CISSPの勉強方法は、公式問題集を軸に「管理者として最もリスクを下げる答え」を選ぶ練習を積む形が基本です。本記事で紹介する合格者3人の学習時間は100〜180時間でした。この記事では、勉強時間の目安、日本語と英語の公式教材の選び方、CAT方式から逆算した解き方、8ドメインの配点を、ISC2の一次情報で確認したうえで整理します。2027年4月15日に試験要綱が改定され、配点と出題項目が変わるため、受験時期によって教材の選び方が変わる点も扱います。
まとめ：CISSP合格までの勉強法の要点
- 紹介する合格体験記3件の学習時間は100〜180時間。実務で触れていない小項目が多いほど長くなるので、要綱で未経験の範囲を数えてから計画する。
- 教材は公式問題集を軸にする。日本語なら2026年6月に電子版が出た公式問題集第2版（原書第4版の翻訳）、英語なら公式ガイド第10版と公式問題集第4版。仕上げにBoson ExSim-Max（6回分・900問）。
- 試験はCAT（100〜150問・最大3時間・見直し不可）。時間切れで100問に届かないと自動的に不合格になる。模擬試験では最大150問に備え、1問平均1.2分以内を目安にする。
- 設問は「技術的に最善」ではなく「管理者として最善」を選ぶ。方針・承認・人命・事業継続が技術的対処より先に来る選択肢が正解になりやすい。
- 2027年4月15日以降の受験は新要綱。ドメイン1の配点が16%から13.6%に下がり、AI倫理・AI脅威・耐量子暗号・SBOMが加わる。2027年4月14日までに受けるなら現行要綱で準備する。
CISSPの難易度と現行の試験形式
CISSP（Certified Information Systems Security Professional）は、ISC2が認定する情報セキュリティの資格で、技術・運用・マネジメントの8ドメインを横断して問います。ISC2はCISSPを米国防総省のDoD 8140の承認資格として掲げています。合格率をISC2は公表していません。ネット上の「合格率○%」は非公式の推計なので、難易度の判断には使わないでください。
「簡単になった」と言われる理由｜2024年4月の全言語CAT化
2024年4月15日、日本語・ドイツ語・スペイン語の試験が固定形式（リニア）からCATへ移り、全言語がCATに統一されました（ISC2のCISSP Exam Refresh FAQ）。日本語受験は最大6時間から3時間になり、問題数も100〜150問に減っています。
合格点は1,000点満点中700点で変わっていません。「簡単になった」の実体は試験時間と問題数の短縮であり、合格基準の引き下げではありません。難しさの中心は、後述する管理者視点の判断問題にあります。
CATの仕組みから逆算する時間配分
ISC2のCAT解説ページには、勉強の進め方に直結する規則が4つ書かれています。
- どの受験者にも採点されない試行問題（プレテスト）が25問含まれ、採点される問題と見分けはつかない。
- 回答を確定した問題には戻れない（見直し不可）。
- 100問に到達した時点から、能力推定値が合格基準の上か下かを95%の信頼度で判定できれば終了する。
- 最大3時間までに採点問題75問とプレテスト25問（計100問）に回答できなければ、自動的に不合格になる。
ここから時間配分が決まります。180分で100問に届くには1問あたり1.8分が上限で、150問まで出題される前提なら1.2分です。2〜3択で迷った問題に3分以上かけると、最後に問題数が足りなくなる危険があります。見直しができないので「後で戻る」も使えません。模擬試験は必ず時間を計り、1問1分台で判断を確定させる練習にあてます。分からない問題がプレテストである可能性もあるので、1問の失点で崩れないことも大切です。
2027年4月15日の試験要綱改定｜配点と追加項目
ISC2はCISSP試験要綱のページで、2027年4月15日から新しい試験要綱に基づいて出題すると告知しています。新要綱は日本語版のPDFも公開済みです。問題数（100〜150問）・試験時間（3時間）・合格点（700点）・対応言語は変わりません。変わるのは配点と出題項目です。
| ドメイン | 現行（2024年4月15日〜） | 新要綱（2027年4月15日〜） |
|---|---|---|
| 1 セキュリティとリスクマネジメント（新：セキュリティガバナンスとリスク管理） | 16% | 13.6% |
| 2 資産のセキュリティ | 10% | 12% |
