CIPMは、個人情報を適切に扱うための体制や手順を、会社の業務として運営する人に向けた国際資格です。米国に拠点を置く専門家団体IAPPが認定しています。
個人情報の規程はある。契約や新しいサービスの相談にも対応している。それでも、どの部署がどんな顧客データを持ち、外部へ渡した後を誰が管理し、運用が守られているかをどう確かめるのか、全体を説明しにくい。CIPMは、こうした仕事を担当する人が学習を検討できる資格です。
中心となるのは、法律の要請を、役割分担、データの把握、委託先管理、本人からの請求への対応、監査や改善につなぐ知識です。本記事では、試験範囲と公式公開問題、国内実務者の受験経験を通じて、学ぶ内容と取得・維持の負担を整理します。
CIPMは何の資格か：プライバシー保護を会社の運用にする人の認定
IAPPが認定する、プライバシープログラムの管理資格
正式名称はCertified Information Privacy Managerです。認定元のIAPPは2000年に設立された非営利の専門家団体で、米国ニューハンプシャー州に北米本部を置きます。この記事で扱うのはIAPPのCIPMです。
プライバシープログラムとは、個人情報をどう扱うかという方針だけでなく、その方針を実行する組織、手順、教育、点検、改善を含む取り組みです。CIPMは、その構築と継続運営を扱います。初級・上級という級別資格ではありません。
IAPPの団体紹介には、全資格を合わせた認定付与が10万件と掲載されています。これはCIPMだけの人数ではなく、認定付与件数です。CIPM単独の日本国内保有者数は、今回確認した公式資料では確認できませんでした。
法務、情報システム、事業部門の間で何を担当するのか
CIPMの学習対象に近いのは、プライバシー担当部署、法務・コンプライアンス、リスク管理などで、部門をまたぐ運用を組み立てる仕事です。実際の担当名は会社によって異なります。
例えば、顧客情報を使う施策について、法務が利用条件を確認し、システム担当がアクセス権を設定し、事業部門が日々の業務を行うとします。その間をつなぐ担当者は、対象のデータと利用先を把握し、誰が承認・変更・点検を担うかを決め、問題が起きたときに記録をたどれるようにします。
この仕事を資格保有者だけが行うわけではありません。CIPMを学ぶ意味は、自分が経験してきた個別対応を、会社全体の運用を見渡す範囲と照らし合わせられることにあります。
CIPP/E・CIPT・CDPSEとの違い
IAPPの関連資格は、単純な上下関係ではなく、主に扱う仕事が異なります。
| 資格 | 主に理解すること | 担当業務から見た選び方 |
|---|---|---|
| CIPM | プライバシー保護の体制、手順、評価、継続運営 | 部門間の責任と運用を整えたい |
| CIPP/E | 欧州の個人データ保護の法制度・要件 | GDPRなど欧州の制度理解を深めたい |
| CIPT | 製品やサービスにプライバシー保護を組み込む技術 | 技術設計・開発・運用で保護策を検討したい |
別団体ISACAのCDPSEも、データの利用や保存、アクセスなどへプライバシー要件を実装する仕事に関係します。会社の運用全体を管理する知識を補いたいのか、システムやデータの設計・実装を深めたいのかで、学習の出発点が変わります。
何を学ぶのか：方針からデータの把握、点検、対応まで
現行の出題範囲は、公式サイトが案内するBody of Knowledge v4.2.0で、2025年9月1日から適用されています。6領域は、会社の運用をどのように組み立て、続けるかという流れで読むと理解しやすくなります。
| 出題領域 | 主な学習対象 | 仕事で見直す対象の例 |
|---|---|---|
| 1. 枠組みの構築 | 対象範囲、戦略、適用法令、組織への説明 | どの事業・地域・データを扱う取り組みなのか |
| 2. ガバナンスの確立 | 方針・手順、責任分担、指標、教育 | 誰が判断し、誰が実行・報告するのか |
| 3. データの評価 | データ台帳と流れ、委託先、物理・技術的対策、企業買収等の評価 | 情報がどこにあり、どこへ移り、何が未確認なのか |
| 4. 個人データの保護 | データ分類、アクセス制御、設計段階からの保護、利用ルール | 方針が業務やシステムへ反映されているか |
| 5. 運用の維持 | 測定、監査、継続的なリスク評価 | 何を根拠に運用状態を説明し、改善するか |
| 6. 請求・事故への対応 | 本人の権利への対応、事故対応手順、対応後の見直し | 受付から調査・対応・記録・改善までつながっているか |
