CISSP mindsetとは何か｜「マネージャーの視点」で選択肢を切る5つの判断ルール

執筆・監修：飯塚 寛也（株式会社iT 代表取締役）
文系・未経験からインフラエンジニアへ転職し、医療・警察・官公庁・交通・証券などの設計構築案件に従事。クラウド基盤の設計構築でネットワークチームの現場リーダーを務めたのち、CCNA・CCNP研修を立ち上げ、延べ1,000名以上のCCNA取得者を輩出。著書『ゼロからわかるCISSP教科書（日本語版）』（Kindle）。

CISSP®の学習で最初に壁になるのは、知識量ではありません。4つの選択肢がどれも技術的に正しく見えて、それでも1つしか正解がない、あの感覚です。現場で10年戦ってきた人ほど、自分の経験どおりに選んで外します。英語圏の受験者コミュニティでは、この落とし穴を避けるための考え方が「CISSP mindset」と呼ばれてきました。日本語では「CISSP マインドセット」「CISSPの考え方」とも言われます。この記事では、その中身を5つの判断ルールに分解し、例題つきで具体的に説明します。

この記事で分かること

• CISSP mindsetとは何で、なぜ非公式な用語なのか
• 技術者の「現場の正解」とCISSPの「試験の正解」がずれる構造
• 選択肢を切るための5つの判断ルールと、その優先順位
• BEST／FIRST／MOST／NEXT／PRIMARY の読み分け
• mindsetを演習で身につけるための具体的な回し方

CISSP mindsetとは何か

CISSP mindsetとは、CISSPの設問に答えるときに置くべき視点のことです。英語圏の受験者コミュニティでは「think like a manager（マネージャーのように考えろ）」という言い回しで共有されてきました。技術者としての最適解ではなく、組織のセキュリティに責任を持つ立場としての最適解を選ぶ、という意味です。

ここは正確に押さえてください。CISSP mindsetはISC2の公式用語ではありません。試験要綱にも受験ガイドにも、この言葉は出てきません。あくまで受験者や講師の間で経験的に語り継がれてきた、非公式な学習概念です。

ではなぜ非公式な言葉がこれほど広まったのか。理由は単純で、この視点を持たないと点が伸びないからです。CISSPは8つのドメインを横断する試験ですが、問われているのは用語の暗記ではありません。CISSPという資格そのものの位置づけを見れば分かるとおり、この資格は「セキュリティを設計し、管理し、説明できる人」を認定するものです。設問もその前提で作られています。

「マネージャー」は役職のことではない

誤解されやすいのですが、think like a manager は「管理職になれ」という意味ではありません。手を動かすなという意味でもありません。求められているのは、次の3つを同時に見る視点です。

• その判断は、組織全体のリスクを下げるか
• その判断は、方針や法令と整合しているか
• その判断は、コストに見合っているか

なぜ技術者ほど落ちるのか

技術力が高い人が落ちるのは、能力が足りないからではありません。持っている正解の定義が違うからです。

現場の正解は「いま止血する」ことです。障害が起きたらまずサービスを戻す。侵害が疑われたらまず遮断する。この判断は実務では完全に正しく、そう動けない人は現場で信頼されません。

一方でCISSPの正解は「二度と起きない仕組みにする」ことです。目の前の1件を止めるだけの選択肢は、たとえ技術的に正しくても、より上位の選択肢がある限り選ばれません。

表の右列だけが正しいわけではありません。実務では左列が先に必要です。ただし試験では、左列を選ばせないための修飾語が設問に必ず入っています。そこを読み落とすと、技術力があるほど左列を選んで外します。

ここから、選択肢を切るための5つの判断ルールを順に見ます。ルールには優先順位があり、上のルールが下のルールを常に上書きします。

判断ルール①｜人命・安全が常に最優先

最初のルールは例外がありません。人の生命と安全に関わる選択肢がある場合、それが常に最優先です。データの保全よりも、証拠の保全よりも、サービスの継続よりも先に来ます。

英語圏では safety first と呼ばれます。CISSPが専門職の倫理を土台に置いている以上、これは崩れません。火災、地震、停電、避難、電気的な危険、物理的な立ち入り。こうした語が設問に出てきた時点で、まず人を守る選択肢を探してください。

データセンターの消火設備、避難経路、高電圧、有毒ガス、来訪者の安全。こうした語が出てきたら、人がいる区画では人の退避が先です。技術的な最適解より、人の安全が上位にあると覚えてください。

例題1

設問：夜間、有人運用中のデータセンターでガス系消火設備の作動前警報が鳴りました。同じ区画では基幹データベースのバックアップ処理が実行中です。運用責任者として最初に行うべき対応はどれですか。

