+: musisz czytać 90 pytań po angielsku w 90 minut. To 1 minuta na pytanie. Jeśli czytasz wolno (poniżej 200 słów na minutę po angielsku) — nie zdążysz. Pytania na Security+ mają długość 50–150 słów (krótkie definicje + długie scenariusze).
- Słownictwo branżowe — minimum 200–300 angielskich terminów cyber w aktywnym słownictwie. To są terminy, których NIE poznasz na ogólnym kursie angielskiego (SIEM, EDR, kill chain, zero day, threat actor, IOC, IOA, etc.).
- Słuchanie — jeśli uczysz się z Prof. Messera (video po angielsku), musisz rozumieć szybką mowę z amerykańskim akcentem. Bez B2+ przegapisz niuanse.
- Pisanie — niewymagane na egzaminie, ale kluczowe na rozmowie kwalifikacyjnej PO certyfikacie.
Test gotowości: przeczytaj 10 pytań przykładowych z Security+ na stronie CompTIA (są darmowe). Jeśli w trakcie 5 pytań nie znasz znaczenia 5+ angielskich słów — twój poziom angielskiego to bottleneck. Najpierw popraw angielski (3–6 miesięcy), potem zaczynaj Security+.
Strategia językowa dla polskiego kandydata
- Zbuduj słownik branżowy. Minimum 200 słów cyber po angielsku z polskim tłumaczeniem. Użyj naszej listy 100 terminów jako bazy.
- Słuchaj angielskiego cyber treści codziennie. Prof. Messer (mówi powoli, idealnie dla B1+), Darknet Diaries (podcast, B2+), CyberWire Daily (briefingi, B2).
- Czytaj write-up'y po angielsku. HackTricks, OWASP Top 10, MITRE ATT&CK — pisane prostym, technicznym angielskim. Idealna ekspozycja.
- Praktykuj pytania egzaminacyjne tylko po angielsku. NIE tłumacz pytań na polski w głowie — uczysz się myśleć po angielsku w cyber kontekście.
Angielski cybersecurity z VOCAbite
CYBERSPEAK for CompTIA — kurs angielskiego specjalistycznego cyber dopasowany do struktury egzaminu Security+. 5 modułów odpowiadających 5 domenom egzaminu, ponad 1200 terminów branżowych w kontekście, listening z native speakerami, ćwiczenia ze słownictwa egzaminacyjnego.
Zobacz CYBERSPEAKPlan 4-miesięczny — tydzień po tygodniu
Plan zakłada 1 godzinę dziennie × 5 dni w tygodniu + 2 godziny w weekend = 7 godzin tygodniowo × 16 tygodni = 112 godzin. To realny harmonogram dla osoby pracującej. Przyspieszenie do 2 miesięcy wymaga 2 godzin dziennie — możliwe, ale na granicy burn-outu.
Tydzień 1–2: obejrzyj cały kurs Prof. Messer (pełny przegląd, ≈30 godzin). Cel: ZROZUMIENIE szerokości materiału. NIE notuj jeszcze.
Tydzień 3: Domena 1 (General Concepts) — pogłębione notowanie. Stwórz pierwsze fiszki w Anki. Mike Chapple Sybex książka, rozdziały 1–2.
Tydzień 4: Domena 2 (Threats) — początek. Naucz się typów malware, social engineering. Practice test #1 (Jason Dion).
Cel kontroli: wynik 50%+ na pierwszym practice test (zdrowy start, dużo do nauki).
Tydzień 5–6: Domena 2 cd. — wszystkie typy ataków (web, network, social, supply chain). Practice test #2.
Tydzień 7–8: Domena 3 (Architecture) — sieć, chmura, dane, IoT. Naucz się 30 portów na pamięć (osobny set fiszek). Practice test #3 — fokus na Domeny 1+2+3.
Cel kontroli: wynik 65%+ na practice test ograniczonym do Domen 1+2+3.
Tydzień 9–11: Domena 4 (Operations) — najwięcej materiału. Incident Response (4 fazy NIST), SIEM, SOAR, IAM, MFA, SSO. Hands-on: zainstaluj Security Onion (darmowy SIEM open source) i zbieraj logi z laptopa. Practice test #4.
Tydzień 12: Domena 5 (Program Management) — risk, compliance, BCP/DRP. Naucz się obliczać ARO, SLE, ALE. Practice test #5 — pełny zakres.
