独学でCISSP（Certified Information Systems Security Professional）の試験に合格しました。
受験に際しては、先達の方が残してくださったブログから勉強方法や参考書籍・サイトに関する情報を参考にさせていただきました。
うーすけということで、今後この試験を受ける人のために僕自身も自分の記録を残しておきたいと思います。お役に立てば幸いです！
僕自身のバックグラウンドと勉強方法/期間に関する情報は下記のとおりです。
勉強方法については、後ほど詳細を説明します。
- 経験年数：
新卒でIT業界に就職して約15年。
セキュリティ周りのサービスに関連するインフラエンジニアや
システム監査の経験あり。
保有資格はPMP, CISA, CISM。 - 勉強方法：
公式問題集をひたすら解く＆用語を理解する（覚える）。
※用語理解（暗記）には「Anki」アプリを使用。 - 勉強期間：
約3ヵ月。（最初の2か月ほどはのんびり。最後の1か月はがっつり）
それでは、本題に入っていきましょう。
最初に試験の概要を説明した後、具体的な勉強方法や参考サイト・書籍の情報をご紹介します。
最後に、ちょっとニッチな需要だとは思いますが、CISA/CISMホルダーでこれからCISSP受験を検討している方向けに僕が感じたポイントをまとめてみました。
以下の目次から、気になるトピックを選んでお読みいただければと思います。
試験の概要
試験の概要について、下記3点について簡単にまとめたいと思います。
- 8つの領域（ドメイン）から合計で250問の四択試験が出題される。
- 試験はペーパーテストではなく、テストセンターにてCBT（Computer Based-Testing）形式で行われる。
- 合否は試験終了後に確認できる。
まず1つ目です。試験では8つの領域（ドメイン）から合計で250問の四択試験が出題されます。
出題範囲のドメインとその詳細については(ISC)2 日本語版サイトに詳しいので、こちらをご参照ください。
8ドメインそれぞれから10～15%ほどの割合で出題されることとなっていますが、そこまで大きく割合が異なるものではないので意識する必要はないと思います。
満遍なく勉強して、苦手なドメインをなくす、もしくは少なくすることを意識した方がよいですね。
- 合格ラインは？
-
CISSP試験の得点は1000点満点となっており、そのうち700点以上をとることができれば合格となります。
- 250問で1000点満点ということは1問4点？ 7割正解できれば合格？
-
詳細に関しては非開示なので不明ですが、採点に影響しない調査用問題（将来的に正式な問題として採用できるをチェックする意図での出題）も25問含まれているらしいので、単純に1問4点ということではないようです。
問題によって配点が異なるかも不明なのですが、試験勉強時の心持ちとしては「7割以上正解できれば合格」と考えておいて問題はないと思います。
そして2つ目。
試験はペーパーテストではなく、テストセンターにてパソコンを使ったCBT（Computer Based-Testing）という形式で行われます。
試験時間は6時間となっており、一度回答を選択したら後からその問題に戻って見直しを行うことはできません。
以前は見直し可能だったようなのですが、2021年初頭に見直し不可の形式に変更になったようです。
情報が古いブログだと、「ひととおり回答した後、再度見直して精査した」なんてことが書かれていることがありますが、現在はそういったことができません。
ですので、1問1問その場で全力を出し切る必要があります。
これまでいくつかの試験を受けてきましたけど、「見直しができない試験」というのは初めてだったので少し戸惑いましたね。
なお、6時間缶詰になって試験を受けなければならないということはなく、途中の休憩は何度でもとることが可能です。
僕は200問終わったところでトイレ休憩を1回挟みました。
- 受験費用はおいくら万円？
-
税込で823.9米ドルです（2022年11月現在）。
僕が受験申し込みをした2022年8月時点の為替レートだと、約11万円もかかりました。