右欄は、出題範囲を仕事に引き寄せて読むための整理です。
特に、データ台帳やデータフローを学ぶときは、保有する項目名を一覧にするだけで終わりません。収集から利用、共有、保存までの流れと、接続するシステムを把握することが対象です。委託先の評価も含むため、自社の部署内だけで確認を閉じない構成になっています。
マーケティング部門なら、フォームで集めた情報をどのサービスへ送るか、配信や分析の委託先に何を渡すか、利用目的を変える際に誰へ相談するか、といった業務との接点があります。広告やCRMの操作を習得するのではなく、顧客データを使う施策の管理方法を学ぶ位置づけです。
公式研修では、運用を10のモジュールに分けて学ぶ
関連する公式研修「Privacy Program Management」は、責任と説明責任、組織体制、法規制、データの評価、保護策、ポリシー、測定・監査、教育、本人の権利、事故対応という10モジュールで構成されています。
例えばデータ評価では、台帳やデータの流れの作成・利用、現状と必要条件の差の分析、プライバシーへの影響評価、委託先評価を扱います。測定・監査では、取り組みの状態を測り、分析し、監査する方法を学びます。
自習型オンライン研修は、ライブ研修13時間相当の内容です。動画・文章・操作型教材・理解度確認を組み合わせています。研修の修了とCIPM試験の合格は別であり、研修時間に加えて、自分の弱い領域の復習や問題演習を見込む必要があります。
CIPMの出題範囲と研修内容を、運用のつながりとして整理。タップ・クリックで拡大できます。
公開問題から分かる深さ：個別対策だけでなく、運用全体から判断する
IAPPの無料公式Study Guideには、知識問題とケースを読む問題が公開されています。
ケースの舞台は、海外にも販売を広げた石けん会社です。新任のプライバシー責任者が、対策の有効性を経営側も把握できておらず、手順が非公式・不完全な状態に直面します。問題は、組織の成熟度と、優先する対応の中で最も効果が低いものを選ばせます。
公式解答では、この状態は場当たり的な段階とされます。また、データの棚卸しと流れの把握、教育、法令に沿った手順整備と比べて、業務での私物端末利用の禁止が最も効果の低い選択肢になっています。
ここで見たいのは、端末禁止という個別策だけで、会社全体のデータ取扱いと運用の不足に対応できるかという判断です。CIPMは、目に入った問題への対策を覚えるだけでなく、組織の状態と対応の関係を考えさせます。
一方、最小権限の公開問題では、役職の高さではなく、その人の職務に必要なデータだけへアクセスさせる考え方が問われます。管理資格でも、権限の意味や対策の目的を理解する必要があります。これらは公開された例題であり、全体の難易度は現在の出題範囲と併せて判断します。
CIPMの難易度と勉強時間：実務経験と法律知識で準備は変わる
公式の準備目安は最低30時間。未経験者の標準時間とは分けて考える
IAPPは各認定に向けた学習を最低30時間計画するよう勧めています。合格率は、今回確認した公式案内では確認できませんでした。
準備時間を左右するのは、法律用語の理解、プライバシー業務の経験、組織運営への関与、受験言語で問題を読む力です。個人情報保護の担当になったばかりの人にとっては、データ処理の関係者や本人の権利などの基本概念も学習対象になります。
経験別の見方は次のように整理できます。
| 学習開始時の状態 | 準備の考え方 |
|---|---|
| プライバシー実務と法制度の知識がある | 出題範囲と経験を照合し、組織体制・測定・監査など未担当領域を補う |
| セキュリティや法務の経験はあるが、プライバシー運用の担当経験が少ない | 得意分野を起点に、データの利用・本人対応・委託先管理を一続きで学ぶ |
| 関連業務も英語教材も初めて | 30時間で計画を固定せず、基礎用語と文章の理解に必要な時間を先に確かめる |
未経験者に共通する標準学習時間は、今回確認した資料からは示せません。公開範囲と例題を読み、何に時間がかかるかを見てから受験日を決めるのが現実的です。
約5年の実務経験者は、法令の学習では触れなかった知識を補った
三浦修平氏は2024年5月の受験記で、CIPP/USとCIPP/Eに合格済みで、プライバシー関連業務に約5年携わった状態からCIPMを学び、25時間で準備したと記しています。
公式テキストを通読し、気になる章を読み直したほか、NIST Privacy Frameworkと公式模擬試験も使っています。本人は、実務経験が役立つ一方、法令の知識を学ぶだけでは触れなかったプライバシーマネジメントの知識を新鮮に感じたと述べています。
