CISM（Certified Information Security Manager）を受験し、1回目は414点で不合格、2回目で合格しました。結論だけ先に書くと、CISMは知識量を問う試験ではなく、「順序・階層・役割」を分解して解く試験でした。
CISMとは
CISM（Certified Information Security Manager）は、ISACAが認定する情報セキュリティマネジメント領域の国際認定資格です。ツールの使い方や実装の細部ではなく、セキュリティプログラムを設計・構築・運営する側の判断が問われます。
| 項目 | 内容 |
|---|---|
| 認定団体 | ISACA |
| 試験形式 | 四肢選択150問、試験時間4時間 |
| スコア | 200〜800のスケールドスコア、450以上で合格 |
| ドメイン | ガバナンス / リスクマネジメント / セキュリティプログラム / インシデント管理の4ドメイン |
| 認定要件 | 情報セキュリティの実務経験5年（詳しくはISACA公式を参照） |
上記の試験形式・スコア・認定要件は、ISACAのCISM公式ページおよびExam Content Outlineの記載に基づきます（2026年10月1日以降の内容）。
スケールドスコアとは、正答数をそのまま点数にせず、回答した問題の難易度によって得点が変わるスコア方式となります。
受験料はISACA会員と非会員で異なり、会員 US$575／非会員 US$760です（2026年10月1日以降の金額）。会員になると受験料や教材が安くなるため、入会してから受験したほうがトータルコストは下がります。会費と割引の内訳は「使った教材とかかった費用」でまとめています。
取得するメリット
- 経営層と同じ言葉で話せるようになる：「なぜその対策を先にやるのか」を、リスクと事業目的の言葉で説明できるようになります。加えて、経営層や関係部門と対策の優先順位や投資判断をすり合わせる力にもつながります。
- 管理職・企画寄りの役割への適性を示せる：個別の技術対策だけでなく、リスクを踏まえた方針づくりやセキュリティプログラムの企画・運営に関わる力を示す材料になります。
- 国内の制度・ガイドライン対応で専門性を生かせる場合がある：制度や業界基準によっては、セキュリティの専門知識・経験を示す場面があります。CISMはその説明材料の一つになりますが、資格だけで個別の要件を満たすとは限らないため、要件の確認が必要です。
2026年11月3日からの試験改定（重要）
これから受験する方にとって最も重要なのがこの話です。ISACAは、2026年11月3日よりCISMの試験内容（Exam Content Outline：出題範囲を定めた公式のアウトライン。以下ECO）を更新すると発表しています（2026年9月10日付のISACAプレスリリース、およびCISM Job Practice Update 2026）。
何が変わるのか
変わるのは次の3点です。
| 変更点 | 内容 |
|---|---|
| ドメインの構成 | 4ドメインのままで変わらない |
| 出題比率 | ガバナンスが1ポイント増、インシデント管理が1ポイント減 |
| 出題テーマ | 情報セキュリティ戦略とプログラム策定の重みが増す。加えてエンタープライズアーキテクチャと情報セキュリティアーキテクチャの2領域が新しく入る |
この2領域がどのドメインに入るのかまでは、現時点（2026年10月）では公表されていません。新版のExam Content Outlineで確認してください。
出題比率は、旧版（2022年ECO）と新版（2026年ECO）を並べると次のとおりです。
| ドメイン | 旧比率（2022年ECO） | 新比率（2026年ECO） | 変化 |
|---|---|---|---|
| Domain 1：情報セキュリティガバナンス | 17％ | 18％ | +1ポイント |
| Domain 2：情報セキュリティリスクマネジメント | 20％ | 20％ | 変更なし |
| Domain 3：情報セキュリティプログラム | 33％ | 33％ | 変更なし |
| Domain 4：インシデント管理 | 30％ | 29％ | -1ポイント |
（出典：ISACA「CISM Job Practice Update 2026」の2022年・2026年ECO比較表。新比率は2026年11月3日以降に実施される試験に適用されます）
現行の4ドメイン比率の動きは最大でも1ポイントです。影響が大きいのは、比率の変化よりも新しく入るアーキテクチャ2領域のほうだと思います。
受験タイミングについて
判断の目安は次のとおりです。
