TCL Portal

CISSP受験資格2026：5年の実務経験の数え方

公開日:
  • #CISSP
  • #ISC2
  • #受験資格
  • #セキュリティ資格
  • #キャリア

この記事はCISSP認定資格2026年版完全ガイドシリーズの一部です。

CISSPの5年間の実務経験要件は、試験そのものよりも多くの受験者をつまずかせます。ルールは見た目よりも複雑で、「自分は対象外だ」と思い込んでいる実務者の多くが実は対象になっている——その逆のケースもあります。

このガイドでは、経験がどう数えられるか、どの職務が対象になるか、証明プロセス、そして経験が足りない場合の選択肢を解説します。

基本の要件

CISSP認定を取得する（試験合格だけでなく）ためには、次の条件を満たす必要があります。

8つのCISSP CBKドメインのうち2つ以上において、通算5年以上の有給フルタイム実務経験。

ここで重要な言葉は、通算（連続していなくてもよい）、有給（無給の業務は対象外）、フルタイム（パートタイムの経験は按分して数えられる場合がありますが、証明資料と(ISC)²の審査が必要です）です。

どの職務・業務が対象になるか

CISSPの実務経験要件は、職務名ではなくドメインベースで判定されます。役職名が何であれ、あなたの業務がそのドメインの内容に直接関わっていたのであれば、そのドメインの経験として認められます。

ドメイン1——セキュリティとリスクマネジメント：リスク評価業務、コンプライアンスプログラムの管理、セキュリティポリシーの策定、BCP/DRP計画、セキュリティガバナンスへの関与。

ドメイン2——資産セキュリティ：データ分類プログラム、データガバナンス、DLP（データ漏えい防止）の導入、安全な廃棄手続き、プライバシープログラムへの関与。

ドメイン3——セキュリティアーキテクチャとエンジニアリング：セキュリティアーキテクチャの設計、暗号技術の実装、システムセキュリティ設計、PKIの運用、セキュアコーディングフレームワークの整備。

ドメイン4——通信とネットワークセキュリティ：ネットワークセキュリティ設計、ファイアウォール運用、VPN管理、セキュリティを考慮したネットワークアーキテクチャ、無線セキュリティの実装。

ドメイン5——アイデンティティとアクセス管理：IAMシステムの運用、PAMの導入、SSOの設計、アクセス制御ポリシーの管理、アイデンティティガバナンス。

ドメイン6——セキュリティ評価とテスト：脆弱性評価、ペネトレーションテスト、セキュリティ監査、ログレビュープログラム、SDLC内でのセキュリティテスト。

ドメイン7——セキュリティ運用：インシデント対応、SOC運用、SIEM管理、デジタルフォレンジック、パッチ管理、BCP/DRP運用。

ドメイン8——ソフトウェア開発セキュリティ：アプリケーションセキュリティレビュー、セキュアなSDLCの実装、DevSecOps、コードレビュープログラム、SAST/DASTの運用。

重要な点：ネットワークエンジニア、システム管理者、ソフトウェア開発者、ITマネージャーは、当初は「CISSP対象になる経験」と自覚していない、要件を満たす経験を持っていることが少なくありません。「自分は対象外だ」と結論づける前に、各ドメインの説明を注意深く見直してください。

対象にならない経験

ボランティア業務：経験は有給の雇用である必要があります。セキュリティコミュニティへの貢献、無償のコンサルティング、ボランティアでのインシデント対応は経験要件に含まれません。

