CISSPは転職で使えるのか｜年収レンジ・求人での扱われ方・「意味ない」と言われる理由

執筆・監修：飯塚 寛也（株式会社iT 代表取締役）
文系・未経験からインフラエンジニアへ転職し、医療・警察・官公庁・交通・証券などの設計構築案件に従事。クラウド基盤の設計構築でネットワークチームの現場リーダーを務めたのち、CCNA・CCNP研修を立ち上げ、延べ1,000名以上のCCNA取得者を輩出。著書『ゼロからわかるCISSP教科書（日本語版）』（Kindle）。

CISSP®を取れば転職で有利になるのか。年収は上がるのか。調べていくと「意味ない」という声も出てきて、143,000円（税込・2026年8月時点）の受験料を前に手が止まる。そういう状態でこのページにたどり着いた方が多いはずです。

この記事では、CISSPが日本の転職市場で実際にどう扱われているのかを、求人票の書かれ方という具体的なレベルから整理します。効く職種と効かない職種、提示される年収レンジ、そして「意味ない」と言われるときに何が起きているのか。誇張も卑下もせずに書きます。

この記事で分かること

• 求人票でCISSPが「必須」ではなく「歓迎」に置かれる理由と、それでも足切りになる場面
• CISSPが効く職種・効きにくい職種を7職種で整理
• 日本の求人票で提示される年収レンジと、年収を決めている本当の変数
• 「CISSPは意味ない」と言われる4つのパターンと、それぞれへの反証
• 情報処理安全確保支援士との使い分け、職務経歴書での具体的な書き方

求人票でCISSPはどう書かれているか

まず事実から確認します。CISSPは、日本の求人票では「必須要件」ではなく「歓迎要件」の欄に置かれることが圧倒的に多い資格です。doda、Indeed、レバテックキャリア、日経転職版といった主要な転職媒体でCISSPを検索すると、この傾向はすぐに確認できます。

「歓迎」と書かれていると、多くの方は「なくてもいいのか」と受け取ります。その解釈は半分正しく、半分間違っています。

なぜ「必須」に置かれないのか

企業側の事情は単純です。CISSPを必須にすると、応募母集団が極端に細くなります。採用担当者は、優秀な実務者を資格の有無で取りこぼすリスクを避けます。

だから要件を緩めて「歓迎」に置きます。資格の価値が低いという意味ではありません。母集団確保という採用側の都合です。

それでも実質的な足切りになる場面

一方で、CISSPが事実上の足切りとして機能する領域があります。代表的なのは次の3つです。

• 外資系企業のセキュリティ部門：本社側の職務記述書（Job Description）がそのまま翻訳されているケースが多く、CISSPが世界共通の共通言語として扱われます
• セキュリティコンサルティングファーム：提案書に載せる要員のプロフィールとして、資格が営業資料の一部になります
• 大手SIerのセキュリティ専門部隊：顧客提示用の要員要件や、社内の職位認定の条件として組み込まれている場合があります

この3領域では、CISSPがないと書類選考の段階で候補者リストから外れることがあります。表向きは「歓迎」でも、応募が集まった時点で選別の基準に使われるからです。

「歓迎要件」の実務的な意味

歓迎要件は、同程度の経験を持つ候補者が2人並んだときに効きます。書類だけの段階では実務の深さは伝わりにくい。そこで客観的に検証できる指標として資格が参照されます。

つまりCISSPは、単独で内定を取る道具ではありません。実務経験を読み手に信用させるための補強材です。この位置づけを外すと「意味ない」という結論に着地します。

CISSPが効く職種と効かない職種

同じセキュリティ職でも、CISSPの効き方はまったく違います。7つの職種で整理します。

表を見て分かる通り、境目は明確です。「判断し、説明し、責任を負う職種」ほどCISSPが効きます。「手を動かして検証する職種」では、実技の証明のほうが先に見られます。

どちらに進むかを決めないまま受験すると、投資対効果を判断できません。資格の位置づけ全体はCISSPとは何の資格かで整理しています。

年収レンジの実際

ここが一番知りたい部分だと思います。ただし最初にはっきり書いておきます。CISSPを取ったから年収がいくらになる、という因果関係は存在しません。

求人票で提示されるレンジ

日本の転職媒体でCISSPに言及しているセキュリティ職の求人票を見ると、提示される年収はおおむね600万〜1,200万円のレンジに収まることが多いです。

これは求人票に記載された提示レンジであって、CISSP保有者の平均年収ではありません。実際の提示額は面接での評価と前職給与をもとに個別に決まります。個人差があります。

