CISSPの勉強方法｜勉強時間・8ドメイン対策・教材を体系解説【2026年版】

CISSPは、ISC2（旧(ISC)²）が認定する情報セキュリティの国際資格です。出題は経営・リスク管理からネットワーク、開発まで8分野に広がり、技術力だけでは合格できません。この記事では「cissp 勉強方法」で検索する人が実際につまずく点、つまりどれくらいの勉強時間が要るのか・どの教材を使うか・8ドメインをどう攻略するか・当日は何を準備するかを、ISC2の一次情報に沿って一つずつ整理します。2024年4月15日に日本語を含む全言語がCAT方式へ移行した最新の試験形式にも対応しています。

まとめ：CISSP合格までの勉強法の要点

先に結論を示します。CISSPの勉強は「範囲の広さ」と「マネージャー視点の設問」の2点に集約されます。

• 学習時間の目安は総150〜250時間・3〜6か月。実務経験が長い人は約120時間・2〜3か月、経験が浅い人は250時間超・6か月を見込む。
• 教材は「公式ガイド（読む）＋問題集・模擬試験（解く）」の二本柱。公式ガイドは2024年の出題範囲に対応した第10版、仕上げにBoson ExSim-Maxで本番より高い難度に慣れる。
• 8ドメインは配点順に濃淡をつける。ドメイン1（16%）とドメイン3〜7（各12〜13%）が主戦場で、暗記より「なぜその対策が要るか」の原則理解が問われる。
• 設問は「技術的に正しい答え」ではなく「管理者として最もリスクを下げる答え」を選ぶ。この視点の切り替えが合否を分ける。
• 試験は全言語CAT（100〜150問・最大3時間・合格700/1000点）。実務経験がなくても受験でき、合格後にAssociate of ISC2として最長6年かけて経験を満たせる。

以下、それぞれを掘り下げます。

CISSPとは｜ISC2認定資格の位置づけと難易度の実態

CISSP（Certified Information Systems Security Professional）は、セキュリティの技術・運用・マネジメントを横断的に問う上位資格です。米国防総省の実務者要件（DoD 8570/8140）や海外求人でしばしば要件に挙がり、「セキュリティ管理者として意思決定できる」ことの証明として扱われます。日本の国家資格である情報処理安全確保支援士（登録セキスペ）が制度・法令寄りなのに対し、CISSPは国際標準のフレームワークと経営視点に重心があります。

「簡単になった」の真偽｜2024年のCAT全言語移行

「cissp 簡単になった」という声の実体は、難易度の低下ではなく試験形式の変更です。2024年4月15日、それまで日本語などで残っていた250問・6時間の固定形式（リニア）が廃止され、日本語を含む全言語がCAT（Computerized Adaptive Testing＝コンピュータ適応型）へ統一されました。問題数は100〜150問、制限時間は最大3時間に短縮されています。試験時間が半分になり、一定の実力に達すると早期終了する仕組みのため「軽くなった」と感じやすいのは事実です。

ただし合格ラインは1000点満点中700点で変わらず、内容の厳しさも据え置きです。難しさの本質は問題数や時間ではなく、後述するマネージャー視点の判断問題にあります。「簡単になった＝合格ラインが下がった」ではない点は誤解しないでください。なお合格率について、ISC2は公式な数値を一切公表していません。ネット上に出回る「合格率○%」はすべて非公式の推計なので、判断材料にしないことをおすすめします。

日本語受験の可否と試験形式（100〜150問・最大3時間のCAT）

CISSPは日本語で受験できます。現在の対応言語は英語・中国語・日本語・ドイツ語・スペイン語で、いずれもCAT方式です（韓国語は廃止されました）。受験はピアソンVUEのテストセンターで行い、出題は多肢選択と一部の高度な形式で、統計的に合否が確定した時点で終了します。

