CISSPの問題はこう出る｜全ドメインから10問＋日本語解説で「選び方」を身につける

執筆・監修：飯塚 寛也（株式会社iT 代表取締役）
文系・未経験からインフラエンジニアへ転職し、医療・警察・官公庁・交通・証券などの設計構築案件に従事。クラウド基盤の設計構築でネットワークチームの現場リーダーを務めたのち、CCNA・CCNP研修を立ち上げ、延べ1,000名以上のCCNA取得者を輩出。著書『ゼロからわかるCISSP教科書（日本語版）』（Kindle）。

CISSP®の問題を初めて解いた人は、たいてい同じ感想を持ちます。「4つとも正しく見える」。錯覚ではありません。CISSPは実務なら全部やるであろう打ち手を4つ並べ、その中から「最も適切な1つ」を選ばせる試験です。問われているのは知識ではなく優先順位の付け方です。

この記事では8ドメインすべてから10問のオリジナル例題を出し、正解の理由と他の3つが最適でない理由を日本語で解説します。解いて終わりにせず、「なぜそれを選んだか」を言葉にできる状態を目指してください。

この記事で分かること

• CISSPの問題が「4つとも正しい」構造になっている理由
• CAT形式・100〜150問・3時間という基本と、過去問が存在しない事情
• BEST／FIRST／PRIMARYといった修飾語が示す「解答の合図」
• 8ドメイン10問の例題と、選択肢1つずつの日本語解説
• 正答数から見る現在地と、次にやるべき演習量

CISSPの問題が難しい本当の理由

CISSPの難しさは、知らない用語が出ることではありません。用語を全部知っていても落ちます。

典型的な設問では状況が示され、「最も適切な行動はどれか」と問われます。選択肢にはファイアウォールのルール追加も、監視強化も、手順書の整備も並びます。どれも間違いではありません。それでも正解は1つです。

試されているのは、3つを正しいと認めたうえで捨てられるかどうかです。私たちは「どれが正しいか」の訓練は受けていますが、「正しいものの中から優先度を選ぶ」訓練は受けていません。

CISSPが想定する解答者は、現場のエンジニアではなく組織全体に責任を持つマネージャーです。だから「技術的には最善だが承認がない」「対症療法としては有効だが原因は残る」という選択肢は、正しくても落とされます。この視点の切り替えはCISSP mindsetの記事で5つの判断ルールとして整理しています。資格の位置づけから確認したい場合はCISSPとは何かをまとめた記事を先に読んでください。

出題形式の基本と「過去問」が存在しない事情

まず前提となる形式です。以下はISC2の公表値（2026年8月時点）です。

出題の中心は四者択一です。ドラッグ＆ドロップなどの形式も一部ありますが、対策の主戦場は四者択一と考えて構いません。

ドメイン別の出題比率も決まっています。2024年4月15日版のアウトラインは次の通りです。D1が16%、D2が10%、D3が13%、D4が13%。D5が13%、D6が12%、D7が13%、D8が10%です。D1が最も重い配分です。

そしてもう1つ重要な事実があります。CISSPには「過去問」が存在しません。ISC2は実際の試験問題を公開していません。受験時にはNDAへの同意が求められ、問題の持ち出しや再現は禁じられています。

ネット上で「CISSP過去問」と呼ばれるものは、すべて市販教材か個人が作成した類題です。本物ではありません。暗記が効かない以上、できるのは質の高い類題を大量に解き、判断軸そのものを鍛えることだけです。本記事の10問もすべてオリジナルの類題であり、実在の試験問題ではありません。

設問文に埋め込まれた「解答の合図」を読む

CISSPの設問文には、必ずと言っていいほど修飾語が入ります。日本語併記では「最も適切な」「最初に」「主な」と表示されます。これは装飾ではなく、どの軸で選択肢を比較するかの指定です。同じ4つでも、BESTを問われるかFIRSTを問われるかで正解が変わります。

もう1つ確認すべきは「誰の立場で答えるか」です。「セキュリティ管理者として」「監査人として」と書かれていれば、その役割の責任範囲で答えます。監査人は是正しません。報告します。この一線を越えると外します。

