CISSPの難易度は本当に高いのか｜合格率・必要な勉強時間・つまずく理由を分解する

執筆・監修：飯塚 寛也（株式会社iT 代表取締役）
文系・未経験からインフラエンジニアへ転職し、医療・警察・官公庁・交通・証券などの設計構築案件に従事。クラウド基盤の設計構築でネットワークチームの現場リーダーを務めたのち、CCNA・CCNP研修を立ち上げ、延べ1,000名以上のCCNA取得者を輩出。著書『ゼロからわかるCISSP教科書（日本語版）』（Kindle）。

「CISSPは難しい」という評判は、あなたも一度は目にしたはずです。ただ、その「難しい」が何を指すのかはほとんど語られません。覚える量なのか、英語なのか、問題の解き方なのか。ここが曖昧なままだと対策は的外れになります。この記事ではCISSP®の難易度を要素に分解します。どこに時間を使えば合格に近づくのかを、2026年8月時点の事実だけで整理します。受験料は1回143,000円（税込・2026年8月時点）です。落とせない試験だからこそ、難易度の正体を先に把握してください。

ISC2が公表している価格は米ドル建てのため、日本円での請求額は申込み時点の為替により前後します。最新の金額は必ず公式サイトで確認してください。

この記事で分かること

• 合格率が公表されていない理由と、ネット上の「◯%」をどう扱うべきか
• 難易度を構成する4つの要素と、日本の受験者に強く効いてくる順番
• 情報処理安全確保支援士やCompTIA Security+などと比べたときの位置づけ
• バックグラウンド別に見た勉強時間の目安（おおむね100〜350時間）
• 難易度のうち、自分でコントロールできる部分と、できない部分

結論｜CISSPの難易度は「知識量」ではなく「判断基準」にある

先に結論を書きます。CISSPの難しさの中心は、覚える量ではありません。4つの選択肢のうち、どれを「最も適切」とみなすかという判断基準にあります。

CISSPの出題範囲は8つのドメインに分かれています。リスクマネジメントから資産、アーキテクチャ、ネットワーク、IAM、評価とテスト、運用、ソフトウェア開発セキュリティまで。範囲は確かに広いです。

しかし、1つひとつのテーマの深さは専門資格ほどではありません。設定値を暗記させる試験でも、コードを書かせる試験でもない。広く浅く、その代わりに「経営とリスクの立場から見て、どれを先にやるか」を問う設計です。

ここでつまずく人が多い。技術的にはどの選択肢も間違っていない問題が普通に出るからです。それでも正解は1つ。基準を知らずに知識だけで臨むと、勉強量に比例して点が伸びません。

逆に言えば、この基準は後から身につけられます。難易度が高いのは事実ですが、それは「才能の壁」ではなく「訓練していない領域がある」という意味です。資格そのものの位置づけや受験資格は、CISSPとは何か（受験資格・費用・認定の流れ）を先に確認してください。

合格率が公表されていないという事実と、その意味

ISC2は合格率を公表していない

まず事実の確認です。ISC2はCISSPの合格率を公式に公表していません。「合格率は約◯%」という数字はネット上に多数ありますが、根拠を公式の発表までたどれるものを私は確認できていません。

つまり、目にした「合格率20%」も「合格率50%」も、出典が確認できない数字です。難易度の判断材料としては使えません。信じて安心するのも、怯えるのも意味がありません。

CATとスケールドスコアという仕組み

そもそもCISSPは、単純な合格率が意味を持ちにくい試験形式です。ISC2の公表値によると、形式はCAT（Computerized Adaptive Testing／コンピュータ適応型）。問題数は100〜150問、試験時間は3時間です。

CATでは解答状況に応じて次に出る問題が変わります。全員が同じ問題を解く試験ではないため、「何問正解したか」で合否は決まりません。合格ラインは1000点満点中700点というスケールドスコアで、解いた問題の難易度を加味して算出される点数です。

日本語受験も、2024年4月15日から全言語でCAT形式に統一されました。それ以前は250問・6時間の直線形式でしたから、2024年より前の体験記は前提が違います。古い情報を難易度の基準にしないでください。

受験者ごとに出題内容が違い、点数が難易度で補正される。この設計である以上、「みんなの合格率」は個人の対策に影響しません。見るべきは、自分が8ドメインのどこで落としているかです。

難易度を構成する4つの要素

「難しい」を分解すると、日本の受験者にとっては次の4つに整理できます。

要素1｜出題範囲が8ドメインに広がっている

2024年4月15日版の試験アウトラインでは、出題比率が公表されています。ドメイン1が16%、2が10%、3が13%、4が13%、5が13%、6が12%、7が13%、8が10%です。

