CISSP勉強法：IT監査・セキュリティ担当者向けガイドMay 1, 2026 · 3 分
CISSP勉強法：IT監査・セキュリティ担当者向けガイド
目次

はじめに：CISSPとは何か、なぜ今注目されているのか

CISSP（Certified Information Systems Security Professional）は、(ISC)²が認定する情報セキュリティ分野で最も権威ある国際資格の一つです。サイバーセキュリティの専門家としての知識と実務経験を証明する資格として、世界中で15万人以上の保持者がいます。

近年、日本でもサイバー攻撃の高度化やコンプライアンス要件の厳格化に伴い、CISSPの重要性が急速に高まっています。特にIT監査担当者やセキュリティ担当者にとって、CISSPは以下のような価値を持ちます。

本記事では、IT監査・セキュリティ実務担当者の視点から、効率的かつ実践的なCISSP勉強法を詳しく解説します。

CISSPの概要と試験形式

試験の基本情報

CISSPの試験形式を正確に理解することは、効果的な学習計画の第一歩です。

項目内容
試験時間4時間（CAT形式：最短2時間）
問題数125〜175問（CAT形式）
合格ライン1000点満点中700点以上
試験言語日本語選択可能
受験料749米ドル（2024年時点）
試験形式コンピューター適応型テスト（CAT）

CAT（Computerized Adaptive Testing）形式とは、受験者の回答に応じて次の問題の難易度が変化する方式です。正解が続くと難しい問題が出題され、最短125問で合否が判定されます。

8つのドメイン

CISSPは、情報セキュリティを8つのドメイン（領域）で体系化しています。各ドメインの出題比率と概要を理解しておくことが重要です。

  1. セキュリティとリスクマネジメント（15%）

    • セキュリティガバナンス、コンプライアンス、リスク管理
    • IT監査担当者には最も馴染みやすい領域

  2. アセットセキュリティ（10%）

    • 情報資産の分類、所有権、保護要件

  3. セキュリティアーキテクチャとエンジニアリング（13%）

    • セキュリティモデル、暗号化、物理セキュリティ

  4. 通信とネットワークセキュリティ（13%）

    • ネットワーク構造、セキュアな通信チャネル

  5. アイデンティティとアクセス管理（13%）

    • 認証、認可、アカウント管理

  6. セキュリティ評価とテスト（12%）

    • 脆弱性評価、ペネトレーションテスト、監査

  7. セキュリティオペレーション（13%）

    • インシデント管理、災害復旧、運用セキュリティ

  8. ソフトウェア開発セキュリティ（11%）

    • セキュアな開発ライフサイクル、アプリケーションセキュリティ

受験資格

CISSPには厳格な受験資格が設定されています。

IT監査担当者の場合、リスクマネジメントやセキュリティ評価の実務経験が該当することが多いでしょう。

勉強法の7つのステップ

ステップ1：現状分析と学習計画の策定（1〜2週間）

効果的な学習は、まず自己分析から始まります。

現状スキルの棚卸し

以下のチェックリストで、各ドメインの理解度を5段階で自己評価してください。

□ セキュリティとリスクマネジメント：〇〇/5
□ アセットセキュリティ：〇〇/5
□ セキュリティアーキテクチャ：〇〇/5
□ 通信とネットワーク：〇〇/5
□ アイデンティティとアクセス管理：〇〇/5
□ セキュリティ評価とテスト：〇〇/5
□ セキュリティオペレーション：〇〇/5
□ ソフトウェア開発セキュリティ：〇〇/5

IT監査担当者であれば、ドメイン1（リスクマネジメント）やドメイン6（セキュリティ評価）は比較的高いスコアになることが多いです。逆に、ドメイン4（ネットワーク）やドメイン8（ソフトウェア開発）は弱点になりやすい傾向があります。