ではここから10問です。選択肢を読んだ時点で自分の答えを決めてから解説に進んでください。

例題1〜3｜ドメイン1・2から

最初の3問は、出題比率が最も重いドメイン1（16%）とドメイン2（10%）からです。いずれも「技術を入れる前に何を決めるか」を問う構造になっています。

例題1｜ドメイン1 セキュリティとリスクマネジメント

従業員300名の事業会社です。経営会議から「私物スマートフォンで社内グループウェアを使いたい」という要望が出ました。あなたは情報システム部のセキュリティ担当です。現時点で私物端末に関する社内規程は存在せず、業務利用の可否も定義されていません。あなたが最初に行うべき行動として、最も適切なものはどれですか。

1. MDM（モバイルデバイス管理）製品を選定し、対象の私物端末すべてに導入する
2. 私物端末の業務利用に関する規程を作成し、経営層の承認を得る
3. 私物端末から社内ネットワークへの接続をVPN経由に限定する
4. 私物端末利用のリスクを説明する従業員向け教育を実施する

正解と解説

正解は2です。私物端末の利用を認めるか、認めるならどこまで許容するかは組織としての意思決定です。規程がない状態では、何を統制すべきかが定義されていません。定義のないまま技術を入れると設定の根拠を説明できず、私物に対する会社の権限も曖昧なままになります。ポリシー策定と経営層の承認が、あらゆる統制の起点です。

他の選択肢が不適切な理由

• 1：MDMはBYOD統制の中心的手段です。ただし何を強制するかは規程で決まります。規程なしに私物をリモートワイプできる状態にすれば、それ自体が法務リスクです。
• 3：VPN限定は経路を守る有効な設計です。しかし端末の管理要件を定めなければ、感染した私物端末が安全な経路で社内に入ってくるだけです。
• 4：教育は必要です。ただし規程がなければ「何を守れ」と教えるのかが決まりません。教育はポリシーの周知手段であり、代わりにはなりません。

この問題の判断軸：技術的統制の前に、ポリシー策定と経営層の承認。

例題2｜ドメイン1 セキュリティとリスクマネジメント

深夜、自社データセンターの火災報知設備が作動しました。当直はあなた1名で、サーバールームには稼働中の基幹システムが収容されています。この部屋にはガス系消火設備があり、作動すると室内の酸素濃度が低下します。避難訓練では退避経路と点呼場所が定められています。あなたが最初に行うべき行動として、最も適切なものはどれですか。

1. 直近の完全バックアップ媒体を耐火金庫から持ち出す
2. 消防と経営層へ緊急連絡を行い、指示を仰ぐ
3. 基幹システムを正常手順でシャットダウンし、データ破損を防ぐ
4. 室内および隣接エリアに人がいないことを確認し、自身も退避する

正解と解説

正解は4です。CISSPでは人命の安全があらゆる資産・業務・データより優先されます。ガス系消火設備が作動する環境では、室内に留まること自体が生命の危険です。設備もデータも復旧できますが、人命は回復できません。選択肢に人の退避が含まれている限り、それが正解になります。

他の選択肢が不適切な理由

• 1：バックアップ媒体の保全は事業継続上重要です。ただし耐火金庫はまさにその目的の設備であり、人が命を賭けて持ち出す前提の統制ではありません。
• 2：消防への通報は必要な手順ですが、安全な場所からでも行えます。退避より前に置く理由がありません。
• 3：正常シャットダウンはデータ整合性を守る正しい手順です。しかし時間がかかり、その間を危険な室内で過ごすことになります。データ破損は復旧計画で扱う問題です。

この問題の判断軸：人命の確保が、システム・データ・事業継続のすべてに優先。

例題3｜ドメイン2 資産のセキュリティ

製造業の情報システム部にいます。全社共有ファイルサーバーの約40テラバイトについて、経営層から「情報漏えいが心配なので暗号化を」と指示が出ました。サーバーには設計図面、人事情報、社内報のバックナンバー、会議室予約表まで性質の異なるデータが混在しています。予算と運用工数には制約があります。最初に取り組むべきこととして、最も適切なものはどれですか。

1. すべてのデータに同一強度の暗号化を適用し、鍵管理基盤を導入する
2. DLP（データ損失防止）製品を導入し、外部への持ち出しを検知・遮断する
3. データ分類を実施し、区分ごとに必要な取扱いと保護レベルを定義する
4. ファイルサーバーのアクセスログ取得を有効化し、監査体制を強化する

