CISM勉強方法：日数別の学習プラン

結論

CISM（Certified Information Security Manager）の勉強方法は、残り日数によって内容がまったく変わります。30日あれば4つの分野を順番に潰していく余裕がありますが、14日なら弱点分野に絞る必要があり、7日ならそもそも何を捨てるかを最初に決めなければ間に合いません。共通するのは、最初に診断模試で現在地を測り、Information Security Program（33%）とIncident Management（30%）という配点の大きい2分野を優先し、暗記ではなくシナリオ問題の解き方を練習する、という順序です。以下、期間別のプランと、どの期間でも使える復習・調整のルールをまとめます。

今の実力に合う期間はどれか

実務経験や保有資格によって、無理なく組める期間が変わります。

• セキュリティ管理の実務経験がほとんどない場合：30日プランが最低ライン。可能なら45〜60日に延ばした方が安全です。診断模試で4分野とも正答率が低い場合はこのタイプです。
• セキュリティ管理職として数年の実務があり、CISSPなど関連資格を保有している場合：14日プランで対応可能。診断模試でInformation Security GovernanceとInformation Security Risk Managementの正答率がすでに高ければ、その2分野の復習は最小限で済みます。
• 直近で類似試験（CISSPなど）を受けたばかりで知識が新鮮、かつIncident Managementの実務経験がある場合：7日の非常プランでも現実的。ただしこれは「間に合わせる」プランであり、余裕を持って合格を狙うプランではありません。

判断基準を数字にするなら、公式問題集や模試を1回、時間を計らず解いてみて、4分野の中で2分野以上が半分以下の正答率なら30日以上を選ぶべきです。

分野を配点と弱点で並べ替える

CISMの4分野は配点が均等ではありません。

• Information Security Program（33%）
• Incident Management（30%）
• Information Security Risk Management（20%）
• Information Security Governance（17%）

勉強の順番は「配点の大きさ」と「自分の弱さ」を掛け合わせて決めます。具体的には、診断模試の分野別正答率を100から引いた数字（弱さの度合い）に、その分野の配点を掛けて優先度スコアを出します。たとえばInformation Security Programで正答率40%なら弱さは60、配点33を掛けて1980。Information Security Governanceで正答率20%（弱さ80）でも配点17を掛けると1360にしかなりません。配点が小さい分野は「弱くても優先度が上がりにくい」ことを、この計算が示しています。時間が足りない期間ほど、この計算を先に済ませてから学習に入るべきです。

30日プラン：週単位の内訳

• 1週目：診断模試を受け、優先度スコアを算出。Information Security Governance と Information Security Risk Management（合計37%）の基礎を固める。用語と枠組みの全体像をつかむ週。
• 2週目：Information Security Program（33%）を集中的に深掘り。分野単体としては最大の配点なので、ここに最も多くの時間を割く。
• 3週目：Incident Management（30%）を深掘りしつつ、並行してシナリオ問題を毎日解く。CISMはシナリオ形式の「最善の答えを選ぶ」問題が多く、知識だけでは解けないため、この週から解き方の練習を始める。
• 4週目：模試を2回、時間を計って実施。誤答分析で弱点分野を洗い出し、残り日数を弱点の補強に充てる。新しい範囲には触れない。

14日プランに圧縮する

30日プランを圧縮する形ですが、範囲を削るのではなく「復習の回数」を削ります。

• 1〜2日目：診断模試、優先度スコアの算出。
• 3〜4日目：Information Security Program集中。
• 5日目：Incident Management集中。
• 6日目：Information Security Risk Management。
• 7日目：Information Security Governance、そして1回目の模試。
• 8〜9日目：誤答分析、弱点分野の再学習。
• 10日目：2回目の模試。
• 11〜12日目：弱点分野のみをシナリオ問題で反復。
• 13日目：3回目の模試。
• 14日目：軽い復習のみ、新規学習はしない。

14日プランでは「全分野を均等に復習する時間」がないため、優先度スコアが低い分野（多くの場合Information Security Governance）は一度理解すれば十分と割り切ります。

7日の非常プラン——捨てるものを決める

7日で組む場合、最初にやるべきは「何を勉強するか」ではなく「何を勉強しないか」を決めることです。

• 捨てるもの：配点の小さいInformation Security Governanceの細部、フレームワークの正式名称や条文の暗記、ノートの作り直し。
• 残すもの：Information Security ProgramとIncident Management（合計63%）、シナリオ問題の解き方、模試2回分。

日割りの目安は、1日目に診断模試、2〜3日目にProgramとIncident Managementの集中学習、4日目に1回目の模試、5日目に誤答分析、6日目に残り2分野の要点だけを流し読み、7日目は新規学習なしの軽い見直しのみ。7日プランは「合格に必要な最低限」を狙う設計であり、余裕を持った得点を狙うプランではないことは理解しておくべきです。

試験前最後の1週間

これは期間に関わらず、試験直前の7日間として独立に組むべき週です。

• 7日前：本番同様の時間配分で模試を1回フルで実施し、現在地を確認する。
• 6日前：模試で最も弱かった分野だけに絞って復習する。
• 5日前：シナリオ問題の解き方（複数の正しそうな選択肢から「最も適切な一つ」を選ぶ判断基準）を見直す。
• 4日前：2回目の模試と誤答分析。同じ間違いパターンが出ていないか確認する。
• 3日前：CISM特有の考え方（マネジメント視点で答える、技術的な最適解ではなく組織として妥当な答えを選ぶ）を整理し直す。
• 2日前：軽い復習のみ。新しい問題集には手を出さない。
• 1日前：休む。

