「多要素認証を使う」「個人情報を持ち出さない」「異常があれば報告する」。会社のルールを知っていても、なぜその対策が必要なのか、似た用語がどう違うのかまで説明できるとは限りません。
ISC2のCC（Certified in Cybersecurity）は、こうしたセキュリティの基礎を、実務経験がない段階から学べる認定資格です。米国のサイバーセキュリティ専門団体が提供していますが、日本語での学習・受験も可能です。
企業が育成で使う意味は、対策の理由と用語の関係を理解し、その後の実務教育を受けるための土台をそろえることにあります。基礎をすでに理解している経験者には、新たに取得する意味が小さい場合もあります。
この記事では、資格の位置づけ、2026年の試験・費用・無料施策の変更、日本語対応を整理したうえで、公開された受験者の経験と具体的な仕事の場面から、誰に向く学びなのかを考えます。
※制度・料金は2026年10月28日に確認しました。100万人向け無料施策の新規受付は終了しています。既発行の有効な試験コードには経過措置があります。
ISC2 CCとは？経験不要でセキュリティの基礎を学ぶ資格
米国ISC2の認定資格で、日本の国家資格ではない
CCの正式名称はCertified in Cybersecurityです。認定団体は米国のISC2で、CISSPやSSCPなども提供しています。CCはその中で、これからサイバーセキュリティを学ぶ人や、初級の職務を目指す人に向けた入口に位置づけられています。［1］
受験・認定にセキュリティの実務経験や特定の学位は必要ありません。ただし、公式には基本的なIT知識が推奨されています。パソコン、ネットワーク、クラウドといった言葉から学び始める人は、その分の準備も必要です。
CCに初級・上級といった級別はありません。同じISC2のCISSPやSSCPは、対象とする職務や実務経験要件が異なる別資格です。「CCから順番にすべて取得する」という制度でもありません。
どんな人の仕事につながるのか
想定しやすいのは、ITサポートや運用の新人、セキュリティ担当への異動・転職を考えている人、技術部門とやり取りする営業・企画担当者です。担当者の説明を理解し、必要な情報をそろえて相談するためにも、基礎知識は使います。
たとえばITサポートでアカウントの問い合わせを受けるとき、「本人かを確かめること」と「どこまで操作を許すか」は別の問題です。前者が認証、後者が認可です。この違いが分かれば、本人確認が済んだからといって管理者権限を付けてよいわけではない、と説明を理解できます。
CCは、このような判断の前提となる考え方を学ぶ資格です。取得者の職種が一つに決まるわけではなく、採用時に確認できるのは基礎知識の認定を得ていることです。実際に任せられる作業範囲は、その人の経験と別に確認します。
自社が必要とする知識と合うか、学習後に使う場があるか、維持費も含めて支援する意味があるかが判断の中心です。日本国内の最新のCC保有者数は、今回確認できた資料では確定できませんでした。
CCでは何を学ぶ？2026年9月からの5分野
対策の名前だけでなく、守る目的と運用を学ぶ
現行の試験範囲は、2026年9月1日発効の認定試験要綱です。古い受験記や講座案内に載っている分野名・配分と異なる部分があるため、教材を選ぶときは対応する版を確認してください。［2］
| 現行の分野 | 主な学習内容 | 仕事の説明を理解する際の接点 |
|---|---|---|
| セキュリティ原則 | 機密性・完全性・可用性、認証と認可、リスク、対策の種類、倫理 | 「情報を見せない」だけでなく、改ざんを防ぐこと、必要なときに利用できることも守る対象だと整理する |
| セキュリティ・ガバナンス | 方針や管理の枠組み、事業継続、教育、指標 | 技術を導入するだけでなく、誰が責任を持ち、どう継続・点検するかを理解する |
| IDおよびアクセス管理の概念 | 権限の付与・見直し・削除、必要最小限の権限、役割の分離 | 入社時の登録に加え、異動や契約終了時に権限を見直す理由を理解する |
| ネットワーキングとクラウドセキュリティの概念 | ネットワークの基本、通信の保護、クラウドの形態と責任分担 | クラウド事業者に任せる部分と、自社で管理する部分を区別する |
| セキュリティ運用とインシデント対応 | データの分類・保護、ログ、監視、対応計画、資産や変更の管理 | 記録を残す目的や、異常時に報告・調査・復旧へつなぐ流れを理解する |
