Si llevas tiempo rondando AZ-500, el reloj ya va en serio.
El examen se retira el 31 de agosto de 2026 a las 23:59 hora Central Standard Time. Después de esa fecha ya no puedes obtener ni renovar la certificación Azure Security Engineer Associate. El sucesor ya está disponible, pero trae una condición que conviene conocer antes de reservar nada.
Así decides entre los dos.
Qué se retira de verdad
Esto es un cierre completo, no un cambio de versión.
AZ-500 es el examen. «Microsoft Certified: Azure Security Engineer Associate» es la certificación que obtienes al aprobarlo. Ambos se retiran el 31 de agosto de 2026, y las evaluaciones de renovación también. Las certificaciones associate de Microsoft caducan 12 meses después de aprobar y normalmente se renuevan con una evaluación en línea gratuita. Cuando esa evaluación desaparece con el examen, esa vía también se cierra.
Así que aprobar en agosto de 2026 te da una certificación válida por 12 meses desde tu fecha de examen, sin forma de renovarla después. Si necesitas el título Azure Security Engineer sobre el papel para el próximo año, funciona. Si quieres una certificación que puedas mantener al día, no.
Qué es SC-500 (y la trampa de la beta)
El sucesor es el examen SC-500, «Implementing End-to-End Security Controls for Cloud and AI Workloads». Aprobarlo da «Microsoft Certified: Cloud and AI Security Engineer Associate».
No es un AZ-500 con otro nombre. El rol es más amplio: Azure más Microsoft 365, y además un dominio entero sobre asegurar cargas de trabajo de IA. La nota de aprobado es 700, igual que en AZ-500, y tienes 120 minutos en lugar de los 100 de AZ-500.
La trampa: a mediados de julio de 2026, SC-500 sigue siendo un examen en beta. Eso significa tres cosas. No recibes tu nota justo al terminar, porque Microsoft todavía está calibrando las preguntas. El examen está solo en inglés por ahora. Y aún no hay una evaluación de práctica oficial, porque suelen aparecer unas ocho semanas después de que el examen sale de beta. Si necesitas una nota rápido, la beta pesa de verdad.
Qué se traspasa de AZ-500
La mayor parte de tu tiempo de estudio de AZ-500 se aprovecha. Los temas no desaparecieron, se reorganizaron en dominios nuevos.
Dominios de AZ-500 (a 22 de enero de 2026):
| Dominio | Peso |
|---|---|
| Secure identity and access | 15–20 % |
| Secure networking | 20–25 % |
| Secure compute, storage, and databases | 20–25 % |
| Secure Azure using Microsoft Defender for Cloud and Microsoft Sentinel | 30–35 % |
Dominios de SC-500:
| Dominio | Peso |
|---|---|
| Manage identity, access, and governance | 20–25 % |
| Secure storage, databases, and networking | 25–30 % |
| Secure compute | 20–25 % |
| Manage and monitor security posture | 20–25 % |
En el núcleo de Azure, la correspondencia es casi uno a uno:
- La identidad y el acceso (PIM, Conditional Access, MFA, identidades administradas, app registrations, consentimiento OAuth, roles RBAC, Key Vault) pasan a «Manage identity, access, and governance».
- La red y los datos (NSG y ASG, Virtual Network Manager, Virtual WAN, VPN, Private Endpoints, Private Link, Azure Firewall, Network Watcher, seguridad de cuentas de almacenamiento, auditoría de Azure SQL, Defender for Storage y Databases) se convierten en «Secure storage, databases, and networking», ahora el dominio más pesado de SC-500.
- La seguridad del compute (cifrado de disco, Azure Bastion, acceso JIT a VM, seguridad de AKS y contenedores, App Service, Web Application Firewall) queda en «Secure compute».
- La postura con Defender for Cloud y Sentinel (CSPM, planes de protección de cargas de trabajo, conectores multicloud de AWS y GCP, EASM, conectores de datos y automatización de Sentinel) pasa a ser «Manage and monitor security posture».