この週にやってはいけないのは、新しい教材や問題集に手を広げることです。残り日数が少ないほど、知識の追加より「同じ間違いを繰り返さない」ことの方が得点に直結します。

前日と試験当日

前日は新しい学習をせず、これまで使ったノートやまとめを1回流し見する程度に留めます。夜更かしして詰め込むより、睡眠時間を確保する方が当日の判断力に直結します。当日は、シナリオ問題で時間を使いすぎないよう配分を意識することが重要です。試験の形式や時間配分の詳細は試験形式のページで確認しておくと、当日の見通しが立てやすくなります。

フルタイムで働きながら勉強する時間の作り方

フルタイムで働きながらの場合、まとまった時間を新たに作ろうとすると失敗します。現実的な時間の作り方は次の通りです。

• 通勤時間：音声やスライドでの復習（新規学習ではなく既習内容の確認）に充てる。
• 昼休み：シナリオ問題を5〜10問解く程度の短時間学習。
• 平日夜：1時間程度、1分野に絞って進める。
• 週末：3〜4時間のまとまった時間を模試と誤答分析に充てる。

削るべきは学習時間の捻出先ではなく、可処分時間そのものです。動画視聴やSNSの時間を一時的に学習時間へ振り替えるのが、最も現実的な調達方法です。

問題集の使い方——暗記にしないために

問題集は答えを覚えるための道具ではなく、自分の思考の癖を発見するための道具として使います。CISMのシナリオ問題は正解の選択肢を暗記しても、言い回しが変われば対応できません。

• 1問ごとに「なぜこの選択肢が最善か」「なぜ他の選択肢は次善に留まるか」を自分の言葉で説明できるか確認する。
• 同じ問題集を短期間に繰り返し解くと、正答率が上がっても実力ではなく暗記になっている可能性がある。数日空けるか、別の問題集に切り替える。
• 誤答だけでなく、正答した問題でも「勘で当てた」ものは要注意対象として印をつける。

復習の頻度とタイミング

復習は詰め込みではなく、間隔を空けて繰り返すことで記憶に残ります。目安は、学習した当日、3日後、7日後、そして試験直前の4回です。ただし全分野を同じ頻度で復習する必要はありません。配点の大きいInformation Security ProgramとIncident Managementは4回とも復習対象に入れ、配点の小さいInformation Security Governanceは初回と試験直前の2回で十分なことが多いです。復習のたびに新しい問題を解くのではなく、前回間違えた問題を解き直すことが記憶定着には効果的です。

プランがうまくいっていないサインと修正法

以下のサインが出た場合、今のプランのまま続けても結果は変わりません。

• 模試の総合得点が2回連続で横ばい、または下がっている。
• 特定の分野（多くはInformation Security ProgramかIncident Management）で、対策後も正答率が改善しない。
• 模試を制限時間内に解き終えられない状態が続いている。

この場合の修正は、学習量を増やすことではなく、学習方法を変えることです。同じ教材を繰り返しても伸びない場合は問題集そのものを変える、時間切れが続く場合は時間配分の練習だけを独立して行う、特定分野だけ伸びない場合はその分野の学習順序を最初に戻して基礎から組み直す、といった対応が有効です。残り日数が少ない状態でこのサインが出た場合は、期間を延ばすか、受験日をずらす判断も必要になります。

受験日はいつ予約するか

受験日は、診断模試の結果が選んだプランの前提と合っていることを確認してから予約します。30日プランを組んでいるのに診断模試で4分野とも正答率が低いなら、予約前にプラン自体を見直すべきです。逆に、選んだプランの終盤で模試のスコアが安定して合格圏に入っているなら、その時点で予約しても遅くありません。受験にかかる費用や申し込みの詳細は受験料のページで確認できます。

よくある質問

Q. CISMのおすすめ参考書はありますか？ 公式のレビューマニュアルと、それに対応した問題集を軸にするのが基本です。参考書だけを読み進めるより、問題集で診断してから参考書の該当分野を読む順番の方が、限られた時間を無駄にしません。

Q. 問題集は日本語のものだけで十分ですか？ CISM自体は日本語での受験が可能ですが、日本語の問題集は英語のものに比べて種類が少ないのが実情です。日本語教材で概念を理解し、英語の問題集でシナリオ問題の量をこなす、という組み合わせが現実的です。

Q. CISAとCISMはどちらが難しいですか？ 難易度そのものより、問われる視点が違います。CISAは監査人としての統制評価の視点、CISMはマネージャーとしての意思決定の視点が中心です。監査実務の経験が長い人はCISAの方が解きやすく感じ、セキュリティ管理職の経験が長い人はCISMの方が解きやすく感じる傾向があります。

Q. 模試で何割取れれば十分ですか？ 具体的な点数の目安より、4分野すべてで安定して正答できているかを見るべきです。特定の分野だけ高得点で他が低い状態は、総合点が同じでも本番でのリスクが高くなります。詳しい採点方法は合格基準のページで確認してください。

最後に

CISMの勉強方法に唯一の正解はなく、残り日数と実務経験によって最適なプランは変わります。ただしどのプランを選んでも、診断模試で現在地を測ってから配点順に学習する、暗記ではなくシナリオ問題の判断基準を練習する、間隔を空けて復習する、という3点は共通です。焦って7日プランに詰め込むより、診断模試の結果次第では14日や30日に切り替える勇気を持つ方が、結果的に近道になります。