1. バックアップ処理を安全に停止し、データ整合性を確保する
2. 区画内の全要員を退避させ、人員の所在を確認する
3. 消火設備の作動を一時的に保留し、原因を調査する
4. 災害復旧サイトへの切り替え手順を開始する

正解：2。人がいる区画での消火剤放出は生命に関わるため、退避と人員確認が他のすべてに優先します。データ整合性も事業継続も、人の安全が確保された後に扱う問題です。

判断ルール②｜対症療法より根本原因

2つ目は、目の前の症状を消す選択肢と、原因そのものを断つ選択肢が並んでいたら、後者を選ぶというルールです。

CISSPの設問は、この対比を非常に好みます。1件のアカウントを削除するか、アカウントが残る仕組みを直すか。1台にパッチを当てるか、パッチ適用プロセスを作るか。並んでいたら後者です。

ただし修飾語には従う

注意点があります。設問が FIRST（最初に）を求めているのに、根本対策を選ぶと外れることがあります。インシデント対応の文脈では、封じ込めが先で、根本原因の除去はその後だからです。ルール②は「他の条件が同じなら」という前提で働きます。修飾語の読み方は後半の表で整理します。

例題2

設問：内部監査で、過去2年間に退職した従業員のドメインアカウントが複数、有効なまま残っていたことが判明しました。手作業での棚卸しは四半期ごとに行われています。この問題に対する最も適切な是正策はどれですか。

1. 該当するアカウントをただちに無効化する
2. 棚卸しの頻度を四半期から毎月に変更する
3. 人事システムの退職イベントを起点にアカウントを自動失効させる
4. アカウント一覧を管理職に毎月配布し、確認させる

正解：3。1は必要な応急処置ですが、同じ状況が再発します。2と4は手作業の頻度を上げるだけで、人が忘れれば同じ結果になります。3だけが、退職という事実とアカウントの状態を構造的に一致させます。

判断ルール③｜技術の前にポリシー・承認・経営の合意

3つ目は、多くの技術者が最も違和感を持つルールです。CISSPは、ツールの導入より先に、方針の策定と経営層の承認を置きます。

理由は明快です。方針がない状態で技術統制を入れると、何を守るのかが定義されないまま制限だけが増えます。違反したときの根拠もなく、例外を認める基準もありません。予算も権限も、経営の承認なしには持続しません。

CISSPの世界では、順序はこうなります。経営層の意思表明（セキュリティポリシー）が上位にあり、その下に基準（スタンダード）、手順（プロシージャ）、指針（ガイドライン）が並びます。技術的な統制は、この階層を実装したものです。

設問に「まず何をするか」とあり、選択肢に方針の策定や経営承認が含まれているなら、そこが正解である可能性が高くなります。技術的に格好いい選択肢に引っ張られないでください。

例題3

設問：あなたは情報システム部門の責任者です。従業員が業務ファイルを個人契約のクラウドストレージに保存している実態が判明しました。現時点で、クラウドサービスの利用に関する社内規程は存在しません。最初に取るべき行動はどれですか。

1. プロキシで主要なクラウドストレージへの通信を遮断する
2. CASBを導入し、利用状況を可視化する
3. クラウドサービス利用に関する方針を策定し、経営層の承認を得る
4. 全従業員に利用中止を求める注意喚起メールを送る

正解：3。規程がない状態で1や4を実施しても、根拠がないため業務を止めるだけの措置になります。2は方針が決まった後の実装手段です。何を許可し何を禁じるかを、権限を持つ層が決めるのが先です。

判断ルール④｜資産の価値に見合った統制

4つ目は、統制の強さは守る対象の価値で決まる、というルールです。最強の統制が常に正解ではありません。むしろ、価値に対して過剰な統制を選ぶと不正解になります。

CISSPが想定する順序は決まっています。まず資産を洗い出し、リスクアセスメントで脅威と影響を評価する。次に重要度に応じて分類する。そのうえで、分類に対応した統制を割り当てる。この順序を飛ばして統制から入る選択肢は、ほぼ間違いです。

コストが価値を超える統制は選ばない

対策コストが、守る資産の価値や想定される損失を上回るなら、その対策は合理的ではありません。CISSPはこの判断を明確に求めます。技術者としては「守れるなら守りたい」と思う場面でも、試験ではリスク受容や、より安価な統制が正解になります。

例題4

設問：社内向けの食堂メニュー配信システムについて、担当者から「専用ハードウェアによる暗号鍵管理と多要素認証を導入したい」という提案が上がりました。このシステムは機密情報を扱わず、停止しても業務への影響はほとんどありません。あなたの対応として最も適切なものはどれですか。

1. 提案どおり導入し、全社の統制水準を引き上げる
2. データ分類の結果を確認し、分類に見合った統制を選び直す
3. 予算がないことを理由に提案を却下する
4. 他システムでの導入実績ができるまで判断を保留する