学習期間の目安

一般的な学習期間の目安は以下の通りです。

フルタイムで働きながらの場合、1日1〜2時間の学習を確保し、週末に集中学習する計画が現実的です。

具体的な週間スケジュール例

【平日】
- 通勤時間：音声教材や用語カードで30分
- 昼休み：問題演習15分
- 夜：テキスト学習45分〜1時間

【週末】
- 土曜：集中学習3〜4時間（新しいドメインの学習）
- 日曜：復習と問題演習2〜3時間

ステップ2：公式教材と参考書の選定

必須教材

  1. 公式スタディガイド（OSG）

    • 「CISSP Official Study Guide」（Sybex社）
    • 最も包括的な教材、約1000ページ
    • 英語版が基本だが、日本語訳版も存在
    • 価格：約8,000〜10,000円

  2. 公式練習問題集

    • 「CISSP Official Practice Tests」
    • 約1,300問の練習問題
    • 解説が充実しており、理解度確認に最適
    • 価格：約5,000〜6,000円

推奨補助教材

  1. 日本語参考書

    • 「CISSP認定試験 公式ガイドブック」（NTT出版）
    • 日本語で基礎を固めたい方に最適

  2. オンライン講座

    • Cybrary（無料コースあり）
    • LinkedIn Learning
    • Udemy（セール時に2,000円程度で購入可能）

  3. フラッシュカードアプリ

    • Anki（無料）
    • Quizlet（CISSP用セットが多数公開）

IT監査担当者向け追加推奨教材

IT監査の視点を活かすために、以下の資料も参照することをお勧めします。

これらのフレームワークはCISSP試験でも頻出であり、監査業務との相乗効果が期待できます。

ステップ3：8ドメインの効率的な学習順序

すべてのドメインを均等に学習するのではなく、戦略的な順序で取り組むことが効率的です。

推奨学習順序（IT監査・セキュリティ担当者向け）

フェーズ1：基盤構築（4〜6週間）

  1. ドメイン1：セキュリティとリスクマネジメント（2週間）

    • すべての土台となる概念
    • IT監査の知識が直接活きる
    • 重要キーワード：CIA三原則、デューケア、デューデリジェンス、リスクアセスメント

  2. ドメイン2：アセットセキュリティ（1週間）

    • 情報分類と取り扱い
    • データライフサイクル管理

  3. ドメイン5：アイデンティティとアクセス管理（2週間）

    • 認証・認可の概念
    • アクセス制御モデル（MAC、DAC、RBAC）

フェーズ2：技術深掘り（6〜8週間）

  1. ドメイン3：セキュリティアーキテクチャ（2週間）

    • 暗号化技術の理解
    • セキュリティモデル（Bell-LaPadula、Biba等）

  2. ドメイン4：通信とネットワーク（2〜3週間）

    • OSI参照モデル、TCP/IPスタック
    • ネットワーク攻撃と防御

  3. ドメイン7：セキュリティオペレーション（2週間）

    • インシデント対応プロセス
    • BCP/DR（事業継続・災害復旧）

フェーズ3：専門領域（3〜4週間）

  1. ドメイン6：セキュリティ評価とテスト（1〜2週間）

    • 監査手法と評価基準
    • 脆弱性スキャンとペネトレーションテスト

  2. ドメイン8：ソフトウェア開発セキュリティ（1〜2週間）

    • SDLC（ソフトウェア開発ライフサイクル）
    • セキュアコーディング原則

ステップ4：実務経験との紐付け

CISSPの最大の特徴は、単なる暗記ではなく「マネジメント視点での判断力」が問われることです。IT監査・セキュリティ担当者として、日常業務をCISSPの概念に結びつけることで、理解が深まります。

実務との紐付け例

業務内容関連ドメインCISSP概念
リスクアセスメント実施ドメイン1定量的/定性的リスク分析、ALE計算
アクセス権レビュードメイン5職務分離、最小権限の原則
セキュリティポリシー策定ドメイン1ガバナンスフレームワーク
インシデント対応訓練ドメイン7インシデント対応ライフサイクル
ベンダー評価ドメイン1サードパーティリスク管理
システム監査ドメイン6コントロール評価、監査証跡