会社の方で受験費用補助があったので試験合格後に実費で請求しましたが、そういった補助がないと受験をためらってしまう金額ですね。 - 全国どこでも受験できるの？
-
受験できるのはピアソン VUEという会社が運営するテストセンターで、かつその中でCISSPを受験できるのは大阪と東京の3つのテストセンターに限られています（2022年11月現在）。
そのため、それ以外の地域にお住まいの方が受験する際は、テストセンター近隣のホテルに前泊するための宿泊費や移動のための交通費も考慮する必要があります。 - あらかじめ試験日が決まっていて、受験者が一斉に試験を受けるわけではないの？
-
はい。テストセンターの日程さえ合えば、1年間いつでも自分の受けたいタイミングで受験することが可能です。
とは言っても、前述のとおり受験できる会場が限られていることもあって、実際に予約できる日程は直近の日にちだと結構限定されていることが多い（受験したい時期に必ずしも予約が取れるわけではない）です。
それに、試験日（目標）を定めないと勉強もダラダラとなりがちな気がしますので、早めに試験日は押さえておいた方がいいと思います。
最後に3つ目。
合否は試験終了後にすぐにわかります。
ただし、終了後に出る試験結果はあくまで「暫定結果」とのことで、正式な合否連絡は試験後に改めてメールにて連絡があります。
僕は試験を受けた翌日に正式な合格通知メールが届きました。
- 試験後「合格」判定だったのに、実際は不合格の可能性はある？
-
100%ないとは言い切れないですが、ネット上の情報を確認する限りではそういうケースはまずないと考えていいと思います。
勉強方法 / 参考書籍・サイト
基本的には冒頭に書いたとおりで、「公式問題集をひたすら解く＆用語を理解する（覚える）」という方式で勉強しました。
ここではもう少し具体的に、大きく「公式問題集での勉強」「暗記アプリでの勉強」「その他、補足的に利用した情報」という3つの軸で、実際の勉強方法や利用書籍・サイトの情報をご紹介します。
公式問題集① 日本語版
まず一番のオススメ、というか人によってはこれだけでも十分かもしれないのが、「CISSP公式問題集」です。
CISSPを受験されている方で、この問題集を完全スルーしている方はほぼいないのではないかと思います。
ポチップ
この問題集の素晴らしい点は主に以下の3つです。
- 違和感の少ない日本語訳でスッと頭に入る＆英文も併記されている。
- 問題と解説をセットで参照することができる。
- 収録問題数が多い＆コスパがいい。
うーすけCISSP合格を目指すのであれば、必須の問題集です！
3つの利点をそれぞれ以下で説明します。
まず1つ目は、「違和感の少ない日本語訳でスッと頭に入る＆英文も併記されている」という点です。
過去にCISAとCISMという資格試験を受験する際にも、それらの日本語版公式問題集を購入して勉強したのですが、とにかく日本語訳がひどかったんですよね。
CISM公式問題集に関しては、原文の英語を機械翻訳した結果を日本人が誰もチェックしていないのではないかと思うほどのひどさ（誤訳＆誤字脱字）で、勉強していると違う意味でも頭が痛くなるほどでした。
しかし、この「CISSP公式問題集」に関しては、そのようなことが一切ありませんでした。
しっかりとした翻訳＆校正が入っていることがわかる綺麗な日本語で書かれているので、読みづらさはありません。
また、原文の英語での問題文も併記されていますので、日本語の文章に違和感があった場合はすぐに原文を参照することができます。
そして2つ目が、「問題と解説をセットで参照することができる」という点ですね。
これは電子書籍の利点をフル活用しているなという点でして、問題番号をタップするとその問題の答えと解説がポップアップで同じ画面に表示されます。
いちいち解説ページまでページ送りする必要がないんですね。
またCISAとCISMの問題集の話になってしまうのですが、それらの問題集は紙媒体しかなく、答えが問題のすぐ後に載っていました。
なので、問題の答えがすぐに見えてしまわないように別の本や紙で隠しつつ、勉強を進めていました。
しかも、その問題集がめちゃくちゃ分厚くて大きいし、かなり大変だったんですよね。
