CISSP：難易度と合格率の実像

結論

CISSPは「知識量」より「判断の幅」で難易度が決まる試験です。技術的な深掘りだけでなく、経営層向けのリスク判断や法務・ガバナンスの視点まで問われるため、現場のエンジニア経験だけで臨むと想定外に苦戦します。逆に、マネジメント経験とセキュリティ運用の両方に触れてきた人には、暗記量そのものは他の上位資格ほど重くありません。難しさの正体は「範囲の広さ」と「実務判断を選ばせる出題形式」の組み合わせにあります。

CISSPが実際に問う内容──8つのドメインの中身

CISSPは8つの公式ドメインで構成されています。

• Security and Risk Management（16%）：ガバナンス、法規制、リスク管理の枠組みを扱う、配点が最も大きい領域です。
• Communication and Network Security（13%）：ネットワーク設計とプロトコルの安全性が中心です。
• Identity and Access Management (IAM)（13%）：認証・認可の設計思想を問います。
• Security Architecture and Engineering（13%）：暗号技術やセキュアな設計モデルを扱う技術色の強い領域です。
• Security Operations（13%）：インシデント対応や運用管理の実務判断が中心です。
• Security Assessment and Testing（12%）：監査や脆弱性評価の手法を問います。
• Software Development Security（10%）：開発ライフサイクルにおけるセキュリティの組み込み方です。
• Asset Security（10%）：情報資産の分類と保護方針を扱います。

配点を見ると分かる通り、単一ドメインへの偏りは小さく、8領域すべてで一定の理解が求められる設計になっています。

最も受験者を落とすドメインとその理由

体感として最も失点しやすいのはSecurity Architecture and Engineeringです。暗号技術の仕組みやセキュアなシステムモデルは、運用側のキャリアを歩んできた人ほど触れる機会が少なく、用語だけ暗記しても設問の意図を外しやすい領域です。次いでSoftware Development Securityも苦戦しやすく、開発経験がない受験者にとっては「開発ライフサイクルのどの段階で何をすべきか」という判断軸自体が馴染みがありません。逆に運用寄りの人はSecurity and Risk Managementの経営・法務的な抽象度の高さで足をすくわれる傾向があります。つまり、どのドメインで落ちるかはキャリアの偏りをそのまま映し出します。

CISSPが向いている人・向いていない人

向いているのは、すでにセキュリティ運用や設計に数年関わり、次にマネジメントや監督者的な役割へ進みたい人です。技術の詳細を実装するより、方針を決め、リスクを評価し、チームや他部門と調整する立場を目指す人にとって、CISSPが問う視野の広さはそのままキャリアの武器になります。逆に、まだ実務経験が浅く、特定の技術領域を深く掘りたい段階の人には向いていません。取得しても実務スキルの証明にはならず、経験不足のまま資格だけ先行すると、面接で「知識はあるが判断の裏付けがない」という評価を受けやすくなります。

受験前に本当に必要な前提知識

前提として、ネットワークの基礎（OSI参照モデル、主要プロトコル）、アクセス制御の基本概念、リスク管理の用語（脅威・脆弱性・残存リスクの違いなど）は最低限理解している必要があります。加えて、暗号技術の基礎（対称鍵と公開鍵の違い、ハッシュの用途)も避けて通れません。逆に、特定製品の操作知識や特定のプログラミング言語のスキルは前提になりません。CISSPが求めるのは「概念を横断的に理解し、状況に応じて優先順位を判断できるか」であり、深い専門技術そのものではありません。

初学者にとっての難易度──何が難しさを決めるのか

初学者にとっての難易度は、技術知識の有無よりも「経営的な視点への慣れ」に大きく左右されます。CISSPの設問は、技術的に正しい選択肢が複数ある中で「組織のリスク許容度や方針として最も適切なもの」を選ばせる形式が多く、これは実務でマネジメント層と関わったことがない人ほど直感に反して感じます。もう一つの壁は範囲の広さそのもので、1つのドメインを深く学んでも他の7つが手薄なら得点は伸びません。逆に、8ドメインすべてを「広く浅く、しかし判断基準を持って」学べるかどうかが、初学者の合否を分ける最大の要因です。

同じ(ISC)²の他資格と何が違うのか

同じ(ISC)²が提供する資格と比べると、CISSPは技術的な深掘りより「意思決定の幅」を問う点が際立ちます。より実装寄りの資格が「正しい設定や手順を知っているか」を問うのに対し、CISSPは「複数の正解候補の中から組織にとって最善のものを選べるか」を問う設問が中心です。そのため、下位資格に合格した経験がそのままCISSPの得点に直結するとは限らず、視点の切り替えが必要になります。