この経験から読み取れるのは、すでに実務をしている人にも、法律の理解とは別に管理・運営の知識を補う学習目的があることです。25時間という数字は、その事前知識と経験を伴う個人の記録として参考にできます。
外部助言から事業会社へ移る際に、管理の知識を学んだ例もある
世古修平氏は2020年1月の受験記で、コンサルティングから事業会社へ移るにあたり、当事者としてプライバシー業務へ関わるためCIPMを受験した経緯を紹介しています。
当時、セキュリティ・プライバシーのコンサルティング経験と、弁護士、CISSP、CISA、CIPP/Eの資格を持ち、1日1時間程度の学習を3週間続けたとしています。米国法の知識の不足を補い、プライバシー管理の公式テキストを読み、GDPRも確認しています。
外部から助言する仕事と、会社の中で運用を続ける仕事では、必要になる見方が変わります。受験記はその学習動機を知る材料になります。試験制度や料金は当時から変わっているため、取得条件は次の現行情報で確認してください。
試験・認定条件と言語：日本語研修と日本語受験は別
90問・150分の選択式。合格後には認定の有効化が必要
| 項目 | 現行案内 |
|---|---|
| 問題数・時間 | 90問・2.5時間（150分） |
| 形式 | 選択式。単独問題とケースに基づく問題。複数正答を選ぶ場合は問題に表示 |
| 合格基準 | 100〜500の換算スコアで300以上 |
| 受験方法 | Pearson VUEのテストセンター、またはOnVUEによるオンライン監督 |
| 購入後の期限 | 購入から1年以内に予約・受験を完了 |
| 休憩 | 中間に15分。前半を提出すると前半の問題には戻れない |
| 不合格後 | 結果がMyIAPPに反映された後に再購入。前回受験から7日より前の日程では再受験できない |
| 認定の有効化 | 試験合格に加え、資格維持費の支払い、または有効なIAPP会員資格が必要 |
公式の取得手順には、先行資格の取得や実務経験年数の証明は含まれていません。学習して試験を受け、合格後の有効化と継続教育へ進む方式です。CIPP/Eを先に学んだ体験者がいても、その順序が受験の必須条件というわけではありません。
試験は資料参照型ではありません。2026年6月適用の受験者ハンドブックでは、試験室への読み物の持込みを禁止しています。
試験は5言語。日本語で学べる国内研修はある
| 区分 | 言語・日本語対応 |
|---|---|
| CIPM試験 | 英語、フランス語、ドイツ語、ブラジルポルトガル語、中国語簡体字。日本語なし |
| IAPPの公式学習資料 | 英語の出題範囲・Study Guide・教材を提供。教材の販売ページでは言語を選択 |
| 国内の公式研修 | 日本語講義の開催あり。テクニカ・ゼンは2026年11月19〜20日の日本語オンライン研修を案内 |
| 日本語教材 | 国内研修会社のパッケージには日本語研修テキストを含む案内あり。教材構成は申込先で確認 |
| 手続き・監督・サポート | IAPP受験者ハンドブックは英語。オンライン監督とのやり取りには英語力が必要。日本語だけで全手続き・問い合わせを完結できるかは未確認 |
日本語の研修で概念を理解し、英語などの受験言語で問題を解く準備をする、という組み合わせが考えられます。講義が日本語であっても、試験まで日本語になるわけではありません。
CIPMの取得・維持費：試験だけでなく、教材と2年ごとの負担を見る
受験料は550米ドル。研修は任意に選ぶ
2026年10月29日に確認した公式ストアの表示価格です。米ドル建ての実際の円支払額は、決済時の為替や税等で変わります。
| 項目 | IAPP会員 | 非会員 |
|---|---|---|
| CIPM初回試験 | 550米ドル | 550米ドル |
| 公式テキスト第3版・デジタル | 65米ドル | 75米ドル |
| 公式模擬試験・デジタル | 45米ドル | 55米ドル |
| 自習型オンライン研修 | 995米ドル | 1,195米ドル |
テキスト、模擬試験、研修は別商品です。公式模擬試験は90問のPDFと解答・解説を含みます。受験にあたり、すべての商品を購入する必要はありません。
国内研修の一例として、テクニカ・ゼンのCIPM Suiteは396,000円、Fullは484,000円で、いずれも税込です。双方に研修、IAPPメンバーシップ、試験バウチャー、演習問題が含まれ、Fullには演習問題の解答が追加される構成です。独学の受験料だけと比べる際には、含まれるものをそろえて見る必要があります。