実践テクニック：日報との連携

毎日の業務日報に、その日の作業がCISSPのどのドメイン・概念に該当するかを一言メモしてください。例えば：

【本日の業務】
- Webシステムの脆弱性診断結果レビュー
  → ドメイン6：脆弱性評価、CVSS、リスクランキング

- 新入社員のアクセス権申請承認
  → ドメイン5：プロビジョニング、最小権限、ジョブローテーション

- ファイアウォールルール変更の監査
  → ドメイン4：境界防御、DMZ、イングレス/エグレスフィルタリング

このような習慣を続けることで、試験問題を読んだときに実務経験と結びついた直感的な理解が可能になります。

ステップ5：問題演習の戦略的活用

CISSPの問題は、単純な知識を問うものではなく、「セキュリティマネージャーとしてどう判断するか」を問う傾向があります。

問題の特徴

効果的な問題演習法

  1. 初回学習時：各ドメイン学習後に、該当範囲の問題を50〜100問解く
  2. 復習時：間違えた問題を分類し、弱点ドメインを特定
  3. 直前期：模擬試験を本番と同じ条件（時間制限あり）で実施

おすすめの問題集・問題サイト

問題演習の目標正答率

学習段階目標正答率
初期（〜2ヶ月）50〜60%
中期（2〜3ヶ月）65〜75%
直前期80%以上

80%以上を安定して取れるようになれば、合格圏内と言えます。

IT監査担当者向け問題アプローチ

IT監査の視点は、CISSP試験で大きな強みになります。問題を解く際は、以下の思考プロセスを意識してください。

  1. リスクベースで考える：最もリスクの高い選択肢は何か
  2. コントロールの有効性：予防的か、検知的か、是正的か
  3. ビジネス視点：コスト効果、実現可能性、経営へのインパクト
  4. 法令遵守：コンプライアンス要件を満たしているか

例えば、「データ漏洩が発生した場合、最初に何をすべきか」という問題では：

✗ 「メディアへの公表」→ 最初ではない ✗ 「犯人の特定」→ 即座にはできない ✗ 「システムの完全停止」→ ビジネスインパクトが大きすぎる ○ 「被害範囲の特定と封じ込め」→ インシデント対応の基本

ステップ6：暗記が必要な項目の効率的な覚え方

CISSPでは、一定量の暗記も避けられません。特に以下の項目は確実に覚える必要があります。

必須暗記項目

  1. 暗号アルゴリズム

    • 対称鍵：DES（56bit）、3DES、AES（128/192/256bit）、Blowfish
    • 非対称鍵：RSA、ECC、Diffie-Hellman
    • ハッシュ：MD5（128bit）、SHA-1（160bit）、SHA-256/512

  2. ポート番号

    • HTTP(80)、HTTPS(443)、FTP(20/21)、SSH(22)、Telnet(23)、SMTP(25)、DNS(53)、LDAP(389)、LDAPS(636)

  3. OSI参照モデル

    • 第7層から順に：アプリケーション、プレゼンテーション、セッション、トランスポート、ネットワーク、データリンク、物理
    • 語呂合わせ：「アプセトネデブ」

  4. セキュリティモデル

    • Bell-LaPadula：機密性重視（No Read Up, No Write Down）
    • Biba：完全性重視（No Read Down, No Write Up）
    • Clark-Wilson：完全性、職務分離

  5. 計算式

    • ALE（年間予想損失額）= SLE × ARO
    • SLE（単一予想損失額）= AV × EF
    • MTTR + MTBF = MTTF の関係性

効果的な暗記テクニック

  1. スペーシング効果の活用

    • 同じ内容を1日後、3日後、1週間後、2週間後と間隔を空けて復習
    • Ankiアプリはこの間隔を自動調整してくれる

  2. 関連付け記憶

    • 単独で覚えるのではなく、実務経験や既知の概念と関連付ける
    • 例：「AESはAdvanced Encryption Standardで、現在の政府標準。自社のVPN装置でも使っている」

  3. アウトプット重視

    • 読むだけでなく、声に出す、書く、人に説明する
    • 特に「人に説明する」は理解度チェックに最適

ステップ7：試験直前対策と当日の戦略

試験2週間前

試験1週間前

試験前日

試験当日の戦略

  1. 時間配分

    • CAT形式では125〜175問を4時間で解答
    • 1問あたり約1.5〜2分が目安
    • 最初の75問は慎重に（初期の回答が難易度に影響）

  2. 問題へのアプローチ

    • 問題文を最後まで読む（引っかけに注意）
    • 選択肢を消去法で絞る
    • 迷ったら「マネージャーの視点」で判断
    • 技術的に正しくても、ビジネス的に不適切な選択肢は除外