| 3 セキュリティアーキテクチャとエンジニアリング | 13% | 12.8% |
| 4 通信とネットワークのセキュリティ | 13% | 12.8% |
| 5 アイデンティティとアクセスの管理（IAM） | 13% | 13.6% |
| 6 セキュリティの評価とテスト | 12% | 11.2% |
| 7 セキュリティの運用 | 13% | 12.8% |
| 8 ソフトウェア開発セキュリティ | 10% | 11.2% |
配点の出典は、現行が2024年版の試験要綱PDF、新要綱が2027年版の試験要綱PDF（日本語）です。ドメイン1の突出（16%）がなくなり、8ドメインが11.2〜13.6%の幅に収まります。新要綱では「ドメイン1を最初に厚く固める」という定番の配分が効きにくくなり、資産のセキュリティ（ドメイン2）とソフトウェア開発（ドメイン8）の比重が上がります。
新要綱で加わる出題項目｜AI・耐量子暗号・SBOM
2024年版と2027年版の英語版PDFを突き合わせると、2024年版に無かった語として次が加わっています。
- ドメイン1：AIの倫理（Ethics in Artificial Intelligence）、サプライチェーンリスク対策の例としてのSBOM（Software Bill of Materials）。
- ドメイン3：暗号方式の例としての耐量子暗号（post-quantum）、攻撃の例としてのAI脅威（敵対的AI・AIモデルのポイズニング・ディープフェイク攻撃）、Well-architected framework、Two-person Integrity。
- ドメイン8：SSDF（Secure Software Development Framework）とSBOMの要件、シフトレフト、メモリ安全なプログラミング言語。
項目名にも小さな変更があります。ドメイン2の「資産の保持（asset retention）」は「資産の管理（asset management）」に、ドメイン5の「認証システムの実装」は「認証・認可システムの実装」になりました。新しく加わる論点は、SBOMならSBOM義務化の現在地｜経済産業省の手引とEU CRAが課す期限と対応範囲、耐量子暗号ならハイブリッド暗号方式とは？仕組みとPython実装・PQC移行を解説、AI脅威ならAIセキュリティとは？生成AIのセキュリティ対策とAI固有リスクを解説で前提を押さえられます。
受験時期で決める教材と配分
判断は受験日で分けます。2027年4月14日までに受けるなら、現行の2024年版要綱だけで準備してください。公式ガイド第10版も公式問題集第4版も2024年版の範囲で作られています。ただしAIの論点は現行要綱にもあり、ISC2は2026年4月2日に各試験のどこでAIが問われるかをまとめたExam Guidance for Artificial Intelligenceを公開しています。現行要綱で受ける人も、AIの扱いはこの資料で確認してください。
2027年4月15日以降に受けるなら、2024年版対応の教材で全体を学びつつ、上の追加項目を2027年版要綱PDFで個別に補います。2026年10月時点では、2027年版要綱に対応した公式ガイドの新版は確認できていません。勉強開始が2026年末以降で、合格まで4か月以上かかりそうな人は、2027年4月より前に受験日を置くか、新要綱で受けるかを最初に決めてから教材を買うのが安全です。
合格に必要な勉強時間｜合格体験記3件の実数と見積もり方
ISC2は標準の勉強時間を公表していません。以下に紹介する合格体験記3件では、自己申告の学習時間は100〜180時間です。必要時間の平均や上限を示す数値ではありません。
| 合格者の背景 | 総時間 | 期間 | 主な教材 |
|---|---|---|---|
| SRE・クラウドセキュリティ約4年 | 100時間強 | 約3か月 | 公式問題集（日本語） |
| ソリューションエンジニア | 約120時間 | 約6か月 | 5日間研修＋公式問題集（英語第4版） |
| 情報系の大学4年生（支援士合格者） | 約180時間 | 約1か月 | 動画講座と問題集など8種 |
出典は順にZennの合格体験記、ソフトバンクの技術ブログ、noteの合格体験記です。経験のあるドメインの数だけでは必要時間を算出できません。試験要綱で未経験の小項目を数え、最初の数ドメインの問題演習でどれだけ解けるかを見てから学習計画を調整してください。平日1時間・休日2時間のペースなら週9時間で、150時間に約4か月かかります。