正解と解説

正解は3です。統制は資産の価値に見合っている必要があります。何が機密かを定義しないまま保護を始めると、会議室予約表に設計図面と同じコストがかかります。限られた予算が価値の低いデータに吸われます。データ分類は他のすべての統制の前提となる工程です。分類が決まって初めて、どこを暗号化しどこにDLPを効かせるかが決まります。

他の選択肢が不適切な理由

• 1：一律暗号化は確かに漏えいリスクを下げます。ただし40テラバイト全体に鍵管理と復号の負荷をかけることになり、費用対効果が著しく悪化します。過剰な統制も失敗です。
• 2：DLPは持ち出し対策として有効です。ただしDLPのポリシー自体が「どれを機密とみなすか」の定義を必要とし、分類なしでは検知ルールが書けません。
• 4：ログ取得は事後追跡に有効ですが、検知は漏えいを止めません。重要データの定義がなければ、ログを見ても何を警戒すべきか判断できません。

この問題の判断軸：保護の前に分類。統制は資産価値に見合った水準へ。

例題4〜5｜ドメイン3・4から

ここからは設計と運用の境目です。「その場をしのぐ手」と「構造で消す手」が同時に並びます。

例題4｜ドメイン3 セキュリティアーキテクチャとエンジニアリング

新規開発した業務システムのセキュリティ設計レビューを担当しています。レビューの過程で問題が見つかりました。データベース接続用の認証情報が、サーバー上の設定ファイルに平文で記述されています。このファイルは開発者と運用担当の複数名が参照できる状態です。本番稼働までに実施する是正として、最も適切なものはどれですか。

1. 認証情報をシークレット管理基盤へ移し、実行時に取得する構成へ変更する
2. 設定ファイルのアクセス権限を変更し、実行ユーザーのみ読み取れるようにする
3. 認証情報を四半期ごとに変更する運用手順書を整備し、担当者へ周知する
4. 設定ファイルを暗号化し、復号鍵をアプリケーション内に埋め込む

正解と解説

正解は1です。認証情報をアプリケーションの外に出し、専用の基盤で一元管理することが設計レベルの根本解決です。アクセス制御・監査ログ・自動ローテーションがまとめて手に入ります。仕組みとして強制される統制は、人の運用に依存する統制より確実です。設計段階で組み込めば、以降に追加されるサーバーにも同じ保護が自動的に適用されます。

他の選択肢が不適切な理由

• 2：権限の絞り込みは最小権限の実践として正しい方向です。ただし平文であることは変わらず、管理権限を得た者やバックアップ経由の漏えいは防げません。
• 3：定期変更は補完的統制として意味があります。しかし手順書は人が守らなければ機能せず、変更の間も平文のままです。運用でカバーする前に設計で消せる問題です。
• 4：暗号化自体は有効ですが、復号鍵を同じアプリケーション内に置けば鍵と暗号文が同居します。守る対象が認証情報から鍵に移っただけです。

この問題の判断軸：仕組みで強制する統制が、手順書と人の運用に優先。

例題5｜ドメイン4×ドメイン7 ネットワーク起点のインシデント対応

平日午後、SOCから連絡が入りました。営業部の業務用ノートPC1台が、社内の広いIPレンジへ連続的なポートスキャンを行っているとのことです。外部の未知のドメインへも定期的に通信しています。マルウェア感染の疑いが濃厚ですが、感染経路も影響範囲もまだ特定できていません。インシデント対応担当として最初に行うべき行動として、最も適切なものはどれですか。

1. 当該PCの電源を直ちに切断し、これ以上の通信を物理的に止める
2. 当該PCを隔離用セグメントへ移し、社内および外部との通信を遮断する
3. 当該PCでウイルス対策ソフトのフルスキャンを実行し、検体を特定する
4. 外部通信先のドメインをファイアウォールとプロキシでブロックする

正解と解説

正解は2です。インシデント対応では、検知して体制を起動したあと、まず封じ込めが来ます。まず被害の拡大を止めることが最優先です。ネットワークからの隔離は、横展開と外部通信の両方を同時に止められます。端末を稼働させたまま行えるため、メモリ上の揮発性証拠も保持したまま調査へ進めます。封じ込めてから、根絶と復旧に移ります。この設問はドメイン4とドメイン7の境界に位置します。

