CISSP未経験の勉強時間と30日プラン

結論

CISSPは暗記量で押し切れる試験ではないため、未経験者が「何日あれば受かるか」を単純な数字だけで語るのは危険です。IT・セキュリティの実務経験がまったくない場合は、3〜6ヶ月程度の学習期間を見ておくのが現実的な目安です。数年の実務経験があり基礎知識がすでに頭に入っている場合は30日プラン、他のセキュリティ資格を保持していて実務経験も十分にある場合は14日や7日の集中プランでも間に合います。日数より重要なのは、Security and Risk ManagementやSecurity Operationsのような配点の高いドメインをどこまで深く理解しているかです。

どの期間が自分の状況に合うか

期間選びは「気合い」ではなく次の3つの条件で機械的に決めます。

• 実務経験ゼロ、セキュリティ用語も曖昧：3〜6ヶ月。基礎用語とドメイン間のつながりを理解する時間が必要です。
• 実務経験1〜3年、日常業務でセキュリティに触れている：30日プラン。知識はあるが体系化されていない状態を整理するフェーズが中心になります。
• 実務経験が長い、あるいはCompTIA Security+などの資格保持者：14日、または追い込みなら7日。すでに持っている知識をCISSPの「管理者視点」に翻訳する作業がメインです。

自己判断が難しい場合は、公式問題集や模試を1回受けて診断してから期間を決めるのが確実です。感覚で「大丈夫そう」と決めた人ほど、後半で計画が崩れます。

ドメインを配点と自分の弱点で並び替える方法

8つのドメインには公式の配点があります。

• Security and Risk Management：16%
• Communication and Network Security：13%
• Identity and Access Management (IAM)：13%
• Security Architecture and Engineering：13%
• Security Operations：13%
• Security Assessment and Testing：12%
• Software Development Security：10%
• Asset Security：10%

合計は100%です。これを縦軸に、模試や過去問での自分の正答率を横軸に置いて、「配点が高いのに正答率が低い」ドメインから着手します。逆に配点が低く得意なドメイン（多くの人にとってAsset Securityがこれに当たります）は概要確認だけで十分です。配点だけで並べると得意分野に時間を溶かし、弱点だけで並べると配点の低い分野に時間を溶かすので、必ず両方を掛け合わせて優先順位を作ります。

30日プランを週ごとに

• 1週目：8ドメインを一通り通読し、それぞれの位置づけと相互関係を把握します。この段階で細部を覚える必要はありません。
• 2週目：暗号、リスク計算、法規制・コンプライアンスなど「理解に時間がかかる」トピックを深掘りします。Security Architecture and EngineeringとSecurity and Risk Managementに時間の大半を割きます。
• 3週目：シナリオ問題の演習に切り替えます。1日1セット、時間を計って解き、正解より「なぜその選択肢が最善か」の理由を確認します。
• 4週目：模試を2〜3回受け、間違えた問題のドメインだけを再学習します。新しい範囲には手を出しません。

14日に凝縮したプラン

• 1週目（Day 1〜7）：診断テストで弱点を特定した上で、配点上位4ドメイン（Security and Risk Management、Communication and Network Security、IAM、Security Architecture and Engineering）に集中します。毎日ミニ模試を挟み、知識の定着を確認します。
• 2週目（Day 8〜14）：残りのドメインを一巡させつつ、1週目で判明した弱点を反復します。本番形式の模試を最低2回、時間配分も含めて実施します。

14日プランは「土台がある人が知識を再配置する」設計なので、基礎用語から覚える必要がある人には向きません。

7日の非常プラン — 何を意図的に省くか

7日プランの本質は「何をやるか」より「何を捨てるか」です。

• Software Development SecurityやAsset Securityなど配点の低いドメインは、頻出パターンの確認にとどめます。
• 暗号アルゴリズムの内部仕様や規格番号など、細かい技術暗記は最小限にします。CISSPは技術者視点ではなく管理者視点で「最善の対応」を選ぶ試験だからです。
• Day 1で診断模試を受け弱点を特定、Day 2〜3で配点上位ドメインを詰め、Day 4で2回目の模試、Day 5で間違い分析、Day 6で総仕上げの模試、Day 7は新規学習をせず軽い見直しのみに留めます。

このプランは「実務経験が長く知識はあるが体系立てて振り返る時間がなかった人」向けであり、未経験者がここから始めるのは推奨できません。

試験前最後の1週間

最後の1週間で新しいトピックに手を広げるのは逆効果です。やることは3つに絞ります。

1. 模試を1回通しで受け、ドメインごとの正答率を数値で確認する。
2. 間違えた問題を「知識不足」か「読み違え」かに分類し、知識不足のものだけ教材に戻る。
3. シナリオ問題の解き方（選択肢を技術的正しさではなく、組織のリスク低減という視点で比較する）を再確認する。

正答率が安定しない、あるいは特定ドメインで毎回同じミスをする場合は、この段階で受験日をずらす判断も含めて検討します。試験の出題形式や試験時間の詳細は試験形式のページで確認しておくと、当日の時間配分に迷いがなくなります。