この問題集はそういった点でのストレスが全くありませんでした。
最後に「収録問題数が多い＆コスパがいい」というところです。
この問題集には、試験対象領域の8ドメインから各100問程度の問題が出題されているのに加えて、125問の模擬試験が4セット収録されています（模擬試験を2セット組み合わせれば、本番と同じ250問のテストを行うこともできます）。
つまり、これ1冊で合計1,300問程度を解くことができるわけですね。
それでいてお値段は3,000円程度と、かなりリーズナブルになっています。
またまたCISAとCISMの問題集の話になってしまうのですが、これらの公式問題集は1万円以上しましたからね。
それらと比べたら、めちゃくちゃ安いです。
ご多分に漏れず、僕もまずはこの問題集を購入して勉強を始めました。
具体的には以下のような流れです。
まずは、順番に問題を解いていきながら、1問1問その場で解答・解説を確認しつつ、正誤結果をExcelファイルに記録していきました。
重要なのは、正解でも不正解でも「なぜそれが正解なのか。なぜ他の答えでは不正解なのか」という点をしっかりと確認して「ただの答え丸暗記」にならないようにすることですね。
本番の試験で同じ問題が出ることはありませんので、しっかりと自分の頭で考えて答えが出せるようになる必要があります。
最初に1周した段階で正答率が7割を超えていたのは2つのドメインだけで、それ以外のドメインは5割～6割程度の正答率でした。
1問1問解答を確認しながら進めていくのは、全体の大まかな知識を身に付ける上では大事だと思いますが、欠点があります。
それは「解答を確認した結果得られた情報でそのすぐ後の問題が解けてしまうことがあり、正確な理解度を測ることができない」という点です。
例えば、1問目で暗号鍵の種類に関する問題があったとして、その解答を確認したことで得られた知識でその直後の5問目の問題が解けたとしたら、それは自分の中でしっかりと知識が定着しているから解けたとは言えないですよね。
直前の問題の答えを確認したから解けただけであって、たまたま正解したということになります。
なので、2週目はドメイン単位で解答をExcelファイルに記録した後で、まとめて正誤判定を行うようにしました。
要は、「100問解いた後に100問まとめて採点する」ということです。
また、本番試験と同じように一度解答した問題には後戻りしないようにしました。
そして、解答を記録する際には「自信がない問題（勘で解答した問題）」にマークを入れておくようにして、その問題に関しては正解でも不正解でも重点的に解説を確認するようにしました。
逆に、自信を持って答えられた問題で正解していたものについては、軽く流す程度にしてメリハリをつけます。
採点後の振り返りで特に重要なのが「マークは入れていない（自信を持って解答した）のに不正解だった問題」のフォローですね。
このケースは自分の中で誤った知識や理解が定着してしまっている可能性が高いので、「マークを入れていて不正解だった（＝自分でも理解できていないことが明確だった）問題」よりもしっかりと解説を読み込みました。
2周目では、8ドメイン中7ドメインが7割以上の正答率になっていました。
ただ、ギリギリ7割というドメインも多く、まだまだ自分の中では不安が大きい状態でしたね。
前述のとおり、125問の模擬試験が4セット収録されていますので、それを2セットずつまとめて解くことで疑似本番試験を実施しました。
ここでも、本番試験と同様に一度解答した問題には後戻りしないようにします＆採点後の振り返りのために「自信がない問題」にマークを入れておくようにします。
2セット目の正答率は7割を超えられたものの、1セット目は7割弱という結果でした。
公式問題集② 英語版
日本語版の公式問題集を2周して模擬試験まで行ったところで、試験日まではまだ残り3週間ほどある状況。
少しずつ知識は定着してきた印象はありつつも、まだ合格ラインに達しているかどうか不安が拭いきれない手応えでした。
そこで、他の方の勉強法を調べてみると「英語版公式問題集は日本語版よりも新しい版となっており、新しい問題が収録されている」との声を発見します。
