CISSPドメイン概要2026：8つのCBKドメインを徹底解説

この記事はCISSP認定資格2026年版完全ガイドシリーズの一部です。

CISSPのCBK（Common Body of Knowledge）は、サイバーセキュリティの知識を8つのドメインでカバーしています。各ドメインが「何を扱っているか」だけでなく「何を問うているか」を理解することは、効率的な学習準備に欠かせません。

このガイドでは、フルタイムで働きながら準備をしたCISSP保有者として、各ドメインの出題比率、主要トピック、学習アプローチを解説します。

ドメイン別出題比率の一覧

この比率は2024年のCBK改定によるもので、2026年の受験でもそのまま有効です。学習時間はこの比率に比例して配分しましょう——ドメイン1・3・4・5・7を合わせると試験全体の68%を占めます。

ドメイン1：セキュリティとリスクマネジメント（16%）

何が問われるか：リスク・事業目標・ガバナンスのバランスを取れるセキュリティリーダーとして考えられるか。特定のコントロールを実装する技術者としてではなく。

主なトピック：

• セキュリティガバナンスの原則と組織のセキュリティモデル
• コンプライアンス要件（法令・規制・標準：GDPR、HIPAA、PCI DSS、SOX、日本の個人情報保護法）
• リスク管理フレームワーク（NIST RMF、ISO 27001、COBIT）
• リスクの識別・評価・対応（受容、回避、低減、移転）
• 事業継続計画（BCP）の概念
• 災害復旧計画（DRP）の概念
• 人事セキュリティ（採用、オンボーディング、退職時対応）
• 倫理と職業行動規範

なぜ最も難しいドメインなのか：ドメイン1の問題は、トレードオフを判断するシニアなセキュリティ責任者として考えることを求めます。2つの選択肢がどちらも技術的には正当化できる場合がありますが、片方だけがより優れたリスクガバナンス思考を反映しています。

よくある誤り：問いの文脈がビジネスプロセスやステークホルダーへのコミュニケーションを優先すべき状況なのに、技術的なアクションを選んでしまうことです。CISSPの視点は、即座の技術対応よりもガバナンスを優先することが多くあります。

学習アプローチ：定義を読むだけでは足りません。初日からシナリオ形式の演習問題に取り組みましょう。各問題について「技術者ではなく、責任ある意思決定者ならここでどう動くか」を自問してください。

関連記事：CISSP学習計画：週ごとのガイド

ドメイン2：資産セキュリティ（10%）

何が問われるか：分類と組織にとっての価値に基づいて、データのライフサイクル全体をどう保護するかの理解。

主なトピック：

• データ・資産の分類（公開、内部限定、機密、極秘）
• データ所有権の役割（所有者、管理者、利用者、処理者）
• プライバシー保護の原則と規制
• データ保持ポリシーと法的保存義務
• 安全なデータ廃棄方法（消去、パージ、破壊）
• データ残留とサニタイズ標準（NIST SP 800-88）

内面化すべき重要概念：データの分類レベルが保護要件を決定します。分類に従うこと——分類が求める以上でも以下でもないセキュリティを適用しないことが原則です。

学習アプローチ：データガバナンスの経験がある受験者にとっては比較的取り組みやすいドメインです。役割の正式な定義（所有者と管理者の違いは頻出テーマです）と、具体的な安全な廃棄基準に注力しましょう。

ドメイン3：セキュリティアーキテクチャとエンジニアリング（13%）

何が問われるか：セキュリティ工学の原則、セキュリティモデル、暗号技術の概念、そしてデフォルトで安全なシステムをどう設計するかの理解。

主なトピック：

• セキュリティアーキテクチャのフレームワークとモデル
  • Bell-LaPadulaモデル（機密性重視、読み上げ禁止／書き下げ禁止）
  • Bibaモデル（完全性重視、読み下げ禁止／書き上げ禁止）
  • Clark-Wilsonモデル（整形式トランザクション）
  • Brewer-Nash（チャイニーズウォール）モデル（利益相反）
• 暗号技術
  • 共通鍵暗号と公開鍵暗号
  • 主要アルゴリズム：AES、RSA、ECC、SHA-2/SHA-3
  • 鍵管理の概念
  • PKI（公開鍵基盤）
  • デジタル署名と証明書
  • ハッシュとメッセージ認証コード（HMAC）
• セキュアな設計原則
  • 最小権限とニード・トゥ・ノウ
  • 多層防御
  • フェイルセーフなデフォルト設定
  • 職務分離
  • 機構の経済性
• システムの脆弱性：Web、モバイル、組み込み、SCADA/ICS