レンジはそのポジションに就く人全体の幅です。上限側はマネジメント経験や高度な専門性が前提で、資格の有無で自動的に届くものではありません。

年収を決めている本当の変数

年収は、CISSP単体ではなく複数の変数の掛け算で決まります。

CISSPは年収の主要因ではありません。他の変数を持つ人が、その価値を市場に伝えるための増幅装置です。経験がなければ増幅する元がありません。

「CISSPは意味ない」と言われるのはどういうときか

この検索語には、実際の失望が含まれています。避けずに正面から書きます。「意味ない」という感想が生まれる状況は、私の見る限り4パターンに分かれます。

①実務経験が伴っていない

最も多いパターンです。CISSPは受験資格として、8ドメインのうち2つ以上で通算5年のフルタイム実務経験を求めます。経験不足でも受験自体は可能で、合格すると「Associate of ISC2」という立場になります。

この段階で転職市場に出ると、期待した反応が返ってきません。企業が見ているのは資格ではなく、その裏にあるはずの経験だからです。

反証：これは資格が無意味なのではなく、順序の問題です。経験が5年に達した時点でAssociateから正式認定に移行すれば、評価は変わります。無駄になったわけではありません。

②手を動かす職種に応募している

ペネトレーションテスターやマルウェア解析の求人に応募して反応が薄い、という話はよく聞きます。これらの職種が見ているのは、実際に侵入できるか、解析できるかという実証です。CISSPはマネジメント視点の判断力を測る試験で、測っているものが違います。

反証：資格の問題ではなく、ミスマッチです。同じ人が同じCISSPを持ってセキュリティコンサルの求人に応募すれば、評価は反転します。

③国内の中小企業では知名度が相対的に低い

国内中小企業やSES企業では、CISSPを知らない採用担当者に当たることがあります。情報処理安全確保支援士のほうが通りがよい場面も現実にあります。

反証：これは市場を選べば解決します。CISSPが効くのは外資・コンサル・大手SIerのセキュリティ部門です。効かない市場で使って「効かない」と結論づけるのは、評価の場所を間違えています。

④資格だけで年収が上がると期待している

143,000円の受験料と年125米ドルの年会費を払うのだから回収できるはずだ。そう考えるのは自然です。しかし資格手当を出す企業は限られ、金額も一律ではありません。

反証：CISSPのリターンは手当ではなく、応募できる求人の母集団が変わることで発生します。これまで書類で落ちていたレンジのポジションに、選考の土俵として乗れるようになる。そこが本体です。

4つに共通するのは期待値のずれです。4つとも「何を期待したか」のずれから来ています。CISSPは職を保証する資格ではなく、すでにある実務経験に国際的な形式を与える資格です。ここを外さなければ失望は起きません。

情報処理安全確保支援士との使い分け

日本で働く以上、この2つの比較は避けて通れません。結論から書くと、どちらが上かではなく、効く場所が違います。

両方持つ意味はあるのか

あります。特に日系大手SIerで官公庁案件と外資系顧客の両方を扱う立場、あるいは事業会社で国内法対応とグローバル本社報告の両方を担う立場では、2つが別々の場面で効きます。

実務が国内中心なら支援士を先に取り、外資やコンサルを視野に入れた段階でCISSPに進む流れが現実的です。ただし維持コストは両方に発生します。目的が曖昧なまま抱えると、CPEと講習に追われる時間だけが増えます。

インフラ経験×CISSPが強い理由

この記事を読んでいる方の中には、ネットワークやサーバの構築運用を本業にしてきた方が多いはずです。その経歴とCISSPの組み合わせは、市場で明確に希少です。

希少性がどこから来るか

セキュリティ人材の出自は大きく2つです。監査・コンサル出身で文書は強いが機器の実物に触れていない層と、インフラ出身で機器は分かるがセキュリティを体系立てて語れない層。

企業が採用に苦労するのはこの2つを橋渡しできる人です。「その要件はこの構成では成立しません」と言え、同時に「その判断はリスク受容として経営承認が必要です」とも言える人。インフラ経験者がCISSPを取ると、この位置に立てます。

Domain 4とDomain 7が実務と直結する

8ドメインの中で、インフラ経験者が最初から地力を持っているのが次の2つです。

• Domain 4（通信とネットワークのセキュリティ／出題比率13%）：OSI参照モデル、セキュアプロトコル、ネットワーク分離、無線。VLAN設計やファイアウォールのルール設計の経験がそのまま効きます
• Domain 7（セキュリティの運用／出題比率13%）：インシデント対応、バックアップ、事業継続、変更管理。運用設計と障害対応の経験が判断材料になります