英語に不安がある場合でも日本語で挑めますが、専門用語は英語と対応づけて覚えておくと、公式ガイドや海外の問題集をそのまま教材に使えて効率的です。

CISSP取得のメリットとキャリアでの評価

CISSPを取る価値は、特定のツールの操作証明ではなく「セキュリティを組織全体として設計・運用できる」ことの証明にあります。8ドメインを横断する試験構成そのものが、技術者から管理職・意思決定層への橋渡しになります。実利につながるのは主に次の3点です。

• 国際的な通用性：ISC2の認定は国や業界をまたいで認知され、外資系・グローバル企業やクラウドベンダーの求人で要件や優遇条件に挙がりやすい。米国防総省の実務者要件（DoD 8140）でも指定資格に含まれる。
• マネジメント職への接続：CISO・セキュリティ管理職・コンサルタントなど、技術に加えてガバナンスやリスク判断を求められる役割で評価されやすい。
• 国内資格との補完：日本の制度・法令に強い情報処理安全確保支援士と組み合わせると、国内対応と国際標準の両輪をカバーできる。

逆に、ツールの実装スキルだけを短期で証明したい段階では、5年の実務経験と広い出題範囲を要するCISSPは過剰です。その局面ではCompTIA Security+など受験要件のない資格から入り、実務を積んでからCISSPへ進むほうが費用対効果は高くなります。取得メリットは「今のキャリア段階に合っているか」で判断してください。

受験資格と実務経験なしで合格した場合の進み方（Associate of ISC2）

CISSPの認定を受けるには、8ドメインのうち2分野以上で通算5年の有給フルタイム実務経験が必要です。次のいずれか一つがあれば1年分が免除され、必要年数は4年になります。

• 4年制大学の学位（分野は問わない）または地域で同等とされる学位
• ISC2が指定する認定資格を1つ保有していること

免除は1つまでで、両方を重ねて2年短縮することはできません。指定資格の対象一覧はISC2が随時見直すため、免除を狙う場合は受験前に最新の対象資格を確認してください。

重要なのは、実務経験がなくても受験そのものは可能だという点です。経験を満たさないまま試験に合格した人は「Associate of ISC2」として登録し、最長6年のうちに必要な実務経験を積めば正式にCISSPへ移行できます。「cissp 実務経験なし」で調べている人は、まず試験合格を先に取りに行く戦略が有効です。合格後は9か月以内に、現役のISC2認定者による推薦（エンドースメント）と倫理規約への同意を済ませる必要があります。推薦者が見つからない場合はISC2が代行します。

合格に必要な勉強時間の目安｜経験レベル別の総学習時間

総学習時間の目安は150〜250時間、期間にして3〜6か月です。バックグラウンドで大きく変わるため、自分の位置を見極めて計画を立てます。

働きながらの現実的なペースは週8〜12時間です。1日2時間を平日に確保できれば、3〜4か月で200時間前後に届きます。得意分野を短時間で流し、苦手ドメインに時間を寄せる配分が効きます。全ドメインを均等に回すのは、範囲が広いCISSPではむしろ非効率です。

CISSPの勉強方法｜インプットからアウトプットへの学習手順

勉強の骨格は「公式ガイドで全体像を掴む（インプット）→問題集と模擬試験で判断を鍛える（アウトプット）→弱点ドメインへ戻る」の反復です。最初から問題演習だけに走ると、CISSP特有の「なぜその判断が正しいか」を説明できず、初見の問題で崩れます。

教材・参考書の選び方｜公式ガイド第10版と問題集

軸になるのはISC2公式のSybex教材です。2024年の出題範囲に対応した最新版を選びます。

• ISC2 CISSP Official Study Guide 第10版：2024年の出題範囲を100%カバー。オンライン演習問題とフラッシュカードが付属し、通読用の主教材にする。
• ISC2 CISSP Official Practice Tests 第3版：公式ガイドと同じ範囲に対応した問題集。ガイドとのバンドル版もある。
• Destination CISSP：ドメインの関係を俯瞰するマインドマップ動画が無料で公開されており、全体像の整理に向く。
• 11th Hour CISSP：試験直前の総復習に使う圧縮版。

