CEHは、攻撃者がどう弱点を探し、侵入し、権限を広げるかを学ぶ国際的なセキュリティ資格です。「認定ホワイトハッカー」という名前ですが、取得者の仕事は侵入テストだけではありません。安全な開発の確認や、企業内の防御策を検証する仕事にもつながります。
どんな人が使い、何を学び、資格取得にはどれくらいの負担があるのか。国内の調査、保有者事例、報奨金を伴うバグバウンティの実績も使って、資格の実像を説明します。
CEHとは？ホワイトハッカーの「資格」と「職業」の違い
CEHはCertified Ethical Hackerの略で、EC-Councilが認定する民間資格です。日本では「認定ホワイトハッカー」と呼ばれます。
ホワイトハッカーは、許可を得て弱点を調べ、改善につなげる人を指す呼び名です。一方、CEHは学習と試験に基づく資格であり、資格がなくても合法的な診断の仕事をする人はいます。取得すると特別な侵入権限が与えられるわけでもありません。
攻撃の過程を学ぶ目的は、どの防御を破られると次に何が起きるかを理解することです。例えば一つのアカウントを奪われた後、管理者権限や別システムに進めるかまで考えることで、対策の抜けを見つけやすくなります。
CEH保有者はどんな仕事をしている？
| 活躍する場面 | 具体的にすること |
|---|---|
| セキュリティ診断・侵入テスト | 許可された対象を調べ、侵入できる条件と影響を報告する |
| 開発・設計レビュー | アカウントやデータの扱いに、悪用される余地がないか確かめる |
| 社内のセキュリティ運用 | 防御策が想定した攻撃に対応できるかを検証する |
| 事故対応 | 攻撃手法の知識から、侵入・拡散の経路を調べる |
国内にも保有者はいる？
PwCの「サイバーセキュリティおよびプライバシー業界における多様なキャリアパス実態調査2024」では、日本の資格保有に関する回答者197人のうち、15%がCEHを保有していました。全国の人数やIT人材全体の保有率ではありませんが、国内の専門家にも使われていることを示す資料です。
出典：PwC調査・24ページ
侵入テストを専業にしない活用例
EC-Councilが紹介するRaymond Lee氏は、日本総研所属の保有者として、攻撃手法やツールの知識を安全なコードの確認に活用していると説明しています。攻撃者の方法を学ぶことは、攻撃する職業に転じることと同じではありません。
2025年の公式Hall of Fame紹介には、金融機関への侵入テストや対策の検証などの例もあります。表彰応募者などの事例なので、保有者全員の成果を表すものではありませんが、資格と実際の仕事を結ぶ手掛かりになります。
CEHで何を学ぶ？知識試験・Practical・Masterを整理
CEH v13は20の学習モジュールで、情報収集、ネットワーク、Web、認証、クラウドなどの攻撃手法と対策を扱います。教材の演習と、実技試験を受けたことは分けて考えると分かりやすくなります。
| 名称 | 内容 | 混同しやすい点 |
|---|---|---|
| CEHの知識試験 | 4時間・125問の選択式 | 講座に演習があっても、この試験自体は実技ではない |
| CEH Practical | 6時間・20課題の実技試験 | 知識試験とは別の評価 |
| CEH Master | 知識試験とPracticalの両方に合格 | CEH取得者全員がMasterというわけではない |
具体的な課題や合格条件は、受験する試験の公式案内で確認できます。名前が似ていても、何を試験で示したかが違います。
OSCPとどちらを選ぶ？
CEHは、攻撃の手順や対策を広く体系的に学ぶ入口になります。OSCPは、自力で調査・侵入・権限昇格・報告を行う実技に重点があります。
資格の格付けとして比べるより、幅広い攻撃知識を整理したいのか、侵入テストの実行力を試したいのかで比較すると選びやすくなります。脆弱性診断と侵入テストの違いを知ると、仕事とのつながりも見えてきます。
バグバウンティとは？弱点の発見に報奨金が出る仕組み
攻撃技術が企業に評価される場面を具体的に示すのが、バグバウンティです。企業が調査してよい対象やルールを定め、有効な脆弱性の報告に報奨金を支払います。
例えば通販サービスで、他人の注文情報を閲覧できる問題を見つけたとします。発見者は定められた窓口へ、再現方法と影響を報告します。企業は内容を検証し、報奨金の条件に当たるかを判断します。無断で顧客情報を持ち出して金銭を要求する行為とは異なる仕組みです。
| 公表主体 | 対象期間・実績 | 読み取れること |
|---|---|---|
| 2025年に747人へ計1,710万ドル | 外部の研究者による発見に企業が実際に支払っている | |