この2つで合計26%です。全体の構造と学習量の見積もりはCISSPの難易度と必要な勉強時間で扱っています。

ただし注意点もあります。インフラ経験者はDomain 4で「技術的に正しい選択肢」を選んで外しがちです。CISSPが求めるのは技術的最適解ではなく、マネージャーとしての優先順位だからです。

転職活動でCISSPをどう使うか

持っているだけでは伝わりません。書類と面接での具体的な使い方を書きます。

職務経歴書での書き方

資格欄に「CISSP」と1行書いて終わりにしないでください。取得年月と、認定状態を明記します。

• 認定済み：「CISSP（ISC2認定、2026年◯月取得）」
• 合格したが経験年数が不足：「Associate of ISC2（CISSP試験合格、2026年◯月）」と正確に書きます。「CISSP保有」と書くのは誤りで、経歴詐称と受け取られます
• 学習中：「CISSP 受験予定（2026年◯月）」。「取得中」という曖昧な表記は避け、受験時期を具体的に書きます

そのうえで経歴本文側に「セキュリティ設計の判断根拠を8ドメインの枠組みで整理できます」といった一文を置きます。資格欄と本文が接続された書類は、読み手の印象が変わります。

面接で必ず聞かれること

CISSPを書いた候補者には、ほぼ確実にこの質問が来ます。「8ドメインの中で、ご自身の実務に一番近いのはどこですか」

ここで教科書的な説明を始めると評価が下がります。見られているのは、資格の知識と自分の実務が同じ言葉でつながっているかです。ドメイン名を挙げ、実際の案件を1つ具体的に語ってください。

Domain 7の運用領域です。前職でインシデント対応手順を整備した際、検知から報告までの責任分界が曖昧で初動が遅れていました。エスカレーション基準を再定義し、経営報告の閾値を明文化しました。CISSPの学習で、この作業がインシデント対応ライフサイクルのどの段階に位置するのかを整理できました。

紐づけを事前に用意しておく

これを面接の場で即興で組み立てるのは難しい。事前に8ドメインそれぞれについて、自分の実務経験を1つずつ書き出してください。全部は埋まりません。埋まらないドメインが経験の穴であり、次に取りにいく領域です。この棚卸しは学習にも転職にも同時に効きます。

取ってから動くか、動いてから取るか

最後にこの問いに答えます。受験資格が「8ドメインのうち2つ以上で通算5年の実務経験」である以上、答えは構造的に決まっています。

経験が先、学習は同時並行

5年に届く前に転職を考えているなら、CISSPを待つ必要はありません。いまの経験で応募できる求人に動いてください。CISSPは次のステップで効く資格です。ただし学習の開始は早いほうがいい。理由は2つあります。

• 8ドメインの枠組みを持って業務にあたると、経験の蓄積そのものが構造化されます。5年後に語れる内容が変わります
• 学習期間が長い。働きながらだと半年前後は必要で、思い立ってすぐ受けられる試験ではありません

費用と制度の変化も見ておく

受験料は143,000円です。為替と税で変動するため、最新はISC2の公式サイトで確認してください。

制度面では、2026年4月1日から経験免除の対象資格が大幅に削減されました。CEH、CISA、CRISC、OSCP、CIA、CCSK、CWSPなどが対象外です。免除を当てにした計画なら前提の確認が必要です。日本での受験手続きと変更点は日本でCISSPを受験する手順と2026年の変更点にまとめています。

いま始められること

経験年数が足りていても足りていなくても、今日から着手できることがあります。前述の8ドメイン棚卸しです。学習の入口であり、職務経歴書の下書きでもあります。

学習を始めるなら最初にぶつかるのは英語です。Official Study Guideをはじめ定番教材はほぼ英語で、1周するだけで数か月が消えます。試験画面は日本語と英語が併記されますが、訳が直訳的で読みにくい設問もあります。

だからこそ日本語で問題を解き、日本語で解説を読める演習環境を先に確保してください。CISSPは知識量ではなく「4つとも正しそうな選択肢から1つを選ぶ判断基準」を問う試験です。その基準は読書では身につかず、解いて解説で修正する反復でしか作れません。出題のされ方はCISSPの問題と日本語解説で確認できます。

転職活動は、資格を取ってから始めるものではありません。8ドメインで経験を棚卸しし、足りない領域を業務で取りにいく。その過程の証明としてCISSPを置く。順序はこちらです。まずは棚卸しから始めてください。

※ CISSP® は ISC2, Inc. の登録商標です。本記事および当社教材は ISC2, Inc. の公式教材ではなく、同社と提携・後援その他の関係にはありません。