Är SC-900 värt din tid?

SC-900 är en Microsoft-specifik grund i säkerhet, efterlevnad och identitet; jämfört med detta ger Security+ en bredare leverantörsneutral säkerhetsbas och AZ-900 en introduktion till Azure som molnplattform.

Det gör SC-900 värd tiden för vissa roller, men mindre relevant för andra. Den passar bäst när arbetet redan rör Microsoft 365, Microsoft Entra ID, Microsoft Purview, Microsoft Defender eller styrning av åtkomst och data i en Microsoft-miljö. Den är däremot inte rätt förstaval för den som vill bevisa praktisk SOC-förmåga, nätverkssäkerhet på bredden eller generell molnförståelse utan tydlig Microsoft-koppling.

Publicerad och uppdaterad: 2026. Råden bygger på Microsofts aktuella SC-900-examensstruktur och färdighetsområden enligt Microsoft Learn, kompletterat med praktisk rollmappning för svenska Microsoft 365- och säkerhetsmiljöer. Lokala provpriser och villkor kan ändras och bör alltid kontrolleras vid bokning.

Vad SC-900 faktiskt mäter

SC-900 är examenskoden för Microsoft Security, Compliance, and Identity Fundamentals. Certifieringen är på Fundamentals-nivå och kräver inga officiella förkunskaper, även om den blir betydligt lättare att förstå om kandidaten redan har sett Microsoft 365, Azure eller identitetshantering i praktiken.

En viktig språklig detalj är att Azure Active Directory numera heter Microsoft Entra ID. Äldre studiematerial, forumtrådar och övningsfrågor använder ibland det gamla namnet. Den som pluggar bör därför aktivt mappa äldre Azure AD-termer till dagens Entra-språk, annars blir det lätt onödigt förvirrande när Microsoft Learn, portaler och provmål använder nyare produktnamn.

Provet är främst konceptuellt. Det handlar om att beskriva säkerhets-, efterlevnads- och identitetsprinciper samt känna igen hur Microsofts lösningar stödjer dem. Microsofts Fundamentals-prov kan innehålla olika frågetyper, till exempel flervalsfrågor, matchning, scenariobaserade frågor och frågor där rätt begrepp ska kopplas till rätt produktområde. Det ska inte förväxlas med ett djupt labbprov där kandidaten förväntas felsöka eller konfigurera avancerade miljöer under tidspress.

När SC-900 är ett bra val

SC-900 är mest värdefull när en person behöver förstå säkerhet och efterlevnad i en Microsoft-miljö utan att omedelbart bli specialist. Det gäller ofta M365-administratörer, servicedeskpersonal, juniora IT-tekniker, tekniska projektledare, compliance-samordnare och dataskyddsroller som behöver kunna diskutera identitet, informationsskydd och hotdetektion med rätt begrepp.

Ett praktiskt beslutsramverk är enkelt: välj SC-900 om det dagliga arbetet kretsar kring Microsoft 365, Entra ID, Purview, Defender eller säkerhetsstyrning i Microsofts ekosystem. Välj Security+ om målet är en bredare, leverantörsneutral säkerhetsgrund som omfattar nätverk, hot, risker och säkerhetsoperationer på ett mer generellt sätt. Välj AZ-900 om huvudfrågan inte är säkerhet utan hur Azure fungerar som molnplattform, med begrepp som beräkning, lagring, nätverk, kostnadsmodell och grundläggande molnarkitektur.

I svensk rekrytering fungerar SC-900 ofta bäst som ett basbevis för Microsoftnära roller snarare än som ett fristående argument för en renodlad säkerhetsroll. En servicedeskmedarbetare som hanterar MFA-frågor, en projektledare som driver Microsoft 365-införanden eller en compliance-koordinator som behöver förstå känslighetsetiketter kan få tydlig nytta. För SOC-roller, incident response eller teknisk säkerhetsanalys förväntas däremot ofta mer avancerad kompetens och mer praktisk erfarenhet.

Hur kunskapen används i arbetet

Den praktiska nyttan med SC-900 ligger i att den kopplar säkerhetsbegrepp till de Microsoftprodukter många svenska organisationer redan använder. Identitetsdelen hjälper till att förstå varför Microsoft Entra ID, multifaktorautentisering, rollbaserad åtkomst och villkorsstyrd åtkomst är centrala delar av en modern åtkomstmodell. Det gör det lättare att delta i diskussioner om vilka användare som ska komma åt vilka resurser, från vilka enheter och under vilka riskvillkor.

