CCSP合格率と試験難易度：2026年版の正直な評価

CCSPコンプリートガイドシリーズの一部です。

合格率を知るよりも、CCSPの何が難しいかを理解する方がはるかに有益です。試験は特定の思考様式をテストするよう設計されており、多くの技術的に優秀な専門家がこの思考様式をキャリアの中で身につけていないことが問題の核心です。

合格率データ

ISC2はCCSPの合格率の公式統計を公表していません。コミュニティの調査、ISC2フォーラムの受験者レポート、専門資格追跡サイトのデータをもとに推定すると：

• 一発合格率：約60〜70%
• 十分な準備をした受験者の合格率：フルの学習プログラムを完了し、模擬試験で75%以上のスコアを出せた受験者ではかなり高くなります
• CISSPとの比較：CCSPの合格率はCISSP（一発合格率約50%）よりやや高いと推定されており、おそらくCCSP受験者がよりクラウドセキュリティに特化した経験を持っているためと考えられます

これらはあくまで推定値です。実際の分布は受験者の背景、学習アプローチ、事前経験によって異なります。

CCSPを難しくする要因

ガバナンス優先の考え方

最も根本的な難しさは、CCSPの問題が知識ではなく判断力をテストすることです。

例えば、このような問いがあります：「ある組織が顧客の機密データをクラウドIaaSプロバイダーに移行しています。法務チームが管轄権について懸念を示しています。クラウドセキュリティの専門家として最初に取るべき行動はどれか？」

技術系の受験者は技術的な制御（暗号化・アクセス制御・セキュリティグループ）で回答しがちです。CCSPが正解とするのはガバナンスの行動です：CSP契約の法的レビューを確立する、CLOUD法のもとでどの管轄権が適用されるかを確認する、データ処理契約を締結する。

これは技術的な制御が重要でないからではありません。試験が「クラウドセキュリティの専門家をリスクについて組織に助言する意思決定者」として位置づけているからです。ファイアウォールルールを実装する担当者ではなく。

この考え方を養うには、シナリオベースの問題を意図的に練習する必要があります。読むだけでは身につきません。

「最善の」答えの問題

ほとんどのCCSP問題には複数の妥当な選択肢があります。4つの選択肢全てが、有能なセキュリティ専門家がやりそうなことである場合もあります。問題が求めるのは、そのシナリオの特定の文脈における最善の答えです。

難しさを生む典型的なCCSP問題の構造：

• 「最も重要な最初のステップはどれか？」— 優先順位の判断をテスト
• 「この要件に最も適した制御はどれか？」— 適切な制御の選択をテスト
• 「組織は何を推奨すべきか…」— ガバナンスに適した意思決定をテスト
• 「最も大きなリスクはどれか？」— リスク評価の判断をテスト

正しい知識を持ちながら、近い選択肢の絞り込みを練習していない受験者は、2つの妥当な答えの間で迷い、推測に頼ることになりがちです。

ドメイン6：法律・リスク・コンプライアンス

このドメインは、技術系のセキュリティ専門家が限られた経験しか持たない、法的枠組み・規制要件・契約上の義務・リスク管理に関する知識と判断力をテストします。

具体的に難しい領域：

• 管轄権の複雑さ：データが国Aに保存され、国Bで処理され、顧客が国Cにいる場合、どの法律が適用されるか？
• CLOUD法：クラウドプロバイダーに対してアメリカ国外に保存されたデータの提出を強制する米国の法的権限
• GDPRの国際転送：EU域外への個人データ移転の適法な根拠
• CSP契約の要件：クラウド顧客契約に含めるべきセキュリティ上の義務は何か？
• 監査フレームワーク：SOC 2 Type IIは実際に何を証明するのか、CSA STARとどう関係するのか？

バックグラウンドが完全に技術的な受験者にとって、このドメインは最も意識的な学習投資が必要です。

コンピュータ適応型テスト（CAT）形式

CCSPはCATを採用しています。試験はパフォーマンスに応じて適応します：正解すると次の問題が難しくなり、不正解だと難易度が調整されます。試験中に自分がどのくらいの出来か分かりません。

CATが意味すること：

• 試験は100〜150問の間のどこかで終わる
• 問題をスキップして後で戻ることはできない
• 試験はシステムがあなたの能力レベルに十分な確信を持った時点で終了する
• 問題数が少なくて試験が「ハードだった」と感じても、それは必ずしも悪い兆候ではない——優秀なパフォーマンスがあったためにシステムが早く確信を持てた可能性もある

CAT形式は進捗インジケーターがないため、多くの受験者が従来の固定問題数の試験よりストレスを感じます。

4時間の試験時間

CCSPでは100〜150問に4時間が与えられます。時間は十分ですが、シナリオを読んで分析する認知的負荷は相当なものです。英語の読解に苦労する受験者（英語が母国語でない方）や、長時間の集中が難しい方は、試験の持久力に特化した準備が必要です。

不合格の最も多い理由

ISC2フォーラムやスタディグループのコミュニティレポートをもとにまとめると：

1. 練習問題が不足している：読書と動画だけでは不十分です。試験が問う応用的な判断力は、練習を通じてのみ養われます。

2. ドメイン6を軽視している：技術系の受験者は法律・リスク・コンプライアンスの学習を後回しにしがちです。試験では13%の配点があり、技術系の背景にとって最も馴染みのないドメインです。

3. ガバナンス問題に技術的な答えを選んでいる：シナリオ問題に間違った考え方を適用しています。「経営陣に何を勧告すべきか」と問われているなら、答えはリスク・コンプライアンス・ビジネスの文脈に関するものであり、ファイアウォールルールではありません。

4. 古い学習教材を使っている：2022〜2023年の教材は、AI・MLセキュリティ、コンテナセキュリティの最新情報、最近の規制の追加をカバーしていません。準備では全く遭遇しなかった問題に直面する可能性があります。

5. 模擬試験のスコアが不十分なまま受験している：模擬試験で65〜68%のスコアで本番を受ける受験者は多くが落ちます。目標は125問の模擬試験を75%以上で安定して通過することです。

難易度への準備方法

練習問題について：試験前に全6ドメインにわたって最低500問の練習問題をこなしてください。誤答のひとつひとつについて、「この問題は何をテストしていたか、どのような思考モデルを誤って使ったか、正しいガバナンス・リスクの考え方は何か」を特定してください。

ドメイン6について：13%の試験配点が示す以上の時間を割いてください。リスク管理フレームワークに関するNIST・ISO・ISC2の資料を読んでください。CLOUD法、GDPRの転送メカニズム、SOC 2とCSA STARの違いを実務レベルで理解してください。

模擬試験について：スケジュールを組む前に、時間制限付きで125問の模擬試験を少なくとも3回実施してください。75%以上を安定して達成するまで申し込まないでください。

考え方の転換について：誤答を復習する際、「このシナリオでセキュリティエンジニアならどうするか？」ではなく「CISOやチーフリスクオフィサーならどうするか？」と自問してください。その視点の切り替えが、試験が求めるガバナンスの観点を養う助けになります。

次の記事：CCSPの受験資格要件 | CCSP保有者の年収2026年版