- 既に旧版教材で学習が進んでいる方：可能なら11月2日までに受験を終えるのがおすすめです。私のように再受験の可能性がある場合は、1回目と再受験の両方が旧版のうちに収まるかを逆算して日程を組んでください。
- これから学習を始める方：無理に旧版に間に合わせるより、最初から新版教材で準備するほうが、教材を買い直さずに済みます。
- いずれの場合も、本記事で後述する「順序・階層・役割」の考え方自体は変わりません。改定で変わるのは問われる領域の重みであって、ISACAが求める判断の基準ではありません。
アーキテクチャ領域が追加される点は、実務でクラウドやSaaSの構成を見ている方には有利になる可能性があります。
前提
参考になるよう、私の受験時の条件を先に書いておきます。
- 旧版（2022年版）のExam Content Outline下での受験です。
- 受験前に情報処理安全確保支援士・CISSPを取得済みです。セキュリティの用語自体には既に慣れている状態でした。
- それでも1回目は落ちています。これが本記事で一番伝えたい点で、CISMは技術知識の量だけでは合格できません。
使った教材とかかった費用
使った教材は次のとおりです。
| 教材 | 位置づけ | 費用感 |
|---|---|---|
| CISMサンプル試験問題、解答＆解説（QAE：Questions, Answers & Explanations）紙版 | 主軸。ISACAの思考を学ぶ | 会員 US$120前後／非会員 US$156前後（現在、公式ストアでは販売なし。中古なら入手できるが、試験範囲の改定に注意） |
| データベース版 | 主軸。最新の試験範囲に対応した問題をWeb上で解く。こちらがおすすめ（理由は後述） | 会員 US$299／非会員 US$399 |
| 公式研修（ISACA公式のオンライン集合研修。2日間、3ヶ月に1度開催） | 考え方の土台づくり | ISACA東京支部の会員価格5,000円（通常9,000円） |
| 2026 CISM: Six Practice Exams & Detailed Explanations（Udemy） | 演習量の確保 | セール時なら数千円 |
教材費は合計でも数万円規模に収まりました（いずれも私が購入した時点の金額です。為替・セール・会員区分で変わります）。数十万円規模のベンダー研修を利用する場合と比べると、費用は大きく抑えられます。
公式問題集（QAE）は「紙版」と「データベース版」の2種類
公式問題集（QAE）には紙版とオンラインのデータベース版があります。収録問題数はデータベース版のほうが少し多く、形態と価格も異なります。ただし、紙版は現在、ISACA公式ストアでは購入できません（2026年10月時点）。
| 形態 | 内容 | 会員 | 非会員 |
|---|---|---|---|
| 紙版 | 問題・解答・解説を冊子で読む | US$120前後 | US$156前後 |
| データベース版 | 最新の試験範囲に対応した問題をWeb上で出題。1,047問収録（紙版より少し多い）。端末さえあれば場所を選ばずに解ける | US$299 | US$399 |
購入前に確認しておきたいのは次の2点です（2026年10月1日以降の情報）。
- 価格・利用期間：データベース版はISACA公式ストアの表示に基づきます。
- 紙版の送料（販売が再開された場合）：会員は送料無料ですが、非会員は送料が別途かかります。米国からの国際発送になるため、本体価格だけで比べないよう注意してください。送料は配送先と重量で変わるので、決済画面で確定額を確認してください。
なお、2026年11月3日以降の試験を受ける場合は、公式問題集もReview Manualもオンラインレビューコースも新版を選ぶ必要があります。Udemyなどのサードパーティ教材も、新アウトラインに対応しているかを購入前に確認してください。
ISACAの会費と、会員になると安くなる金額
ISACAの会費は国際本部の年会費＋所属支部の年会費の合算です。日本で受験する場合、支部は東京支部を選ぶことが多いと思います。
| 費目 | 金額 |
|---|---|
| ISACA国際本部 年会費（新規入会） | US$145 |
| ISACA国際本部 年会費（更新） | US$135 |
| ISACA東京支部 年会費 | US$30 |
2026年10月1日以降、初年度は合計でUS$175程度、2年目以降はUS$165程度という計算になります（出典：ISACA「Become a Member」、ISACA東京支部の会費案内。東京支部の年会費は2026年度・2027年度とも US$30 で据え置きです）。
