CISSP学習計画2026：週ごとの準備ガイド

この記事はCISSP認定資格2026年版完全ガイドシリーズの一部です。

私は情報システムセキュリティマネージャーとしてフルタイムで働きながらCISSPに合格しました。準備にかかった期間はおよそ5ヶ月です。振り返ってみると、これまで受けてきた技術系の資格試験との違いは、知識の深さではなく、論理的思考の枠組みにありました。

このガイドでは、私自身が実践した学習計画と、その後試験を受けた同僚たちを見て分かった「うまくいく（いかない）」ポイントを踏まえて調整した内容をお伝えします。

最も重要な意識の転換

スケジュールの話をする前に、準備における最も重要な考え方に触れておく必要があります。CISSPは技術試験ではありません。

CISSPが試すのは、特定のツールを実装する技術者としてではなく、リスクの判断に責任を持つシニアなセキュリティ専門家として考えられるかどうかです。多くの問題で、2つの答えがどちらも技術的には正しいことがあります。正解は、そのシナリオの全体的な文脈を踏まえて、思慮深いセキュリティマネージャーが選ぶであろう答えです。

これはつまり：

• 事業継続性が、戦術的な技術対応より優先されることが多い
• リスクの受容やリスク移転は正当な答えであり、間違った答えではない
• 「最善の」答えには、技術的な行動の前にステークホルダーとのコミュニケーションが含まれることが多い
• 法務・規制・コンプライアンス上の考慮が、技術的な好みより優先されることが頻繁にある

CISSPに不合格になった受験者から最もよく聞かれるのは、リスクマネジメントの観点からは「最も正しい」わけではない、技術的に正しい答えを選んでしまったという声です。この判断力を養うことこそが準備の目的であり、単にドメインの知識を蓄積することではありません。

経験レベル別の準備期間

この数値は、受け身の読書ではなく、解答の復習を伴う演習問題を中心とした、集中的で能動的な学習を前提としています。CISSP対策では、能動的な演習1時間は、受け身の読書のおよそ3時間分の価値があります。

20週間の学習計画

このプランは、セキュリティ実務経験が5〜6年の受験者を想定しています。自分のバックグラウンドに応じてペースを調整してください。

フェーズ1：土台作り（1〜4週目）

目標：概念的な枠組みを構築する。各ドメインがどうつながっているかを理解する。

1週目：ドメイン1——セキュリティとリスクマネジメント ドメイン1は最も出題比率が高く（16%）、それ以上に重要なのは、脅威・資産・コントロール・ビジネスへの影響をどう考えるかという、他のすべてのドメインの土台となるリスクマネジメントの枠組みを確立する点です。

重点分野：セキュリティガバナンス、リスク管理フレームワーク（NIST RMF、ISO 27001）、ビジネスインパクト分析、BCP/DRPの概念、倫理・法的枠組み。

暗記しようとしないこと。各要素がどうつながっているかの理解のために読みましょう。

2週目：ドメイン2——資産セキュリティ データ分類、データ所有権、プライバシーの概念、保持ポリシー、安全な廃棄。このドメインでは、CISSP全体で繰り返し登場する「データを追う」という思考が導入されます。

3週目：ドメイン3——セキュリティアーキテクチャとエンジニアリング セキュリティモデル（Bell-LaPadula、Biba、Clark-Wilson）、暗号技術の基礎、セキュアな設計原則（多層防御、フェイルセーフなデフォルト、最小権限、職務分離）、一般的なシステムの脆弱性。

このドメインは知識量が多いです。特に暗号技術は、定義を読むだけでなく、具体例を通じて取り組むことで理解が深まります。

4週目：ドメイン4——通信とネットワークセキュリティ OSIモデルとTCP/IPスタック、ネットワークプロトコル、セキュアなネットワークアーキテクチャ、無線セキュリティプロトコル（WPA2/WPA3）、VPN技術、ファイアウォールの種類と構成。

ネットワークエンジニアリングのバックグラウンドがあれば、このドメインは早く進められるでしょう。そうでない場合は、ここに追加の時間を割いてください。

フェーズ1の週間構成：

• 平日夜3回、各60〜75分：ドメインの読書とノート取り
• 週末1回、2〜3時間：その週のドメインの演習問題50〜75問と解答復習

フェーズ2：応用（5〜12週目）

目標：集中的な演習問題を通じて概念知識を応用する。CISSPの問題が求める思考パターンを養う。

5〜6週目：ドメイン5・6

ドメイン5（IAM）：認証プロトコル、認可モデル（RBAC、ABAC、MAC、DAC）、アイデンティティ連携、特権アクセス管理、ディレクトリサービス。

ドメイン6（セキュリティ評価とテスト）：脆弱性評価とペネトレーションテストの違い、セキュリティテストの種類、監査プロセス、ログレビュー、SOCレポートの種類（SOC 1/2/3）。

7〜8週目：ドメイン7・8

ドメイン7（セキュリティ運用）：インシデント対応のライフサイクル、デジタルフォレンジック（チェーン・オブ・カストディが重要）、変更管理、BCP/DRP運用、モニタリングと検知。