注目すべきは、極端に軽いドメインが存在しないことです。最小のドメイン2と8でも10%。100〜150問の試験なら10問以上に相当します。「捨てドメイン」を作る戦略が成立しません。

インフラ出身ならドメイン4と7、開発出身ならドメイン8は取れるでしょう。それだけでは足りません。得意領域が全体の3割に届かない構造です。

要素2｜主要教材が英語に偏っている

試験自体は日本語・英語の併記表示で受けられます。ここは救いです。問題は教材のほうにあります。

Official Study Guide（OSG）、Official Practice Tests（OPT）、Boson ExSim、Destination Certification、Exam Cram、Eleventh Hour。定番として挙がる教材はいずれも良質ですが、基本的に英語です。Pete ZergerやPrabh NairのYouTube解説も英語です。

内容が悪いのではありません。むしろ完成度は高い。ただし1問解くたびに英語の解説を読む作業が、演習の回転数を確実に落とします。日本語なら1時間で30問回せる人が、英語だと12問で疲れる。半年積み重なれば、演習量に大きな開きが出ます。

要素3｜マネジメント視点での判断が求められる

CISSPは「セキュリティマネージャーの試験」と表現されます。設問の多くが、技術者としてではなく組織の責任者としてどう動くかを問うからです。

人命の安全が最優先、対症療法より根本原因、実装より先に方針とポリシー、対策の前に資産価値とリスクの評価。この優先順位が選択肢を切る基準になります。現場で「まず止血」を叩き込まれた人ほど、切り替えに時間がかかります。

要素4｜CATで手応えが得られない

CATは、正解が続くと難しい問題を出してきます。つまり、順調に進んでいる人ほど「解けない」という感触を持ちます。3時間ずっと手応えがないまま終わり、それでも合格している。そういう試験です。

この体感の悪さ自体が難易度の一部です。途中で心が折れて残りを雑に処理すると、そこで点数が落ちます。仕組みを知っているかどうかが結果に効きます。

他資格と比べたときの位置づけ

難易度は比較すると輪郭がはっきりします。日本のインフラ・セキュリティ担当が実際に検討する資格と並べます。

※他資格の受験料は改定されграницеことがあります。金額は各公式サイトで最新をご確認ください。

読み取れることは2つあります。1つは、CISSPの広さが他と質的に違うこと。技術寄りの資格が「深さ」で難しいのに対し、CISSPは「広さ×視点の切り替え」で難しい。もう1つは受験資格の壁です。CISSPは8ドメインのうち2つ以上で通算5年のフルタイム実務経験が必要です。4年制大学の学位（情報系）または所定の認定資格で1年免除できますが、学位と資格の重ね掛けはできず、免除は最大1年です。

さらに2026年4月1日から、免除対象の資格リストが大幅に削減されました。CEH・CISA・CRISC・OSCP／OSCP-E・CIA・CCSK・CWSPなどが対象外です。CCSP・SSCP・CompTIA Security+・CySA+・CISM・CCNA・CCNP Security・CCIE Security・AWS Certified Security – Specialtyなどは引き続き有効です。手持ちの資格が使えるかは、必ず公式サイトで最新をご確認ください。

なお、経験が5年に届かなくても受験自体は可能です。合格すると「Associate of ISC2」となり、最長6年のうちに5年の経験を積めば正式認定に移行します。

必要な勉強時間の目安

次に時間です。大事なのは「誰にとっても同じ○○時間」という数字は存在しないという点です。8ドメインの試験なので、いまの経験がどのドメインと重なるかで必要な時間が大きく変わります。

下の表は計画を立てるための目安です。ISC2の公表値ではありません。

幅が100時間から350時間まで開くのは能力差ではなく、経験の重なり方の差です。ドメイン1の16%を毎日業務で触っている人と、規程を読んだこともない人では吸収速度が違います。

期間に落とすと、平日60〜90分・休日2〜3時間で月におよそ35〜45時間。180時間なら5か月弱です。危険なのは、時間だけ積み上げて中身を問わないこと。300時間読んだのに演習は50問、という状態は珍しくありません。フェーズの切り方と1日の配分はCISSPの勉強方法（6か月ロードマップ）で整理しています。

日本の受験者がつまずく3つの構造

ここからは、難易度が実際にどこで牙をむくかです。日本の受験者のつまずき方は3つに集約されます。いずれも能力ではなく構造の問題です。

構造1｜英語の問題集で心が折れる

最初の壁です。OSGは分厚く、OPTの解説は英語です。読めないわけではない。しかし仕事を終えた22時に、英語の解説を1問ずつ読み解く作業を毎日続けられるかは別の話です。