  3. メンタル管理

    • 難しい問題が続いても動揺しない（適応型テストの特性）
    • 休憩は計画的に取る（途中退室は可能だが時計は止まらない）

CAT形式の心構え

CAT形式では、合格ラインに近い受験者ほど問題数が多くなる傾向があります。175問まで続いても、それは「合格圏内にいる」ことの証拠です。最後まで諦めずに取り組んでください。

IT監査担当者ならではの強みを活かす

IT監査担当者は、CISSPの学習において特有の強みを持っています。

強み1：リスクベース思考の習慣

IT監査ではリスクベースアプローチが基本です。この思考習慣は、CISSP試験の問題を解く際に大きなアドバンテージになります。

例題 「限られた予算でセキュリティ対策を行う場合、最も優先すべきアプローチは何か」

IT監査担当者であれば、「リスクアセスメントを行い、最もリスクの高い領域から対処する」という判断が自然にできるでしょう。

強み2：コントロールの理解

予防的コントロール、検知的コントロール、是正的コントロールの分類は、監査業務で日常的に使用する概念です。CISSPでも同様の分類で問題が出題されます。

強み3：フレームワークの知識

COBIT、ISO 27001、NIST CSFなどのフレームワークに精通していれば、ドメイン1の学習が大幅に短縮できます。

強み4：文書化とエビデンスの重要性の理解

監査では証跡（エビデンス）の確保が重要です。CISSPでも、適切な記録管理や監査証跡の概念が頻出します。

よくある質問（FAQ）

Q1：英語が苦手ですが、日本語で受験できますか？

A：はい、日本語での受験が可能です。

ピアソンVUEの試験センターで、日本語を選択して受験できます。ただし、以下の点に注意してください。

対策として、学習段階から主要な用語は英語でも覚えておくことをお勧めします。例えば：

Q2：IT監査経験だけで受験資格を満たせますか？

A：多くの場合、満たせます。

IT監査業務は、CISSP の8ドメインのうち複数に該当する可能性があります。

5年の実務経験のうち、2つ以上のドメインにまたがっていれば受験資格を満たします。具体的な該当性は、(ISC)²の公式サイトで確認するか、認定申請時に判断されます。

経験が不足している場合でも、Associate of (ISC)² として先に試験に合格し、その後6年以内に経験を積む方法もあります。

Q3：どのくらいの期間で合格できますか？仕事と両立できますか？

A：平均的には3〜6ヶ月、仕事との両立は十分可能です。

実際の合格者のデータを見ると：

仕事と両立するためのコツ：

  1. 通勤時間の活用：音声教材やフラッシュカードで隙間時間を有効活用
  2. 業務との連携：日常業務をCISSP概念に紐付けて学習効率アップ
  3. 週末の集中学習：新しい概念の理解は週末に、平日は復習と問題演習
  4. チーム学習：同僚と勉強会を開催し、モチベーション維持
  5. マイルストーン設定：2ヶ月でドメイン1〜3完了など、具体的な目標を設定

また、会社によっては資格取得支援制度（受験料補助、学習時間の確保）がある場合もあります。上司に相談してみることをお勧めします。

合格後のキャリアパスと継続学習

CISSPに合格した後も、資格維持と継続的な成長が重要です。

資格維持要件

CPEクレジットは、以下の活動で取得できます。

活動CPE数
セキュリティ関連の書籍を読む1冊あたり5CPE
セミナー・ウェビナー参加1時間あたり1CPE
セキュリティ関連記事の執筆1記事あたり10CPE
セキュリティ関連の講師活動1時間あたり1CPE
他の資格試験の合格資格により10〜40CPE

IT監査担当者であれば、日常業務やJSAなどの団体活動でCPEを自然に取得できることが多いでしょう。

キャリアパスの例

CISSP取得後のキャリアパスとして、以下のような選択肢があります。

  1. セキュリティマネージャー/CISO

    • 組織全体のセキュリティ戦略を統括
    • CISSP + 経営知識で到達可能

  2. セキュリティコンサルタント

    • 複数の組織にセキュリティアドバイス
IT監査 セキュリティ