旧版（2021年範囲）は配点や項目が現行と一部ずれるため、中古で安く買うより最新版を優先してください。日本語書籍だけで完結させようとすると教材が限られるので、公式の英語教材を主、日本語書籍を補助にする構成が現実的です。

模擬試験の使い方｜Boson ExSim-Maxで本番より高い難度に慣れる

アウトプットの主力は模擬試験です。定番はサードパーティのBoson ExSim-Max for CISSPで、6回分・計900問を収録します。本番より難度が高めに作られており、詳細な解説と出典が付くため、「なぜこの選択肢が最善か」を自分の言葉で説明できるまで解き直すのに向きます。ExSim-Maxで安定して合格圏に入れば、本番への手応えは十分です。

公式の練習アプリ「ISC2 Official Exam Prep（LearnZapp）」も、出題範囲に沿った問題演習と、分野別の到達度の可視化に使えます。「cissp 過去問」を探す人が多いものの、CISSPは実際の過去問が公開されない試験です。過去問の代わりに、これらの正規の模擬試験・問題集で場数を踏むのが正攻法になります。

暗記に頼らない「原則」ベースの勉強ノート

「cissp 勉強ノート」を作るなら、用語の丸暗記ではなく判断の原則を書き留めます。たとえば「新しい仕組みを導入するときは、技術的な実装より先にポリシーと承認を固める」「インシデント対応はまず封じ込め」といった、ドメインをまたいで効く意思決定のルールです。用語カードは移動時間でフラッシュカードアプリに任せ、ノートは原則の言語化に使い分けると、後述の回答テクニックにそのまま効いてきます。

8ドメインの出題範囲と配点｜ドメイン別の対策優先度

CISSPは2024年4月15日発効の試験要綱で、次の8ドメインから出題されます。配点が学習時間の配分の指針になります。

最も配点が高いドメイン1は、ガバナンス・リスク管理・法令・BCP/DRといった管理系の土台で、CISSPらしさが最も濃い分野です。ここを最初に固めると、他ドメインの設問でも「管理者ならどう判断するか」の軸が通ります。ドメイン3〜7は各12〜13%とほぼ横並びで、暗号・ネットワーク・IAM・セキュリティテスト・運用と技術寄りの範囲が続きます。

ドメイン6（評価とテスト）やドメイン3・4は、手を動かした経験があると理解が速く定着します。脆弱性診断やペネトレーションテストの実務に触れたことがない人は、Kali Linuxとは？できること・インストール・危険性まで初心者向けにやさしく解説やWeb脆弱性診断ツール「OWASP ZAP」とは？、テスト手法の違いを整理したファジングとは？基本概念とセキュリティへの重要性で概念を掴んでおくと、テキストの記述が具体像とつながります。ドメイン3で問われるゼロトラストの考え方は、NISTが提唱するゼロトラストの7つの基本原則を深掘り解説で前提を押さえておくと理解が早まります。

「マネージャーの視点」で解く回答テクニック

CISSPが多くの技術者を落とすのは、知識不足よりも回答の視点が理由です。CISSPの設問は「技術的に最も正しい答え」ではなく、「セキュリティ管理者として、組織のリスクを最も下げる最善の答え」を選ばせます。技術的に完璧でも、コストや業務への影響が過大な選択肢は正解になりません。

実践的なコツは決め打ちできます。まず正解っぽい選択肢を2つに絞り、そのうえで「ポリシーや承認が技術的対処より先に来ているか」「根本原因に手を打っているか」「業務目的とのバランスが取れているか」で最後の1つを選びます。新しい統制を入れる、インシデントに対応する、といった場面では、いきなりツールを導入する選択肢より、方針の確認・経営との合意を先に置く選択肢が正解になりやすい、というのがCISSPの一貫した傾向です。

この視点は独学で最も抜けやすい部分です。技術者ほど「最も高性能な対策」を選びがちですが、CISSPでは過剰な対策はむしろ誤答です。Boson ExSim-Maxのような解説の厚い模擬試験で、正解の選択肢が「なぜ管理者の最善手なのか」を言語化する訓練を、試験2〜3週間前から重点的に行うのが効きます。

