情報漏えいのニュースを見て、セキュリティを任せられる人材を探す。あるいは、技術者として経験を積み、次は対策の企画や組織運営を担いたい。そうしたときに候補になる国際資格が、CISMです。
CISMは、セキュリティ対策を事業の目的に合わせて計画し、組織として運営する人の専門性を認定する資格です。 日本語では「公認情報セキュリティマネージャー」と呼ばれます。
日本のIT業界全体で広く知られた資格とはいえませんが、専門会社の取得実績や、金融機関の採用条件にも登場します。何を学ぶ資格で、どの仕事に役立ち、取得・維持にどれだけ負担があるのか。資格に馴染みのない方へ、順に整理します。
CISMとは？セキュリティを組織で運営する人の国際資格
CISMは、Certified Information Security Managerの略です。情報システムの監査、リスク管理、セキュリティなどを扱う国際的な専門団体ISACAが認定しています。日本の国家資格ではありません。
例えば、担当者から「新しい監視サービスを契約したい」と提案された場面を考えると、技術的に優れた製品かだけでは導入を決められません。どの事業のリスクを下げるのか、誰が運用するのか、事故が起きたときにどこまで対応できるのか、予算に見合うのかも検討することになります。
CISMが扱うのは、このように技術上の対策を、会社の方針・投資・責任分担・継続的な運営につなげる仕事です。
| 資格の基本 | 内容 |
|---|---|
| 正式名称 | Certified Information Security Manager |
| 日本語名称 | 公認情報セキュリティマネージャー |
| 認定団体 | ISACA |
| 主な対象 | セキュリティの管理・企画・リスク管理・コンサルティングを担う人 |
| 取得の仕組み | 試験合格後、実務経験などの条件を満たして認定申請 |
| 取得後 | 年次維持費と継続学習の要件あり |
CISSP・情報処理安全確保支援士との違い
入口としては、CISMは「セキュリティ部門の運営」、CISSPは「セキュリティ全体の設計・管理を広く見る資格」と捉えると分かりやすいでしょう。CISSPにもリスク管理や組織的な判断が含まれるため、単純に経営資格と技術資格へ分けると実態から離れます。
情報処理安全確保支援士は日本の国家資格で、試験合格と登録を経て活動する制度です。国内の制度・実務との関わりを知りたい場合には、登録セキスペの仕事内容も参考になります。
資格同士の位置付けは、CISMとCISSPの比較記事で詳しく扱っています。本記事では、CISM自体の使い道と取得条件を見ていきます。
CISMはどこで評価される？国内企業と仕事での活用例
日本でも専門会社・事業会社で活用されている
NRIセキュアは、2026年4月1日現在の資格取得者数として、CISM77名、CISSP152名、CISA111名を公表しています。同社のようなセキュリティ専門会社では、技術資格と併せて管理・監査分野の資格も保有されていることが分かります。資格別の人数なので、同じ人が複数資格を持つ場合もあります。
事業会社の例では、明治安田のサイバーセキュリティ職の経験者採用で、CISMがCISSP、GIAC、CISAなどとともに歓迎資格に挙げられています。募集業務には、セキュリティ戦略・中期計画、グループ会社のガバナンス、規程整備、人材育成などが含まれます。
つまり、用途はセキュリティ製品の開発・運用だけではありません。事業会社の対策を企画・管理する人や、その仕事を支援するコンサルタントにも関係する資格です。
世界での普及と、日本で取得する意味
ISACAの2026年9月発表によると、2002年の開始以来、CISMの取得者は累計11万1,000人を超えています。これは現在有効な資格保有者数ではなく、これまでの取得者の累計です。
海外拠点やグローバル企業との仕事では、会社ごとに違う役職名よりも、何を学び、どの実務領域を経験しているかを説明する共通の手掛かりになります。国内採用でも資格名が歓迎条件になる例があるため、日本では役に立たない資格というわけではありません。
