【2026年版】CISSPとは？資格の価値・受験資格・費用・認定までの流れを完全解説

執筆・監修：飯塚 寛也（株式会社iT 代表取締役）
文系・未経験からインフラエンジニアへ転職し、医療・警察・官公庁・交通・証券などの設計構築案件に従事。クラウド基盤の設計構築でネットワークチームの現場リーダーを務めたのち、CCNA・CCNP研修を立ち上げ、延べ1,000名以上のCCNA取得者を輩出。著書『ゼロからわかるCISSP教科書（日本語版）』（Kindle）。

CISSP®は、情報セキュリティの世界で最も名前が通っている国際認定のひとつです。ただし「有名な資格」という以上のことは、意外と知られていません。誰が受けられるのか。いくらかかるのか。合格した後に何をすれば認定されるのか。この記事では、2026年8月時点の情報をもとに、CISSP資格の中身を最初から最後まで通しで整理します。受験を決める前に必要な判断材料を、この1本で揃えてください。

この記事で分かること

• CISSPが証明するのは技術力ではなく「セキュリティを設計・管理する立場」であること
• 8ドメインの出題比率と、それぞれが何を問う領域なのか
• 受験資格の5年ルールと、2026年4月1日に変わった経験免除の中身
• 受験料143,000円を含む、認定と維持にかかる費用の総額
• 申込みから認定、そしてCPEによる維持までの全工程

CISSPとは何の資格か｜「守る人」ではなく「決める人」の証明

CISSP（Certified Information Systems Security Professional）は、米国の非営利団体ISC2が運営する情報セキュリティの国際認定資格です。世界中に認定保有者がおり、日本国内にもコミュニティがあります。外資系企業や金融機関の求人では、要件欄に名前が挙がる資格です。

ここで最初に押さえてほしいことがあります。CISSPは「手を動かす技術者」を証明する資格ではありません。証明するのは、組織全体のセキュリティを設計し、リスクを評価し、投資判断を下す立場の知識と視点です。

技術認定との決定的な違い

たとえばファイアウォールの設定資格であれば、正しいコマンドを知っているかが問われます。CISSPは違います。「そのファイアウォールを導入すべきか」「導入コストはリスク低減に見合うか」「導入しない選択をした場合、経営にどう説明するか」を問います。

だからCISSPの試験問題では、4つの選択肢がどれも技術的には正しいことを言っている、という状況が頻繁に起こります。正解を選ぶ基準は、技術の正しさではなく優先順位です。この感覚を身につけないまま知識だけを積み上げると、実務経験が豊富な人ほど落ちます。

ISC2が求めているのは「マネージャーの視点」

ISC2はCISSP保有者に対して、セキュリティ部門の責任者、あるいはそれに準じる役割を想定しています。CISO、セキュリティアーキテクト、セキュリティコンサルタント、情報システム部門のマネージャー。こうした職種が典型的な対象です。

とはいえ、現場のインフラエンジニアやSOCのアナリストが取る意味がないわけではありません。むしろ、日々の運用で見ている個別の事象が、組織全体のリスク管理のどこに位置づくのかを理解できるようになります。視野が一段上がる、という効果は実際にあります。

CISSPの難易度がどこにあるのか、必要な勉強時間はどのくらいかについては、CISSPの難易度と勉強時間を分解した記事で詳しく扱っています。

CISSPで問われる8ドメインと出題比率

CISSPの出題範囲は8つのドメイン（分野）に分かれています。以下は2024年4月15日版の試験アウトラインに基づく、ISC2の公表値です。

各ドメインが問うこと

ドメイン1：セキュリティとリスクマネジメント（16%）　最大の比率を占める分野です。セキュリティガバナンス、法規制とコンプライアンス、職業倫理、リスクアセスメント、事業継続計画（BCP）を扱います。他の7ドメインの判断基準がここで決まるため、最初に固めるべき領域です。

ドメイン2：資産のセキュリティ（10%）　情報資産の分類、所有者と管理者の役割分担、データのライフサイクル、保持と廃棄の方針を問います。「誰がその情報の価値を決めるのか」という責任の所在が繰り返し出ます。

ドメイン3：セキュリティアーキテクチャとエンジニアリング（13%）　セキュアな設計原則、セキュリティモデル、暗号技術、物理セキュリティを含みます。範囲が広く、暗号のアルゴリズムから建物の入退室管理まで一気に問われるため、負荷が高い分野です。

ドメイン4：通信とネットワークのセキュリティ（13%）　OSI参照モデル、セキュアなプロトコル、ネットワークの分離設計、無線やVoIPのセキュリティを扱います。インフラ出身者が最も得点しやすい一方、技術的な正しさだけで選ぶと外す問題も混ざります。

