クラウドネイティブでセキュリティを担当しているKazunoriです。
本記事では、CCSP（Certified Cloud Security Professional）を独学で受験し、2回落ちてから3度目で合格したときの流れと勉強方法を紹介します。
CCSPの取得を目指したのは、特定のベンダーに依存しないクラウドセキュリティの知識を身につけ、複数のクラウドを利用する環境でも、セキュリティの考え方を説明できるようになりたいと考えたからです。
先に結論を書くと、合格につながったのはCloud Security Alliance（CSA）の「クラウドコンピューティングのためのセキュリティガイダンス V5」と公式教科書を読んで要点を自分でまとめ、問題集を理解の確認に使うことでした。
CCSPとは
CCSPは、非営利団体ISC2が認定するクラウドセキュリティの国際認定資格です。
CISSPがセキュリティ全般を広く扱うのに対して、CCSPはクラウド前提の責任分担・データ保護・契約とコンプライアンスに範囲を絞っています。
| 項目 | 内容 |
|---|---|
| 認定団体 | ISC2（共同開発：Cloud Security Alliance） |
| 試験形式 | CAT（適応型試験）、100〜150問（多肢選択式に加え、advanced item types と呼ばれる新しい形式の問題を含む）、試験時間3時間 |
| 合格基準 | 1000点満点中 700点 |
| 受験料 | 599米ドル（アジアパシフィック標準価格も同額） |
| 試験言語 | 英語・中国語・日本語・ドイツ語 |
| 会場 | Pearson VUE テストセンター |
| 認定要件 | IT実務経験5年（うち3年は情報セキュリティ、1年は6ドメインのいずれか） |
| 年会費 | 年会費の支払いと継続教育クレジットの取得が必要。年会費の金額は改定されるため、ISC2公式サイトで最新額をご確認ください |
試験の情報はISC2の Exam Outline、受験料はISC2の価格ページにもとづきます。
実務経験が足りない場合も、試験に合格すれば Associate of ISC2 として登録し、合格から6年以内に要件を満たすことで認定を受けられます。なお、CISSP保持者は経験要件を満たす扱いになります。期間などの詳細はISC2の認定要件を確認してください。
出題重みは6ドメインで、以下のとおりです。
| ドメイン | 重み |
|---|---|
| 1. Cloud Concepts, Architecture and Design | 17% |
| 2. Cloud Data Security | 20% |
| 3. Cloud Platform & Infrastructure Security | 17% |
| 4. Cloud Application Security | 16% |
| 5. Cloud Security Operations | 17% |
| 6. Legal, Risk and Compliance | 13% |
取得するメリット
- 責任共有モデルを軸に議論を整理できます。責任共有モデルは、クラウド事業者と利用者のどこからが誰の管理責任なのかを線引きする考え方で、SaaS/IaaSの設定レビューで責任範囲を判断する基準になります。
- 契約・監査の話に強くなります。SLA、データ所在地、フォレンジック、ベンダーロックインなど、「事前に契約で決めておく」領域の押さえ方が分かります。
前提
参考までに、私の受験条件を書いておきます。
- Web開発を約7年経験した後、セキュリティ領域に転じた立場です。
- CISSP取得済みで、その1ヶ月後にCCSP 1回目を受けました。
- 公式CBK（Common Body of Knowledge）トレーニングは未受講。市販教材とアプリのみの独学です。
- 受験は3回。2025年9月末・2025年10月末・2026年5月末に受けました。1回目はCAT形式への移行前、2回目以降は移行後です。いずれも、2026年8月1日の試験要綱（Exam Outline）改定より前の受験です。改定後は、AI/MLに関する項目などが加わっています。
- 学習時間は平日2時間・休日6時間で、3回分を通算すると合計300時間ほどです。
3回分の受験記録
細かい話より先に、実際の推移を並べておきます。
| 1回目 | 2回目 | 3回目（合格） | |
|---|---|---|---|
| 主な教材 | 公式問題集 | 公式問題集＋LearnZapp | ガイダンスV5＋公式教科書＋LearnZapp＋公式問題集 |
