情報漏えいやサイバー攻撃への対応を考えるとき、必要なのは製品の設定に詳しい人だけではありません。どの情報を守り、どこまで費用をかけ、開発・運用・委託先に何を求めるかを、関係者と決められる人も必要になります。
CISSPは、技術と管理の両方からセキュリティを捉える、実務経験者向けの国際資格です。 ネットワーク、認証、開発に加え、リスク管理や法律、事業継続なども学びます。
ただ、資格名や試験範囲だけでは、どんな仕事で役立つのか分かりにくいところです。この記事では、国内外の取得者が担当していた仕事からCISSPの意味を整理し、認定条件と費用まで紹介します。
CISSPとは？技術と管理を横断するセキュリティ資格
CISSPはCertified Information Systems Security Professionalの略で、ISC2が認定しています。日本の国家資格ではなく、国際的に運営されている専門資格です。
特徴は、一つの製品や技術の操作に範囲を限定しないことです。例えばクラウドに顧客情報を置く場合、通信の暗号化だけでなく、保存する情報、利用者の権限、委託先の管理、障害時の復旧まで考えます。CISSPでは、こうした複数分野にまたがる知識を扱います。
技術者が管理職になるためだけの資格でもありません。自分の専門領域を持ちながら、設計や運用の判断を組織全体の安全性につなげる場面でも役立ちます。
CISM・登録セキスペとの違い
CISMは、情報セキュリティのガバナンスやリスク管理、対策プログラムの運営に重点があります。CISSPは、それらの管理面に加え、システムの設計・実装・評価・運用まで幅広く扱います。
情報処理安全確保支援士は、日本の国家資格です。国内制度との接続や試験・登録の仕組みが異なります。「CISSPは技術、CISMは経営」と切り分けるより、どの範囲を、どんな役割で学びたいかで比べると理解しやすいでしょう。
CISSPの試験範囲｜8ドメインは実際の仕事にどうつながる？
CISSPの知識体系は、8つのドメインに分かれています。名称だけでは抽象的なので、顧客情報を扱うサービスを例に、仕事との対応を整理します。右列は、各分野を理解するための説明例です。
| 学ぶ分野 | 仕事で考えることの例 |
|---|---|
| セキュリティとリスクマネジメント | 情報漏えい・停止の影響を見積もり、法令や会社の方針と整合させる |
| 資産のセキュリティ | 顧客情報を分類し、保管・利用・廃棄の条件を決める |
| セキュリティアーキテクチャとエンジニアリング | 暗号化、構成、物理的な保護を含めて安全な仕組みを設計する |
| 通信とネットワークのセキュリティ | 外部接続や社内ネットワークの境界を設計する |
| アイデンティティとアクセス管理 | 入社・異動・退職に合わせて、誰が何にアクセスできるか管理する |
| セキュリティの評価とテスト | 設計した対策が機能しているか、検証や監査で確かめる |
| セキュリティの運用 | ログ、事故対応、復旧、継続的な管理を考える |
| ソフトウェア開発セキュリティ | 開発工程に安全性の確認を組み込む |
例えば、退職した人のアカウントが残っていた場合、認証設定だけ直しても、退職情報が管理者に届かない運用なら再発します。顧客データの保存先を変える場合も、暗号化だけでなく権限やバックアップ、削除の条件が関わります。
CISSPの広さには、担当領域の外側に残る問題へ気づくための意味があります。 8分野の専門家を一人で兼ねるというより、各担当者に何を確認し、どうつなぐかを考える基盤です。
CISSPはどんな仕事で役立つ？取得者の実務から見る
クラウド利用を、安全性・費用・業務への影響から判断する
ISC2が2022年6月に掲載したJames Wright氏のインタビューでは、当時Disneyで担当していたクラウドのセキュリティ業務が紹介されています。未承認のクラウド利用の把握、承認済みサービスの情報漏えい対策、リスク評価、アーキテクチャの評価などです。
Wright氏は、CISSPの知識が、対策に伴う費用や運用への影響を考えることにも役立つと説明しています。