ドメイン5：アイデンティティとアクセスの管理（13%）　認証と認可、アクセス制御モデル（DAC、MAC、RBAC、ABAC）、シングルサインオン、フェデレーション、アイデンティティのライフサイクル管理が中心です。

ドメイン6：セキュリティの評価とテスト（12%）　監査戦略、脆弱性診断、ペネトレーションテスト、ログレビュー、内部監査と外部監査の使い分けを問います。「誰がテストすべきか」という独立性の観点が頻出です。

ドメイン7：セキュリティの運用（13%）　インシデント対応、フォレンジック、災害復旧、変更管理、特権アカウントの運用を扱います。事故が起きたときに「最初に何をするか」を問う設問が多く、CISSP特有の判断基準が最も色濃く出ます。

ドメイン8：ソフトウェア開発セキュリティ（10%）　セキュアな開発ライフサイクル（SDLC）、開発環境のセキュリティ、ソフトウェアの脆弱性、購入したソフトウェアのリスク評価を問います。開発経験がない人には最も遠い分野です。

比率だけを見ると均等に近いですが、ドメイン1の16%と、そこで示される考え方が他の全ドメインに波及する点は無視できません。学習順序としてはドメイン1から入るのが合理的です。

受験資格｜5年の実務経験と、2026年4月に変わった免除ルール

CISSPには明確な受験資格があります。8ドメインのうち2つ以上の領域で、通算5年のフルタイム実務経験があること。これが原則です。

「実務経験」として認められるもの

ここでいう実務経験は、セキュリティ専任の職歴に限りません。ネットワーク運用でアクセス制御を設計していた、サーバ構築で権限管理を担当していた、といった業務も該当し得ます。8ドメインのいずれかに紐づく業務であればカウント対象です。

ただし自己申告で終わりではありません。後述するエンドースメントの過程で、経歴の内容が確認されます。誇張した申告は認定を遠ざけるだけなので、正直に書いてください。

1年免除の2つのルート

5年に届かない場合、最大1年の経験免除を受けられます。ルートは2つです。

• 学位による免除：情報セキュリティ関連分野の4年制大学の学位（またはそれに相当する学位）で1年
• 資格による免除：ISC2が指定する認定資格の保有で1年

重要なのは重ね掛けができないことです。学位と資格の両方を持っていても、免除されるのは最大1年までです。つまり、どれだけ条件を揃えても4年の実務経験は必要になります。

2026年4月1日から免除対象資格が大幅に削減された

ここが2026年に受験を考える人にとって最大の変更点です。2026年4月1日から、経験免除の対象となる資格リストが大幅に削減されました。

CEHやCISAは日本でも保有者が多い資格です。「CISAを持っているから1年免除される」と考えていた人は、前提が変わったことになります。一方でCompTIA Security+やCCNP Securityは残っているため、インフラ系のキャリアを歩んできた人には影響が小さいケースもあります。

免除リストは今後も改定される可能性があります。申込みの直前に、ISC2の公式サイトで最新の対象資格をご確認ください。

経験が足りなくても受験はできる｜Associate of ISC2

実務経験が5年に届かない段階でも、試験そのものは受けられます。合格すると「Associate of ISC2」という立場になります。

Associateは、最長6年以内に必要な5年の実務経験を積めば、正式なCISSP認定に移行できます。学生や若手のうちに試験を通しておき、経験を積みながら認定を待つという進め方が可能です。

ただし、これは万人に勧められる方法ではありません。試験内容が管理者視点である以上、実務経験が浅いと問題文の状況そのものが想像しにくいからです。この点は記事後半で改めて触れます。

試験の形式と費用｜CAT・3時間・143,000円

CISSPの英語版試験は、CAT（Computerized Adaptive Testing／コンピュータ適応型テスト）で実施されます。日本語も2024年4月15日から全言語でCAT形式に統一されました。それ以前の日本語試験は250問・6時間の直線形式でしたが、現在はその方式ではありません。

CATの仕組みと試験スペック

CATは、受験者の解答内容に応じて次の問題の難易度が変わる方式です。正解が続けば難しい問題が出て、間違えれば易しい問題に戻ります。一定の精度で合否が判定できた時点で試験は終了します。

100問で終わる人もいれば、150問まで解き切る人もいます。早く終わったから合格、長引いたから不合格、という単純な関係ではありません。ここで動揺しないためにも、事前に仕組みを理解しておいてください。

前の問題に戻れない点も重要です。マークして後から見直す、という試験戦略が使えません。1問ごとに決着をつけて進む必要があります。

日本語と英語が両方表示される

日本語で申し込むと、画面には日本語と英語が併記されます。日本語訳が不自然に感じられる箇所では、英語の原文を確認して判断できます。これは日本の受験者にとって明確な利点です。