| 周回数 | 問題集3周 | 問題集＋LearnZapp を2周 | ガイダンスV5・教科書3周＋問題集・LearnZapp を追加2周 |
| 学習の中心 | 問題と正解の暗記 | 暗記の量を増やす | ガイダンスと教科書を読み、要点を自分でまとめる |
| 受験年月 | 2025年9月末（CISSP合格の約1ヶ月後） | 2025年10月末（再受験できる最短日程） | 2026年5月末（約7ヶ月後） |
| 出題形式 | 移行前のリニア形式 | CAT | CAT |
| 結果 | 不合格 | 不合格（147問を解いて時間切れ） | 合格（143問目で時間切れ） |
表のとおり、勉強の量ではなく、勉強方法を変えたときに合格しました。
使った教材
CSA「クラウドコンピューティングのためのセキュリティガイダンス V5」
3回目の勉強の中心にした資料です。CCSPはISC2とCSAが共同開発した認定で、Exam OutlineにもCSA Guidanceなどの資料が参照例として挙がっています。
V5はゼロトラスト、生成AI、CI/CD、セキュリティ監視・運用、レジリエンス、クラウドテレメトリなど、最近のテーマも扱っています。日本語版はCSAジャパンが無料で公開しています。
CCSP公式教科書・公式問題集
ISC2の公式教材（Official Study Guide / Official Practice Tests）を使いました。
日本語版としては、NTT-ATが翻訳出版した『CCSP CBK公式ガイドブック』（定価8,800円）と公式問題集（定価4,950円・電子版）が出ています。
ただし公式ガイドブックは、原書出版社の都合により2025年8月14日で販売終了しています。中古などで入手する場合は、特に版に注意してください。
なお公式教科書は出題範囲の改定に合わせて版が変わります。購入時は現在の Exam Outline に対応した版かを確認してください。たとえば英語版の公式問題集（第3版）は2022〜2025年の出題範囲に対応した版で、日本語版の公式問題集も2022年刊行の公式ガイドブックに準拠しています。2026年8月以降に受ける場合は、新しい出題範囲との差を確認してください。
Sybex（Wiley）のテストバンクの利用環境
英語版の公式教材は Sybex（Wiley）から出ており、書籍にオンラインのテストバンク（模擬問題・フラッシュカード・用語集）が付属しますが、このテストバンクには注意が必要です。
CISSPのときは、正規購入した電子版をブラウザで開いて翻訳を併用しながら読めていましたが、その後Wileyの学習プラットフォームの提供形態が変わり、同じやり方はそのまま使えなくなりました。ブラウザでこれまでどおりに読もうとして、一度つまずいています。
ただし、テストバンク自体は問題なく使えました。現在はSybexテストバンクが新しい Online Test Banks にアカウント登録して利用する形に移行しており、私もこちらで登録して模擬問題とフラッシュカードを回しました。
LearnZapp（ISC2公式演習アプリ）
2回目から追加した演習アプリです。CISSP / CCSP / SSCP に対応し、Wiley（Sybex）の公式教材系の問題とフラッシュカードが入っています。
隙間時間に解けるのが一番の利点で、無料の診断テストでドメイン別の強弱を見ることもできます。
公式トレーニングの内容と費用
ISC2公式のCCSP CBKトレーニングセミナーは、6ドメインを講師がレビューする5日間の研修です。
日本ではNTT-ATやNRIセキュアなどが日本語で開催しており、日本語版の受講者テキストと模擬問題集が配布されるのが特徴です。
| 手段 | 費用 | 内容 |
|---|---|---|
| 独学（教材費＋受験料） | 教材費1〜2万円＋599米ドル（1米ドル＝160円換算で約9.6万円） | 公式教科書・問題集・アプリ。ガイダンスV5はCSAサイトから |
| CCSP CBKトレーニング（バウチャーなし） | 495,000円（税込） | 5日間・9:30〜18:00。受験料は別途 |
| CCSP CBKトレーニング（バウチャー付き） | 594,000円（税込） | 上記＋受験バウチャー。公式問題集の進呈特典あり |
価格はNTT-ATの公表価格です。
独学なら総額約11〜12万円、公式トレーニングなら受験料込みで約59万円（バウチャー付きプランの場合。受験料は1米ドル＝160円で換算）。差額は約48〜49万円で、CISSPのときとほぼ同じ差でした。
ただし、私は3回受験しています。1・2回目はリテイクバウチャー付き（798米ドル）でまかなえたので、受験料の合計は1,397米ドル（約22万円）でした。内訳は「リテイクバウチャー（Peace of Mind Protection）」にまとめています。