ドメイン8（ソフトウェア開発セキュリティ）：SDLCモデル（ウォーターフォール、アジャイル、DevOps）、セキュアコーディングの原則、コードレビュー手法、OWASP Top 10、サプライチェーンセキュリティ。

9〜12週目：ドメイン横断の統合と演習問題の量

9週目までに、8ドメインすべてを一通り終えているはずです。9〜12週目は、知識を統合し、思考の「筋力」を鍛える期間です。

1日の演習問題目標：1日30〜50問、正解・不正解を問わずすべての解説を復習する。

この段階での目標は模擬テストの高得点ではありません。リスクマネジメントとビジネスの観点から、各答えが「なぜ」正しいか・間違っているかを理解することです。

フェーズ2の週間構成：

• 各60〜90分のセッションを5回：演習問題＋解説の復習
• 週末1回：演習テストのデータに基づく弱点ドメインの集中復習

フェーズ3：試験本番への準備（13〜20週目）

目標：本番の試験条件をシミュレートし、残る弱点を特定・克服し、自信を持って受験できる状態に到達する。

13〜16週目：本番形式の模擬試験

時間を計った本番形式の演習試験（125問以上）に取り組みます。各試験の後に：

1. スコアが低いドメインを特定する
2. そのドメインの教材に戻る
3. そのドメインに絞った演習問題に取り組む
4. 1週間の補強期間を経て、もう一度本番形式の試験を受ける

目標：本番の試験を受ける前に、演習試験で継続的に75%以上のスコアを取れるようになること。

17〜18週目：最終的な弱点の補強

この段階では、自分がどのドメイン・トピックで最もつまずくかが明確になっているはずです。この2週間は、広範な復習ではなく、的を絞った補強に充ててください。

19〜20週目：軽い復習と試験当日の準備

新しい教材への取り組みは控えます。以下に集中してください。

• 個々の事実ではなく、全体的な論理的思考の枠組みを振り返る
• 試験当日の詳細（会場、必要な身分証、持参物）を確認する
• 十分な睡眠を取り、普段どおりの生活リズムを保つ

最終週に新しい教材を詰め込まないこと。CISSPが求めるのは判断力であり、直前の暗記ではありません。

何を学習するか：リソースの構成

主教材（いずれか一つを選択）：

• CISSP (ISC)² Official Study Guide（Chapple/Stewart/Gibson版）——包括的で権威のある内容
• CISSP All-in-One Exam Guide（Harris/Maymí版）——より物語的で、ストーリー形式の学習を好む方に向いている

概念理解のための動画講座：

単なる定義の解説ではなく、答えの背後にある論理を丁寧にたどってくれる体系的な動画講座は、CISSPが求める思考パターンを養うのに特に効果的です。私はフェーズ2で、読むだけでは抽象的に感じたドメインの理解を深めるために活用しました。

CISSP Complete Course — 体系的な動画学習

演習問題バンク（複数のソースを組み合わせて使う）：

• (ISC)²公式練習テスト——実際の出題スタイルに最も近い
• Boson ExSim——解説の質の高さで知られている
• CCCure——問題量が多く、持久力をつけるのに向いている
• CISSP Practice Exams（模擬試験6回分・Udemy）

差がつく学習習慣

**45〜75分の集中したブロックで学習する。**CISSPは能動的な認知的取り組みを必要とします。休憩を挟まない長時間セッションは、投資対効果を大きく下げます。

**間違えた問題、そして自信のなかった正解した問題すべてを復習する。**最も価値のある学びは、問題そのものではなく、解説の復習の中にあります。

**声に出して概念を説明する。**架空の同僚に対して概念を明確に説明できないなら、CISSPの文脈依存型の問題に対応できるほど理解できていません。

**演習テストごとにドメイン別のスコアを記録する。**簡単なスプレッドシートをつけましょう。弱いドメインを見ていくと、特定のトピック領域、問題の言い回し、あるいは一貫して繰り返す推論の誤りといったパターンが見えてきます。

日本語版の線形試験を検討している日本在住の受験者へ：訳語特有の言い回しに慣れるための準備時間を追加で確保しましょう。一部の専門用語は日本語で読むとニュアンスが異なり、概念によっては英語原文のほうが分かりやすいこともあります。業務で英語のセキュリティ文書を読むことに抵抗がないなら、英語CATを真剣に検討する価値があります。

試験を予約する準備が整ったタイミング

以下がそろったら、受験を予約する準備が整ったと言えます。

• 本番形式の演習試験で継続的に75%以上のスコアを取れている
• 事実を暗唱するだけでなく、ドメインごとの答えの背後にあるリスクマネジメントの論理を説明できる
• スコアが70%を下回るドメインすべてに具体的に対処済みである
• 見慣れた問題パターンだけでなく、初見のシナリオにも自信を持って対応できる

準備が整う前に、モチベーション維持のための締め切りとして試験を予約しないでください。再受験ポリシー（30日待機、その後60日、その後180日）を踏まえると、準備不足での受験は時間・お金・勢いのすべてを失うことになります。

このシリーズの関連記事

• CISSP認定資格2026年版完全ガイド
• CISSP受験費用2026：総投資額と削減方法
• CISSPドメイン概要：8つのCBKドメインを解説
• CISSP演習問題：無料リソースと出題傾向

@jo_sekiko