Cel kontroli: wynik 75%+ na pełnym practice test.
Tydzień 13: powtórka wszystkich notatek + Anki w trybie maraton. Skup się na słabych obszarach z poprzednich tests.
Tydzień 14: Performance-Based Questions practice — Jason Dion ma osobny pakiet z PBQ. Przerób minimum 30.
Tydzień 15: finalny tydzień practice tests. 3 testy na pełny czas (90 min). Cel: 80%+. Jeśli stabilnie 80%+ → bookuj egzamin.
Tydzień 16: egzamin (na początku tygodnia). Reszta: bufor / odpoczynek.
Cel kontroli: wynik 80%+ na 3 kolejnych pełnych practice tests przed bookingiem.
Kiedy NIE bookować egzaminu: jeśli jesteś poniżej 75% na practice tests, NIE bookuj. CompTIA nie zwraca pieniędzy za oblanie. Lepiej dodać 4–6 tygodni nauki niż stracić 404 USD na podejście „a może się uda".
Top 8 materiałów do nauki (free + paid)
Złoty standard darmowego materiału. James Messer pokrywa cały syllabus SY0-701, mówi powoli i bardzo wyraźnym amerykańskim angielskim — idealnie dla nie-native speakerów. Notatki PDF do pobrania (≈90 USD opcjonalnie). Plus: też darmowe practice questions po każdej sekcji. Numer 1 dla wszystkich Polaków.
Druga połowa wszystkiego, czego potrzebujesz. Dion ma trochę indyjsko-amerykański akcent (B2 wymagane), ale jego practice tests są najbliższe realnym pytaniom egzaminacyjnym w całym ekosystemie Security+. 6 testów × 90 pytań = 540 pytań do treningu. Kup na Udemy podczas promocji (15–25 USD zamiast 130).
Klasyczna „grube książka". Mike Chapple (PhD, IU) pisze akademickim angielskim — wymaga B2+ do komfortowego czytania. Dla osób, które uczą się lepiej z tekstu niż video. W zestawie: online testy w platformie Sybex. Polecane jako uzupełnienie Prof. Messera, nie zamiennik.
Oficjalna platforma CompTIA. Adaptacyjne pytania (uczy się twoich słabych obszarów). Pytania są BARDZO podobne do egzaminacyjnych (te same osoby je piszą). Drogie, ale jeśli masz budżet — najbliższe egzaminowi. Często w bundlu z voucherem (taniej).
Darmowe practice tests SY0-701 (i inne Security+). Pytania są starsze i prostsze niż realny egzamin, ale dobre na rozgrzewkę i sprawdzenie podstaw. Plus: brak rejestracji, działa od ręki.
Najlepsze źródło aktualnych exam reports (relacje z dnia egzaminu, jakie typy pytań padały). Wątki „PASSED!" zawierają konkretne tipy. Plus: społeczność pomaga z konkretnymi problemami. Ostatnie 2 tygodnie przed egzaminem — czytaj r/CompTIA codziennie.
Niezbędne do utrwalania ≈300 akronimów, portów i frameworków. Pobierz gotową talię „Security+ SY0-701 Acronyms" (społeczność udostępnia). Codziennie 10–15 minut. Bez Anki większość Polaków zapomina akronimy 2 dni po nauczeniu.
TryHackMe (≈10 USD/mies. premium, ścieżka „Pre Security" + „SOC Level 1") i HackTheBox (Academy ≈8 USD/mies.) — praktyczne laby. Security+ jest teoretyczny, ale labs pomagają zrozumieć MECHANIKĘ (jak wygląda atak, jak SIEM łapie alert). Plus: portfolio przy szukaniu pracy.
Optymalna kombinacja (budget vs comfort)
- Budżet 0 USD: Prof. Messer (video) + ExamCompass (testy) + Anki + r/CompTIA. Za darmo da się zdać, ale wymaga dyscypliny.
- Budżet 50 USD: Prof. Messer + Jason Dion Udemy course + Anki. Najlepszy stosunek ceny do jakości. Polecane domyślnie.
- Budżet 200 USD: + Mike Chapple książka + CertMaster Practice. Dla osób, które chcą maksymalnej pewności.
Strategia na Performance-Based Questions (PBQ)
Performance-Based Questions to 5–10 pytań interaktywnych (z około 90 pytań ogółem), które pojawiają się NA POCZĄTKU egzaminu i są punktowane wyżej niż pytania wielokrotnego wyboru. Dlatego są kluczowe — i dlatego są pułapką dla 60% kandydatów.