Efterlevnadsdelen är särskilt relevant i organisationer som arbetar med dataskydd, informationsklassning och interna styrkrav. Microsoft Purview förekommer i provmålen eftersom tjänsten samlar områden som data governance, känslighetsetiketter, dataförlustskydd och informationshantering. I praktiken kan detta hjälpa en organisation att strukturera arbetet kring exempelvis etikettering av dokument, retention, åtkomst till känsliga data och underlag till dataskyddsbedömningar.

Säkerhetsdelen ger en överblick över hur Microsoft Defender-portföljen och relaterade lösningar passar in i incidentflöden. SC-900 gör inte kandidaten till säkerhetsanalytiker, men den ger språk för att förstå vad som menas med hot, signaler, skydd av enheter, e-postsäkerhet, molnsäkerhet och övervakning. Den grunden är användbar när IT-drift, servicedesk, säkerhet och ledning behöver samarbeta kring samma händelse.

Tid, kostnad och dolda beslutspunkter

Förberedelsetiden beror främst på hur mycket Microsoft 365- och säkerhetsspråk kandidaten redan behärskar. En person som arbetar med M365, identitet eller administration till vardags kan ofta planera ungefär 20–30 timmars fokuserad förberedelse. En nyare kandidat utan tydlig Microsoftbakgrund bör snarare räkna med 35–60 timmar, särskilt om compliance-, dataskydds- och identitetsbegrepp är nya.

En rimlig studieplan är att börja med Microsoft Learn och provets officiella färdighetsområden, därefter gå igenom Entra ID, Purview och Defender som separata teman och avsluta med övningsfrågor. Ett bra tecken på att kandidaten är redo att boka är att felaktiga svar kan förklaras med egna ord. Om resultatet på övningsfrågor bygger på igenkänning snarare än förståelse är risken större att liknande formuleringar på provet blir svåra.

Provpriset visas vid checkout när provet bokas via Microsofts certifieringsflöde och kan variera beroende på plats, valuta, skatt och eventuella lokala villkor. Den faktiska kostnaden är därför inte bara själva provavgiften. Studiematerial, övningsprov, eventuell kurs, ledig tid och risken för omprov bör räknas in. Microsofts omprovsvillkor och väntetider bör kontrolleras direkt hos Microsoft innan bokning, eftersom policyer kan ändras.

Den som vill ha strukturerad förberedelse kan använda en lärarledd SC-900-kurs hos Readynez som ett sätt att samla begrepp, provmål och frågor under kort tid. För den som planerar flera Microsoftcertifieringar kan det också vara värt att jämföra enskilda kursköp med Unlimited Microsoft Training, men beslutet bör utgå från faktisk studieplan snarare än från en önskan att samla certifieringar.

Vanliga misstag vid förberedelse

Det vanligaste misstaget är att behandla SC-900 som ett tekniskt labbprov. Praktisk exponering mot Microsoftportaler hjälper förståelsen, men provet belönar främst begreppsförståelse och förmågan att välja rätt lösningsområde för rätt behov. För mycket tid på klickvägar kan därför ge sämre utdelning än att förstå varför en kontroll finns och vilket problem den löser.

Ett annat misstag är att underskatta compliance- och privacy-delarna. Många tekniska kandidater lägger mest tid på Defender och identitet, men provet kräver även förståelse för informationsskydd, data governance, DLP och Microsoft Purview. I svenska organisationer är just den kombinationen praktiskt viktig eftersom säkerhetsarbete ofta måste kopplas till dataskydd, intern styrning och regulatoriska krav.

Det tredje misstaget är att plugga från äldre material utan att kontrollera produktnamn och provmål. Azure AD, Microsoft 365 compliance center och flera säkerhetsportaler har bytt namn, flyttats eller samlats under nya varumärken. Kandidaten bör därför använda Microsoft Learn och den aktuella sidan för skills measured som primär källa, även när kompletterande övningsfrågor används.

SC-900 jämfört med Security+ och AZ-900

SC-900, Security+ och AZ-900 kan alla vara rimliga första steg, men de svarar på olika frågor. SC-900 svarar på hur Microsoft beskriver säkerhet, efterlevnad och identitet. Security+ svarar på hur grundläggande cybersäkerhet fungerar oberoende av leverantör. AZ-900 svarar på hur Azure och molntjänster fungerar på en övergripande nivå.