前日と試験当日

前日は新規学習をせず、これまでのミスノートを1回流し読みする程度に留めます。長時間の模試や新しいトピックへの着手は、自信を削るだけで得るものがありません。

当日は、開始直後の数問で難しいと感じても慌てないことが重要です。CISSPは適応型の出題形式を採用しているため、序盤の問題が難しく感じるのは想定内です。休憩や退出のルールなど運用面の詳細は試験形式のページを事前に確認しておきます。

学習時間はどこから来るか — フルタイム勤務との両立

「毎日2時間確保する」という計画は、繁忙期に必ず崩れます。現実的なのは時間帯を分散させることです。

• 通勤・昼休みなど15〜30分の細切れ時間はスマホアプリでの一問一答に充てる。
• 平日夜はまとまった学習時間が取りにくい前提で、1トピックの読み込みだけに絞る。
• まとまった演習（模試、シナリオ問題の通し演習）は週末に集約する。

平日にすべてを詰め込もうとせず、「平日はインプット、週末はアウトプット」と役割を分けるだけで継続率は大きく変わります。

練習問題の使い方 — 丸暗記にしない

CISSPの問題は同じ問題文が本番に出ることはほぼないため、問題と答えのペアを暗記しても得点にはつながりません。使い方は次の通りです。

• 正解した問題でも「なぜ他の選択肢が不正解か」を説明できるか確認する。
• 間違えた問題は、知識不足か、管理者視点ではなく技術者視点で答えてしまったかを区別する。
• CISSPは「技術的に可能か」ではなく「組織にとって最善か」を問う試験なので、選択肢を比較する際は常にリスク・コスト・組織的合意の観点を優先します。

問題演習は正答率を追うためではなく、思考のクセを矯正するために使うという意識が必要です。

復習の頻度とタイミング

一度学習した内容は、間隔を空けて複数回触れないと定着しません。目安として、学習した翌日、3日後、1週間後の3回で復習するサイクルを回します。間違えた問題だけをまとめたノートを作り、そこだけを繰り返す方が、教材を最初から読み直すより効率的です。特にSecurity Assessment and TestingやIAMのような手順・プロセス系のドメインは、一度で覚えたつもりでも数日後に忘れやすいため、意識的に復習の対象に入れます。

プランがうまくいっていないサインと対処法

以下のいずれかに当てはまる場合、計画の見直しが必要です。

• 模試の正答率が2回連続で下がっている。
• 特定のドメインで同じ種類の間違いを繰り返している。
• 学習時間を確保できず、当初の週間計画から2日以上遅れている。

対処法は「頑張って取り戻す」ではなく、範囲を絞ることです。配点の低いドメインへの深追いをやめ、上位ドメインの復習に時間を再配分するか、それでも間に合わない場合は受験日そのものを延期します。無理に予定通り受験して不合格になるより、数週間ずらして合格する方が結果的に早く終わります。

試験日はいつ予約すべきか

受験日を決めるタイミングは「教材を一通り終えた時」ではなく、「模試で安定して合格ラインを超えるようになった時」です。1回だけ高得点が出ても、それがまぐれか実力かは分かりません。複数回の模試で安定した結果が出て初めて予約するのが安全です。自分の得点がどの位置にあるかを判断する基準は合格ラインのページで確認できます。予約後に伸び悩みが見えた場合は、無理に当日を迎えるより早めに日程変更を検討した方が結果的に合格に近づきます。

よくある質問

Q. 実務経験10年でも7日の学習で合格できますか。 知識がすでに体系化されている人であれば可能ですが、それは「7日で知識を作る」のではなく「7日で既存の知識をCISSPの出題形式に合わせて整理する」作業です。実務経験があっても管理者視点への切り替えができていないと、7日では厳しくなります。

Q. 模試ではどのくらいの正答率を目指せばいいですか。 具体的な数値目標を追うより、「どのドメインでも大きくばらつきがない状態」を目指す方が実用的です。1つのドメインだけ突出して低い状態は、本番でもリスクになります。

Q. OSIモデルや暗号アルゴリズムの細かい仕様は覚える必要がありますか。 細部の暗記より、それが実務上どのリスクに関係するかを説明できる方が重要です。CISSPは技術仕様そのものより、その技術がもたらすリスクと対策を問う設計になっています。

Q. 技術寄りの答えと管理者視点の答え、どちらを選べばいいか判断できません。 迷ったときは「技術的に最も正しい選択肢」ではなく「組織のリスクを最も下げる、かつ現実的に実行可能な選択肢」を選ぶ癖をつけます。これは演習を重ねるほど感覚がつかめてきます。

Q. 14日プランで進めていて、統治・リスク管理系は強いが技術系ドメインが弱い場合はどうすればいいですか。 ドメインごとの得意・不得意は珍しくありません。弱いドメインの配点を確認し、Security and Risk Managementのように配点が高く得意な分野で稼ぎつつ、技術系ドメインは頻出パターンだけに絞って穴を減らす戦略に切り替えます。

結論としてのおすすめ

日数だけを見て計画を決めるのではなく、まず診断模試で現在地を確認し、配点表と自分の正答率を突き合わせて優先順位を作ることが、どの期間のプランを選んでも共通して必要な作業です。7日や14日の短期プランは「知識の再配置」であって「知識の構築」ではないため、未経験からその期間で臨むのは避け、素直に長めの期間を確保することをおすすめします。