OSCPは、許可された環境でシステムの弱点を見つけ、実際に侵入し、その手順を報告する力を確かめる国際的な民間資格です。知識問題を解くだけではなく、自分で調査し、行き詰まった原因を考え、別の方法を試す実技が中心になります。
資格名だけでは、どんな仕事につながるのか分かりにくいかもしれません。本記事では、侵入テストの仕事、日本の実務者の学習例、試験内容と費用から、取得を検討する意味を整理します。
OSCPとは？侵入テストの技能を確かめる資格
OSCPはOffensive Security Certified Professionalの略称で、OffSecが認定します。国家資格ではありませんが、実際の求人では侵入テストに関する能力を示す資格の一つとして扱われます。
侵入テストとは、会社の許可を得て「攻撃者がどこまで到達できるか」を検証する仕事です。例えば、外部から入れる場所を見つけた後、一般利用者の権限を管理者へ広げられるか、別のシステムへ進めるかを調べます。許可範囲を守り、実行した操作や証拠を残すことも仕事に含まれます。
単に弱点の一覧を作る検査との違いは、複数の問題を組み合わせたときの到達点を確かめることです。詳しくは脆弱性診断とペネトレーションテストの違いで説明しています。
どんな仕事で役立つ？
直接つながるのは、セキュリティ会社のペネトレーションテスターや診断担当者です。顧客のシステムを調べ、侵入できた条件と影響を報告し、対策を検討する材料を渡します。
防御側の担当者にも学ぶ意味があります。攻撃の痕跡を監視するSOCの担当者なら、攻撃者が権限を広げるためにどんな操作をするかを、自分の手で確かめられます。「このログが出た」だけでなく、その前後で何が起き得るかを考える材料になります。
GMOイエラエの実際のペネトレーションテスター求人では、脆弱性診断・侵入テストの経験などを求めています。資格だけで仕事が成立するというより、技術を実務へつなぐ職種の中に資格が位置付いています。
OSCP+との違いは？資格の有効期限を整理
現在の対象試験に合格すると、OSCPとOSCP+を取得します。OSCPは失効期限のない資格で、OSCP+は取得から3年間有効です。OSCP+を更新しなくても、OSCPまで失うわけではありません。
| 名称 | 有効期限 | 理解しておきたいこと |
|---|---|---|
| OSCP | 期限なし | 取得した実技資格として残る |
| OSCP+ | 3年間 | 有効な状態を保つには所定の更新が必要 |
| PEN-200 | 資格名ではなく講座 | 試験準備の教材・演習環境を提供するコース |
講座、試験、取得後の資格を分けると、購入内容も理解しやすくなります。検索で見つかる古い受験記には、以前の加点や試験方式が含まれるため、現在の受験条件は公式案内と照合するのが確実です。
OSCP試験の内容と難易度
公式の試験ガイドでは、仮想環境の実技に23時間45分、その終了後の報告書提出に24時間が与えられます。独立した3台と、組織内の利用者・端末などをまとめて管理するActive Directoryの3台構成を対象にし、100点中70点以上が合格基準です。
報告書には、技術者が同じ結果を再現できるだけの手順と証拠が求められます。たまたま侵入できても、何をしたのか説明できなければ十分な成果になりません。
暗記より「次に何を調べるか」が難しい
説明用の例として、あるサーバーへ接続できたものの、管理者権限がない場面を考えてみます。そこで終わりにせず、設定、実行中の処理、利用できる権限などを調べ、次の手掛かりを探します。
難しいのは、答えを知らない状態で調査の優先順位を決めることです。一つの方法を続けるか、情報収集へ戻るか、別の対象へ移るか。操作の知識に加えて、調査と記録の進め方が問われます。
合格率は、今回確認した公式案内では公表値を確認できませんでした。非公式の数字で難易度を断定するより、実技時間、必要な前提知識、受験者の準備を見たほうが実像に近づけます。
OSCPの勉強時間は？日本の実務者の学習例
OffSecは、TCP/IP、Windows・Linuxの管理、基本的なスクリプトへの理解を推奨しています。ITの入門から一度に学ぶ資格というより、基礎を使って検証する学習です。
GMOイエラエのSOC担当者による2025年の合格体験記では、週15～20時間程度を確保し、PEN-200の受講開始から合格まで2年かかったと報告されています。CSIRTやSOCの経験はありましたが、侵入テストの業務経験はなかった方です。
