CCSP試験の2026年変更点：最新CBKで何が変わったか

CCSP完全ガイドシリーズの一部です。

ISC2はCCSP CBK（Common Body of Knowledge）を定期的に改訂し、進化するクラウドセキュリティの状況を反映します。古い学習教材を使用している受験者は、準備でカバーしていなかった内容が試験で出題されるリスクがあります。

2026年のCCSPカリキュラムで何が変わったか、そしてそれがあなたの準備に何を意味するかを整理します。

CCSPの更新はどのように機能するか

ISC2は「ジョブタスク分析」を実施します——実際に働いているクラウドセキュリティプロフェッショナルへの業界調査で、CCSP試験が実務を反映していることを確認するものです。CBKの更新はこれらの調査に基づき、学習教材の出版社が更新できるよう数ヶ月前に告知されます。

重要なCBK更新が影響するのは一般的に：

• ドメインの重みのパーセンテージ（どのドメインがより多く出題されるか）
• 既存ドメイン内の新しいトピックの追加
• 古い内容の削除または比重の低下
• フレームワーク参照の更新（新しいNIST出版物、改訂されたISO規格）

この記事は2026年時点の状況を反映しており、CBKは今後も進化し続ける可能性があります。学習教材を購入する前に、ISC2のウェブサイトで現在の試験概要を必ず確認してください。

2026年のドメインの重み

ISC2は2026年6月にCCSP試験概要の改訂を発表しており、新しい出題比率は2026年8月1日以降の受験者に適用されます（7月31日以前の受験者は旧概要が適用）。ISC2公式の試験概要ページ（2026年8月1日版）に記載されている出題比率は以下のとおりです。

ISC2が明言している変更点は、ドメイン4（クラウドアプリケーションセキュリティ）が17%から16%へ、ドメイン5（クラウドセキュリティ運用）が16%から17%へと、2ドメイン間で1ポイント分の配点が移動したことです。それ以外のドメインの比率が旧版からどう変わったかは、ISC2の告知ページでは明示されていないため、本記事では旧版の数値を断定しません。改訂の背景としてISC2は、2025年のCybersecurity Workforce Studyで「クラウドアーキテクチャとセキュアな設計」（回答者の50%が重視）、クラウドプラットフォーム/インフラセキュリティ（41%）、セキュアなクラウド展開・構成管理（38%）が優先事項として挙がったことを挙げています。

新規・拡張されたトピック領域

人工知能・機械学習セキュリティ

これが最も重要な新コンテンツ領域です。2026年版CBKは、クラウド環境でのAI/MLワークロードに固有のセキュリティ考慮事項を組み込んでいます：

• 学習データセキュリティ：MLの学習データセットへのアクセス制御、データポイズニング攻撃の防止、出所追跡
• モデルセキュリティ：学習済みモデルを抽出攻撃、敵対的入力、不正推論から保護する
• AIガバナンス：AIシステムのリスク評価フレームワーク、監査・説明責任要件、新興AI規制（EU AI法、NIST AI RMF）へのコンプライアンス
• LLMセキュリティ：プロンプトインジェクション、モデル出力を通じたデータ漏洩、大規模言語モデル展開のセキュリティ管理
• MLOpsセキュリティ：データ取り込みからモデル展開までのMLパイプラインの保護、CI/CD統合を含む

このコンテンツは主にドメイン2（学習データセットのデータセキュリティ）とドメイン4（AI/ML展開のアプリケーションセキュリティ）に位置し、ガバナンスの側面はドメイン6に含まれます。

正直なところ、この分野は私のような現場のセキュリティ担当者にとってもまだ「手探り中」な部分が多いですよね。AIのリスク評価フレームワークが雨後の筍のように生まれている今、どの規制が実際に強制力を持つのかを見極める眼力が問われます。

コンテナおよびサーバーレスセキュリティ

以前のCBKバージョンから大幅に拡張されました：

• コンテナセキュリティ：イメージスキャン、ランタイム保護、コンテナイメージの署名・検証、レジストリセキュリティ、Kubernetes固有の管理（アドミッションコントローラー、ネットワークポリシー、Podセキュリティ標準）
• サーバーレスセキュリティ：ファンクションレベルのアクセス制御、コールドスタートのセキュリティへの影響、イベント駆動アーキテクチャのセキュリティ、サーバーレス関数の権限管理
• Infrastructure as Code（IaC）セキュリティ：TerraformとCloudFormationのセキュリティスキャン、ポリシー・アズ・コードの実装、ドリフト検出