一方、資格だけで昇進や高年収が決まるものでもありません。例えば前述の採用でも、企画・推進や技術対策などの実務経験が求められています。取得の意味が大きいのは、現在の仕事や今後担いたい役割が、CISMの学習領域と重なる場合でしょう。
CISMでは何を学ぶ？4分野を実際の仕事に置き換える
出題範囲は4分野です。名称だけでは抽象的なので、会社で起こる場面に置き換えてみます。
| 学習分野 | 実務で考えることの例 |
|---|---|
| 情報セキュリティガバナンス | 会社の方針に対策をどう結び付け、誰が意思決定・監督するか |
| 情報セキュリティリスク管理 | 何が起きると事業が困り、どのリスクを優先して扱うか |
| 情報セキュリティプログラム | 人・予算・ルール・技術を組み合わせ、対策をどう継続運営するか |
| インシデント管理 | 事故への備え、対応、復旧、事後の改善をどう組織で回すか |
例えば、監視サービスの導入であれば、脅威を発見できる機能だけでなく、通知を受ける人、停止を判断する人、契約先へ任せる範囲も関わります。表の4分野は別々の仕事ではなく、一つの対策を成立させる複数の視点です。
技術者が管理側へ役割を広げる際には、「自分が対応できる」から「組織が継続して対応できる」へ考える範囲が広がります。CISMは、そのための知識を体系的に整理する選択肢になります。
2026年11月3日から試験範囲が改訂される
4分野は維持されますが、11月3日以降の試験では、ガバナンス18％、リスク管理20％、プログラム33％、インシデント管理29％となります。それ以前は順に17％、20％、33％、30％です。
改訂では、企業全体のシステム構造を捉えるエンタープライズアーキテクチャと、セキュリティアーキテクチャが追加されます。受験する日と、購入する教材の対応範囲をそろえることが重要になります。
CISMの受験資格と認定条件｜管理職でなくても取得できる？
実務経験がなくても試験は受けられます。ただし、合格だけではCISMの認定取得にはなりません。
認定では、原則として申請前10年以内の情報セキュリティマネジメント実務5年以上と、4分野のうち3分野以上をカバーする経験が求められます。試験合格から5年以内に、経験の証明などを伴う認定申請を行います。
「マネジメント経験」は管理職の在籍年数とは違う
ISACA東京支部のQ&Aでは、管理職であることが必須ではないと説明されています。役職名よりも、実際に何を担当したかが問われます。
例えば、セキュリティ方針の整備、リスク評価、対策計画の運営、事故対応体制の整備などは、該当する実務領域を確認する手掛かりになります。一方、「IT業界で10年働いた」という年数だけでは、認定要件を満たすか判断できません。
取得を計画する際には、職歴ごとに担当業務・期間・該当分野・証明を依頼できる人を整理すると見通しが立ちます。資格・学歴等による経験代替を使う場合も含め、最終的にはISACAの認定案内と申請条件との照合になります。
CISMの費用はいくら？受験料・認定申請・維持費
費用は「試験を受ける」「認定を申請する」「資格を維持する」に分けると把握しやすくなります。以下は米ドル建ての公表額です。
| 費用の項目 | ISACA会員 | 非会員 |
|---|---|---|
| 受験料・1回 | 575ドル | 760ドル |
| 合格後の認定申請料 | 50ドル | 50ドル |
| 上記2項目の合計（会費・教材・維持費は別） | 625ドル | 810ドル |
| CISMの年次維持費 | 年45ドル | 年85ドル |
| ISACAへの新規入会（一般会員の案内） | 145ドル＋支部会費 | 不要 |
問題集、マニュアル、講習などの教材費は、利用するものに応じて加わります。ISACAの会費と、CISMという資格の年次維持費は別の費用です。
円換算の規模感として、仮に1ドル150円なら、受験料と認定申請料は会員9万3,750円、非会員12万1,500円です。会員ルートには、ここへ入会・会費等が加わります。これは換算例で、実際の決済額は為替や手数料などで変わります。
会員と非会員の受験料差は185ドルです。ただし、会員になるための費用もあるので、「会員価格が安い」だけでなく、支部会費や購入教材の割引を含めた総額で比べると判断しやすいでしょう。新規入会、更新、入会時期等の条件は、申込画面の合計額で確認できます。
