※本記事にはプロモーション（広告）が含まれています。
こんにちは！こきです。
セキュリティの仕事をしていると、上級の資格として「CISSP（シーアイエスエスピー）」の名前をよく聞きます。「どのくらい難しいの？」「実務経験がないと受けられないって本当？」と気になっている方も多いと思います。
この記事では、CISSPの難易度を、試験を運営するISC2（アイエスシースクエア）の公式情報をもとにわかりやすく解説します。受験資格のしくみ、試験の形式、勉強の進め方、2027年に変わる出題範囲の注意点もまとめました。
僕は2020年12月にCISSPを取得しました。勉強したときに感じたことも、あわせて紹介します。
※この記事の試験情報は2026年11月4日時点のものです。申し込みの前に、記事の最後にある公式ページで最新の情報を確認してください。
結論：CISSPの難易度は「知識量」より「実務経験と考え方」で決まる
- CISSPは、セキュリティの8つの分野（ドメイン）を幅広く問う、国際的な上級資格
- 正式に認定されるには、2つ以上の分野で合計5年以上の実務経験が必要（受験自体は経験が足りなくてもできる）
- 試験は3時間・100〜150問、合格ラインは1000点中700点。日本語で受験できる
- 技術の細かい知識だけでなく、「組織としてどう判断するのが最適か」という考え方が問われる
- 2027年4月15日から新しい出題範囲に変わる予定。教材のバージョンに注意
僕の感覚では、CISSPは「暗記すれば受かる試験」ではありません。いちばん大事なのは、CISSPの考え方になじむことです。これは、企業の中で最適な判断をするときにも大事な感覚だと感じています。
CISSPとは？
CISSPは「Certified Information Systems Security Professional」の略です。アメリカに本部がある非営利団体ISC2が運営している、情報セキュリティの専門家向けの資格です。
特定のメーカーの製品に依存しない（ベンダー中立の）資格で、技術だけでなく、リスク管理や組織のルールづくりまで、セキュリティ全体を見渡す力が問われます。ISC2の公式サイトでは、認定機関ANABの認定を受けていることや、米国国防総省の基準で認められていることも紹介されています。
僕が受けようと思ったきっかけは、上司がCISSPを持っていたことと、グローバルで確立されたセキュリティ資格だと感じたからです。今後の転職のためにも、取っておいたほうがメリットがあると考えました。
ほかのセキュリティ資格との違い
| 資格 | 運営 | 特徴 |
|---|---|---|
| CISSP | ISC2（国際） | 8分野を幅広く問う上級資格。認定には実務経験5年が必要 |
| CompTIA Security+ | CompTIA（国際） | セキュリティの基礎と実務の考え方を問う中級資格 |
| 情報処理安全確保支援士 | IPA（国家試験） | 日本の国家資格。午後は記述式の問題が出る |
Security+と支援士については、それぞれ別の記事でくわしく解説しています。
CISSPの受験資格：実務経験5年が必要
CISSPの難易度が高いといわれる理由のひとつが、実務経験の条件です。ISC2の公式ページでは、次のように決められています。
- CISSPの8つの分野のうち2つ以上で、合計5年以上のフルタイムの実務経験が必要
- 1か月の経験として数えるには、週35時間以上を4週間働いていること
- パートタイム（週20〜34時間）の経験も、時間に応じて数えられる（例：2,080時間で12か月分）
- 有給・無給のインターンも経験として認められる
経験を1年分減らせる「免除」
次のどちらかに当てはまると、必要な経験を最大1年分減らせます。
- コンピューターサイエンス、IT、関連分野の学士号または修士号
- ISC2が認める資格（CCNA、CompTIA Security+、CISMなど）を持っている
ただし、免除は1つだけです。学位と資格を組み合わせて2年分減らすことはできません。また、ISC2は2026年4月1日に対象資格の一覧を見直し、基準を満たさない資格を一覧から外しています。自分の資格が対象かどうかは、公式の一覧で確認してください。
経験が足りなくても受験はできる（Associate of ISC2）
実務経験が足りない人も、試験は受けられます。合格すると「Associate of ISC2」になり、そこから6年以内に必要な経験を積めば、CISSPとして認定されます。
僕の場合は、インフラ担当とコンサルの経験が合わせて5年あり、それで条件を満たしました。インフラの仕事でも、ネットワークやシステムの運用はCISSPの分野に関係します。いまインフラの仕事をしている方は、自分の経験がどの分野に当てはまるか、一度整理してみるのがおすすめです。
合格後は「推薦」と年会費が必要
試験に合格しただけでは、認定は完了しません。ISC2によると、資格を持つ人からの推薦（エンドースメント）を受けることや、年会費（AMF）を払うことが必要です。手続きや金額は変わることがあるため、ISC2の公式サイトで確認してください。
CISSPの試験形式
ISC2公式の試験概要（2024年4月15日から有効）に書かれている情報をまとめました。
| 項目 | 内容 |
|---|---|
| 試験時間 | 3時間 |
| 問題数 | 100〜150問 |
| 出題形式 | 多肢選択問題と、発展的な形式の問題 |
| 合格ライン | 1000点中700点 |
| 出題方式 | CAT（コンピューター適応型テスト） |
| 試験言語 | 英語、日本語、中国語、ドイツ語、スペイン語 |
CATは、受験者の答えに応じて次の問題が選ばれるしくみです。そのため、人によって出題数が変わります。また、受験料は時期や為替で変わることがあるため、この記事では金額を書いていません。申し込みの前に、ISC2の公式サイトで確認してください。
8つの分野（ドメイン）と出題の割合
| 分野 | 割合 |
|---|---|