CCSPの勉強法
1回目の失敗：CISSPの余韻で行けると思った
CISSPに受かった直後、知識が一番新しいうちにと考えて、1ヶ月後にCCSPを入れました。やったことは公式問題集の3周で、意識していたのは「問題と答えを覚える」ことでした。
結果は不合格。後から思えば、理由ははっきりしています。
- 正解を覚えただけで、判断基準を覚えていなかった。同じ設問なら答えられるが、言い方を変えられると答えられなくなる
- CISSPの感覚を流用しすぎた。CCSPはクラウド前提の責任分担が軸で、オンプレ前提の統制の話とは結論が違う
- CCSP CBKの考え方・思考法とズレていた（詳しくは後述の「試験内容について」）
2回目の失敗：教材を追加しても、時間が足りなかった
2回目は反省して、演習アプリのLearnZappを追加し、公式問題集と合わせて2周してから、待機期間が明ける1ヶ月後に再受験しました。
このとき、2025年10月1日の形式変更（詳細は後述）の後の受験になり、125問固定のつもりで組んでいたペース配分が使えなくなりました。
手応えはあったのですが、結果はまた不合格。147問を解いたところで時間切れという終わり方でした。
気づいたのは、教材を追加しても次の課題が残ったままでした。
- 知らない問題に出会うと考え込んでしまう。
- 根拠となる原則を持っていないので、比較でなく勘で解こうとする
- 選択肢の絞り込みが遅い。「この状況で優先されるのは何か」の判断軸がないため、2択まで来てから止まる
- 結果として、終盤の問題にしわ寄せが来る
知識量の問題に見えて、実際は判断の基準を持っていないことが、時間不足の原因になっていました。
3回目：ガイダンスV5と公式教科書を3周読んだ
3回目は、問題集中心のやり方をやめました。ガイダンスV5とCCSPの公式教科書を、それぞれ3周読みました。
問題集は「答え」から入ることになりますが、ガイダンスと教科書は「なぜそうするのか」を説明する形で書かれています。
責任分担、データのライフサイクル、暗号鍵の管理主体、ログと監査の前提、契約とデータ所在地。このあたりの考え方が身につくと、初めて見る問題でも「この問題はどの原則の話か」を先に特定できるようになります。
重要な箇所を「自分の言葉で」まとめた
読んで終わりにせず、重要な箇所をまとめ直しました。ここで作ったまとめが、本番で素早く判断するのに役立ちました。
| まとめる軸 | 確認すること |
|---|---|
| 誰の責任か | IaaS / PaaS / SaaS で、管理責任がどこで切れるのか |
| データのどの段階の話か | 作成・保管・利用・共有・アーカイブ・破棄のどこに当てはまる管理か |
| 鍵は誰が持つのか | 暗号化した事実と、鍵管理を誰が握るかは別の話 |
| 契約・法令か、技術か | SLA・準拠・ベンダーロックイン・フォレンジックは「事前に契約で決めておく」が正解になりやすい |
そのうえで、LearnZappと公式問題集を追加で2周しました。この順序が大事で、問題集は「覚えるため」でなく「まとめた基準を使いこなせるかの確認」に使いました。
学習スケジュール
3回目の学習を順序だけ整理すると、4つの段階でした。
| フェーズ | 内容 | 目的 |
|---|---|---|
| ① インプット | ガイダンスV5と公式教科書をそれぞれ3周 | 「なぜそうするのか」を入れる |
| ② 構造化 | 重要箇所を上記4軸でまとめる | 判断軸を手元に作る |
| ③ 理解の確認 | 公式問題集とLearnZappを追加で2周 | まとめた基準が使えるかの確認 |
| ④ 時間対策 | 演習を時間を測って解く | 2択で止まらない練習 |
学習時間は「前提」に書いたとおりです。2回目から3回目までは約7ヶ月空いており、この4つの段階は主にその期間に進めました。
配分の方針としては、①②に多く時間を使うのが良いと考えています。1・2回目は③だけに時間を使っていて、それで落ちました。
申込前に知っておきたい制度
会場と予約
CCSPはCISSPと同じPearson VUEのテストセンターで受験します。予約の手順も同じなので、CISSPを受けたことがあれば手続きで迷うことはありません。
日程変更やキャンセルに手数料がかかる点も同様です（執筆時点では日程変更が50米ドル、キャンセルが100米ドル。申込前にISC2の価格ページで確認してください）。
不合格後の待機期間
落ちた場合、再受験できるのは、直前の受験から一定の「テストを受けない日数（test-free days）」を空けた後です。回数を重ねるほど待機期間は長くなります。
| 何回目の不合格か | 次に受験できるまで |