コンテナセキュリティのコンテンツは主にドメイン3（プラットフォーム・インフラセキュリティ）に含まれます。

ゼロトラストアーキテクチャ

ゼロトラストは各ドメインで参照される原則としてではなく、独立したトピック領域として正式化されました：

• アイデンティティ中心のアクセス制御：ZTNA（Zero Trust Network Access）の実装、継続的認証、リスクベースのアクセス判断
• マイクロセグメンテーション：クラウド環境でのSoftware-Defined Perimeterの設計と実装
• SASE（Secure Access Service Edge）：クラウド提供サービスにおけるネットワークとセキュリティ機能の統合
• ゼロトラスト成熟度モデル：CISAのZero Trust Maturity Modelとクラウド環境への適用

ゼロトラストのコンテンツはドメイン1、3、5に及びます。

サプライチェーンセキュリティ

主要なサプライチェーンインシデントを受けて拡張されました：

• SBOM（Software Bill of Materials）：SBOM生成の義務化、管理、脆弱性追跡
• サードパーティリスク管理：クラウドサービスプロバイダーのリスク評価、契約上のセキュリティ要件、継続的な監視
• オープンソースセキュリティ：依存関係スキャン、ライセンスコンプライアンス、クラウドアプリケーション開発での安全なパッケージ管理
• ビルドパイプラインセキュリティ：CI/CDセキュリティ管理、署名付きコミット、ビルド環境の整合性

サプライチェーンのコンテンツは主にドメイン4（アプリケーションセキュリティ）に含まれます。

更新された規制コンテンツ

ドメイン6の規制参照が拡張されています：

• EU AI法：クラウドに展開されたAIシステムのリスク分類とコンプライアンス要件
• NIS2指令：クラウドサービスと重要インフラに影響するEUのサイバーセキュリティ要件の更新
• DORA（デジタル運用耐性法）：金融セクターのクラウド耐性要件
• NISTs各フレームワークの更新：NIST SP 800-207（ゼロトラストアーキテクチャ）、NIST AI RMF、サイバーセキュリティフレームワークの更新

これが学習プランに意味すること

2023年以前の教材を使用している場合：

試験前に更新または補完してください。特にAI/MLセキュリティとゼロトラストのコンテンツは試験問題に出てきますが、古い学習ガイドでは十分にカバーされていません。コア講座を最新のISC2リソースや最近更新されたUdemy講座で補足する方が、全教材を置き換えるより効率的です。

2024〜2025年の教材を使用している場合：

ISC2のウェブサイトで現在の試験概要を確認し、AI/MLとコンテナセキュリティの更新が教材でカバーされているか確認してください。2024〜2025年のリソースのほとんどは主要な変更を取り込んでいますが、最新の更新が欠けている場合があります。

すべての受験者に：

準備の一環として、ISC2ウェブサイトのCCSP試験概要を確認してください。現在のCBKドメイン、トピック領域、重みのパーセンテージが記載されています。公式概要が権威ある情報源です。どんな学習教材もその解釈に過ぎません。

安定したコンテンツ（主要な変更なし）

以下のエリアは大きな変化がなく、引き続き重点的に出題されます：

• クラウドデータライフサイクル管理（ドメイン2）
• 鍵管理：BYOK、HYOK、CSP管理（ドメイン2）
• 管轄権とクロスボーダーデータ転送（ドメイン6）
• CLOUD法と法的フレームワーク（ドメイン6）
• SOC 2、ISO 27001、CSA STARコンプライアンス（ドメイン6）
• 責任共有モデル（ドメイン1）
• クラウドでのインシデントレスポンス手順（ドメイン5）

コアのガバナンスとリスク管理の概念は安定しています。更新は、新しい技術と規制動向を反映するための追加であり、基礎的なコンテンツの置き換えではありません。

出典

• ISC2 - Refreshes CCSP Exam（改訂告知・施行日）
• ISC2 - CCSP Certification Exam Outline（2026年8月1日版の出題比率）

次の記事：CCSPとAI/MLセキュリティ：2026年版ドメインフォーカス | CCSPの年収 2026年版