公認情報セキュリティマネージャー

公認情報セキュリティマネージャーとは？資格の概要

勉強時間と学習期間の目安

※ CISMはセキュリティ実務・管理経験者で150〜200時間、IT経験のみで200〜300時間、未経験者は300時間以上が目安。IPA情報セキュリティマネジメント試験（SG）では120時間との言及あり。前提となる経験レベルによって大きく異なる

教材の選び方と定番の組み合わせ

学習者の間でよく使われている教材の傾向を整理しました。市販テキスト・問題集・通信講座はそれぞれ役割が異なるので、組み合わせ方が重要です。

推奨される学習順序

学習範囲が広い資格では、どの分野から着手するかで効率が大きく変わります。配点や習得難易度を踏まえた標準的な学習順序は以下の通りです。

1. テキスト・公式マニュアルで全体像を把握する — 試験範囲が広いため、まず体系的な知識の骨格を作ることで、その後の演習効率が上がる
2. 問題集・公式問題集を繰り返し解く（主軸） — 知識の定着と出題傾向の習得が合格の核。CISM特有のマネージャー思考の習得も問題演習を通じてのみ体得できる
3. 間違えた箇所をテキストに戻って確認・補強する — 誤答を放置すると同じパターンで繰り返し失点するため、解説を読み込んで正答の根拠を理解することが定着につながる

公認情報セキュリティマネージャー（CISM）とは―ISACAが認定する国際資格の位置づけ

• ISACAが認定する、情報セキュリティの「マネジメント」に特化した国際専門家資格
• 技術的な詳細よりも「なぜ必要か」「何をすべきか」「どう組織を動かすか」を問う設計
• 対象者はセキュリティマネージャー・CISO候補、技術職からマネジメントへキャリアアップを目指す人
• 略称「CISM」はメンタルヘルスプログラムや軍人スポーツ組織の名称とも重複するため、ISACAの資格であることを最初に確認する
• セキュリティを経営課題として扱う「マネージャー」向けのデファクトスタンダード資格

公認情報セキュリティマネージャーの試験概要―形式・問題数・時間・合格基準

• CBT（Computer Based Testing）方式、4択多肢選択式で150問
• 試験時間4時間（240分）
• 全国のピアソンVUEテストセンターで通年受験可能、自分の都合の良い日時を予約
• 採点は200〜800点のスケールドスコア方式で、450点以上が合格ライン
• 日本語での受験が可能（英語原文の併記も選択できる）
• ISACAは合格率を公式に発表していない

公認情報セキュリティマネージャーの出題ドメイン構成と配点比率

• ドメイン1「情報セキュリティガバナンス」17%：セキュリティ戦略とビジネス目標の整合
• ドメイン2「情報リスクの管理」20%：リスクアセスメントの実施と対応策（受容・低減・回避・移転）の決定
• ドメイン3「情報セキュリティプログラムの開発と管理」33%：最大配点のコアドメイン
• ドメイン4「情報セキュリティインシデントの管理」30%：CSIRT構築・インシデント対応・事後管理
• ドメイン3と4だけで全体の63%を占めるため、プログラム管理とインシデント対応が学習の重心

公認情報セキュリティマネージャーとCISSP・CISAの違い―3資格の役割比較

• CISM：セキュリティプログラム全体を「管理する人」の資格。ビジネス目標との整合とリスク管理が主眼
• CISSP：8ドメインにわたる広範な技術・運用知識を問う「実務家・設計者」の資格
• CISA：構築されたセキュリティ体制が適切に機能しているかを独立した立場で評価する「監査人」の資格
• CISMとCISAはともにISACAが発行するが、管理する側と監査する側という役割の違いがある
• CISSPとCISMを両方保有することで、技術実務と経営管理の両面をカバーできる専門家になれる

公認情報セキュリティマネージャーの認定要件―実務経験と申請手続きの注意点

• 試験合格後5年以内に認定申請が必要
• 4ドメインに関連する5年間の情報セキュリティマネジメント実務経験が原則
• そのうち最低3年間は4ドメインのうち3つ以上でのマネージャーとしての経験が求められる
• CISSP等の関連資格保有により最大2年間の免除（Waiver）制度あり
• 免除を適用しても最低3年のマネジメント経験は免除不可―マネージャー資格としての設計思想の表れ