ここで学ぶのは、特定製品のボタンの押し方に限らない知識です。製品が変わっても、「誰に何を許すか」「何を記録するか」「異常時に誰が判断するか」という問いは残ります。
例：承認済みのクラウドを使う企画担当者なら何が変わるか
以下は、試験範囲を仕事に結び付けるために当サイトで作成した仮例です。実在企業の導入効果や、実際の試験問題ではありません。
キャンペーン担当者が、社内で利用を承認されたクラウドサービスを使い、外部の制作会社と素材を共有するとします。会社には利用ルールも申請手順もあります。そのうえで、案件ごとに共有する情報や担当者、作業期間は変わります。
基礎知識がない状態では、「承認済みのサービスなので問題ない」「前回と同じ申請をすればよい」と、サービスの承認と個々の使い方の確認をひとまとめに考えがちです。CCで扱う知識に照らすと、確認したいことを分けられます。
まず、素材の中に公開前情報や個人情報が含まれるか。これはデータの分類と保護の問題です。次に、制作会社の全員が同じ情報を見る必要があるか、作業終了後にアクセスを残す必要があるか。こちらはアクセス権限の問題です。
さらに、クラウド事業者が設備を保護していても、自社の共有範囲や利用者管理まで自動で適切になるとは限りません。サービス形態や契約によって責任分担を確認する必要があります。異常が見つかった場合は、社内の窓口へ、何を見つけたのかを伝える準備も必要です。
知識が増える意味は、確認項目を丸暗記することより、異なる問題を区別して相談できることです。「サービスを使ってよいか」と「この案件の情報を、この相手に、いつまで共有してよいか」は、別に確認する必要があると分かります。
一方で、実際の権限設定、契約や個人情報の扱いの最終判断、ログの詳しい調査は、それぞれの担当者の知識・経験を要します。CCの学習に、自社のルールと実際の画面を使った教育を重ねることで、仕事へつなげていきます。
図：資格学習と実務教育をつなぐ考え方。当サイト作成の説明用仮例です。画像を選ぶと拡大できます。
CC試験の形式・難易度・取得の流れ
日本語を含むCAT試験で、100〜125問を2時間で解く
2026年9月版の公式要綱に記載された条件は次のとおりです。［2］
| 項目 | 現行の内容 |
|---|---|
| 試験方式 | コンピュータ適応型テスト（CAT） |
| 試験時間 | 2時間 |
| 問題数 | 100〜125問 |
| 問題形式 | 選択式問題など。公式要綱は「選択式問題と発展的問題」と記載 |
| 合格基準 | 1,000点満点中700点 |
| 言語 | 日本語、英語、中国語、ドイツ語、スペイン語 |
| 会場 | ピアソンVUEテストセンター |
| 実務経験・学位 | 必須要件なし |
CATは、解答状況に応じて出題が調整される方式です。問題数が全員同じとは限りません。また、700点という評価基準を「正答率70％」「合格率70％」と読み替えることはできません。実際の環境を構築して仕事を完了させる実技認定と同一視せず、公式の出題形式として理解してください。
古い記事の「100問固定」「英語のみ」という説明を、現在の日本語受験へ当てはめないことが大切です。
初心者向けだが、誰でも短期間で合格できるという意味ではない
CCは入口の資格ですが、ITを使うことに慣れている人と、ネットワークの仕組みやアクセス管理を説明できる人では、出発点が異なります。
たとえば、暗号化という単語を知っていても、通信中の情報を守ること、保存された情報を守ること、閲覧権限を絞ることの違いがあいまいなら、整理に時間が必要です。基礎用語を知っているかだけでなく、似た対策の目的を説明できるかを見ると、学習の不足が分かります。
今回の確認では、現行試験の公式な合格率と、初心者全般に適用できる平均学習時間は確認できませんでした。経験者の「対策なしで合格した」という体験を、そのまま新人の研修計画には使えません。
準備は、最新要綱で範囲を確認し、公式教材などで学び、不明な用語や概念の関係を説明し直す流れが基本です。講座の受講時間と、予習・復習を含めた本人の総学習時間は分けて考えます。
合格後は認定申請と年会費の支払いがある
取得の流れは、おおむね「教材・講座等による学習→試験の予約・受験→合格後の認定申請→初年度の年会費支払い」です。日本語公式案内では、ISC2倫理規約への同意、会員ページからの申請、年会費50米ドルの支払いが説明されています。［3］
CCには、CISSPやSSCPのような実務経験の蓄積を認定条件として証明する手続きはありません。ただし、試験に合格しただけで手続きがすべて終わるわけではありません。企業で取得を支援するなら、受験料だけでなく認定後の維持も含めて制度を設計する必要があります。
