【実録】CISM合格体験記（試験概要や勉強法まとめ）

公認情報セキュリティマネージャー（Certified Information Security Manager）（通称：CISM（シスム））の試験に合格しました。

※この記事では、僕自身が試験を受験するまでの大きな流れや勉強方法を中心にまとめています。

なお、本記事は「資格Hacks」さんに掲載いただきました！

下記ページ内にて、CISM合格体験記として掲載されています。

「資格Hacks」さんは各種資格に関する情報が数多く提供されており、気になる資格を見つけることができるサイトです。
僕の妻が資格試験の勉強を始めようと考えた際にも、こちらの情報を参考にしたことがあると話していました。
今回の記事で取り上げるCISMに関する情報も上記記事内にまとめられています。
今回の僕の記事と併せて「資格Hacks」さんの情報を見ていただけると、よりCISMの試験概要が掴めるのではないかと思います。

そもそもCISMとは何ぞや

恐らく、「CISM」や「公認情報セキュリティマネージャー」といった単語検索で当ブログに辿り着かれている方には説明不要かもしれませんが、ISACA東京支部のWebページから説明を引用します。

CISMは、マネージメントレベルの情報セキュリティの国際的資格です。 ISACAは、CISM資格創設に当り、以下の観点を考慮しています。

・情報セキュリティマネージャーに特化した資格として設計

・情報セキュリティマネージャーの実際の業務分析を元にした、基準と試験問題を開発

・資格認定の前提として、情報セキュリティマネージメントとしての経験も必要

出展：ISACA東京支部　https://www.isaca.gr.jp/cism/

ISACAという国際団体が認定する資格で、外国ではそれなりに知名度があるとかないとか。
ただ、日本ではさほど知名度のない資格だと思います。
試験に合格するだけでは正式な認定はなされず、情報セキュリティに関する実務経験を5年有していることを証明（申請）する必要があります（ただし、4年制大学を卒業していれば、それを2年間の実務経験に代替することが可能ですので、実質3年間の実務経験があればいいということになります）。
なので、僕の場合は、認定のための申請ステップがまだこれから待っているということです。

試験の概要

試験の概要について、下記3点について簡単にまとめたいと思います。

受験の背景

実務や転職に活かしたいといった高尚な目的や理由があったわけではなく、何となく受験しようと思い立ったという感じです。
強いて言うなら「CISAも持ってるし、せっかくだからCISMもとってみようかな」と思ったことと、試験時の緊張感と試験合格時の達成感をまた味わいたいなって思ったことが動機ですかね。

受験を思い立ってから実際に受験するまでの流れ

2022年2月下旬

ISACA公式のサンプル問題集である「CISM Review Questions, Answers & Explanations Manual」（以下、単にサンプル問題集という）を注文。注文から7日後、アメリカからサンプル問題集到着。勉強開始。
ちなみに、このサンプル問題集は送料込みで約$170（僕が買ったときのレートで2万円ちょい）くらいしました。メルカリやラクマなどのフリマサイトで多少安く売っている人がいたら、そちらで買ってもいいと思います（僕は正式な合格連絡が来たら、ラクマで売るつもりです）。

2022年3月中旬

もともと想定していた試験日の5日ほど前に「さて予約しようかね」と思い予約サイトにアクセスしたところ、すでにその日のテストセンターの空きがなくなっていて受験不可であることが判明します。
まぁ、試験日を決めた時点でさっさと予約しておけよという話なので、自業自得です。
もともと想定していた試験日の1週間後ろの日に空きがあったので、その日に予約を入れました。

2022年4月上旬

テストセンター秋葉原昭和通り口にて受験。
CISAのときは歌舞伎座テストセンターで受験して、綺麗で良いテストセンターだなと思ったので、今回もそこで受けたかったのですが、試験予約時のテストセンターの候補に出てきませんでした。
残念ながら、どうやら今はもうISACA系のCBTは取り扱っていないようです。