調べてみると、確かに日本語版公式問題集は「2nd Edition」となっている一方で、英語版公式問題集は「3rd Edition」となっています。
CISSPは2021年5月に各ドメインからの出題割合や出題範囲が変更されており、英語版公式問題集にはそれが反映されているようです。
もっといろんな問題を解いて関連知識を身に付けたいと考えていた僕は、渡りに船とばかりにこちらの問題集も購入しました。
英語版なのでもちろん、問題も解答・解説もすべて英語です。
頑張れば翻訳サイト等なしでもある程度英文を読める英語力はあるとは思っているのですが、ぱっと見で誤訳なしで完全に理解できるほどではありませんし、英語の勉強をしたいわけではないので、大人しく文明の利器（＝機械翻訳システム）を頼りました。
活用した手法は、「『PCOT』というツールを利用して『PCディスプレイ上の英文をOCRで読み取る＆その内容の機械翻訳』を行う」というもので、具体的な手順は下記サイトを参考にさせていただきました。
最終的には、英語版公式問題集も模擬試験まで通して1周して、概ね8割以上の正答率になりました。
これが試験1週間前くらいの話なのですが、ここまでやってやっと自分の中では「本番もいけるかな？」という手応えが感じられるようになりましたね。
うーすけ必須ではないと思いますが、もし時間とお金に余裕があるのであれば、英語版問題集による勉強も併せて実施するのがオススメです。
暗記アプリ「Anki」による用語理解① PIEDPIN用語リスト
公式問題集による勉強だけでなく、「Anki」という暗記カードアプリを利用して隙間時間に用語理解を進めるという勉強も、並行して行いました。
勉強を始めた頃とほぼ同じ時期に、早起きして朝にまとまった時間を作るようにしていた（いわゆる「朝活」を始めた）ので、「朝のまとまった時間は『問題集』を進める。それ以外の隙間時間はアプリで用語理解を進める」という形で勉強を進めていきました。
その用語理解のための暗記カードを作成する際に利用したのが、「PIEDPIN」というCISSPの試験対策情報を公開しているサイトと、「晴耕雨読」という蝶野まこさんという方が運営されているブログです。
まず、「PIEDPIN」に関して、こちらのサイト内で各ドメインの関連用語をまとめたリストが公開されています。
ちょうど試験勉強を本格化させた頃にこのリストが公開されたので、これに載っている用語をひたすら「Anki」という暗記カードアプリに投入しました。
ただし、以下の問題点（注意点）があります。
- 用語リストがまとめられているPDFファイルはコピペができないように制限されている。
- （この用語リストに限らず、サイト全体で）おかしな日本語となっている箇所や説明が誤っていると思われる箇所が散見される。
まず1つ目ですが、用語リストのPDFの内容をまるっとコピペすることはできない作りになっています。
僕は、「用語＋その解説」をコピペしてAnkiアプリにインポートするためのcsvファイルを作る算段だったのですが、そう簡単にはいきませんでした。
結局僕がとった手段は、「PDFを見ながら、ひたすら手入力でcsvファイルを作成する」でした。
他にいい方法はあったのではないかと思うのですが、当時は「めちゃくちゃ面倒くさいけど、手入力する作業を通じて用語理解も進むかもしれないからアリかな」と考えて、愚直なこの方法をとりました。
結論から言うと、ひたすら手入力で打ち込んでいく作業はただの作業でしかなく、「手入力を通じて用語理解が進む」なんてことはありませんでした。
そして2つ目。
この用語リストに限らず、サイト全体がそうなのですが、日本語の使い方や説明の内容がおかしい箇所が多々見られます。
なので、全面的に信用するのではなく、「この説明は正しいのか？ そもそも何を言ってるの？」と思ったものに関しては別途自分でその用語を調べて解説部分を書き換えた方が良いです。
ネガティブな側面を先に2つほど書きましたが、暗記カードのベースとしてこの用語リストを利用したことで用語理解が進んだという側面ももちろんあります。
Ankiアプリに情報をインポートするところの手間がかなりかかるので、そこで何かうまい方法をとることができる or 地道に手入力する苦行に耐えられる人であればやる価値はあると思います。