他の選択肢が不適切な理由

• 1：電源断は通信を確実に止めます。ただしメモリ上のプロセスや通信状態、暗号鍵といった揮発性の証拠が失われます。原因究明が必要な場面では避ける手順です。
• 3：検体特定は根絶フェーズの作業です。スキャン中もPCは接続されたままで、その間に感染が広がります。順序が逆です。
• 4：既知の通信先の遮断は有効ですが、社内スキャンは止まらず、通信先が変われば効果を失います。端末そのものを隔離するほうが確実です。

この問題の判断軸：インシデントではまず封じ込め。証拠を消さずに拡大を停止。

例題6〜8｜ドメイン4・5・6から

後半3問は、インフラ経験者ほど「技術的に正しい選択肢」に引かれやすい構造です。設問が求めている問いの種類を先に確認してください。

例題6｜ドメイン4 通信とネットワークのセキュリティ

工場のライン制御に使われる産業用制御機器が、オフィスと同一のフラットな社内LANに直結していることが判明しました。オフィスの一般PCから制御機器の管理画面へ到達できます。これらの機器は保守契約上ベンダーの承認なくファームウェア更新ができず、既知の脆弱性が残ったまま稼働しています。生産は止められません。この状況への対応として、最も適切なものはどれですか。

1. 制御機器のIPアドレスを社内ファイアウォールのブロックリストに追加する
2. 社内LAN上にIDSを設置し、制御機器向けの不審な通信を監視する
3. 制御系を独立したネットワークセグメントへ分離し、必要な通信のみ許可する
4. 制御機器の管理者アカウントのパスワードを十分な長さの値に変更する

正解と解説

正解は3です。問題の本質は「パッチを当てられない機器が、誰でも到達できる場所に置かれていること」です。ネットワーク分離は、脆弱性そのものを消せない状況で攻撃対象領域を構造的に縮小する代替統制として最も強い手段です。生産を止めずに実施でき、機器を交換しても効果が持続します。

他の選択肢が不適切な理由

• 1：ブロックリストは特定の通信を止められます。ただし制御機器は業務上必要な通信を行っており、一律遮断すれば生産に影響します。許可すべき通信を定義する設計が先です。
• 2：IDSは可視化の手段として価値があります。しかし検知は攻撃を止めません。パッチを当てられない機器には、検知より到達させない設計が優先されます。
• 4：パスワード強化は基本的で有効な対策です。ただし残る脆弱性が認証を回避する種類なら無効で、管理画面が全社から見える状態も変わりません。

この問題の判断軸：対症療法より、攻撃対象領域を構造的に減らす設計。

ドメイン4はインフラ経験者の得点源になる一方、知識で答えて外しやすい領域でもあります。頻出テーマはドメイン4の攻略記事にまとめています。

例題7｜ドメイン5 アイデンティティとアクセスの管理（IAM）

人事異動が年2回ある企業で、内部監査から指摘を受けました。異動を繰り返した従業員が過去の所属部門で付与された権限を保持したままで、一部は入社以来10年分が累積しています。異動時の権限削除は各部門長の裁量に任されており、実施状況は記録されていません。この状態を是正する対応として、最も適切なものはどれですか。

1. 特権的な権限を持つアカウントに多要素認証を導入し、認証を強化する
2. 全従業員の権限を一度すべて削除し、必要な権限を本人に再申請させる
3. 異動時に部門長がシステム管理者へ通知する運用ルールを明文化し、徹底する
4. 職務に基づくロールを定義してロール単位で付与し、定期的なアクセスレビューを実施する

正解と解説

正解は4です。本質は、権限が個人単位で場当たり的に付与され、棚卸の仕組みがないことです。職務に対応したロールを定義すれば異動は「ロールの付け替え」になり、旧部門の権限は自動的に外れます。定期的なアクセスレビューを組み込むことで、想定外の権限が残っていないことを継続的に検証できます。最小権限を運用ではなく仕組みで実現する形です。