出題される設問形式とその狙い

CISSPの設問は、単純な知識確認型ではなく、シナリオを提示したうえで「最も適切な次の一手」を選ばせる形式が主体です。選択肢のすべてがセキュリティ的に「間違っていない」ことも多く、そこから経営リスクやコスト、組織方針を踏まえて優先順位をつけられるかが問われます。適応型の出題形式を採用しているため、受験の進め方そのものが独特です。具体的な試験形式や出題の流れは試験形式のページにまとめています。

CISSPの肩書きが仕事にもたらすもの・もたらさないもの

CISSPの肩書きは、セキュリティ全体を俯瞰できる人材であることの証明として機能し、マネジメントや監督者ポジションへの応募条件を満たす場面で効果を発揮します。一方で、特定の技術スキル（例えば特定製品の運用能力や開発力）を保証するものではなく、実装レベルの実務能力を示す資格ではありません。肩書き単体で給与交渉が成立するわけでもなく、実務経験や実績と組み合わさって初めて評価されるという前提を持っておくべきです。

現実的な学習期間の目安

すでに数年の実務経験があり、8ドメインのうち半分程度に日常的に触れている人であれば、数か月単位の集中学習で合格ラインに届くケースが多いです。一方、実務経験は満たしているものの担当領域が偏っている人や、初学者に近い立場の人は、半年以上の期間を見込んでおくのが現実的です。学習期間を左右する最大の要因は「触れたことのないドメインの数」であり、暗記量そのものではありません。

使える教材と時間を浪費する教材の見分け方

公式のスタディガイドや公式問題集は、出題傾向とシナリオ形式の練習に直結するため優先度が高い教材です。逆に、用語の丸暗記だけを目的とした単語帳形式の教材は、CISSP特有の「判断を選ばせる」出題形式への対応力を養えず、時間を浪費しがちです。模擬試験は、正解率そのものより「なぜその選択肢が最善なのか」を説明できるかを確認する使い方をしないと効果が薄くなります。合格ラインの考え方については合格基準のページで詳しく整理しています。

資格の有効期間とその後に必要なこと

CISSPは取得して終わりではなく、有効期限内に継続教育の単位を積み上げ、更新し続ける仕組みになっています。更新を怠ると資格は失効し、再度一から受験し直す必要が生じます。継続教育は業界カンファレンスへの参加や関連資格の取得などで満たせる設計になっており、実務からセキュリティの最新動向に触れ続けることが前提とされています。

今日から始めるなら最初にすべきこと

まず、8つのドメインそれぞれについて、自分がどれだけ実務で触れてきたかを正直に棚卸しすることから始めるべきです。次に、最も手薄なドメイン（多くの場合Security Architecture and EngineeringかSoftware Development Security）を先に手を付け、得意な領域は後回しにする順番で学習計画を組みます。並行して公式教材でシナリオ形式の問題に慣れておくと、後半の学習効率が大きく変わります。

よくある質問

Q. CISSPは他のセキュリティ資格と比べてどのくらい難しいですか。 単純な知識量では中堅レベルですが、経営的な判断を問う出題形式が独特なため、技術者としての経験だけでは対応しにくく、体感の難易度は高くなりがちです。

Q. 情報処理安全確保支援士（登録セキスペ）と比べてどちらが難しいですか。 出題の性質が異なるため単純比較は難しいですが、CISSPは国際的な視点とマネジメント判断が中心である一方、登録セキスペは日本の制度や実装知識に寄っており、得意分野が異なる人にはそれぞれ別の難しさがあります。

Q. PMPと比べてCISSPはどちらが難しいですか。 PMPがプロジェクト管理のプロセスを問うのに対し、CISSPはセキュリティ領域の判断を問うため領域が異なります。マネジメント経験がある人にとってはPMPの方が取り組みやすいと感じるケースが多いです。

Q. 実務経験の要件を満たしていなくても受験できますか。 経験不足のまま試験に合格しても、正式な資格認定ではなく准会員としての扱いになり、規定の期間内に実務経験を積んで満たす必要があります。

最終的な結論

CISSPの難易度は「広さ」と「判断力」に集約されます。技術を深掘りする資格ではなく、8つのドメインを横断してリスクを判断できるかを問う試験であるため、実務経験の偏りがそのまま弱点として現れます。今日から始めるなら、まず自分の経験の棚卸しから着手するのが最短ルートです。