För en M365-administratör eller servicedeskmedarbetare är SC-900 ofta mer direkt användbar än AZ-900 eftersom identitet, åtkomst och informationsskydd dyker upp i vardagen. För en person som vill in i bred cybersäkerhet men ännu inte vet vilken plattform som blir viktigast kan Security+ vara ett mer neutralt val. För en teknisk projektledare som ska delta i Azure-införanden kan AZ-900 däremot ge bättre första kontext.

Vad kommer efter SC-900?

SC-900 bör ses som en startpunkt, inte som slutmålet för den som vill arbeta djupt med säkerhet. Nästa steg beror på arbetsinriktning. Den som vill mot SOC, larmtriage och incidentflöden bör titta på Microsoft Security Operations Analyst, SC-200. Den som arbetar med åtkomst, roller, identitetsstyrning och Entra ID kan gå vidare mot identitetsspåret. Den som arbetar med informationsskydd, etikettering, DLP och regelefterlevnad kan i stället välja ett compliance-spår.

Det finns också ett praktiskt skäl att inte hoppa för snabbt. SC-900 ger begreppen som gör att nästa certifiering blir lättare att placera i ett sammanhang. Om kandidaten redan vet vilken roll som är målet kan nästa certifiering väljas utifrån jobbet: säkerhetsoperationer, identitet eller informationsskydd. Den bredare katalogen med Microsoft-utbildningar kan användas för att jämföra dessa vägar utan att behandla alla certifieringar som lika relevanta.

Så avgörs om investeringen är värd det

SC-900 är värd tiden när den löser ett konkret problem: att förstå Microsofts säkerhets-, efterlevnads- och identitetsspråk tillräckligt väl för att göra bättre vardagsbeslut. Det kan handla om att förklara varför MFA införs, förstå hur villkorsstyrd åtkomst påverkar användare, delta i diskussioner om känslig information eller veta vilken Microsoftlösning som hör hemma i ett incident- eller complianceflöde.

Den är mindre värd om målet är att snabbt bevisa djup teknisk förmåga. Den som vill arbeta som SOC-analytiker, penetrationstestare eller säkerhetsingenjör behöver sannolikt gå vidare till mer avancerad utbildning och praktisk erfarenhet. SC-900 kan fortfarande vara en bra bas, men den bör inte översäljas som en genväg till seniora säkerhetsroller.

En praktisk nästa åtgärd är att jämföra provmålen med de arbetsuppgifter som redan finns i rollen eller den roll kandidaten vill söka. Om flera punkter berör identitet, informationsskydd, Microsoft 365-säkerhet eller compliance är SC-900 ett rimligt val. Om osäkerheten främst gäller vilken Microsoftväg som passar bäst kan en kort dialog via kontaktformuläret hjälpa till att sortera alternativen utan att låsa beslutet för tidigt.

FAQ

Kräver SC-900 tidigare erfarenhet?

Nej, Microsoft anger inga officiella förkunskapskrav för SC-900. Praktisk vana vid Microsoft 365, Entra ID eller grundläggande säkerhetsbegrepp gör ändå studierna lättare och minskar risken att begreppen upplevs abstrakta.

Hur lång tid tar det att plugga till SC-900?

En erfaren M365-användare kan ofta planera cirka 20–30 timmar. En kandidat som är ny inom Microsofts säkerhets- och compliancebegrepp bör snarare räkna med 35–60 timmar och lägga extra tid på Entra ID, Purview och Defender.

Är SC-900 bättre än Security+?

Det beror på målet. SC-900 är bättre när behovet är Microsoftspecifik förståelse av säkerhet, efterlevnad och identitet, medan Security+ passar bättre när kandidaten vill ha en bredare leverantörsneutral säkerhetsgrund.

Behöver SC-900 förnyas?

Microsofts rollbaserade och Fundamentals-certifieringar hanteras enligt Microsofts aktuella certifieringspolicyer. Kandidaten bör kontrollera certifieringssidan i Microsoft Learn inför bokning och efter godkänt prov, eftersom förnyelse- och giltighetsregler kan ändras.

Räcker SC-900 för ett säkerhetsjobb?

SC-900 kan stärka profilen för juniora och Microsoftnära roller, men den räcker sällan ensam för tekniska säkerhetsroller som kräver incidenthantering, analys eller implementation. Den fungerar bäst som grund innan mer avancerad certifiering och praktisk erfarenhet.