暗記アプリ「Anki」による用語理解② 蝶野まこさんのブログ「晴耕雨読」
次に利用させていただいたのが、「晴耕雨読」という蝶野まこさんという方が運営されているブログです。
こちらのブログの「CISSP勉強ノート」というページが有益すぎました。
こちらのページでは、各ドメインの用語がわかりやすくまとめられています。
僕の場合は、先にPIEDPINの用語リストをもとにした暗記カードを作成していたので、こちらのページをざっと確認しながら抜けていそうな用語を拾ってAnkiアプリに投入していきました。
ぶっちゃけPIEDPINの用語リストを手入力するより、先にこちらの情報をコピペさせていただいて暗記カード作った方が早かったかなという気も……。
ただ、相互補完という形でどちらの情報も参考になったと思うので、そこは考えないようにします……。
この2つの情報ソースをもとに作成した暗記カードを利用して、隙間時間に用語理解（暗記）を進めていきました。
公式問題集を進めていく上で、「この用語も追加した方がいいな」と感じたものは適宜追加していった結果、最終的な暗記カードの枚数は930枚弱となりました。
うーすけCISSPはとにかく覚えないといけない用語が多いので、Ankiアプリを利用した用語理解（暗記）は効果的でした！
隙間時間も活用できるのでオススメです！
参考書籍/サイト① 秘密の国のアリス
公式問題集以外に勉強に利用した書籍やサイトも紹介します。
まず、最初に公式問題集をやってみた感想として、暗号技術周りの知識が弱いなと感じたので、参考書籍として「暗号技術入門 第3版 秘密の国のアリス」を購入しました。
他のCISSP受験者の方でも暗号技術の知識習得のために購入されている方が多く、評判が良かったのも理由ですね。
書籍名と表紙を見ると、ちょっと難しい内容になっているように見えて気後れしてしまいそうですよね。
ただ、実際には初学者向けに書かれた平易な内容となっており、非常にわかりやすかったです。
この書籍を読むことで、これまで何となくでしか理解できていなかった「共通鍵」「公開鍵」「サーバ証明書」「デジタル署名」といった用語や技術を理解することができました（今さらかよという感じで恥ずかしい限りですが……）。
うーすけもし同じように暗号関連技術に苦手意識を持たれている方は、読んでみて損はないと思います！
参考書籍/サイト② Udemy
上記に加えて、Udemyで公開されている講座も結構活用しました。
ただ、これは僕が所属している会社がたまたまUdemyの法人向けプランを契約しており、無料で全講座受け放題だったのでできたことなので、あくまでオプショナル扱いでいいと思います。
一応、参考までに実際に活用した講座を載せておきます。
【日本語】初心者から学べるCISSP講座：CISSP Domain1 ビデオ学習
【日本語】初心者から学べるCISSP講座：CISSP Domain2 ビデオ学習
【日本語】初心者から学べるCISSP講座：CISSP Domain3 ビデオ学習
【日本語】初心者から学べるCISSP講座：CISSP Domain4 ビデオ学習
【日本語】初心者から学べるCISSP講座：CISSP Domain5 ビデオ学習
【日本語】初心者から学べるCISSP講座：CISSP Domain6 ビデオ学習
【日本語】初心者から学べるCISSP講座：CISSP Domain7 ビデオ学習
【日本語】初心者から学べるCISSP講座：CISSP Domain8 ビデオ学習
TOTAL: CISSP 2021 Practice Test Course 3 of 3 529 Q’s
最後の1つ以外は、先ほども紹介したPIEDPINというサイトが公開している「初心者から学べるCISSP講座」という日本語の講座です。
全8ドメインそれぞれの講座が用意されており、概要レベルの知識や用語を学ぶことができます。
僕は、CISSP公式問題集での勉強を始める前にこちらの講座を登録して、各ドメインの概要について一通り確認しました。
アニメーションも作り込まれていて、かなりしっかりとしたコンテンツとなっており、ポイントを押さえることができるので結構オススメです。