公認情報セキュリティマネージャーの受験・維持にかかる費用の全体像

• 受験料はISACA会員と非会員で異なり、入会した方がトータルで安くなるケースが多い
• 認定後はCPE（継続的専門教育）ポイントの取得と報告が義務：毎年最低20 CPE、3年間で120 CPE
• 年間維持費は概算で3〜4万円程度
• 費用の詳細は変動するためISACA公式サイトで最新情報を確認することが必須

公認情報セキュリティマネージャー合格に必要な勉強時間と学習ステップ

• セキュリティ実務・管理経験者：150〜200時間が目安
• IT経験者（管理未経験）：200〜300時間
• 未経験者：300時間以上（先にCISSP・CISAなど関連資格の取得を推奨する意見あり）
• 学習の核は公式問題集（QAEデータベース）の徹底周回―3周以上、正答率常時90%以上が目標
• 公式テキスト（レビューマニュアル）は辞書的に使い、問題集を主軸にする学習サイクルが推奨されている
• 予備校・通信講座は独特のマネージャー思考習得において時間対効果が高い選択肢

公認情報セキュリティマネージャー試験の難易度と特有の落とし穴

• 難しさの本質は技術的な暗記ではなく「ISACAが考える最適なマネージャーの判断」を問われる点
• 技術的に正確な対策より、コスト・リスク・ビジネス目標のバランスを重視した選択をマネージャーとして下す思考が求められる
• 過去問は非公開のため、ISACAが提供する公式問題集（QAE）が唯一の本番準拠演習ツール
• 最新のドメイン構成・シラバスに対応していない教材では試験範囲をカバーできないリスクがある

公認情報セキュリティマネージャー取得後のキャリアと年収への影響

• セキュリティエンジニア・アナリストからマネージャー・CISO職へのキャリアアップに最も直結する資格
• 「ビジネスリスクとしてセキュリティを語れる人材」として経営層との対話能力が向上する
• セキュリティマネージャー職の年収目安：800万〜1,500万円
• CISO・部門長クラスの年収目安：1,200万〜2,000万円以上
• CISSPと組み合わせることで戦略から実行まで対応できる専門家として市場価値が格段に高まる

公認情報セキュリティマネージャー資格の限界とデメリット―取得前に知っておくべき現実

• 業務独占権がなく、この資格がなければできない仕事は存在しない
• 取得者数の増加により、資格単体での希少性・差別化効果は年々低下している
• 実践的なプログラミングやシステム構築スキルを証明する資格ではないため、技術職では物足りないと見られることがある
• IT技術の進化が速く、取得時点の知識が陳腐化するリスクがある
• 他のスキル・経験・資格と組み合わせて初めて差別化効果が最大化される

合格者の声（体験パターンから）

実際に合格した学習者の体験を、典型的なパターンに整理しました。個別の属性ではなく、学習スタイル・期間・行動の類型として参照してください。

典型的な合格パターン

CISA/CISSP保有・問題集のみ短期集中型

• 1周目は正答率5〜7割台にとどまるが、2周目で8〜9割台まで改善し、ISACAが求めるマネージャー思考のパターンが掴めてくる
• 答えの丸暗記ではなく『なぜその選択肢が正解か』を自分の言葉で説明できるようになったタイミングで、初見問題への対応力が安定する

複数資格保有・問題集＋公式レビューコース長期型

• ISACA東京支部のレビューコース受講後、ISACAとしての考え方の軸が整理され、問題の難易度感が明確に変わる
• テスト演習の正答率が9割を超えたタイミングで、本番に向けた手応えが生まれる

学習中によく直面する壁

• ISACAが求める「マネージャー思考」の習得の難しさ — 技術的に正しい選択肢ではなく、コストとリスクのバランスを重視するマネジメント視点での判断を問われる。問題集を漫然と解くだけでは身につかず、考え方の軸を掴むまでに時間がかかる場合が多い
• 日本語版問題集の翻訳品質の低さ — 誤字脱字に加え、前後で矛盾する内容や意味の取りにくい訳文が散見される。読み進めるたびにストレスがかかるが、公式問題集以外に選択肢がないため、そのまま使い続けるしかない状況が定番
• 仕事や生活との両立による学習時間の確保 — 業務繁忙期・夜勤スケジュールなど日常の負荷が高い状態での学習継続は体力的・精神的な消耗を伴う。睡眠時間が削られる時期の継続が特に課題になりやすい