Typy PBQ
- Drag-and-drop — przeciągasz elementy na właściwe miejsca (np. typy kontroli do kategorii, protokoły do warstw OSI).
- Konfiguracja firewalla / ACL — uzupełniasz reguły (allow/deny + porty + adresy).
- Analiza loga / outputu — patrzysz na log SIEM lub output Wiresharka i odpowiadasz, co się dzieje (DDoS? Brute-force? Privilege escalation?).
- Symulacja IAM — przypisujesz uprawnienia użytkownikom według polityki least privilege.
- Topologia sieci — układasz urządzenia (firewall, IDS, DMZ host, proxy) na schemacie sieci.
Strategia czasowa
- NA POCZĄTKU: przeskocz wszystkie PBQ. Kliknij „Mark for Review" i przejdź do pytań multi-choice.
- Po pytaniach multi-choice (zwykle 60 pytań × ≈45 sekund = 45 minut), wracasz do PBQ z 30–40 minutami zapasu.
- Każde PBQ: max 5 minut. Jeśli nie umiesz — zaznacz odpowiedź „best guess" i idź dalej. PBQ punktuje per-element (drag-and-drop daje cząstkowe punkty), więc nawet częściowo dobra odpowiedź = punkty.
- NIE PANIKUJ na pierwszym PBQ. Wielu kandydatów spędza 20 minut na PBQ #1 i potem nie ma czasu na resztę. To główna przyczyna oblania.
Trening PBQ: Jason Dion ma osobny pakiet „PBQ Practice" (Udemy, ≈15 USD). 30 PBQ z odpowiedziami. Bez tego treningu większość Polaków po raz pierwszy widzi PBQ na egzaminie — i traci na nich nieproporcjonalnie dużo czasu.
Dzień egzaminu — checklist
Dzień przed egzaminem
- NIE rób testów wieczorem. Powtórzenie 100 fiszek Anki — TAK. Maraton testów — NIE.
- Spakuj wszystko: dowód osobisty (PESEL nie wystarczy — paszport, prawo jazdy lub ID z fotografią), kopię potwierdzenia rezerwacji.
- Sprawdź dojazd. Egzamin często zaczyna się o 9:00 — bądź 30 minut wcześniej.
- OnVUE: przetestuj system (CompTIA wysyła test setupu na 24h przed). Sprawdź internet, kamerę, mikrofon. Wyłącz wszystkie powiadomienia.
- Wczesna kolacja, 8 godzin snu. NIE pij kawy o 22:00 z desperacji.
Dzień egzaminu — przed
- Lekkie śniadanie (białko + węglowodany złożone). Bez ciężkich potraw.
- Kawa OK, ale 1 filiżanka — nie 3 (tachykardia + tremor rąk = problem przy PBQ).
- 30 minut przed egzaminem — przejrzyj 1 stronę kluczowych akronimów. NIE ucz się nowego materiału.
- W centrum egzaminacyjnym: NIC nie wnosisz do sali (telefon, zegarek, papier, woda — wszystko do szafki).
W trakcie egzaminu
- Pierwsze 5 minut: kalibracja. Przeczytaj 2–3 pytania spokojnie. Jeśli pierwsze pytanie jest trudne, NIE PANIKUJ — system adaptacyjny dał ci trudne pytanie, bo zakłada, że jesteś dobry.
- Strategia czasowa: 90 pytań × 1 minuta = 90 minut, ale PBQ zajmują 5–10 minut każde. Realnie: multi-choice ≈45 sekund każde, PBQ ≈4 minuty każde.
- Mark for Review: używaj agresywnie. Jeśli nie wiesz w 30 sekundach — zaznacz „best guess", flag i wracaj.
- NIE zostawiaj pustych odpowiedzi — Security+ nie karze za błędne, więc zawsze zaznacz coś.
- Ostatnie 10 minut: wracasz do flag'owanych pytań. Drugie spojrzenie często pomaga.
Po egzaminie
Wynik widzisz natychmiast po kliknięciu „Submit". Jeśli zdałeś: gratulacje, certyfikat dostępny w panelu CompTIA w 1–2 dni. Jeśli oblałeś: pokażą ci, w których domenach miałeś problemy (procentowo). Powtórka możliwa za 14 dni (nowy voucher = 404 USD lub Retake voucher = 650 USD przy zakupie z góry).