これは標準学習時間ではありません。育児と学習の両立、再受験、演習環境の選び直しを含む一人の経過です。ただ、「セキュリティの仕事をしていれば短期間で簡単に取れる」とは限らないことは伝わります。
学習で残したいのは、攻略した台数だけではない
演習では、成功した操作と同じくらい、失敗した仮説や見落とした情報の記録が役立ちます。解説を見て理解できても、別の環境で自力で手掛かりを見つけられるとは限らないためです。
調査対象、試したこと、得られた事実、次に試す理由を分けて記録すると、行き詰まったときに戻りやすくなります。この記録は、試験後に報告書をまとめる準備にもなります。
OSCPの費用はいくら？教材・演習期間も含めて比較
OffSecの公開価格は次のとおりです。米ドル建てで、円での支払額は為替や適用される税などで変わります。
| 購入方法 | 公開価格 | 主な内容 |
|---|---|---|
| OSCP+試験単体 | 1,699ドル | 教材なしで受験する選択肢。受験回数等は購入条件を確認 |
| Course + Cert Bundle | 1,749ドル | 対象講座・演習環境90日、試験1回 |
| Learn One | 年2,749ドル | 対象講座1つと演習環境への1年間のアクセス、試験2回 |
比較したいのは、試験料だけではなく、その期間にどれくらい演習できるかです。仕事が忙しく90日で十分に進められない場合、安いプランを選んでも追加の学習費用が発生することがあります。Learn Oneは解約しなければ自動更新される契約である点も含めて比較できます。
CEH・CISSPと何が違う？取得を検討する人
| 資格 | 学習・評価の主な重点 | 検討しやすい目的 |
|---|---|---|
| OSCP | 自分で調査・侵入・権限昇格・報告を行う実技 | 侵入テストを行う力を身につけ、示したい |
| CEH | 攻撃手法と対策を広く学ぶ。知識試験と実技試験は別 | 攻撃者の視点を体系的に学びたい |
| CISSP | 技術と管理を横断するセキュリティの設計・判断 | 組織やシステム全体を扱う専門性を広げたい |
難易度だけの上下関係ではなく、自分の仕事で何をするかによる違いです。組織の管理や予算判断を主に担う方が、OSCPの実技を最優先にするとは限りません。CISSPの仕事と学習は既存のCISSP紹介記事も参考になります。
よくある質問
OSCPは日本語で受けられる？
公式教材や試験の案内は英語が中心です。報告書作成も含め、技術情報を英語で読み書きする負担を見込むと学習計画を立てやすくなります。翻訳ツールの試験中の使用可否は、最新の試験規則に従います。
生成AIを使って受験できる？
学習時の補助と試験中の利用は別です。OSCP+試験ではChatGPT等のチャットボット・生成AIの使用が禁止されています。自分で調査・検証・記録できる状態へ準備する試験です。
日本の取得者数は？
今回確認した公式資料では、日本の総取得者数を確認できませんでした。存在感を判断する材料としては、実際の求人、国内企業の研修、取得者の業務内容が使えます。
まとめ｜侵入できるだけでなく、調べて説明する力
OSCPは、攻撃手法を知っていることに加え、許可された環境で実際に調査し、再現できる形で報告する技能を確かめる資格です。
侵入テストを仕事にしたい方だけでなく、監視や防御の担当者が攻撃の過程を理解するためにも学ぶ意味があります。取得を検討する際は、資格名の印象より、担当したい仕事、前提知識、演習に使える時間から考えると選びやすくなります。
参考資料
- OffSec PEN-200：講座、前提知識、料金、OSCPとOSCP+の違い。
- OffSec OSCP+ Exam Guide：実技・報告書・採点・ツール制限。2026年4月更新版。
- GMOイエラエ・SOCメンバーのOSCP+合格体験記：仕事内容、取得理由、学習の経過。
- GMOイエラエ・ペネトレーションテスター求人：実際の職種と求める経験。
—
本記事の文章・表・図解・グラフは、Skill Business Architecture Labが独自に編集・作成しています。引用・紹介する場合は、引用箇所が分かる形で、記事名・サイト名・記事URLをご記載ください。
コメント