学習を立て直した契機

• 解説を自分の言葉で置き換えて理解する習慣をつける — 解説の文章をそのまま読み流すのではなく、なぜその選択肢がマネージャーとして最適なのかを自分なりに言語化する工程を踏む。この積み重ねが初見問題にも応用できる思考の軸を形成する
• 問題集の2周目以降で正答率の向上を体感する — 1周目は正答率5〜7割台にとどまることが多いが、2周目で一気に正答率が上がり、考え方のパターンが見えてくる。この体感が学習継続の動機づけになる場合が多い

試験直前1ヶ月の典型行動

• 問題集のテスト演習をリセットして複数回解き直す — 同じ問題集のテスト機能をリセットして繰り返し解くことで、知識の定着と正答率の底上げを図る。正答率9割超えを本番受験の目安にするパターンが多い
• 自信のない問題にフラグをつけて見直し時間を確保する — 150問を一通り解いた後、フラグをつけた問題に絞って丁寧に再検討する戦略。4時間の試験時間を有効に使うための定番の時間配分術

試験当日の場面と対処

• 試験中に自信のない問題が積み重なり、不合格の可能性を意識しながら解き続ける — フラグ機能を活用して問題を順番に解き進め、フラグを外せない問題は選んだ理由を自分なりに言語化して最終的な選択を確定させる
• 試験終了後、合否結果の表示画面が出るまでの待機 — ロード画面を見ながら合格を念じ続けるしかない状況が定番。画面に合格と表示された後も即座には実感が湧かず、試験官とともに再確認することで結果を受け入れていく

合格後に振り返って気づくこと

• 問題の丸暗記では通用せず、ISACAが求めるマネージャーとしての考え方を体で覚えることが合格の条件。本番では問題集と全く同じ問題は出ないと想定して臨む必要がある
• CISAの学習経験がCISMの土台として直接機能する。ISACAの考え方に慣れていることが難易度の体感を大きく下げる
• CISMはCISSPが扱う技術的な「どう守るか」ではなく、「なぜそれが必要か・どう経営につなげるか」を問う資格であり、同じセキュリティ資格でも視座が明確に異なる

勉強中・試験当日のリアルな声

勉強中につまずきやすいポイント

よくある失敗・落とし穴

独学や短期合格を目指す際に陥りやすい典型的な失敗パターンです。事前に把握しておくことで回避できます。

• 問題演習をほとんどやらずテキスト通読だけで試験に臨む — テキストで知識を入れても、問題形式・選択肢の切り方に慣れなければ本番で得点につながらない。問題集を学習の主軸に置き、テキストは辞書的に使うサイクルが複数の観点から推奨されている
• 最新の試験制度・シラバスに対応していない教材を使う — CBT方式への移行やシラバス改定により出題範囲が変化している。古い参考書や非対応の問題集では試験範囲をカバーできないリスクがあり、購入前に対応バージョンを確認することが必須

学習スタイルで意見が分かれるポイント

学習方針には人により向き不向きがあります。以下は学習者の間で意見が分かれる代表的なテーマです。

資格の市場価値・取得意義

• 知識の体系化・昇進・社内外の信用力向上など多くの実利的メリットがあり、取得を推奨する立場
• 難易度が相対的に低く希少性が低下しており、業務独占権もないため、単独では差別化が難しいと強調する立場

独学 vs 予備校・通信講座の選択

• 費用を抑えられる独学でも、公式問題集の徹底周回によって合格できるとする立場
• ISACA特有のマネージャー思考（ISACA-ism）の習得は独学では挫折しやすく、予備校・通信講座の時間対効果が高いとする立場

関連資格・比較

マサキ

編集・分析担当

国家資格・民間資格あわせて1,300超の試験データを管理しながら、合格者ブログ・体験談・SNS投稿を日々読み込んでいます。公式統計だけでは見えない「実際の手応え」「つまずきポイント」を受験生視点で記事に落とし込むのが担当です。

一次情報は各試験実施機関の公式サイトと公的統計を基本とし、体験談ベースの記述は複数記事で裏付けが取れたものだけを採用。資格選びで遠回りや後悔をしない判断材料を提供することを目的にしています。

→ 運営方針・編集ポリシーを見る