よくある難所：数学やプロトコルの知識があまりない受験者にとって、暗号技術は概念的にハードルが高い分野です。試験自体は数学的計算を要求しませんが、暗号システムがどう機能するか、なぜ特定のアルゴリズムが使われるか、その限界は何かを理解している必要があります。

学習アプローチ：セキュリティモデルは比較表を作り、あらゆるシナリオを正しく分類できるようになるまで繰り返し取り組みましょう。暗号技術については、数式ではなく、目的と適切な利用場面の理解に集中してください。

ドメイン4：通信とネットワークセキュリティ（13%）

何が問われるか：セキュアなネットワーク設計、プロトコル、アーキテクチャの概念の理解。

主なトピック：

• OSIモデルとTCP/IPスタック——各レイヤーと関連プロトコルをすべて把握する
• ネットワークプロトコル：DNS、DHCP、HTTP/S、SMTP、FTP、SSH、TLS/SSL
• ネットワークアーキテクチャ：セグメンテーション、DMZ、VLAN、NAT
• ファイアウォールの種類（パケットフィルタリング、ステートフルインスペクション、アプリケーションプロキシ、次世代型）
• 侵入検知・防止システム（IDS/IPS）
• 無線セキュリティ：WEP（非推奨）、WPA2、WPA3、EAP方式
• VPN技術：IPSec、SSL/TLS VPN、拠点間VPNとリモートアクセスVPN
• SDN（ソフトウェア定義ネットワーキング）とマイクロセグメンテーションの概念
• セキュアなネットワークプロトコルと安全でない代替手段の比較

重要な視点：ドメイン4の多くの問題は、技術的にはどれも動作しうる複数の選択肢の中から「最も安全な」選択肢を選ぶことを求めます。SSHがTelnetを置き換え、HTTPSがHTTPを置き換えた理由と、その置き換えの背景にある具体的な脆弱性を理解することが重要です。

学習アプローチ：ネットワークエンジニアリングの経験があれば、このドメインは馴染みやすく感じるはずです。純粋なセキュリティや開発のバックグラウンドを持つ受験者は、ここに追加の時間を割きましょう。主要なアーキテクチャ（DMZ、VPNトンネル構成、IDSの配置）を図で描いてみると、視覚的な理解が進みます。

ドメイン5：アイデンティティとアクセス管理（13%）

何が問われるか：組織全体でアイデンティティがどう確立・認証・認可・統治されるか。

主なトピック：

• 認証要素：知識情報、所持情報、生体情報。多要素認証（MFA）
• 認証プロトコル：Kerberos、RADIUS、LDAP、SAML、OAuth 2.0、OpenID Connect
• アクセス制御モデル
  • 任意アクセス制御（DAC）
  • 強制アクセス制御（MAC）
  • ロールベースアクセス制御（RBAC）
  • 属性ベースアクセス制御（ABAC）
  • ルールベースアクセス制御
• アイデンティティ連携とシングルサインオン（SSO）
• 特権アクセス管理（PAM）
• アカウントライフサイクル管理：プロビジョニング、デプロビジョニング、アクセスレビュー
• ゼロトラストアーキテクチャの概念

重要な概念：最小権限の原則——すべてのアカウントは、その機能を果たすのに必要な最小限のアクセス権のみを持つべきであり、それ以上ではない。この原則はIAMの問題だけでなく他のドメインでも繰り返し登場します。

学習アプローチ：エンタープライズのアイデンティティシステムを扱った経験があれば、IAMの概念は非常に実践的に感じられるはずです。アクセス制御モデルの正式な定義（DACとMACの違いは頻出です）に焦点を当て、各モデルがなぜ存在するか——どんな脅威に対処しているか、限界は何か——を理解しましょう。

ドメイン6：セキュリティ評価とテスト（12%）

何が問われるか：セキュリティコントロールを体系的に評価し、その有効性を測定する方法。

主なトピック：

• 脆弱性評価とペネトレーションテストの違い（評価＝脆弱性の発見、ペンテスト＝実際の悪用）
• セキュリティテストの種類：ブラックボックス、ホワイトボックス、グレーボックス
• コードレビューと静的解析
• ソフトウェアテスト手法：単体テスト、統合テスト、回帰テスト
• 監査・ログレビュー
• SOCレポートの種類：SOC 1（財務統制）、SOC 2（セキュリティ／可用性／処理の完全性／機密性／プライバシー）、SOC 3（一般公開向けサマリー）
• セキュリティメトリクスとKPI