学生プロジェクトや学術的な取り組み：技術的に高度であっても、大学やブートキャンプでのプロジェクトは対象になりません。

ドメインと関わりのない非セキュリティのIT業務：一般的なヘルプデスク業務、デスクトップサポート、CBKドメインと実質的な関連がないIT職務は対象になりません。

資格や研修：セキュリティ資格の保有や研修の修了は、経験の代替にはなりません（ただし、特定の資格は1年分の経験を代替できます——後述）。

経験の代替措置

4年制大学の学位

4年制の学士号（または地域で同等とされる学位）は、必要経験のうち1年分を代替でき、最低要件を5年から4年に短縮できます。

学位はコンピュータサイエンス、情報技術、セキュリティ分野である必要はありません。どの分野の4年制学位でも対象になります。

承認された資格

(ISC)²の承認リストに掲載された特定の資格も、1年分の経験を代替できます。リストには次のような資格が含まれます。

承認リストは定期的に更新されるため、申請時点での最新の(ISC)²承認資格リストを確認してください。

代替の上限：保有する学位や承認資格の数にかかわらず、代替できるのは最大1年分のみです。

経験の証明方法

試験合格後にCISSP認定を申請する際には、要件を満たす経験を証明する必要があります。プロセスは次のとおりです。

  1. (ISC)²のオンライン経験証明フォームに記入する
  2. 現役のCISSP保有者から経験の証明（エンドースメント）を受ける（証明者は、あなたと直接一緒に働いた経験がなくても、経験が本物であり要件を満たしていることを確認します）
  3. (ISC)²が証明内容を審査する——このプロセスには数週間かかります

証明に必要な情報：

実践的なアドバイス：証明が必要になった時にまとめようとするのではなく、経験を積む過程で記録を残しておきましょう。ドメインごとにセキュリティ業務の記録を継続的につけておくと、証明プロセスが大幅に楽になります。

Associate of (ISC)²：経験が不足している場合

CISSP試験には合格したものの、要件を満たす経験が5年に満たない場合、Associate of (ISC)²というステータスになります。

Associateステータスに含まれるもの：

Associateステータスに含まれないもの：

Associateの道が向いている人：

要件を満たす実務経験が3〜4年程度あり、今すぐ資格に投資しながら、Associateとして経験要件を満たしていきたい方です。経験要件まであと1〜2年という段階なら、早めに試験を受けてAssociateとして過ごす期間を活用するのは合理的な戦略です——特に、勤務先で今のうちにCISSP対策をするのが望ましい環境（学習時間を確保しやすい、勤務先に強い学習コミュニティがあるなど）にいる場合はなおさらです。

要件まで2年以上ある場合は、一般的には待つことをおすすめします。CISSPの「シニアなセキュリティマネージャーとして考える」タイプの問題は、実際にセキュリティマネジメントの課題を経験してからのほうがはるかに答えやすくなります。

自分は実際に何年分の経験があるのか

よくある混乱の原因：セキュリティ実務者は、「セキュリティ業務」の定義を狭く捉えすぎて、要件を満たす経験を過小評価しがちです。

自問してみてください。

  1. 非セキュリティのIT職務の中に、セキュリティ上の意味合いを持つネットワークアーキテクチャ、アクセス制御、システム設計に関わる部分はなかったか？（ドメイン3・4・5の経験になり得ます）

  2. 非公式にでも、より大きなITやビジネスの役割の一環としてリスク評価の業務をしたことはないか？（ドメイン1の経験）

  3. 監査、コンプライアンス、ポリシー関連の業務に関わったことはないか？（ドメイン1または6の経験）

  4. セキュリティ専任でない役職で、たとえ軽微であってもセキュリティインシデントの管理や対応をしたことはないか？（ドメイン7の経験）

  5. セキュリティを考慮したソフトウェア開発に関わったことはないか？（ドメイン8の経験）

ITジェネラリストの職務からセキュリティに移ってきた実務者は、この分析をしてみると、当初の見積もりより2〜3年多く要件を満たす経験を持っていることがよくあります。

このシリーズの関連記事

@jo_sekiko

よくある質問

CISSPで認められる実務経験とはどのようなものですか？

8つのCISSP CBKドメインのうち1つ以上における、フルタイムの有給実務経験です。経験は有給である必要があり、ボランティア、インターン、無報酬のコンサルティング業務は対象になりません。専任の「セキュリティ」職である必要はなく、ネットワークエンジニアリング、ソフトウェア開発、リスクマネジメントなど、CBKドメインの内容をカバーする業務であれば対象になり得ます。

学位でCISSPの実務経験を代替できますか？

できます。4年制大学の学士号（または地域で同等とされる学位）、または(ISC)²の承認リストに掲載された資格は、必要経験1年分を代替でき、5年から4年に短縮されます。

Associate of (ISC)²とは何ですか、どう機能しますか？

CISSP試験には合格したものの、まだ5年の該当実務経験がない場合、Associate of (ISC)²というステータスになります。これは(ISC)²が認める正式な地位です。試験日から6年以内に必要な実務経験を積めば、正式なCISSP認定を取得できます。

著者について