ただし、併記されるからといって英語を読まなくてよいわけではありません。訳語と原語の対応が頭に入っていないと、併記がかえって混乱の原因になります。学習段階で英語の専門用語に触れておく価値はここにあります。

費用の総額を把握する

受験料は1回143,000円（税込・2026年8月時点）です。

ISC2が公表している価格は米ドル建てのため、日本円での請求額は申込み時点の為替により前後します。最新の金額は必ず公式サイトで確認してください。

ここで見落としがちなのが年会費（AMF：Annual Maintenance Fee）です。認定後は毎年125米ドルを払い続けます。5年保有すれば625米ドルです。取得コストだけでなく、保有コストも計算に入れてください。

そして受験料は不合格でも返ってきません。143,000円を再度払うか、一度で通すか。多くの受験者が「一発で受かりたい」と考える理由はここにあります。

認定までの流れ｜合格しただけでは認定されない

CISSPは、試験に合格した時点では認定されません。ここが他の多くの資格と違う点です。全体の流れを整理します。

1. 受験資格の確認：8ドメインのうち2つ以上で通算5年の実務経験（免除は最大1年）
2. 申込みと支払い：ISC2のアカウントを作成し、Pearson VUEで試験を予約。受験料143,000円を支払う
3. 受験：テストセンターでCAT形式の試験を受ける。結果はその場で通知される
4. エンドースメント申請：期限内（2026年8月時点では合格後9か月以内）に、経歴を添えて申請する。期限はISC2公式サイトで最新をご確認ください
5. 認定：ISC2の承認を経て、正式にCISSP認定者となる
6. 維持：年会費125米ドルの支払いと、CPEの取得を継続する

エンドースメント（推薦）という関門

エンドースメントは、既にISC2の認定を保有している人に、あなたの経歴を保証してもらう手続きです。申請書には職歴を具体的に記載し、それが8ドメインのどこに該当するかを示します。

身近に認定保有者がいない場合はどうするか。ISC2自身がエンドーサーになる制度があります。周囲にCISSP保有者がいないことを理由に諦める必要はありません。

ただし、エンドースメントには期限があります（2026年8月時点では合格後9か月）。合格して安心しているうちに期限が過ぎると、試験結果が無効になります。合格したらすぐ着手してください。

CPEによる維持｜3年で120、年間最低40

認定後は、CPE（Continuing Professional Education／継続的専門教育）の取得が求められます。3年間で120CPE、かつ年間最低40CPEです。

CPEはセミナー参加、書籍の読了、記事の執筆、社内勉強会の実施など、幅広い活動で獲得できます。とはいえ、年40という下限がある以上、認定後も学び続ける前提の資格だと理解しておく必要があります。

年会費とCPEの両方を怠ると、認定は失効します。CISSPは「取って終わり」の資格ではありません。

CISSPと他資格の違い｜どれを先に取るべきか

「情報処理安全確保支援士とCISSP、どちらを取るべきか」はよく受ける質問です。性質が違うため、比較の軸を整理します。

情報処理安全確保支援士との使い分け

支援士は日本の国家資格です。国内の法令、ガイドライン、官公庁案件での要件充足という点で強く効きます。実務経験要件がなく、学習中の若手でも挑戦できます。

CISSPは国際認定です。外資系企業、グローバル案件、海外拠点を持つ企業のセキュリティ部門で通用します。日本国内だけで完結するキャリアなら支援士、国際的な文脈が絡むならCISSP、というのが大まかな棲み分けです。

どちらか一方しか取れないわけではありません。実際に両方を保有している人は珍しくありません。順序としては、実務経験が5年に届いていない段階なら支援士やSecurity+を先に取る、という選択が現実的です。

CISMとの違い

CISMはISACAが運営する、セキュリティマネジメントに特化した認定です。CISSPとの重なりは大きいものの、CISSPが技術領域（暗号、ネットワーク、開発）まで含む横断型であるのに対し、CISMはマネジメント寄りに絞られています。

技術的なバックグラウンドを持ち、そこから管理側に視野を広げたい人にはCISSPが向きます。既にマネジメント職にあり、技術の細部は扱わない人にはCISMという選択もあります。

CISSPを取る価値と、取らないほうがよい人

正直に書きます。CISSPは誰にでも勧められる資格ではありません。価値がはっきり出る場合と、そうでない場合があります。

価値が出やすい人

• セキュリティ実務が5年前後あり、今後は設計・管理側に軸足を移したい人
• 外資系企業、グローバル案件、海外拠点を持つ企業への転職を視野に入れている人
• SIerやSESで、提案・要件定義の場面で説得力を持ちたい人
• 情報システム部門で、経営層にセキュリティ投資を説明する立場にある人