典型的な失速はこうです。最初の2週間は進む。3週目に業務が忙しくなり1日空ける。次に開いたとき、英語のページを見て「今日はやめておこう」と思う。そこから戻ってこない。脱落は理解力ではなく、着手のハードルで起きます。

構造2｜知識で答えて外す

2つ目は、勉強が進んだ人ほどはまります。用語も仕組みも覚えた。それなのに模試の点数が動かない。原因は、選択肢を「正しいか／間違いか」で切っているからです。CISSPの選択肢は4つとも正しいことがあります。問われているのは「最も適切なのはどれか」であって、正誤ではありません。

たとえば初動対応の設問で、封じ込めと経営層への報告と証拠保全が並ぶ。実務ではどれもやります。試験では、シナリオが何を最優先と定義しているかを読み取って1つを選びます。この読み取りは解説を読んで初めて身につく。だから解説の質が、そのまま難易度を左右します。実際の設問はCISSPの問題と日本語解説で確認してください。

構造3｜演習量が足りないまま本番に行く

3つ目は時間切れです。受験料が143,000円と高いため、多くの人は「準備が整ってから申し込む」という順序を取ります。ところが期限がないと、インプットが延び続けます。

結果として、テキストは3周したが演習は200問、という状態で本番を迎える。CATは100〜150問を3時間で処理する試験です。読む力ではなく、選ぶ速度が要求されます。初見の設問に対する反応速度は、演習の回転数でしか上がりません。

難易度を下げるためにコントロールできること

4要素のうち、出題範囲の広さ（8ドメイン）とCATの仕組みは変えられません。試験に合わせるしかない。一方で、次の3つはあなたが決められます。

コントロール1｜受験時期を先に決める

申込みを先にして逆算する。これが最も効きます。期限がないと演習フェーズが消えるからです。表で出した期間の目安（3〜8か月）から自分の枠を選び、その日付を確保してください。

不合格でも再受験の道は残っています。ISC2の再受験ポリシーでは、1回目の不合格後は30日、2回目後は60日、3回目後は90日の待機期間があり、12か月あたり最大4回まで受験できます（最新は公式サイトでご確認ください）。ただし、そのたびに143,000円がかかります。

コントロール2｜教材の言語を選ぶ

英語教材を否定する必要はありません。OSGもBosonも良い教材です。問題は、すべてを英語で回そうとすることにあります。

現実的なのは役割分担です。体系的なインプットは英語の定番書に任せる。一方で、毎日繰り返す演習と、判断基準を身につけるための解説読解は、日本語でできる環境を持つ。着手のハードルが下がるだけで、継続率は変わります。

日本語でまとまった問題数を回せる状態を作れれば、構造1と構造3は同時に解消できます。難易度のうち、この部分はあなたの選択で下げられます。

コントロール3｜演習の回転数を上げる

回転数とは、同じ問題を何周するかではなく解いて→解説を読んで→なぜ他が違うかを言語化するサイクルを何回踏むかです。

1問ごとに「不正解の選択肢が不正解である理由」を一言で言えるか確認してください。これができると、初見の問題でも切り方が同じになります。CISSPの判断基準は、この反復でしか定着しません。

「難しいから受けない」が一番損になる理由

最後にコストの話です。難易度を理由に先延ばしすると、支払う金額はむしろ増えます。受験料は1回143,000円です。2回受ければ286,000円になります。準備不足のまま「とりあえず1回」で臨むのが最も高くつきます。

時間コストも同じです。半年迷ってから半年勉強すれば1年。その間、転職市場での選択肢は増えません。認定後は年125米ドルの年会費（AMF）と、3年間で120CPE（年間最低40CPE）の維持が必要ですが、これは合格した人だけが払うコストです。

CISSPが求人市場でどう扱われ、どの年収レンジで提示されるのかはCISSPは転職で使えるのか（年収レンジと求人での扱われ方）で整理しています。難易度と見返りはセットで判断してください。

CISSPの難易度は高い。それは事実です。ただし、その中身は「才能の壁」ではなく、範囲の広さと、言語の壁と、判断基準の訓練不足という3つの積み重ねです。範囲は変えられませんが、言語と訓練量は今日から変えられます。

まずは、いまの自分が8ドメインのどこで落とすのかを、実際の設問形式で確かめてください。難易度の見積もりは、そこから初めて自分の数字になります。

※ CISSP® は ISC2, Inc. の登録商標です。本記事および当社教材は ISC2, Inc. の公式教材ではなく、同社と提携・後援その他の関係にはありません。