El mayor cambio de estructura: en AZ-500, Defender for Cloud y Sentinel son un bloque dominante del 30–35 %. En SC-500 esa parte se recorta al 20–25 % para dejar sitio al material nuevo.
Qué es nuevo en SC-500
Tres áreas son realmente nuevas, y ninguna estaba en AZ-500.
Asegurar cargas de trabajo de IA. Es la incorporación estrella, integrada en el dominio «Secure compute». Cubre detectar la sobreexposición de datos en SharePoint, identificar riesgos de Copilot y apps de IA con Microsoft Purview Data Security Posture Management, proteger agentes de Copilot Studio, aplicar Conditional Access a Microsoft Entra Agent ID, analizar el radio de impacto de un agente en Defender XDR, desplegar una AI Gateway en API Management para Microsoft Foundry, activar Defender for AI y poner límites de seguridad en Foundry. Si tu trabajo aún no toca IA, aquí es donde pondrás más tiempo de estudio nuevo.
Microsoft Security Copilot. SC-500 espera que configures los espacios de trabajo de Security Copilot, gestiones sus roles y permisos y actives complementos y agentes. AZ-500 no tenía nada de esto.
Una huella de Microsoft 365. AZ-500 vivía casi por completo en Azure. SC-500 mete Purview, la exposición de datos de SharePoint y la gestión de agentes desde el centro de administración de Microsoft 365. Los requisitos que se indican ahora incluyen familiaridad con la administración de Microsoft 365, además de la experiencia en Azure y Entra ID que AZ-500 ya daba por supuesta. Azure Arc para servidores híbridos y multicloud, y Microsoft Entra Private Access también aparecen como temas nuevos.
Haz AZ-500 antes del 31 de agosto si…
Ya estás metido de lleno en el estudio. Si llevas semanas estudiando y sacas notas dentro del rango en las preguntas de práctica, resérvalo ahora. Empezar de nuevo con un examen más amplio y un dominio de IA que nunca has tocado no es buen cambio con la fecha límite tan cerca.
Necesitas el título Azure Security Engineer en concreto. Algunos requisitos de partner y marcos internos nombran esa certificación exacta. Obtenerla ahora te da un año de validez, aunque no se renueve.
Quieres una nota calificada rápido. AZ-500 se califica de inmediato. SC-500, en beta, no.
Apunta directo a SC-500 si…
Aún no has empezado. No corras hacia una certificación que no puede renovarse. SC-500 es hacia donde Microsoft lleva este rol.
Ya trabajas con seguridad de IA, Purview o Microsoft 365. Los dominios nuevos coinciden con lo que probablemente ya haces. Esa experiencia real es tu material de estudio, y es justo la parte que hace tropezar a los candidatos de solo Azure en SC-500.
Puedes esperar a que pase la beta. Si no necesitas una nota este mes, la ventana de beta está bien. Haces el examen ahora y la nota llega cuando Microsoft termina de calibrar.
Referencia rápida
| Detalle | AZ-500 | SC-500 |
|---|---|---|
| Certificación | Azure Security Engineer Associate | Cloud and AI Security Engineer Associate |
| Estado | Se retira el 31 de agosto de 2026 | Disponible, actualmente en beta |
| Duración | 100 minutos | 120 minutos |
| Nota de aprobado | 700 | 700 |
| Idiomas | 10 idiomas | Solo inglés (beta) |
| Contenido de seguridad de IA | No | Sí |
| Alcance de Microsoft 365 | Mínimo | Sí |
| Renovable tras el retiro | No | Sí |
La lectura honesta: si estás listo, haz AZ-500 este mes y guarda la certificación. Si empiezas desde cero, o tu trabajo ya abarca seguridad de IA y de Microsoft 365, sáltatelo y prepara SC-500. Solo cuenta con el retraso de la nota por la beta.
Pass-IT tiene preguntas de práctica para AZ-500 y SC-500, generadas a partir de la documentación oficial de Microsoft y con seguimiento por dominio, para que veas exactamente qué secciones necesitan trabajo antes de la fecha límite. Gratis para empezar, sin tarjeta en tu primera sesión.