受験者の職務経歴

僕の職務経歴は、新卒で入ったメーカー系SIerにてシステム開発・運用業務に9年携わった後、監査法人にてシステム監査系の職務に3年携わり、現在はセキュリティベンダーでサポート業務に従事しているという感じです。また、SIer時代に、PMP（Project Management Professional）、監査法人時代にCISA（Certified Information Systems Auditor）を取得しています。
CISMの出題範囲と被っていると言われるCISAの試験を受験・合格した経験があるという点は、大きなアドバンテージだったかなと思います。
先ほど書いた勉強時間やこれから書く勉強方法についても、そういったバックグラウンドがあったことを踏まえて読んでいただければと思います。

勉強方法

勉強に利用したのはサンプル問題集だけです。
勉強に当たっては、CISAのときの自分自身の勉強法を参考にしました。

サンプル問題集には、約1,000問のサンプル問題と、そこから150問を抜粋したサンプルテストがついています。
僕の場合は、以下のような形で問題集を解いていきました。

なお、この問題集の校正精度は驚くべき低さなので、読んでいるとかなりイライラしてきます。
誤字脱字は当たり前にある上に、日本語訳がかなり怪しくて「何言ってんのか自分でちゃんとわかってんのか……？」と思うような問題が多数あります。さらに言うと、「さっきの問題と言ってること違うじゃねーか！」と思うような問題もあります。
日本語版問題集の製作にかけられるリソースの問題もあるとは思いますが、それにしてもひどいと思いましたね。
一度確認したら誰でもすぐ確認できるようなレベルの誤字脱字が至る所にあるのは論外です。

ただ、これ以外に選択肢（問題集）がないので、そういうものだと我慢して進めるしかありません……。

試験当日の流れ

試験当日については別途記事をまとめておりますので、興味がある方はこちらをご参照ください。

試験を受けた感想

どのような問題が出たかは書けません（そもそも細かく覚えてません）が、ポイントは下記かなと思います。

過去問と同じ問題が一定数出題されるIPAの試験とは違って、この試験ではサンプル問題集にあるのと全く同じ問題はないと思った方がいいです（まぁ、そもそも問題集自体が「過去問集」ではないわけですが）。
すべて初見の問題とぶつかると思っていた方がいいですね。なので、問題集の答えを丸暗記してもまず通用しません。

単純にITに関する知識を問われるもの（用語や概念を知っているかどうかに依るもの）も少なからずありますが、やはり中心となるのは「問題文で問われている状況下において、情報セキュリティマネージャーとしてのあるべき姿やとるべき行動（としてISACAが求めていること）を脳内でイメージできるか」というところかと思います。
これは、漫然と問題集の答えを暗記するだけで得られるものではありません。
勉強方法の項目にも記載しましたが、問題集には答えだけでなく「なぜそれが答えとなるのか」についての解説も書かれています（わかりづらい日本語も多く、何言ってんだコイツと思うことも多々ありますが）ので、そこをしっかりと読んで「ISACAが求める情報セキュリティマネージャー像」というものをつかむことが重要ですね。

CISAと比べてどちらの試験が難しかったかというと、何とも難しいですね。
ネット上の他の方の意見だと「CISAの方がCISMより試験範囲が広い（CISMはCISAの試験範囲の一部である）から、CISAの方が難しい」という意見が多い印象でしたが、問題集を進めている際にはよくわからない問題も多く、CISAと比べてそんなに簡単というほどでもないかなと感じました。
確かに試験範囲自体はCISMの方が狭いのかもしれませんが、だからと言って簡単というわけでもないので、そのあたりは油断せずに勉強した方がいいと個人的には思います。

最後に余談ですが、試験終了後に即結果が出るということで、やはり試験終了のボタンを押す瞬間はかなり緊張しました……。
※試験時間は4時間ですが、その前でも自分の任意のタイミングで試験を終えることができます。

PMPやCISAも同じ形式で、特にCISAは2年前なので比較的記憶が新しいのですが、そのときもかなり緊張した記憶がありますね。
ただ、その分、終了後の予備判定結果画面で「合格」の2文字を見たときの達成感・安堵感もまた大きいです。
冒頭に書いたように、今回の試験はこの達成感を得るために受けたようなところもありますしね。