他の選択肢が不適切な理由

• 1：特権アカウントへの多要素認証は重要な統制ですが、本人が持ちすぎている権限の問題は解決しません。認証の強化と認可の適正化は別の話です。
• 2：一斉削除は累積権限を確実にリセットできます。ただし業務が停止し、再申請で同じ過剰付与が繰り返されます。仕組みが変わらないため数年後に同じ状態へ戻ります。
• 3：通知ルールの明文化は前進です。しかし実施が人の申告に依存する点は変わらず、記録も検証もされないため監査指摘の根本原因が残ります。

この問題の判断軸：最小権限の維持は、個別運用ではなくロール設計と定期レビュー。

例題8｜ドメイン6 セキュリティの評価とテスト

自社ECサイトについて月次の脆弱性スキャンを2年間継続しており、直近12か月は高危険度の検出がゼロで推移しています。一方で経営層から「スキャンが綺麗なのは分かった。実際に攻撃されたとき本当に持ちこたえるのかを知りたい」と問われました。予算の追加取得は可能です。この要求に応えるために実施すべきこととして、最も適切なものはどれですか。

1. 脆弱性スキャンの実行頻度を月次から週次へ引き上げる
2. 認証情報を用いたクレデンシャルスキャンに切り替え、検査の深度を上げる
3. 範囲と実施規則を文書で合意したうえで、ペネトレーションテストを実施する
4. WAFの検知ログをレビューし、遮断された攻撃の傾向を分析する

正解と解説

正解は3です。脆弱性スキャンは「既知の弱点が存在するか」を網羅的に調べる手法です。「その弱点を組み合わせて侵入できるか」までは示しません。経営層が求めているのは後者です。ペネトレーションテストは攻撃者の手順を模して悪用可能性を検証します。低危険度の問題が連鎖して重大な侵害に至る経路まで明らかにできます。実施前に範囲と規則を文書で合意することも必須です。

他の選択肢が不適切な理由

• 1：頻度を上げれば検出までの時間は短縮されます。ただし同じ手法を速く回すだけで、悪用可能性は依然として分かりません。
• 2：クレデンシャルスキャンは検出精度を高める有効な改善です。しかし見つかるのはやはり既知の脆弱性であり、攻撃が成立するかの検証ではありません。
• 4：WAFログの分析は攻撃傾向の把握に役立ちます。ただし記録されるのは遮断できた攻撃で、素通りした攻撃は分かりません。防御力の証明になりません。

この問題の判断軸：評価手法の選定は、答えるべき問いの種類しだい。

例題9〜10｜ドメイン7・8から

最後の2問は運用と開発です。どちらも「目の前の対処」と「後で効く手続き・設計」がぶつかります。

例題9｜ドメイン7 セキュリティの運用

退職を申し出た従業員が、退職日の直前に大量の設計データへアクセスした形跡があると人事部から相談がありました。競合他社への転職が判明しており、会社は将来的な法的措置も検討しています。当該従業員の業務用PCはすでに回収され、施錠された保管庫にあります。あなたが最初に行うべき対応として、最も適切なものはどれですか。

1. 回収したPCを起動し、担当者が該当ファイルの更新日時と内容を直接確認する
2. 書き込み防止措置を施したうえでディスクの完全なイメージを取得し、証拠保全の記録を残す
3. 当該従業員のアカウントを直ちに削除し、関連する認証情報をすべて無効化する
4. メールサーバーとプロキシのログを検索し、外部への送信履歴を洗い出す

正解と解説

正解は2です。法的措置の可能性がある時点で、扱いはデジタルフォレンジックの領域に入ります。証拠は取得の瞬間から、改変されていないことと誰がいつ扱ったかを説明できることが求められます。書き込み防止下での完全イメージ取得、ハッシュ値の記録、管理の連鎖（chain of custody）の文書化を先に行います。この手順を飛ばすと、後から得た情報が証拠として使えなくなる可能性があります。

他の選択肢が不適切な理由

• 1：内容確認は調査として自然な発想です。ただし原本を起動した時点でアクセス日時などが書き換わり、証拠としての完全性が損なわれます。取り返しがつきません。
• 3：アカウントの無効化は退職手続きとして必要です。ただし削除まで行うと、権限や操作履歴の情報が失われる場合があります。証拠保全より先に置く行動ではありません。
• 4：サーバー側ログの調査は有効で、実際に必要な作業です。ただしログもまた証拠であり、保全手続きの中で正しく取得すべき対象です。