求人票では、必須要件ではなく歓迎要件として挙がることが多い資格です。年収については日本の求人で600万〜1,200万円のレンジで提示されるケースが見られますが、CISSPだけで決まるものではありません。実務経験との掛け算で評価されます。市場での扱われ方は日本でのCISSP受験と最新の変更点をまとめた記事も参考にしてください。

今は取らないほうがよい人

実務経験が2年未満の人。この場合は順序が違います。CISSPの問題は「あなたがセキュリティ責任者だったらどうするか」を問います。組織の中で意思決定が下される場面を見たことがないと、問題文の状況が想像できません。Security+や情報処理安全確保支援士から入るほうが、結果的に近道になります。

特定技術を深めたい人。ペネトレーションテスト、フォレンジック、クラウド設計といった専門領域を極めたいなら、その領域の専門認定のほうが直接的です。CISSPは広く浅く、そして判断基準を問う資格です。

資格手当だけが目的の人。受験料143,000円に加えて年会費125米ドルが毎年かかります。手当の額によっては、費用が上回る可能性があります。数字で確認してから決めてください。

学習時間を確保できない人。範囲が8ドメインに及ぶため、短期詰め込みが効きません。数か月単位で継続できる見通しがない時期に始めると、受験料を無駄にするリスクが高まります。

合格率は公表されていない

「CISSPの合格率は何%か」という質問をよく受けますが、ISC2は公式に合格率を公表していません。ネット上には様々な数字が流れていますが、出典が確認できないものを判断材料にすべきではありません。

合格率が分からない以上、頼れるのは自分の到達度です。模擬試験で安定して基準を超えられるか。それが唯一の客観的な指標になります。

学習を始める前に決めるべき3つのこと

CISSPの学習は、始める前の設計で結果が大きく変わります。教材を買う前に、次の3点を決めてください。

1. 受験時期を先に決める

「準備ができたら受ける」という進め方は、ほぼ確実に長期化します。CATは前の問題に戻れず、範囲は8ドメイン。完璧という状態は永久に来ません。

先に受験日を仮決めし、そこから逆算して学習計画を組んでください。働きながらなら6か月前後が現実的な目安です。具体的な組み立て方はCISSPの勉強方法とロードマップの記事で扱っています。

2. 教材言語を決める

CISSPの定番教材は英語です。Official Study Guide（OSG）、Official Practice Tests（OPT）、Boson ExSim、Destination Certification、Eleventh Hour、Exam Cram。いずれも実績のある良質な教材で、内容そのものに問題はありません。

問題は読解速度です。英語のOSGは、通読に相当な時間がかかる分量があります。日本語なら一気に読める章が、英語だと何倍もの時間を要する。この差が数か月積み重なると、こなせる学習量そのものが変わってきます。

ここで決めるべきは「英語教材で押し通すか」「日本語で理解を作ってから英語の用語を補うか」です。試験画面が日英併記である以上、英語をゼロにする必要はありません。理解のコアをどちらの言語で作るか、という選択です。

3. 演習量を決める

最も多い失敗が、読むだけで終わることです。CISSPは知識を問う試験ではなく、選択肢の切り方を問う試験です。読んで理解した内容と、4択から1つを選ぶ能力は別物です。

目安として、1ドメインあたり最低100問は解いてください。8ドメインで800問。そして解いた後、正解の理由と他の3つが不適切な理由を言語化できるかを確認します。ここを日本語で回せる環境があるかどうかで、演習の効率は大きく変わります。

解説を英語で読み、頭の中で日本語に直し、それから納得する。この工程が1問ごとに入ると、800問を回すのは相当な負担になります。逆に言えば、日本語で演習を回せる環境を用意できれば、同じ時間で解ける問題数が増えます。実際の出題がどういう形かは、CISSPの例題と日本語解説の記事で確認してください。

次にやること

ここまでで、CISSP資格の全体像は掴めたはずです。8ドメイン、5年の実務経験、143,000円、エンドースメント、そして年40CPE。判断に必要な材料は揃いました。

次にやるべきことは3つです。第一に、自分の職歴が受験資格を満たすかを8ドメインに照らして確認する。第二に、2026年4月改定後の免除リストに、自分の保有資格が残っているかをISC2公式で確認する。第三に、受験日を仮決めして逆算表を作る。

この3つが終われば、あとは学習を回すだけです。何から手をつけるか迷っているなら、難易度と必要な勉強時間を把握し、そのうえで演習環境を決めてください。順序を間違えなければ、CISSPは十分に届く資格です。

※ CISSP® は ISC2, Inc. の登録商標です。本記事および当社教材は ISC2, Inc. の公式教材ではなく、同社と提携・後援その他の関係にはありません。