この仕事を身近な言葉にすると、「使ってはいけない」と止めるだけでなく、どのデータを、誰が、どの条件なら使えるのかを設計する仕事です。安全性と業務の両方を理解して、実行できる条件に落とし込む場面が見えてきます。
開発・侵入テスト・設計レビューを、一つの対策としてつなぐ
2024年のISC2寄稿で、当時SynopsysのシニアマネージャーだったAkhil Mittal氏は、顧客向けの侵入テストやクラウドセキュリティのプログラムを管理していた時期にCISSPを学んだと述べています。
紹介されている業務は、脅威モデリング、設計レビュー、DevSecOps、テストなどに広がっています。個々の弱点を探すだけでなく、開発の進め方や設計の段階に対策をつなげる役割です。
例えば診断で同種の問題が繰り返し見つかるなら、修正の依頼だけでなく、設計ルールや開発工程の確認方法まで見直す余地があります。これは記事上の説明例ですが、技術と管理の両方を扱う意味をイメージしやすい場面でしょう。
エンジニアの説明を、経営が判断できる話につなげる
ISC2 Japanの2018年のインタビューでは、蔵本雄一氏が、技術者としての説明だけではCIO・CISOとの対話が十分にできず、体系的に学ぶ必要を感じた経緯を語っています。当時の仕事は、自動車の車載システムやバックエンドまで含むセキュリティに関わるものでした。
また、ヌーラボの松山氏による2022年の取得記録でも、マネジメントを含めた知識を得て、意思決定者へ適切に判断・助言できるようになることが取得の動機として紹介されています。
ここに共通するのは、技術を捨てて経営論に移ることではありません。技術上の問題を、事業への影響や対策の優先順位として説明できる範囲を広げることです。
国内の活用例として、NRIセキュアは2026年4月1日時点の資格取得状況にCISSP保有者152人を掲載しています。資格の価値を考える際には、こうした活用実績と、自分が担いたい仕事を合わせて見ると判断しやすくなります。
CISSPの受験資格と認定条件｜実務経験がなくても受験できる？
試験は実務経験の要件を満たす前でも受けられます。ただし、合格だけでCISSP認定になるわけではありません。
| 項目 | 基本的な条件 |
|---|---|
| 実務経験 | 8ドメインのうち2分野以上で、通算5年以上の該当経験 |
| 経験の短縮 | 対象となる学位または認められた資格により最大1年。重複して2年短縮はできない |
| 推薦・審査 | 経験を確認する認定申請とエンドースメントが必要 |
| 経験が足りない場合 | 試験合格後、Associate of ISC2として経験を積む経路がある |
経験は、肩書きより担当していた仕事の内容が重要です。ネットワークや開発の仕事でも、該当するセキュリティ業務を担当していれば、対象になる余地があります。パートタイムやインターンシップの算入方法も公式に用意されています。
経験短縮の対象には、コンピューターサイエンス・ITなど関連分野の学位や、ISC2が指定する資格があります。資格にはCISMなどが含まれます。自分の経歴を8分野に照らし、担当内容と期間を整理することが出発点になります。
推薦者がいない場合と、合格後の手続き
通常の認定申請は、試験日から9か月以内に完了する必要があります。推薦は有効なISC2認定資格を持つ専門家に依頼でき、知り合いがいなければISC2に依頼する仕組みもあります。推薦者探しだけで取得を諦める必要はありません。
実務経験が不足する人向けのAssociate経路では、最長6年間で必要な5年の経験を得ることになります。通常の認定申請とは経路が違うため、申し込み時に自分に合う手続きを選びます。
CISSPの費用｜受験料・維持費はいくら？
受験料だけでなく、認定後の年会費と継続学習まで含めて考える資格です。
| 費用・維持項目 | 金額・条件 | 負担の見方 |
|---|---|---|
| 受験料 | アジア太平洋の標準価格749米ドル | 税・請求通貨等は受験地域と予約画面で確認 |
| 認定後の年会費（AMF） | 年135米ドル | 初回は認定承認後に支払う |
| 教材・講習 | 選ぶ教材や研修による | 独学と講師付き研修で大きく異なる |
| 継続教育（CPE） | 3年間で120クレジット | うち90は専門分野のGroup A。年間40は推奨目安 |