この問題の判断軸：法的措置が想定される場面では、調査より先に証拠の完全性の確保。

例題10｜ドメイン8 ソフトウェア開発セキュリティ

自社開発の顧客向けWebアプリケーションでペネトレーションテストを実施しました。検索機能にSQLインジェクションの脆弱性が確認されています。該当箇所は利用者の入力値を文字列連結でSQL文に組み込む実装です。同じ実装パターンが他の画面にも複数存在する可能性があります。開発責任者として指示すべき対応として、最も適切なものはどれですか。

1. パラメータ化クエリを用いる実装へ修正し、コーディング規約とレビュー項目に組み込む
2. アプリケーションが使用するデータベースアカウントの権限を最小限に縮小する
3. WAFに該当攻撃パターンのシグネチャを追加し、リクエストを遮断する
4. 危険な文字列を拒否するブラックリスト方式の入力フィルタを実装する

正解と解説

正解は1です。SQLインジェクションの根本原因は、データとして扱うべき入力値がコードとして解釈されることです。パラメータ化クエリはこの境界を構造的に分離するため、脆弱性そのものを消せます。さらに規約とレビュー項目に組み込むことで、他の画面や今後の新規開発にも同じ保護が及びます。1か所の修正で終わらせず、開発プロセス側へ戻すのが最も適切な判断です。

他の選択肢が不適切な理由

• 2：権限の最小化は被害を限定する重要な統制です。しかし注入自体は成立し続けます。影響を小さくする施策であって、原因を消す施策ではありません。
• 3：WAFは修正までの時間を稼ぐ緩和策として有効です。ただし脆弱性はコードに残り、エンコードを工夫した攻撃で回避される可能性があります。
• 4：入力検証は多層防御として推奨されます。ただしブラックリスト方式は禁止文字列を列挙する方式であり、想定外の表現を取りこぼします。

この問題の判断軸：対症療法より根本原因。修正は個別対応でなく開発プロセスへの反映。

10問を解いて分かること

正答数を数えてください。10問は実力を測るには少なすぎますが、傾向をつかむには十分です。

ただし10問で9問正解しても合格圏内とは限りません。CATは解答に応じて難易度が変動し、正答が続けばより難しい問題が提示されます。一定の正答率を維持できるかは、母数が増えて初めて見えます。

800問を解く意味

1問解いて身につくのは知識です。判断軸は繰り返しでしか身につきません。

ここまでの10問で、いくつかの軸が繰り返し出てきたはずです。人命最優先、保護の前に分類、まず封じ込め、対症療法より根本原因、最小権限は仕組みで維持。これらは覚えるものではなく、似た構造の問題を何十問も解く中で判断が自動化されていく性質のものです。設問を読んだ瞬間に「これは順序の問題だ」「これはポリシーが先だ」と反応できる状態が、求められる完成形です。

そのために必要なのが、8ドメインをまたいで数百問規模で解ける環境です。そして日本語で解説まで読み切れることが決定的に重要になります。

CISSPの定番教材は英語です。Official Study Guide、Official Practice Tests、Boson ExSim、Destination Certification。いずれも質が高く、英語が苦でないなら第一の選択肢になります。ただし英語で演習すると、1問ごとに3つの負荷が同時にかかります。状況を読み解く、選択肢の微妙な差を英語で比較する、解説を英語で読む。判断軸を鍛えたいのに、意識の大半が英文読解へ取られます。

この状態で数百問を回すのは現実的ではありません。多くの人が100問前後で失速するのは意志の問題ではなく構造の問題です。演習量が必要な試験に対し、1問あたりのコストが高すぎる環境で戦っているだけです。日本語で設問を読み、日本語で解説を読み切れる環境なら負荷は演習そのものに集中します。同じ2時間で解ける問題数が変わり、解説を読み飛ばさずに済みます。

受験料は1回143,000円（税込・2026年8月時点）です。

一発で通すために必要なのは、追加の参考書ではありません。解いた問題数と、そのすべてについて「なぜその選択肢を選んだか」を説明できる状態です。次の1問から、判断軸を言葉にしながら解いてください。

※ CISSP® は ISC2, Inc. の登録商標です。本記事および当社教材は ISC2, Inc. の公式教材ではなく、同社と提携・後援その他の関係にはありません。