|---|---|
| 1回目の不合格後 | 30日 |
| 2回目の不合格後 | 60日 |
| 3回目以降の不合格後 | 90日 |
あわせて、1つの認定について12ヶ月間に受験できるのは最大4回までという上限もあります。
詳しくはISC2の再受験ポリシーを確認してください。
私は1回目（2025年9月末）の30日後にあたる10月末に2回目を入れました。制度上の最短日程です。ただ振り返ると、「待機期間が明けたから受ける」という決め方は良くありませんでした。落ちた原因が学習法そのものにあるとき、30日では変えきれません。
リテイクバウチャー（Peace of Mind Protection）
ISC2の Peace of Mind Protection（いわゆるリテイクバウチャー）は、受験料に追加料金を払うと2回まで受験できるオプションです。CCSPは受験料込みで798米ドル（追加料金は199米ドル）でした。
主な条件は次の3つで、購入後の返金はできません（ISC2の案内ページ、2026年10月時点）。
- 直近12ヶ月以内にその試験を受験していない
- 購入から180日以内に2回とも受験する
- 1回目から30日空けて2回目を受ける
私は1回目をこのオプション付きで申し込み、2回目は受験料を払わずに受けました。3回目は直近12ヶ月以内に受験していたため購入できず、定価599米ドルで保険なしの一発勝負になりました（ISC2の提供条件）。
3回分の受験料を、オプションの有無で比べると次のとおりです。
| 1・2回目 | 3回目 | 合計 | |
|---|---|---|---|
| リテイクバウチャーあり | 798米ドル | 599米ドル | 1,397米ドル |
| リテイクバウチャーなし | 1,198米ドル | 599米ドル | 1,797米ドル |
差額は400米ドル（約6.4万円）です。1回で受かれば追加の199米ドルは余分な出費になりますが、1回でも落ちれば元が取れます。
2025年10月の形式変更をまたいでしまった
CCSPは2025年10月1日から、従来のリニア形式をやめてCAT形式のみになりました（CC・SSCPも同時に移行）。私の1回目は2025年9月末で移行前、2回目以降は移行後です。
| 移行前（〜2025年9月） | 移行後（2025年10月1日〜） | |
|---|---|---|
| 形式 | リニア形式 | CAT |
| 出題数 | 125問（固定） | 100〜150問（可変） |
| 試験時間 | 3時間 | 3時間 |
CAT形式では、出題が次のように進みます。
- 始まり方：合格基準を大きく下回る易しい問題から始まり、正解を重ねるほど難しい問題が出ます
- 終わり方：100問を超えた後は、合否が統計的に判定できた時点で終了し、判定できなければ150問の上限まで続きます
- 100問を超える意味：問題が続くのは「まだ合否が確定していない」ということです
CATの仕組みはISC2の解説ページにまとまっています。この仕組み自体はCISSPと同じなので、約2ヶ月でCISSPに合格した勉強法と受験までの流れも参考になると思います。
実際に受けて影響が大きかったのは、次の2点でした。
- 前の問題に戻れない。「後で見直す」ができないので、1問ごとに決着をつける必要があります
- 終わる問題数が事前に分からない。150問前提でペースを組んでおくと、私のような終盤の時間切れを防げます
125問固定を前提に組んでいた進め方は、そのままでは使えませんでした。受験時期をまたいで形式が変わることは実際に起こります。申込前に最新の形式を確認しておいてください。
試験当日
会場はPearson VUEのテストセンターで、持ち物や入退室の流れはCISSPのときと同じでした。違ったのは気持ちの面だけで、一度落ちていると入室前の緊張がまったく違います。
3回目は、10問単位で経過時間を見ることを自分のルールにしました。CATは途中で前の問題に戻れないので、余った時間を後で使うという発想は通用しません。時間配分の工夫は、後述の「時間を無駄にしないためにやったこと」にまとめています。
試験内容について（NDAの範囲で）
試験内容はNDAの対象になるため詳細は書けません。
その前提でいうと、公表されている出題範囲どおり、クラウド前提の原則を理解していれば答えられる試験だと感じました。
そのため、実務で特定クラウドを触っていることは、そのままは有利になりません。自分の経験をベンダー中立な用語とモデルに置き換える作業が必要です。
なお、日本語訳には独特の癖があるため、CISSPと同じく英単語と合わせて理解しておくことをおすすめします。
受験の感想
「143問目で時間切れ」でも合格した