| HackerOne | 2025年報告の過去12か月で計8,100万ドル、前年比13%増 | 複数企業の報奨金を仲介する市場がある |
出典：Google「VRP 2025 Year in Review」、HackerOne「2025 Hacker-Powered Security Report」。この実績はCEH保有者だけを対象とした数字ではありません。
資格は参加資格のすべてではなく、成果物である報告の有効性が問われます。対象外の問題、他の人が先に報告した問題、影響を実証できない報告などは、報酬につながらない場合があります。総額を人数で割って、その職業の平均年収とすることもできません。
CEHで学ぶ技術の価値を理解するうえでは、「ハッカーだから高収入」という印象より、企業が何の発見にお金を払うかを見るほうが具体的です。
CEHの受験資格・難易度・独学の考え方
受験資格には、公式トレーニングを受ける経路と、関連経験に基づいて申請する経路があります。経験による経路では、原則として情報セキュリティ分野の2年以上の経験など、所定の条件を確認します。
独学が可能かという問いも、この受験資格と学習方法を分けると理解しやすくなります。教材だけで準備しても、受験資格の審査が不要になるわけではありません。
難しさは、攻撃手法の名前を覚えるだけでなく、ネットワークやOSの動作と結び付けることです。例えば「この通信を盗み見できる」と覚えるだけでなく、どこに攻撃者がいると成立し、暗号化や設定によって何が変わるかを理解すると、業務でも使いやすくなります。
合格ラインは試験フォームなどによって扱いが異なるため、固定の正答率だけを目標にするより、公式の受験案内を基準に準備できます。信頼できる全体の合格率は、今回の確認資料では見つかりませんでした。
CEHの費用と維持負担
EC-CouncilのCEH公開ページには、オンデマンド講座1,699ドルから、ライブオンライン講座2,499ドルからの案内があります。これを日本語講座の料金や、すべての試験・維持費を含む総額と読むことはできません。
日本語の公式研修はGSXなどの認定教育機関が扱います。比較時には、次の内容を同じ条件にそろえると、金額差を理解しやすくなります。
- 日本語・英語、録画学習・ライブ講義の違い。
- 教材と演習環境を使える期間。
- CEH知識試験・Practicalの受験料が含まれるか。
- 再受験条件、合格後の継続教育・年会費。
継続教育制度では、CEHに原則3年間で120クレジットが必要です。取得費用だけでなく、維持する時間と費用まで考える資格になります。
よくある質問
CEHを取るとホワイトハッカーとして働ける？
攻撃手法を学んだ証明にはなりますが、仕事では許可範囲の管理、調査、報告、顧客との調整も求められます。資格と演習・業務経験を組み合わせて考えると、目指す仕事との距離が分かりやすくなります。
CEH取得者の年収はいくら？
CEH保有者だけを対象にした、日本の代表的な平均年収は今回確認できませんでした。診断、運用、開発、コンサルティングなど職種が異なるため、希望職種の求人条件を見るほうが実際の選択に使いやすくなります。
日本の取得者数は？
全国のCEH単独の人数は未確認です。EC-Council全資格の認定人数をCEHの人数として使うことはできません。国内での保有実態は、前述のPwC調査や取得企業・保有者事例から確認できます。
まとめ｜攻撃を知り、防御の弱点を考える資格
CEHは、攻撃者が何をどう悪用するかを体系的に学ぶ資格です。侵入テストだけでなく、開発や企業内の防御にも使われます。
取得の判断では、知識試験と実技試験の違い、学びたい範囲、実際の仕事との接点を確認すると、自分に必要な学習が見えてきます。バグバウンティは、その技術が社会で成果として評価される活動の一つです。
参考資料
- EC-Council CEH：学習、受験資格、公開料金。
- CEH Practical：実技試験。
- GSXのCEH案内：日本語研修、知識試験、Master。
- EC-Council ECE制度：継続教育。
- PwC 2024年調査：国内資格保有状況、24ページ。
- Raymond Lee氏：開発での活用例。
- CEH Hall of Fame 2025：保有者の自己申告事例。
- Google VRP 2025：報奨金と受領者数。
- HackerOne 2025年報告発表：年間報奨金。
—
本記事の文章・表・図解・グラフは、Skill Business Architecture Labが独自に編集・作成しています。引用・紹介する場合は、引用箇所が分かる形で、記事名・サイト名・記事URLをご記載ください。
コメント