何より、日本語に対応している講座は他にはないので貴重です。
そして最後が、CISSPサンプル問題が全部で529問収録された問題集です。
個人的には、この問題集は結構オススメです。
というのも、公式問題集ではあまりフォーカスされていなかった領域の問題も出てくるので、ちょうどいい感じに知識を補完できたんですよね。
問題のボリュームも結構ありますし、解説もしっかり書かれているので、その点でもオススメできます。
勉強期間
上記のような書籍やサイトを利用しつつ、本腰を入れて勉強し始めてからはだいたい3ヵ月弱ほどの勉強期間をとりました。
試験前1ヵ月くらいは毎日2時間くらいは勉強時間に充てていた気がします。
トータルでは100時間くらいかそれ以上使ったかもしれません。
過去にCISAやCISMを受験した際には1ヵ月くらいの勉強期間である程度目処が立ちましたが、今回は勉強しなければならない範囲が広いこともあって、「ここまでやったならいけるだろう」という手応えがなかなか得られず、結構苦しかったですね。
途中で少し書きましたけど、自分の中で「これでいけそうかな？」と思えたのは、英語版公式問題集を1周して各ドメインと模擬試験の正答率が8割～9割ほどになったタイミングです。
それが試験1週間前くらいの時期でした。
自分が心配性なだけかもしれませんが、それまではどれだけ勉強してもいまひとつ自信が持てず、ふわふわとした感覚でしたね。
うーすけただ、振り返ってみれば、自信が持てなかった時期の勉強の積み重ねが最終的に自信に繋がったのだと思います。
CISAやCISMと比較したCISSP試験難易度
最後に、CISAやCISMの受験経験者として、これからCISSP取得を目指しているCISA/CISMホルダーの方向けに「CISA/CISMと比較してCISSPの難易度はどうなのか」を振り返ってみます。
感覚としては、難易度が高い順に並べると以下のようになります。
CISSP ＞ CISA ≧ CISM
CISA/CISMと比較した際のポイントは以下の2点です。
- 試験範囲はCISA/CISMよりずっと広く、覚えないといけない用語も多いため、勉強期間はCISA/CISMよりは長く見積もっておいた方がいい。
- 学習コンテンツは充実しているので、勉強のしやすさという点ではCISSPの方がとっつきやすい。
どの試験も共通しているのが、「公式問題集の答えを丸暗記しても全く役に立たない」「公式問題集を通じて、用語の意味や求められている考え方を理解する必要がある」ということです。
大きな違いは、勉強しなければならない（覚えなければいけない）知識領域の広さです。
CISSPの領域はCISA/CISMよりずっと広く、覚えなければならない用語もずっと多いです。
CISA/CISMにおいても暗記しなければいけない用語はありましたが、その比ではないですね。
それでいて、CISA/CISMと同じように「どれも正解だと思える選択肢の中から、適切な答えを絞り込む思考力」も求められます。
ただ、CISA/CISMと共通する知識領域もあるので、それらの資格を持っていることによるアドバンテージも少なからずあります。
例えば、「障害が発生した際に最優先で守るべきものは何か⇒人命」というCISA/CISM勉強時に叩き込まれたであろう鉄板の考え方や、監査系の知識といったものはCISSPでも共通して必要になります。
また、公式問題集やいろんな方のブログ記事、Udemyの講座など、コンテンツが充実しているという点で、勉強のしやすさはCISSPが一番だと思います。
うーすけCISAはともかく、CISMに関してはクッソひどい翻訳レベルの問題集しか使えないので本当に苦労しました……。
さいごに
確かに難しい試験ではありますが、学習コンテンツが充実しているので独学での合格も十分可能です。
何十万もかかるらしい公式トレーニングを必ずしも受ける必要はありません。
勉強が大変な分、試験が終わって合格を確認できた際の解放感と達成感はたまりません。
僕は、これまでに受けたどの試験よりも高い達成感を感じることができました。
この記事が、CISSP受験を考えられている方のお役に少しでも立てれば幸いです。
努力は報われます！ がんばりましょう！
コメント