CISSPの勉強方法｜要綱から模擬試験までの4段階
手順は「範囲の把握→原則のインプット→ドメイン別の演習→時間を計った模擬試験」の順です。最初から問題演習だけを回すと、用語の暗記で解ける問題集の正答率だけが上がり、本番の判断問題で崩れます。
段階1：試験要綱による出題範囲の把握
最初の数時間で、受験時期に合う試験要綱PDFを通読します。8ドメインの小項目（1.1〜8.5）が並んでおり、どこが実務で触れていない範囲かが一覧できます。触れていない小項目に印を付け、その数で上の勉強時間の見積もりを補正します。
段階2：公式ガイドによる役割・原則の理解
公式ガイドは全ページを通読するより、印を付けた小項目と、役割（データオーナー・カストディアン等）、リスク管理の手順、事業継続の手順を優先して読みます。NRIセキュアの解説が、役割・原則・判断基準の3つに絞る読み方を勧めているのも同じ理由です。デューケアとデューデリジェンスのように日本語の語感と定義が逆になりやすい用語は、デューケアとデューディリジェンスの違い｜ISC2公式定義と善管注意義務・証跡管理の実装のように公式の定義文で確認してください。
段階3：ドメイン別の問題演習と判断原則のノート化
問題集はドメイン単位で1周し、誤答のたびに「なぜその選択肢が管理者として最善か」を1行で書き出します。これがCISSPの勉強ノートになります。用語の定義を書き写すノートより、「方針と承認が技術的対処より先」「人の安全は資産より先」のような判断の原則を集めたノートのほうが、初見の問題に効きます。用語の暗記はフラッシュカードやアプリに任せます。
段階4：模擬試験による時間配分と理解度の確認
最後の2〜3週間は、100〜150問を1回3時間以内で解く模擬試験を繰り返します。正答率の合格目安は教材ごとに違います。noteの合格者は、Udemyの模擬問題集（6回分）は初見で安定して75%以上が仕上がりの目安とする一方、管理者視点の難問集は初見56%でも本番に100問で合格したと書いています。教材の難度が違う以上、正答率は同じ教材内で比較しつつ、再演習では答えの暗記による上昇を区別します。初見の問題でも、正答と誤答の理由を説明できるか確認してください。
教材・参考書の選び方｜日本語と英語の公式教材
日本語で完結させたい人と、英語の最新教材を使える人とで選択肢が変わります。2026年10月時点の主な教材は次のとおりです。
| 教材 | 言語 | 版・発行 | 用途 |
|---|---|---|---|
| CISSP公式問題集 第2版（NTT-AT） | 日本語 | 電子版 2026年6月10日 | 演習の軸 |
| Official Practice Tests 第4版（Wiley） | 英語 | 2024年 | 演習の軸（1,300問） |
| Official Study Guide 第10版（Wiley） | 英語 | 2024年6月 | 原則の参照 |
| 新版CISSP CBK公式ガイドブック（NTT出版） | 日本語 | 2018年7月 | 用語の参照 |
| Boson ExSim-Max for CISSP | 英語 | 年額 US$99 | 模擬試験（6回・900問） |
| ISC2 Official Exam Prep（アプリ） | 英語 | 1か月 1,980円〜（App Store） | スキマ時間の演習 |
日本語教材の選択｜公式問題集第2版と旧版ガイドの使い分け
日本語の軸は公式問題集です。NTTアドバンステクノロジは2026年6月2日、原書の最新版である第4版を翻訳した第2版の電子書籍を6月10日から販売すると発表しました。8ドメインごとに100問以上と、125問の模擬試験4回分を収録しています。2019年発売の旧版は原書の改訂前の問題なので、これから買うなら第2版を選んでください。
日本語の参考書はISC2 Japanが案内する「新版CISSP CBK公式ガイドブック」が中心ですが、発売は2018年7月で、現行の2024年版要綱より前の範囲です。用語を日本語で確かめる辞書として使い、出題範囲の確認は試験要綱PDFで行うのが現実的です。日本語の講義が必要なら、ISC2が日本語の公式CBKトレーニングを提供しています。
英語の教材を使える場合｜公式ガイド第10版と公式問題集第4版
英語が読めるなら、Wileyの公式ガイド第10版と公式問題集第4版が2024年版要綱に対応した最新の組み合わせです。公式問題集第4版は、ドメインごとに100問と125問の模擬試験4回分で、計1,300問を収録しています。ソフトバンクの合格者は、日本語の市販版が古かったことと、Webで問題を表示してブラウザの翻訳を使えることを理由に英語版を選んでいます。