前述のとおりCATは上限150問で、合否が確定するまで出題が続きます。
私は2回目で147問、合格した3回目も143問目で時間切れでした。ここから言えるのは、上限近くまで問題が続いても、それ自体は不合格を意味しないということです。
時間を無駄にしないためにやったこと
- 2択まで絞って迷ったら、早めに決めて進む。迷った問題に1分かけると、後半の解けるはずの問題に使える時間が減る
- 長文のシナリオ問題は、設問文を先に読む。何を問われているかを知ってから本文に入る
- 演習の段階から時間を測る。正解率だけ見ていると、本番で同じ失敗をする
- 10問単位で経過時間を見る。CATは前の問題に戻れないので、余った時間を後で使うことはできない
これから受ける方へ
10万円以上の試験を何度何度も落ちるのは、正直、しんどいです。なので、前もって準備に時間をかけることをおすすめします。
私が最初からやるなら、この順番で進めます。
- ガイダンスV5＋公式教科書を先に読む。
- 読んだら自分でまとめる。責任分担・データライフサイクル・鍵管理・契約の4軸で整理する
- 問題集は最後に、理解の確認に使う。LearnZappは隙間時間に回せるのが利点となります。
- 時間を測って演習する。「時間を無駄にしないためにやったこと」の4点を演習の段階から組み込む
- CISSPの直後に詰め込みすぎない。クラウド固有の話を入れ直す時間は必要です。
- 申込前に英語版の最新 Exam Outline を読む。形式変更の影響を先に知っておく
一緒に働く仲間を募集しています
クラウドネイティブでは、セキュリティ領域で一緒に働く仲間を募集しています。
IT業界での経験があり、セキュリティに興味を持って学び、それを実践に移すのが好きな方と相性の良い環境です。セキュリティエンジニア経験がある方も歓迎です。少しでも気になった方は、カジュアル面談からお気軽にご相談ください。募集中のポジションは採用情報からご覧いただけます。
参考リンク
- CCSP Certification Exam Outline（ISC2、2026年8月1日版）（試験時間・出題数・ドメイン重み・合格基準）
- CCSP Experience Requirements（ISC2）
- CCSP 認定ページ（ISC2）
- ISC2 Exam Pricing（受験料）
- CCSP認定試験（ISC2 Japan）
- Computerized Adaptive Testing（ISC2・日本語）（2025年10月1日からのCAT移行）
- Computerized Adaptive Testing（ISC2）
- ISC2試験に向けた準備（ISC2・日本語）
- What To Do After Your ISC2 Certification Exam（ISC2）（再受験ポリシー）
- ISC2 Exam Peace of Mind Protection（リテイクバウチャー）
- Peace of Mind Protectionキャンペーン（ISC2・日本語）（180日以内・30日待機・返金不可などの条件）
- Security Guidance for Critical Areas of Focus in Cloud Computing v5（Cloud Security Alliance）
- CSA Security Guidance トップページ（Cloud Security Alliance）
- クラウドコンピューティングのためのセキュリティガイダンス V5 日本語版（CSAジャパン）
- CCSP CBKトレーニングセミナー（NTT-AT）
- CCSP 公式問題集（NTT-AT）
- CCSP CBKトレーニング（NRIセキュア）
- CCSP CBK公式トレーニングセミナー（JNSAソリューションガイド）
- CCSP 自己学習リソース（ISC2 Japan）
- ISC2 Official Exam Prep App（LearnZapp）
- Sybex - Transition to Online Test Banks（Wileyサポート）
- Wiley Online Test Banks（ログイン）
- 株式会社クラウドネイティブ 採用情報
- カジュアル面談のお申し込み
関連記事
CISSPのときの勉強法はこちらにまとめています。
ほかの資格の体験記もあわせてどうぞ。
免責：試験制度・価格に関する記載は2026年10月時点の公開情報にもとづくものです。出題形式・問題数・試験時間・ドメイン重み・受験料・再受験ポリシー・研修価格は改定されるため、必ずISC2および各研修提供企業の最新の公開情報をご確認ください。
ISC2、CCSP、CISSP、CBKはISC2, Inc.の登録商標です。