CCの費用は？無料キャンペーン終了と維持費を分けて確認
通常の受験料は199米ドル、CCのみの年会費は50米ドル
公式のアジア太平洋向け試験料金は199米ドルです。CCのみを保有する会員の年会費（AMF）は50米ドルで、認定時の初回支払いに加えて毎年必要になります。［4］［5］
| 費用・負担 | 確認した内容 |
|---|---|
| 通常受験料 | 199米ドル |
| CCのみの年会費 | 50米ドル／年 |
| 教材・講座 | 選択した商品により別途。受験料込みの商品もある |
| 継続教育 | 3年間で45CPEクレジット。CCの知識分野に関わるGroup Aが対象 |
通常料金で一度の受験に合格し、CCのみの会員になる場合、受験料と初年度年会費の合計は249米ドルです。これは教材・講座、税や決済時の為替・手数料などを含む総額ではありません。
SSCPやCISSPなど、ほかのISC2認定も持つ場合の年会費は135米ドルです。資格ごとに50米ドルを単純に加算するのではなく、会員としてのAMF規定を確認します。
100万人向け無料施策は新規受付を終了
「CCは無料で受験できる」と書かれた過去記事は多いものの、ISC2のOne Million Certified in Cybersecurity施策は、2026年5月20日をもって新規受付を終了しています。これから申し込む人全員が無料になる制度ではありません。［6］
既に施策で発行された試験コードを持ち、そのコードが失効していない人は、2026年12月31日までに予約と受験を行える経過措置があります。年内に予約だけすればよいのではなく、受験も終える必要があります。自身のコードの有効期限も満たす必要があり、全コードが年末まで延長されるという意味ではありません。
講座についても、2026年5月20日より前に登録し、受講アクセスが失効していない場合は引き続き受講できます。試験コードと講座アクセスの有効期限は別に確認してください。
この施策で試験が無料だった場合も、認定後の年会費や継続教育の負担は別です。過去の無料受験の体験談を、現在の総取得費用として読むことはできません。
維持には学び続ける時間も必要
CPEは継続教育を記録する仕組みです。CCは3年間で45クレジットが必要で、公式の年15クレジットは推奨ペースです。「毎年の必須値15」と「3年間の必須値45」を混同しないようにします。［5］
学習や専門的な活動を通じて取得するため、維持費は年会費だけでは捉えられません。会社が支援するなら、対象となる活動、記録・申告の方法、業務時間内の学習機会も考えます。どの活動も自動でCPEになるわけではないため、公式の認定継続要件に照らして記録します。
日本語でどこまで学べる？試験・教材・手続きを分けて見る
| 区分 | 確認できた日本語対応 | 申込み前に確認する点 |
|---|---|---|
| 試験 | 現行要綱に日本語を明記 | 予約時に選ぶ試験言語、会場、本人確認条件 |
| 公式教材・講座 | 日本語の公式セルフペーストレーニング、eTextbookの案内あり。国内公式パートナーの日本語講座もある | 2026年9月の新範囲への対応、利用期限、受験料の有無 |
| 認定手続き・問い合わせ | ISC2 Japanに日本語の認定申請案内と問い合わせ窓口あり | 会員画面や個別手続きの表示言語、本部への個別問い合わせの対応言語 |
日本語の教材があることと、認定後のあらゆる手続きが日本語だけで完結することは別です。今回はログインを伴う会員画面や、本部サポートの個別対応言語まで確認していません。CCには実務経験証明は不要ですが、受験予約・認定申請・維持の案内は、それぞれ確認しておくと負担を見積もりやすくなります。［3］［7］
講師に質問しながら学びたい場合は、有料講座も選択肢です。国内公式パートナーGSXの掲載例では、日本語のオンラインライブ講座1日、教材、試験バウチャー等を含む特別価格が132,000円（税込）です。［8］
ただし、同ページには旧試験範囲や旧問題数の記載も残っていました。価格例と現行試験条件の出典を分け、実際に申し込む際には新範囲への対応や提供内容を確認してください。
独学でも受験は可能です。学びたいだけなら、まず公式の試験範囲や学習リソースを見て、自分に不足する分野を確かめる方法もあります。認定の取得は、学習の区切りや社内での基礎確認に必要かどうかを考えて選びます。
受験者の経験から分かる、学ぶ意味と追加価値の違い