重要な区別：脆弱性スキャン（自動化、既知の弱点を特定）、ペネトレーションテスト（テスターによる能動的な悪用）、レッドチーム演習（時間をかけたリアルな敵対的シミュレーション）の違いを把握しましょう。試験では、それぞれをどんな場面で使うべきかの理解が問われます。

学習アプローチ：セキュリティ運用の経験がある受験者にとっては比較的取り組みやすいドメインの一つです。各評価手法の正式な定義と適切な利用場面、そして監査の階層構造（特にSOCレポートの種類は頻出）を理解しましょう。

ドメイン7：セキュリティ運用（13%）

何が問われるか：セキュリティインシデントへの対応・管理と、日常的な運用面でのセキュリティ態勢の維持。

主なトピック：

• インシデント対応のライフサイクル：準備、識別、封じ込め、根絶、復旧、教訓の反映
• デジタルフォレンジックとeディスカバリー
  • チェーン・オブ・カストディ（証拠保全の連鎖・重要概念——違反すると証拠が無効になる）
  • 証拠収集における揮発性の順序
  • フォレンジックイメージングと解析
• 変更管理と構成管理
• パッチ管理プロセス
• 災害復旧（運用面の視点）——ドメイン1のBCPを補完する内容
• 事業継続運用
• セキュリティモニタリング：SIEM、ログ管理、アラート
• 物理セキュリティ：環境管理、アクセス制御、監視

重要な視点：ドメイン7のインシデント対応に関する問題では、CISSP試験は一貫して根絶よりも封じ込めと証拠保全を優先します。問題をすぐに直したいという衝動は、それがインシデントの発生経緯に関する証拠を破壊してしまうなら、フォレンジックやビジネスの観点からは誤りです。

学習アプローチ：このドメインは、実務者が最も自信を持ちやすい分野です——実際にインシデント対応の経験があるためです。落とし穴は、実務での近道をCISSPの問題にそのまま当てはめてしまうことです。試験が問うのは、あなたが業務でプレッシャー下に使う現実的な回避策ではなく、正式なプロセスです。

ドメイン8：ソフトウェア開発セキュリティ（10%）

何が問われるか：セキュリティがソフトウェア開発ライフサイクルにどう組み込まれるか、そしてソフトウェアのセキュリティ上の弱点をどう評価するか。

主なトピック：

• SDLCモデル：ウォーターフォール、スパイラル、アジャイル、RAD、Scrum——それぞれでセキュリティがどこに位置づけられるか
• DevSecOpsとCI/CDパイプラインにおけるセキュリティ
• セキュアコーディングの原則
• 一般的なソフトウェアの脆弱性：OWASP Top 10、バッファオーバーフロー、インジェクション欠陥、競合状態
• コードレビュー手法
• 静的アプリケーションセキュリティテスト（SAST）と動的アプリケーションセキュリティテスト（DAST）の比較
• ソフトウェアサプライチェーンセキュリティ
• データベースセキュリティ
• APIセキュリティの概念

重要な視点：CISSPはソフトウェアセキュリティを、開発者やペンテスターの視点ではなく、アーキテクチャとガバナンスの視点から扱います。問題はプロセス（SDLCのどの段階でセキュリティを組み込むべきか）に焦点を当てており、実装（具体的にどのコードが脆弱か）ではありません。

学習アプローチ：開発のバックグラウンドがある方は、技術的な問題を深読みしすぎないよう注意してください。CISSPが求めているのは開発者の答えではなく、ガバナンスの答えです。開発のバックグラウンドがない場合は、SDLCの概念と各フェーズのセキュリティ上の意味合いに追加の時間を割く必要があります。

総まとめ：ドメイン横断の思考力

CISSP試験で最も重要なスキルの一つは、多くの問題が複数のドメインにまたがっていることを認識することです。セキュリティインシデントへの対応に関する問題は、次のような知識を横断して求められる場合があります。

• ドメイン1（リスク受容の判断）
• ドメイン7（インシデント対応プロセス）
• ドメイン5（封じ込め中のアクセス制御判断）
• ドメイン6（フォレンジック証拠の考慮）

こうした統合思考こそ、「シニアなセキュリティ専門家として考える」という意識がこれほど重要視される理由です。孤立した技術的な問題に答えているのではなく、包括的なセキュリティ判断力を示しているのです。

このシリーズの関連記事

• CISSP認定資格2026年版完全ガイド
• CISSP学習計画：週ごとの準備ガイド
• CISSP演習問題：無料リソースと出題傾向

@jo_sekiko