単純な換算例として1米ドル150円なら、受験料は約11万2,350円、年会費は約2万250円です。初回の受験料と年会費を合わせると約13万2,600円で、税や教材・研修費は別になります。為替により実際の円負担は変わります。
CPEは、毎回有料講習を買う仕組みではありません。対象となるウェビナーや学習などで積み上げる方法もあります。一方、費用だけでなく、学習時間を継続して確保する負担は残ります。Associateは年会費50米ドル・年間15CPEで、CISSP認定後とは条件が異なります。
会社の支援を検討するなら、受験費用に加え、維持費、学習時間、取得後に任せたい仕事まで話せると、資格取得だけで終わりにくくなるでしょう。
CISSPの難易度は？日本語試験と勉強方法
試験は日本語で受けられます。現行のCAT方式では、試験時間は3時間、問題数は100〜150問です。合格基準は1,000点中700点ですが、正答率70％という意味ではありません。
難しさは、担当外まで含む範囲の広さと、複数の妥当な対策から設問に最も合うものを選ぶ判断にあります。技術経験が長くても、法律・物理的対策・組織運営など、日常で扱わない領域の補強が必要になる場合があります。
独学の記録もあり、日本語の公式教材も用意されています。勉強では、用語を覚えることに加え、選択肢がどの問題を解決しているかを比べる練習が重要です。具体的な教材と公開問題を使った考え方は、CISSPの勉強方法で紹介しています。
CISSPの評価・年収・取得メリットに関する質問
日本では意味がない資格ですか？
国内企業の保有実績があり、日本でも活用されています。特に、複数分野を横断して設計や助言、対策の運営を担う仕事と結び付きやすい資格です。担当製品の操作を深く学ぶことが目的なら、製品別の資格や実習のほうが直接的な場合もあります。
CISSPを取ると年収は上がりますか？
取得だけで給与が上がる仕組みではありません。担当する役割や会社の評価制度、実績によって変わります。資格手当の有無と、応募・社内異動で求められる仕事を合わせて確認すると、取得の効果を具体的に考えられます。
CISMとCISSPはどちらを先に取るとよいですか？
設計・開発・運用まで横断した知識を補いたいならCISSP、対策プログラムやガバナンスの運営を中心に整理したいならCISMが候補になります。自分が今不足を感じている仕事から選ぶと、学習の目的が明確になります。CISMの資格と仕事内容も参考になります。
CISSPは、専門の外側を含めて判断するための資格
CISSPの仕事は、特定の製品設定や事故対応の一種類に収まりません。クラウド利用の条件を決める、開発の対策をつなぐ、技術上の問題を経営が判断できる話にするなど、専門と専門の間を扱う仕事にもつながっています。
取得を考えるなら、「有名な国際資格だから」だけでなく、今の仕事でどこまで判断を求められているかを重ねると、学ぶ意味が見えてきます。実務経験と広い知識を結び付けたい人にとって、CISSPは検討する価値のある資格です。
参考資料
- ISC2：CISSP試験概要：8ドメイン、現行試験形式、合格基準。2024年4月適用版。次の改訂予定は2027年4月15日。
- ISC2：実務経験要件、エンドースメント：経験、短縮、Associate、認定申請。
- ISC2：試験価格、年会費、認定維持方針：受験料、AMF、CPE。
- James Wright氏インタビュー：本文日付2022年6月3日。当時のDisneyでの業務と本人の評価。
- Akhil Mittal氏寄稿：2024年7月26日。当時の業務と取得の動機。
- 蔵本雄一氏インタビュー：2018年9月取材。経営との対話と知識の活用。
- ヌーラボ：CISSP取得記録：2022年6月14日。取得動機を参照。過去の試験条件は現行説明に用いていません。
- NRIセキュア：会社概要：2026年4月1日時点の資格取得状況。
制度・価格は2026年10月20日確認。
本記事の文章・表・図解・グラフは、Skill Business Architecture Labが独自に編集・作成しています。引用・紹介する場合は、引用箇所が分かる形で、記事名・サイト名・記事URLをご記載ください。
コメント