10 błędów polskich kandydatów
Błąd 1 — Uczenie się ze starej wersji (SY0-601)
❌ Kupujesz tani używany podręcznik z 2021 roku z SY0-601.
✅ Tylko materiały do SY0-701 (od listopada 2023). 30% materiału się zmieniło — nowe domeny architektury, nowe typy ataków (supply chain, AI/ML threats), zmieniona struktura.
Sprawdź ZAWSZE numer egzaminu na okładce / w opisie kursu. SY0-501, SY0-601 = nieaktualne. Tylko SY0-701.
Błąd 2 — Pomijanie Performance-Based Questions w przygotowaniu
❌ Robisz tylko multi-choice testy. Pierwszy PBQ widzisz na egzaminie.
✅ Minimum 30 PBQ przed egzaminem (Jason Dion ma osobny pakiet PBQ).
PBQ to 20% wyniku w 8% pytań. Pomijając trening PBQ, oddajesz 16% punktów na starcie. To często różnica między 720 (oblane) a 800 (zdane).
Błąd 3 — Ignorowanie poziomu angielskiego
❌ „Jakoś sobie poradzę z angielskim, znam go ze szkoły."
✅ Test gotowości ze stroną CompTIA. Jeśli nie rozumiesz 5+ słów na 10 pytań — najpierw angielski, potem Security+.
Polacy oblewają nie z braku wiedzy cyber, ale z niezrozumienia pytania. Pytanie „Which control is BEST" wymaga rozróżnienia BEST vs MOST EFFECTIVE vs PRIMARY — niuanse angielskie.
Błąd 4 — Kucie definicji bez zrozumienia
❌ „SIEM = system event management" (definicja z głowy).
✅ Rozumiesz, że SIEM to platforma agregacji + korelacji + analizy zdarzeń, dlaczego korzysta się z niego razem z SOAR, jak różni się od EDR.
Egzamin nie pyta „co to jest SIEM?" — pyta „w którym scenariuszu użyłbyś SIEM zamiast EDR?". Kucie definicji nie pomaga w pytaniach scenariuszowych.
Błąd 5 — Pomijanie podstaw sieci (brak Network+ lub odpowiednika)
❌ Bez tła sieci od razu na Security+.
✅ Najpierw Network+ albo darmowy kurs Prof. Messer Network+ (też za darmo na YouTube). 1 miesiąc samouka.
30% pytań Security+ ma kontekst sieciowy (porty, protokoły, modele OSI/TCP-IP, VLAN, NAT). Bez tego oblewasz Domeny 3 i 4.
Błąd 6 — Niewłaściwa kolejność domen
❌ „Zacznę od najtrudniejszej, Operations (28%)."
✅ Kolejność: Concepts → Threats → Architecture → Operations → Program Management. Każda domena buduje na poprzedniej.
Operations zakłada znajomość Threats (jak inaczej zrozumiesz IR?) i Architecture (jak inaczej zrozumiesz hardening?). Idziesz po porządku.
Błąd 7 — Pomijanie practice tests do końca
❌ „Najpierw przeczytam wszystko, potem testy."
✅ Test po każdej domenie. Test po każdym tygodniu. Codziennie 10 pytań.
Practice tests nie są weryfikacją — są NARZĘDZIEM nauki. Robiąc test, identyfikujesz luki PRZED ich zatwierdzeniem (zanim utrwalisz błędne rozumienie).
Błąd 8 — Cramowanie w 2 tygodnie
❌ „Mam 14 dni do egzaminu, dam radę."
✅ Minimum 8 tygodni dla osoby z tłem IT. 16 tygodni dla początkującego.
Security+ testuje SZEROKOŚĆ (5 domen × 80 tematów). Cramowanie = retencja 30%. Próg zaliczenia 83% — matematycznie niemożliwe w 2 tygodnie.
Błąd 9 — Brak hands-on labs
❌ „Security+ jest teoretyczny, hands-on niepotrzebny."
✅ TryHackMe „Pre Security" + „SOC Level 1" lub HackTheBox Academy moduły defensywne (≈40 godzin).
PBQ wymagają zrozumienia, JAK rzeczy działają (jak wygląda log SIEM, jak konfiguruje się ACL). Bez hands-on PBQ są domysłem.
Błąd 10 — Bookowanie egzaminu zbyt wcześnie
❌ Bookujesz egzamin na termin za 2 tygodnie, „bo ma cię to zmotywować".