断片的な独学に、基礎を学ぶ区切りをつくる
2023年10月公開のDreamtime Graffitiの受験記では、IT業務の経験がない筆者が、以前から学習やセミナー参加を続けていたものの、知識を日々使う環境がなく、用語同士の関係もつかみにくかったと説明しています。そこで、基礎的な資格を学習の区切りにしようと、当時の無料施策でCCの講座と試験を選んでいます。［9］
筆者は、CCが入門者にとって情報セキュリティの世界や用語を学ぶきっかけになると評価しています。また、対象に物理的な警備や消火設備、方針なども含まれることに触れ、ネット上の攻撃だけに収まらない範囲として捉えています。
この経験から読み取れるのは、関連職歴がなく、学びが断片化していた人が、基礎をまとめて学ぶ節目としてCCを使ったということです。資格取得によって就職や業務改善が実現したという事例ではありません。
企業の新人教育に置き換えるなら、「セキュリティに興味があるので自由に勉強しておいて」と任せるより、まず扱う概念の範囲を共有する用途が考えられます。その後に実際の業務で使う機会をつくることは、企業側の役割です。
既に関連知識を持つ人には、新しい学びが少ないこともある
一方、2022年9月公開のZennの受験記では、テクニカルサポート4年目で、複数のセキュリティ製品を扱い、ほかのセキュリティ資格の学習経験もあった筆者が、CC向けの講座を受けずに既存の知識で受験したと記しています。［10］
受験前に持っていた知識が違えば、追加で学ぶ量も変わるという例です。既に基礎概念を説明できる社員に一律取得を課すより、本人が不足を感じる運用・設計・分析の学習へ進む方が合う場合があります。
ISC2の日本語会員紹介にも、CC保有者の佐々木景太氏が、オンラインで時間のあるときに学べることや、学習範囲の広さを評価するコメントがあります。ただし、掲載文だけでは取得前の職務や、取得後の業務変化までは分かりません。学習形式への評価として扱うのが適切です。［11］
SG・Security+・CISSPとはどう違う？目的から選ぶ
国内の利用部門育成か、セキュリティの共通基礎か
情報セキュリティマネジメント試験（SG）は、IPAが実施する日本の国家試験で、情報システムの利用部門でセキュリティを維持・改善する人を対象としています。部門の情報資産、外部委託、教育、対策の要求事項など、利用部門の役割が明確です。受験手数料は7,500円（税込）です。［12］
CCは、セキュリティの初級職務へ向かうための基礎知識を、ISC2の枠組みで整理する資格です。技術者を目指す人に限らず、関連部門と話すために学ぶ使い方もできますが、日本の利用部門の業務に焦点を合わせたSGとは、教材の組み立てや認定の維持負担が異なります。
| 候補 | 学習目的として考えやすい場面 | 選ぶ際の負担・前提 |
|---|---|---|
| ISC2 CC | 経験がない段階から、対策の原理・権限・ネットワーク・運用の基礎を整理したい | 日本語受験可。通常受験料199米ドルに加え、CCのみの年会費50米ドルと継続教育を考える |
| 情報セキュリティマネジメント（SG） | 利用部門の担当者として、規程や委託・教育・情報管理を含めて学びたい | 国内の国家試験。日本語の出題・学習資料があり、受験手数料は7,500円 |
| CompTIA Security+ | セキュリティの基礎を踏まえ、技術的な対処・運用も含めて学習したい | 関連IT知識の出発点と現行の出題範囲を照合し、教材・受験・更新にかかる負担を別途確認する |
この表は難易度の順位表ではありません。CCを取ってからSGやSecurity+を取ることが必須でもありません。どこが分からず、今後どの仕事を担いたいかから選びます。Security+については、企業が育成に使う際の判断軸を整理した記事でも説明しています。［13］
SGについて迷う場合も、情報セキュリティマネジメント試験を学ぶ意味と、自社で担当させたい役割を照らし合わせて考えるとよいでしょう。
CISSPやSSCPとは、対象とする経験が違う
CISSPは、セキュリティの幅広い領域を横断して設計・管理する経験者向けの資格です。SSCPは、安全なIT基盤の運用・実装・監視に関わる知識を扱います。認定に必要な実務経験は、CCの「不要」に対し、SSCPは原則1年、CISSPは原則5年です。各資格には分野や免除等の条件があります。［14］