維持費だけでなく、継続学習の時間もかかる
CISMの維持には、毎年20時間以上、3年間で合計120時間以上のCPEが必要です。CPEは専門性を維持するための継続学習で、対象となる研修・ウェビナーなどの活動を記録・報告します。
毎年20時間ずつでは3年間で60時間にしかならないため、3年合計の条件も見ながら計画することになります。全てを有料研修で埋める制度ではなく、ISACAは無料ウェビナーなどの機会も案内しています。
会社が取得を支援する場合は、受験料の補助に加え、取得後の維持費と学習時間をどう扱うかまで決めておくと、資格を実務で活用しやすくなります。
CISMの難易度は？日本語受験と勉強方法の基本
試験は150問・4時間の多肢選択式で、日本語受験が可能です。スコアは200～800の尺度で示され、合格基準は450です。正答率をそのまま百分率へ換算する仕組みではありません。合格率は公表されていません。
難しさは、専門用語だけではありません。複数の対策が役立ちそうに見える中で、「今、誰が、何を優先する場面なのか」を読み、最も適切なものを選ぶ判断が問われます。
受験者の記録でも、開発者が公式問題集で約9割正解できる状態でも不合格になり、解説の理解へ学び方を変えて再受験で合格した例があります。技術経験や問題集の反復回数だけで準備を判断しにくい点は、知っておきたい特徴です。
日本語の公式問題集やマニュアル、講習を使って準備できます。教材ごとの役割、受験者がつまずいた点、学習期間の考え方は、CISMの勉強方法・日本語教材ガイドで詳しく整理しています。
CISMについてよくある質問
CISMは独学で取得できますか？
独学で試験に合格した受験者の記録があります。公式問題集やマニュアルが学習の選択肢となり、判断の考え方をつかみにくい場合は講習で補う方法もあります。試験合格後には、別途認定要件を満たすことになります。
CISMを取ると年収は上がりますか？
採用で歓迎資格になる例はありますが、CISMの取得だけによる日本国内の給与上昇額は示せません。希望する求人の業務・経験要件と資格の位置付けを見る方が、自分にとっての価値を判断しやすいでしょう。
管理職になる予定がなくても学ぶ意味はありますか？
対策の企画、委託先の管理、リスク説明などを担う場合には、管理職でなくても学習内容が重なります。まずは自分の担当業務を4分野へ置き換えると、学ぶ目的が見えてきます。
CISMは、技術と事業の間で対策を動かす仕事に役立つ
CISMを知るうえで中心になるのは、資格名の知名度よりも、どの仕事を体系的に学び、経験を認定するかです。
技術的な対策の必要性を理解していても、予算・責任分担・継続運営まで結び付けるには別の知識が関わります。その役割を現在担っている人、今後担いたい人にとって、CISMは検討する意味のある資格です。
自分の業務と学習領域が重なるか、認定に必要な経験を整理できるか、取得後の学習まで続けられるか。この3点から見ると、取得の目的と負担を結び付けて考えられます。
参考資料
- ISACA：CISM認定案内 — 受験と認定、実務経験、申請期限・申請料。
- ISACA：CISM公式案内 — 資格の位置付け、受験料、準備教材。
- ISACA：試験範囲 — 4分野と実務タスク。
- ISACA：2026年試験改訂発表 — 9月10日発表、11月3日からの範囲と累計取得者数。
- ISACA：資格維持／会員案内 — 維持費、CPE、入会費用。
- ISACA東京支部：CISM Q&A — 日本語受験、管理職と実務経験、合格率。
- ISACA：受験者ガイド — 試験形式とスコア。
- NRIセキュア：会社概要 — 2026年4月1日現在の資格取得者数。
- 明治安田：サイバーセキュリティ職 — 業務内容と歓迎資格。
- m suzuki：CISA/CISMの受験記録 — 2024年3月23日公開。CISMの再受験と学習の振り返り。
本記事の文章・表・図解・グラフは、Skill Business Architecture Labが独自に編集・作成しています。引用・紹介する場合は、引用箇所が分かる形で、記事名・サイト名・記事URLをご記載ください。
コメント