✅ Bookujesz dopiero, gdy 3 ostatnie practice tests (Jason Dion / CertMaster) miały wynik 80%+ stabilnie.
Motywacja przez deadline nie działa, gdy materiału jest 200 godzin. Realny stan wiedzy widzisz w testach. 80% w testach = ~75% na egzaminie (egzamin jest trudniejszy). Poniżej 75% w testach NIE bookuj.
Co po Security+ — ścieżki rozwoju
Security+ to karta wstępu, nie szczyt kariery. Po jego zdobyciu masz trzy główne ścieżki specjalizacji:
Ścieżka 1 — Defense / SOC (analiza zagrożeń, IR)
- CompTIA CySA+ — Cybersecurity Analyst, fokus na threat hunting, SIEM, IR.
- Blue Team Level 1 (BTL1) — bardzo praktyczny, hands-on cert.
- SANS GIAC GCIH (Incident Handler) lub GCFA (Forensic Analyst) — top-tier, drogie (5–8 tys. USD).
- CompTIA CASP+ — advanced, zarządczy.
Ścieżka 2 — Offense / Pentest (ofensywne bezpieczeństwo)
- CompTIA PenTest+ — pentesting wprowadzenie.
- eJPT (eLearnSecurity Junior Penetration Tester) — praktyczny, dostępny cenowo.
- OSCP (Offensive Security Certified Professional) — gold standard pentestingu, hands-on, 24-godzinny egzamin.
- OSEP / OSWE — zaawansowane Offensive Security.
Ścieżka 3 — Management / GRC (zarządzanie i compliance)
- ISC2 CISSP — top certyfikat zarządczy. Wymaga 5 lat doświadczenia (lub 4 lata + Security+ jako substytucja jednego roku).
- ISACA CISM — Information Security Manager.
- ISACA CRISC — Risk and Information Systems Control.
- ISO 27001 Lead Auditor / Implementer — auditing zgodności.
Zobacz nasz artykuł o wejściu do cybersecurity bez doświadczenia dla pełnego porównania ścieżek.
Linki do pogłębienia
- Jak wejść do cybersecurity bez doświadczenia — 4 ścieżki + roadmap 12 miesięcy
- Słownictwo cybersecurity — 100 terminów po angielsku
- Case study CYBERSPEAK — 43 kobiety wchodzą do cyber
- Rozmowa kwalifikacyjna IT po angielsku — 50 pytań + STAR
- Poziomy CEFR — sprawdź, czy masz B2
FAQ — najczęstsze pytania
Czy egzamin Security+ jest dostępny po polsku?
NIE. Tylko po angielsku. Wszystkie materiały szkoleniowe również. B2+ jest praktycznym minimum.
Ile kosztuje egzamin Security+?
404 USD (oficjalna cena 2026 ≈ 1650 PLN). Vouchery z bundlami: 250–650 USD. Łączny koszt przygotowania: 600–800 USD = 2400–3300 PLN.
Ile czasu trzeba poświęcić na przygotowanie?
100–200 godzin. 2–3 miesiące dla osoby z tłem IT. 4–6 miesięcy dla przebranżawiających się. Cramowanie w 2 tygodnie = oblanie.
Co lepsze: Prof. Messer czy Jason Dion?
Oboje, uzupełniają się. Prof. Messer — darmowy, wprowadzenie. Jason Dion — płatny (15-25 USD na promocji), najlepsze practice tests.
Czy potrzebuję Network+ przed Security+?
NIE oficjalnie, ale REKOMENDOWANE. Bez podstaw sieci 30% pytań niezrozumiałe. Alternatywa: darmowy kurs Prof. Messer Network+.
Co to są Performance-Based Questions?
5–10 interaktywnych pytań (drag-and-drop, konfiguracja firewalla, analiza loga). Punktowane wyżej. Pojawiają się na początku egzaminu — POMIJAJ je i rób na końcu.
Czy Security+ otwiera realne drzwi w PL?
TAK — wymóg w 90% ofert SOC Tier 1, Security Engineer i GRC Analyst w PL. Wynagrodzenie 7-15k brutto miesięcznie.
Co po Security+?
3 ścieżki: (1) Defense — CySA+, BTL1, GCIH. (2) Offense — PenTest+, eJPT, OSCP. (3) Management — CISSP, CISM, CRISC.