CCに合格したら、すぐCISSPを目指す必要はありません。利用部門の情報管理、ITサポート、ネットワーク運用、事故対応など、担当する仕事を通じて経験を積み、その後の学習を選べます。CISSPの位置づけは、仕事内容・取得条件を解説した記事で確認できます。
企業がCCを育成に使うなら、取得後に何をつなぐか
共通の基礎と、自社で必要な行動をつなげる
CCが合いそうなのは、担当者ごとに基礎用語の理解がばらついている組織や、未経験者が専門担当者の説明を受ける機会が増えた職場です。何を知っていてほしいかを試験範囲で共有できるため、指導の出発点をそろえやすくなります。
先ほどのクラウド共有の例なら、認証・認可・データ分類・責任分担を学んだ後、自社の案件で「誰へ、何を、いつまで共有するか」を説明してもらいます。そこで初めて、知識を使って条件を整理できているかが見えてきます。
続いて、自社の申請先、承認者、操作手順、契約終了時の処理を教えます。資格教材には出てこない社内固有の情報です。作業を任せる前には、練習環境や上司の確認の下で、実際に行えるかを確かめます。
異常時の報告も同じです。「インシデント対応を知っている」から「この会社で、誰に、何を伝えるか」へ進む必要があります。現場での役割や連絡を確かめる教育は、インシデント対応訓練の考え方にもつながります。
取得人数より、説明がどこまで具体的になったかを見る
企業が確認したいのは、合格者が何人いるかだけではありません。たとえば「承認済みクラウドだから安全です」で止まっていた説明が、「サービス自体の承認は済んでいるが、この案件の共有範囲と終了時の権限削除は別に確認します」と具体的になるか。その変化を、案件や演習に即して見ます。
これは、企業が育成の前後で確かめる観点です。最初から説明できている人なら、CCの学習範囲を再履修するより、実機操作や担当分野の掘り下げに時間を使う判断もできます。
採用時にも、CCという名称だけで配置を決めず、何を学び、どの場面で使ったかを確認します。未経験者であれば、業務実績の代わりに、学んだ原理を身近なケースへ当てはめて説明してもらう方法が考えられます。学習への取り組みと、既に仕事ができることを分けて評価できます。
まとめ：CCは、基礎知識をそろえて実務教育へ進むための選択肢
ISC2 CCは、実務経験がない段階からセキュリティの基礎を学べる認定資格です。日本語の試験と公式教材があり、対策の目的、権限、ネットワーク、運用などの知識を整理する入口になります。
企業での価値は、資格名を増やすことよりも、本人確認と権限管理、サービスの承認と案件ごとの使い方といった、混同しやすい問題を区別して理解することにあります。そのうえで、自社の手順・演習・担当者からの指導を重ねて、実際の行動へつなげます。
無料施策の新規受付は終了しており、通常受験料、認定後の年会費、継続教育まで含めて判断する必要があります。初学者の基礎づくりに使うのか、既に基礎を持つ社員には別の学びを用意するのか。担当させたい仕事と現在の理解から選ぶことが、育成のための資格活用につながります。
参考資料
制度・料金の確認日は2026年10月28日です。本人談は公開当時の経験として参照し、現在の制度条件には使用していません。
- ISC2：CC認定資格、ISC2 Japan・CC概要
- ISC2：CC試験範囲・2026年9月1日発効版、日本語試験要綱PDF、CATの説明
- ISC2 Japan：CC認定登録
- ISC2：試験料金
- ISC2：会員規定、ISC2 Japan・認定継続要件
- ISC2：One Million Certified in Cybersecurity終了案内・FAQ
- ISC2 Japan：CC受験・学習案内、問い合わせ、ISC2：CC自習リソース
- GSX：公式CCトレーニング（価格・提供物の掲載例。試験条件は資料2を優先）
- Dreamtime Graffiti：Certified in Cybersecurity受験記（2023年10月4日）
- valmet083：Certified in Cybersecurityの受験記（2022年9月22日）
- ISC2：日本のメンバーの声（佐々木景太氏・CCのコメント）
- IPA：情報セキュリティマネジメント試験、受験手数料
- CompTIA：Security+公式案内
- ISC2：SSCP経験要件、CISSP経験要件
本記事の文章・表・図解・グラフは、Skill Business Architecture Labが独自に編集・作成しています。引用・紹介する場合は、引用箇所が分かる形で、記事名・サイト名・記事URLをご記載ください。
コメント