受験の申し込みから当日まで｜受験料・持ち物・再受験ルール

申し込みはISC2のサイトで試験バウチャーを購入し、ピアソンVUEでテストセンターと日時を予約します。受験料はUS$749（アジア太平洋地域・米州とも同額）で、日程変更は$50、キャンセルは$100の手数料がかかります。日本での円建て金額はISC2の公式ページに掲載がないため、決済時のレートで確認してください。認定後は資格維持のため年間維持費（AMF）$135が毎年必要です。

当日の持ち物は、氏名がバウチャー登録と一致する政府発行の写真付き身分証明書が中心です。テストセンターでは筆記用具・スマートフォン・時計などの私物はロッカーに預け、試験室には持ち込めません。メモは会場で貸与される用具を使います。開始前の本人確認や規約同意で時間を取られるため、予約時刻の30分前には到着しておくと落ち着いて臨めます。

不合格でも再受験できますが、待機期間があります。1回目の不合格後は30日、2回目は60日、3回目以降は90日空ける必要があり、12か月間で最大4回までです。1回で仕留められるよう、模擬試験で安定して合格圏に入ってから本番を予約するのが結果的に近道です。

よくある質問

CISSPの平均勉強時間はどれくらいですか？

総学習時間の目安は150〜250時間、期間にして3〜6か月です。セキュリティ実務が5年以上あり複数ドメインに日常的に触れている人は約120時間・2〜3か月で届くこともありますが、経験が浅い人は250時間超・6か月前後を見込んでください。働きながらなら週8〜12時間が現実的なペースです。

CISSPは日本語で受験できますか？

できます。現在の対応言語は英語・中国語・日本語・ドイツ語・スペイン語で、いずれも2024年4月15日以降はCAT方式（100〜150問・最大3時間）に統一されています。かつての日本語だけの250問・6時間形式は廃止されました。ただし公式教材は英語が主流のため、用語は英語と対応づけて覚えると学習がはかどります。

実務経験なしでもCISSPは取れますか？

受験と合格は実務経験がなくても可能です。経験を満たさずに合格した場合は「Associate of ISC2」として登録し、最長6年のうちに8ドメインのうち2分野以上で通算5年（学位や指定資格があれば4年）の実務経験を積めば、正式なCISSPへ移行できます。まず試験合格を先に取る戦略が有効です。

CISSPの受験料はいくらですか？

受験料はUS$749（アジア太平洋・米州とも同額）です。加えて日程変更$50、キャンセル$100の手数料、認定後は年間維持費$135がかかります。円建ての公式表示はないため、決済時のレートで確認してください。

CISSPは簡単になったのですか？

合格ラインが下がったわけではありません。2024年に全言語がCAT方式へ移り、試験時間が最大3時間・問題数100〜150問に短縮されたため負担が軽く感じられますが、合格点は1000点満点中700点で変わっていません。難しさの本質は、管理者視点で最善手を選ばせる設問にあります。

CISSPは情報処理安全確保支援士やCompTIA Security+、CISAとどう違いますか？

CompTIA Security+はセキュリティの基礎を問う入門〜中級資格で、実務経験の要件がなく最初の一枚に向きます。情報処理安全確保支援士は日本の国家資格で、国内の法令・制度に強いのが特徴です。CISA（ISACA認定）は情報システム監査に特化し、監査・統制評価のキャリアに寄っています。CISSPはこれらより上位で、防御・運用・開発まで含む8ドメインを横断し、国際標準のフレームワークとマネジメント視点、原則5年の実務経験が前提になります。キャリアの段階と方向性に応じて、Security+で基礎を固め、監査志向ならCISA、設計・管理志向なら支援士やCISSPへ進む形が一般的です。

関連記事

• Kali Linuxとは？できること・インストール・危険性まで初心者向けにやさしく解説
• Web脆弱性診断ツール「OWASP ZAP」とは？
• ファジングとは？基本概念とセキュリティへの重要性
• NISTが提唱するゼロトラストの7つの基本原則を深掘り解説