Boson ExSim-Maxと公式アプリ｜「learnzapp 日本語」の答え
Boson ExSim-Max for CISSPは、本番形式の模擬試験6回分・900問を年額US$99で提供するサードパーティ製品です。解説と参照先が厚く、段階4の仕上げに向きます。
ISC2公式の練習アプリ「ISC2 Official Exam Prep」（開発元learnZapp）は、日本のApp Storeでも対応言語は英語のみです。日本語の問題を解きたい人には向きません。英語の用語に慣れる目的で、移動時間の演習に使ってください。
8ドメインの配点と経歴別のつまずきやすい領域
現行の2024年版要綱では、ドメイン1が16%、ドメイン3・4・5・7が各13%、ドメイン6が12%、ドメイン2・8が各10%です。配点より差が出るのは、自分の経歴で手薄になるドメインです。CATは要綱の配点どおりに全ドメインから出題されるので、苦手を1つ残すと必ず当たります。
| 経歴 | 手薄になりやすい範囲 | 補強の方法 |
|---|---|---|
| クラウド・SRE | 3（施設・物理）、7（物理セキュリティ・DR） | 施設：3.8・3.9・7.14、DR：7.10〜7.12 |
| アプリ開発 | 1（ガバナンス・法令）、7（調査・インシデント） | 役割と手順の順序を暗記でなく理由で覚える |
| ネットワーク・インフラ | 1、8（SDLC・セキュアコーディング） | 要綱8.1〜8.5を開発工程に沿って読む |
| 管理職・監査 | 3（暗号）、4（ネットワーク） | 暗号方式と攻撃の対応を表にする |
クラウド前提の技術者がつまずく例として、Zennの合格者は「インフラは論理的に安全ならOK」という感覚が通用せず、データセンター設計・電源の冗長化・記憶媒体の廃棄が問われたと書いています。ドメイン6（評価とテスト）を実務で触れていない人は、OWASP ZAPの診断項目とは？検出できる脆弱性一覧とOWASP Top 10 2025対応・使い方やKali Linuxとは？できること・インストール方法と危険性【2026.2対応】で診断の実物に触れると、テキストの記述が具体になります。実務では、診断を自社で行わず脆弱性診断・セキュリティ診断を外部へ発注し、その結果を評価する立場になることも多く、ドメイン6の「テスト結果を分析して報告する」項目はその判断に直結します。ドメイン3・5で問われるゼロトラストはゼロトラストネットワークの7つの要件｜NIST SP 800-207の7原則と最小特権、ドメイン7のインシデント対応体制はCSIRT（シーサート）とは？情報セキュリティ体制での役割18種とSOC・PSIRTとの違い・構築手順が前提の整理に使えます。
「マネージャーの視点」で解く回答テクニック
CISSPでは技術知識と管理判断の両方が問われます。状況判断の設問では、指定された役割・目的・制約を読み取り、組織のリスクと事業への影響を踏まえて答えを選びます。技術的に完璧でも、費用や業務への影響が過大な選択肢は正解になりません。
手順は決めておけます。まず明らかな誤りと設問に無関係な選択肢を外して2つに絞り、最後は次の順で比べます。
- 人の安全が最優先になっているか（人命は資産より先）
- 方針・承認・責任者の確認が、ツール導入などの技術的対処より先に来ているか
- 症状でなく根本原因に手を打っているか
- 事業を止めずに、費用に見合う範囲でリスクを下げているか
技術者ほど「最も強い対策」を選びがちですが、CISSPでは過剰な対策は誤答です。NRIセキュアの解説も「ビジネスを停滞させる選択肢は誤りの可能性が高い」としています。英語が読めるなら、管理者視点の解き方に特化した問題集「How To Think Like A Manager for the CISSP Exam」を試験の1〜2週間前に解くと、判断の癖を矯正できます。
受験資格と実務経験なしの場合（Associate of ISC2）
CISSPの認定には、8ドメインのうち2つ以上で通算5年のフルタイム実務経験が必要です（ISC2のCISSP経験要件）。次のどちらか1つで1年分が免除され、4年になります。免除は最大1年で、両方を持っていても2年にはなりません。
- コンピュータサイエンス・情報技術（IT）・関連分野の学士または修士の学位