| 1. セキュリティとリスクマネジメント | 16% |
| 2. 資産のセキュリティ | 10% |
| 3. セキュリティアーキテクチャとエンジニアリング | 13% |
| 4. 通信とネットワークのセキュリティ | 13% |
| 5. アイデンティティとアクセスの管理（IAM） | 13% |
| 6. セキュリティの評価とテスト | 12% |
| 7. セキュリティの運用 | 13% |
| 8. ソフトウェア開発のセキュリティ | 10% |
※分野名は、わかりやすさのためにこの記事で日本語にしたものです。正式な名称はISC2の試験概要で確認してください。
割合を見ると、特定の分野にかたよらず、8つの分野から広く出題されることがわかります。得意な分野だけで合格を目指すのは難しい試験です。
CISSPの難易度が高いといわれる3つの理由
理由1：出題範囲がとても広い
ネットワーク、暗号、アクセス管理、法律やルール、ソフトウェア開発まで、セキュリティのほぼすべてが範囲です。ふだんの仕事で触れない分野は、ゼロから学ぶ必要があります。
僕の場合、インフラの仕事をしていたので、ネットワーク系の分野は得意でした。一方で、アプリ開発に関する分野はなじみがなく、苦手でした。多くの人は、自分の経歴によって得意・不得意がはっきり分かれると思います。
理由2：「技術者」ではなく「組織の判断」が問われる
CISSPの問題では、「技術的に一番すごい答え」より、「組織にとって一番よい判断」が正解になることがあります。たとえば、すぐに設定を変えるよりも、まずリスクを評価して、経営側の判断をあおぐ、といった考え方です。
現場で手を動かしてきた人ほど、ここでつまずきやすいかもしれません。僕が「CISSPの考え方になじむこと」をいちばん大事だと思うのは、このためです。
理由3：3時間の集中力が必要
最大150問を3時間で解くので、集中力を保つのも大切です。僕は日本語で受験しましたが、当日は特に大変なことはなく、とても集中して解けました。
時間配分では、2回に分けて解くことを意識しました。1回目は、解ける問題をどんどん解いて、迷った問題には印をつけて先に進みます。2回目に、解いた問題の見直しと、印をつけた問題にじっくり時間を使って答えました。
CISSPの勉強法：僕が実際にやったこと
ここでは、僕が実際にやった勉強の進め方を紹介します。あくまで一人の例として参考にしてください。
勉強期間と時間
- 期間：4月〜12月ごろ
- 1日の勉強時間：毎日平均1〜2時間くらい
仕事をしながら勉強するときに、僕が意識しているのは、通勤時間を使うことと、休日にまとまった時間を取る予定を先に立てることです。
教材は問題集が中心
基本は問題集で、3周くらいしました。問題を解きながら、なぜその答えになるのかを確かめていくと、CISSPらしい考え方が少しずつ身についていきます。
使ったのは、NTTアドバンステクノロジから出版されているCISSPの公式問題集です。
勉強の進め方（4ステップ）
- 公式の試験概要を読む：8つの分野と、それぞれの中身を確認する
- 苦手な分野を見つける：問題集を1周して、正解率が低い分野を把握する
- 苦手な分野を重点的に学ぶ：用語を覚えるだけでなく、「なぜその判断になるのか」を理解する
- 問題集をくり返す：2周目、3周目で、考え方が安定しているか確かめる
注意したいのは、教材のバージョンです。次の章で説明するとおり、2027年に出題範囲が変わる予定です。
2027年4月15日から新しい出題範囲に
ISC2の公式サイトでは、2027年4月15日から、CISSPの試験は新しい試験概要（出題範囲）にもとづくと案内されています。新しい試験概要は、日本語版も公式サイトで公開されています。
- 2027年4月14日までに受ける人：現在の試験概要（2024年4月15日から有効）にそった教材で勉強する
- 2027年4月15日以降に受ける人：新しい試験概要の内容を確認し、対応した教材を選ぶ
受験の予定が切り替えの時期に近い人は、早めに公式の試験概要を見比べておくと安心です。
CISSPを取ってよかったこと
僕がCISSPを取ってよかったと感じたのは、次のような場面です。
- 仕事：案件にアサインされるとき、一定の資格を持っていることが暗黙の条件のようになっていた記憶があります
- 転職：直接見られていたかはわかりませんが、CISSPを持っていることに反応されたことが多々ありました
CISSPのような資格は、説得力が段違いだと感じています。一方で、僕の年収が上がったいちばんの理由は、資格そのものより転職でした。資格は、経験を伝えるための強い材料になる、と考えるのがよいと思います。
セキュリティコンサルタントの年収やキャリアについては、こちらの記事でまとめています。
すでにセキュリティの経験があり、CISSPを活かして転職を考えている方は、セキュリティ専門の転職エージェントで求人を見てみるのもひとつの方法です。
▼セキュリティの実務経験がある方へ
セキュリティ職に特化した転職エージェントもあります。ITセキュリティのコンサルやエンジニアの経験がある方向けのサービスなので、未経験の方は、まず資格の勉強や近い仕事での経験づくりから始めましょう。
まとめ
- CISSPは、ISC2が運営するセキュリティの国際的な上級資格。8つの分野から幅広く出題される
- 認定には2つ以上の分野で合計5年以上の実務経験が必要。経験が足りなくても受験でき、合格後はAssociate of ISC2として6年以内に経験を積めばよい
- 試験は3時間・100〜150問・1000点中700点で合格。日本語で受験できる
- CISSPの難易度は、知識の量だけでなく「組織としての最適な判断」という考え方になじめるかで変わる
- 2027年4月15日から新しい出題範囲になる予定。教材のバージョンに注意する
CISSPは簡単な資格ではありませんが、セキュリティ全体を見渡す考え方が身につき、仕事や転職でも評価されやすい資格だと感じています。実務経験を積みながら、計画的に挑戦してみてください。