維持は2年ごと。20CPEと維持費、または会員資格を組み合わせる
資格を維持するには、2年間の認定期間につき20CPEの継続教育と、250米ドルの資格維持費が必要です。IAPP会員は会員特典に維持費が含まれ、会費は年295米ドルです。2年単位の維持費と年単位の会費は、期間をそろえて比較します。
非会員として初めて取得する場合、試験550米ドルと認定を有効にする維持費250米ドルで、教材・研修を除いて800米ドルが基準になります。
CPEは、資格の知識範囲に関係する研修、イベント、読書、執筆などが対象で、活動ごとの条件や上限があります。必要なCPEを提出して更新する通常の方法では、再試験は不要です。企業が取得を支援するなら、受験年だけでなく、その後の学習時間と維持費も予算に含めます。
企業では誰に向くか：個別相談の担当から、運用を管理する担当へ
CIPMが候補になるのは、法律やセキュリティの専門家へ相談するだけでなく、社内の取り組みを継続的に動かす人です。プライバシー専任部署の担当者だけでなく、法務・コンプライアンスやリスク管理から役割を広げる人にも接点があります。
育成の目的を、次のように担当業務へ結び付けると選びやすくなります。
| 現在の課題 | 学習後に自社で見直す対象 |
|---|---|
| 個別相談には答えるが、事業・部署全体の情報取扱いを把握しにくい | データ台帳、データフロー、確認すべき委託先と担当部署 |
| 規程はあるが、変更時の判断や本人請求への対応が担当者任せになっている | 判断・実行・記録・報告の役割と手順 |
| 取り組みの実施件数は数えているが、経営へ運用状態を説明しにくい | 目的に合った測定指標、監査結果、改善事項の追跡方法 |
取得後に任せる仕事としては、担当領域のデータフローを整える、本人からの請求を受けた後の対応経路を整理する、委託先の評価結果と是正状況を報告する、といった成果物が考えられます。試験で学んだ知識と、その会社で必要な調整・実行を結び付ける使い方です。
採用や配置では、資格の有無に加え、実際に関わった対象、本人の担当範囲、作成・運用した成果物を聞くと仕事との対応が見えます。学習だけが目的なら、公開されている出題範囲や教材から始めることもできます。認定取得は、知識範囲を試験で確認し、継続教育を続ける区切りとして選べます。
一方、目の前の課題が日本の法令の条文解釈や特定システムの実装であれば、その課題に直接対応する学習が先になることもあります。CIPMは、運用管理を担当する人の学習候補として位置付けると、費用と時間を使う理由が明確になります。
まとめ：CIPMは、プライバシー保護を続けられる運用へ落とし込むために学ぶ
CIPMは、個人情報を扱う方針と、会社で実際に動く体制・手順・点検をつなぐ資格です。出題範囲には、データの把握、役割分担、委託先管理、測定・監査、本人請求と事故対応までが含まれます。
実務経験者の受験記からも、法律の知識を補うだけでなく、会社の中で管理・運営を担うために学ぶ目的が見えてきます。自社で担当する範囲と、今不足している知識を出題範囲へ対応させることが、資格選びの出発点です。
日本語の研修はありますが、日本語試験はありません。受験料、教材・研修、学習言語、2年ごとの維持をまとめて確認し、学習までにするか認定取得まで進むかを選びましょう。
参考資料
制度・価格・研修日程は2026年10月29日確認。体験記は各掲載時点の経験です。
- IAPP：団体の概要・全資格の認定付与件数
- IAPP：CIPMの位置づけ・試験言語・公式学習資料
- IAPP：現行出題範囲 v4.2.0
- IAPP：研修の10モジュール
- IAPP：受験者ハンドブック v5.3.2、取得手順、FAQ・言語と維持費
- IAPP：CPEポリシー v3.3.1
- IAPP公式ストア：試験、デジタルテキスト第3版、模擬試験、オンライン研修
- テクニカ・ゼン：日本語研修日程・パッケージ内容と価格、GRC JP：日本語を含む研修教材の案内
- 三浦修平氏：CIPP/US、CIPP/E、CIPMの受験記（2024年5月6日）
- 世古修平氏：CIPM受験記（2020年1月15日）
本記事の文章・表・図解・グラフは、Skill Business Architecture Labが独自に編集・作成しています。引用・紹介する場合は、引用箇所が分かる形で、記事名・サイト名・記事URLをご記載ください。
コメント