- ISC2の承認リストにある資格
学位は分野を問わないわけではない点に注意してください。パートタイム勤務やインターンシップも条件付きで経験に数えられます。
実務経験がなくても受験はできます。経験を満たさずに合格した人も、試験合格から9か月以内にAssociateの申請を行えば「Associate of ISC2」となり、6年以内に5年の経験を積めば正式なCISSPに移れます。Associateの年間維持費はUS$50です。経験要件を満たしている人は、同じく試験日から9か月以内に推薦者を立てた認定申請（エンドースメント）を行います。正式なCISSP認定の推薦者には、CCのみの保有者を除く有効なISC2認定資格の保有者が必要で、周りにいなければISC2に推薦を依頼できます（その場合は在籍の証明が必要）。
受験の申し込みから合格後まで｜受験料・当日の持ち物・再受験・維持費
受験料と申し込み
受験料はISC2の料金ページでアジア太平洋地域・米州ともUS$749です。日程変更はUS$50、キャンセルはUS$100かかります。料金と税は受験地で決まり、円での金額はピアソンVUEの申し込み時に示されます。申し込みはISC2のサイトから行い、ピアソンVUEのテストセンターと日時を予約します。
当日の持ち物と流れ
ISC2の試験当日の案内では、身分証は2点必要です。主たる身分証は写真と署名があり有効期限内のもの（パスポートや政府発行の身分証など）、副たる身分証は署名があるもの（クレジットカードなど）です。署名欄の無い身分証を使う場合の扱いも同じページに注記があるので、予約前に確認してください。到着は開始の30分前が目安で、受付では署名と手のひら静脈スキャンを求められます。私物はロッカーに預け、試験室では消せるノートボードが渡されます。開始時に秘密保持契約へ3分以内に同意する手順があります。
再受験のルール
ISC2の再受験規定では、1回目の受験後は30日、2回目の後は60日、3回目以降は90日空ける必要があり、12か月で最大4回までです。模擬試験で安定して目安に届いてから予約するほうが、結果的に早く合格できます。
合格後の維持費とCPE
認定後は年間維持費（AMF）US$135が毎年かかります。加えて3年間で120のCPEクレジット（うち90はGroup A）を取得し続ける必要があります。CPEという略語はセキュリティ分野で別の意味にも使われるので、CPEとは？セキュリティ識別子・ネットワーク機器・CPEクレジットの違いと使い分けで違いを整理しておくと混同しません。
よくある質問
CISSPの勉強時間はどれくらいですか？
本記事で紹介した合格体験記3件では100〜180時間ですが、必要時間は事前知識や学習範囲によって異なります。経験ドメインの数だけで時間を決めず、未経験範囲の量と問題演習での理解度から計画を調整してください。平日1時間・休日2時間のペースなら、150時間に約4か月かかります。
CISSPは日本語で受験できますか？
できます。対応言語は中国語・英語・ドイツ語・日本語・スペイン語で、2024年4月15日以降はどの言語もCAT（100〜150問・最大3時間）です。2027年4月15日からの新要綱でも日本語受験は続きます。
実務経験なしでもCISSPは取れますか？
受験と合格は実務経験なしでも可能です。合格後9か月以内に申請するとAssociate of ISC2になり、6年以内に2ドメイン以上で通算5年（CS・IT・関連分野の学位か承認資格があれば4年）の経験を積めば、正式なCISSPに移れます。
CISSPの過去問はありますか？
ありません。ISC2は過去問を公開しておらず、受験者は秘密保持契約に同意するため、「過去問」として出回る問題集は出題を保証しません。演習は日本語なら公式問題集第2版、英語なら公式問題集第4版とBoson ExSim-Maxのように出典が明確な教材で行います。
CISSPは簡単になったのですか？
合格基準は下がっていません。2024年4月に日本語もCATへ移り、試験時間が6時間から3時間に、問題数が100〜150問に減ったため負担は軽くなりましたが、合格点は1,000点満点中700点のままです。
2027年の試験改定まで待ったほうがよいですか？
待つ理由はありません。2027年4月14日までに受けるなら、2024年版要綱に対応した教材がそろっています。2027年4月15日以降の受験は、ドメイン1の配点が下がり、AI・耐量子暗号・SBOMなどの項目が加わった新要綱が対象です。受験日を先に決め、それに合う要綱で準備してください。