正解：2。統制は資産の分類に対応して決めます。1は費用対効果が成立せず、3は判断の根拠が予算という一点しかありません。4は判断の先送りです。分類に立ち戻ることが、根拠のある判断になります。

判断ルール⑤｜属人的な運用より、仕組みで担保する

5つ目は、人の注意力に依存する対策より、仕組みで自動的に担保される対策を選ぶというルールです。

手順書を厚くする、チェックリストを増やす、ダブルチェックを入れる、研修を追加する。どれも実務では意味がありますが、共通の弱点があります。人が疲れていれば抜けます。急いでいれば飛ばします。担当が変われば精度が落ちます。

CISSPは、統制が「一貫して」「検証可能に」働くことを重視します。自動化された技術的統制、システムによる強制、そして逸脱を検知する仕組み。これらが選択肢にあれば、人の努力に頼る選択肢より上位です。

例題5

設問：新規サーバの構築時に、不要なサービスが有効なまま本番投入される事象が半年で複数回発生しました。構築手順書は整備され、構築後にチェックリストによる確認も行われています。再発防止策として最も効果的なものはどれですか。

1. 手順書に注意喚起の記載を追加し、担当者へ再周知する
2. チェックリストの確認を2名体制に変更する
3. セキュアな基準構成を構成管理ツールで自動適用し、逸脱を継続的に検知する
4. 構築担当者向けのセキュリティ研修を実施する

正解：3。1、2、4はいずれも人の注意力を前提としており、すでに手順書とチェックリストが機能しなかった事実と矛盾します。3だけが、人が間違えても結果が変わらない構造を作ります。

設問文の修飾語で優先順位を切り替える

ここまでの5つのルールには優先順位があります。ただし、その順序を最終的に決めるのは設問文の修飾語です。同じ選択肢の組み合わせでも、修飾語が変われば正解が変わります。

だから、CISSPの設問はまず修飾語から読んでください。大文字で強調されていることが多く、日本語併記では「最初に」「最も」「次に」などの形で現れます。

修飾語ごとの読み替え例

たとえば「監査ログを取得する PRIMARY な目的は何か」と問われたら、答えは説明責任と事後追跡です。侵入の抑止は副次的な効果であって、第一目的ではありません。

「インシデント発生時に FIRST に行うことは何か」なら、根本原因の除去ではなく、被害の封じ込めや影響範囲の特定が先に来ます。ルール②の根本原因より、時系列の要求が優先されるからです。

試験当日の時間配分やCAT形式の進み方については、合格戦略と試験当日の進め方で詳しく整理しています。修飾語の読み取りは、時間に追われるほど雑になります。当日の進め方とセットで練習してください。

mindsetは知識ではなく、演習でしか身につかない

ここまで5つのルールと修飾語の読み分けを説明しました。ただし、読んで理解しただけでは点数は変わりません。CISSP mindsetは知識ではなく、判断の癖だからです。癖は解説を読むだけでは変わりません。

5つのルールを一度整理しておきます。

正解した理由と、外した理由の両方を言語化する

演習で効果が出るかどうかは、解いた後の作業で決まります。やるべきことは2つです。

1. 外した問題：自分が選んだ選択肢は、5つのルールのどれに反していたかを書く。「実務なら正しいが、③の順序に反していた」のように、理由をルールに紐づけます
2. 正解した問題：なぜ正解できたのかを書く。ルールで切れたのか、たまたま消去法で残ったのかを区別します

2つ目を省く人が多いのですが、ここが伸びしろです。たまたま当たった問題は、本番で形を変えて出たときに落とします。正解の理由を言語化して初めて、次に再現できます。

日本語で解説を読み切れる環境をつくる

この作業には条件があります。1問ごとに「なぜこれが正解で、他の3つがなぜ違うのか」を最後まで読み切れることです。

ここで英語教材の壁が出ます。Official Practice TestsやBoson ExSimは定番の良問集ですが、解説はすべて英語です。設問の英文を読み、選択肢を訳し、そのうえで解説の英文を精読する。1問あたりの負荷が大きく、100問解いた後に解説を読み切れずに終わりがちです。読み飛ばした分だけ、判断の癖は変わらないまま残ります。

逆に言えば、日本語で解説まで読み切れる環境があれば、この記事の5つのルールを1問ずつ体に落とし込めます。実際の設問がどう作られているかは、全ドメインの例題10問と日本語解説で確認してください。5つのルールがどこで効いているかを、自分の目で確かめられます。

次にやることは決まっています。この記事の5つのルールを手元にメモし、次に解く10問で「どのルールで切ったか」を1問ずつ書き出してください。それが、CISSP mindsetを身につける最短の作業です。

※ CISSP® は ISC2, Inc. の登録商標です。本記事および当社教材は ISC2, Inc. の公式教材ではなく、同社と提携・後援その他の関係にはありません。