これに対して、会員になると安くなる金額は次のとおりです。
| 項目 | 非会員 | 会員 | 差額 |
|---|---|---|---|
| CISM受験料 | US$760 | US$575 | US$185 |
| データベース版 | US$399 | US$299 | US$100 |
| 公式研修（ISACA東京支部） | 9,000円 | 5,000円 | 4,000円 |
受験料の差額だけで初年度の会費を回収でき、公式問題集や公式研修を会員価格で買える分だけ差は広がります。年会費は削りたくなる費用ですが、ここを節約すると結果的に高くつきます。
なお、受験料以外に認定申請料 US$50と年間維持費（AMF）会員 US$45／非会員 US$85がかかる点も見込んでおいてください（出典：ISACA Support「認定にかかる費用の一覧」）。
勉強方法
公式問題集：正答率ではなくISACAが求める思考を理解する
公式問題集は単なる問題集ではなく、「ISACAが求める思考」を学ぶ教材として使うのがおすすめです。正答率よりも、次の3点を重視しました。
- なぜその選択肢が最も適切なのか
- 他の選択肢はなぜ不適切なのか
- 選択肢の階層（戦略の話か、運用の話か）
ただし、3周した程度では順序・階層・役割の理解は足りませんでした。
ISACA公式研修：考え方の土台をつくる
公式研修をすすめるのは安さだけが理由ではなく、内容そのものがかなり充実していました。中身はNDAの対象なので書けませんが、概念や考え方の習得に十分使える内容で、価格を抜きにしても受ける価値がある、というのが率直な感想です。
公式研修では、特に次の観点が整理できました。
- ガバナンスとマネジメントの違い
- ビジネスとの整合性の重要性
- 優先順位の付け方
おすすめのタイミングは公式問題集を1周した直後です。先に問題を解いておくと、研修の説明を解いた問題と結びつけて理解できます。
開催は3ヶ月に1度なので、受けるつもりなら研修の開催日を起点に受験日を逆算するとスムーズです。
Udemy模試：本番前の合否判定に使う
Udemyは、問題演習量を確保する目的で使用しました。取り組む順序としては、公式問題集の後が適しています。
1回目と2回目で変えたこと
| 回 | スコア | 結果 | 学習の中身 |
|---|---|---|---|
| 1回目 | 414点 | 不合格 | 公式問題集（3周）＋公式研修の問題演習。知識として覚え、問題文から知っている用語を探して解いていた |
| 2回目 | 459点 | 合格 | 上記＋Udemy模試6セット。問題を「順序」「階層」「役割」に分解した |
1回目は「それなりに解ける」状態ではあったものの、CISMの本質であるガバナンス思考が身についていませんでした。2回目は問題をこの3つに分けて考えることを徹底しただけで、安定して回答できるようになりました。
よく問われるポイント
ここからは試験で問われる考え方です。出題比率が変わっても、ここで書く考え方はそのまま使えます。
1. 順序：何を最初にやるか
作業の順序を問う問題はよく出ます。たとえば、次のような前後関係です。
- リスクを特定する前に、資産分類が必要
- コントロールを実装する前に、リスクアセスメントが必要
- インシデント対応の前に、ポリシーと手順が必要
つまり、
私が解いた限りでは、この順序を崩している選択肢はほとんど不正解でした。あくまで自分の経験則で、公式に示された解法ではない点はご注意ください。
2.階層構造：セキュリティ文書の上下関係
セキュリティ文書には上下関係があります。ここがあいまいだと、選択肢を絞り込めません。
| 階層 | 役割 |
|---|---|
| 戦略（Strategy） | 方向性を示す |
| ポリシー（Policy） | ルールを定める |
| 標準（Standard） | 最低基準を定める |
| 手順（Procedure） | 実行方法を示す |
| ガイドライン（Guideline） | 推奨事項を示す |
上位ほど抽象度が高く、下位ほど具体的になります。問題を読むときは、「いまどの階層の話をしているのか」を見抜く必要があります。
3. 似た用語の整理
まぎらわしい用語は、ひとつの表にまとめると覚えやすくなります。
| 用語 | 何を見るものか | ほかとの関係 |
|---|---|---|
| 資産分類 | 情報資産の重要度を決める | リスクアセスメントより先 |
| BIA（Business Impact Analysis：事業影響度分析） | 業務が止まったときの影響と復旧目標を見る | リスクアセスメントの前提になる |
| リスクアセスメント | 脅威と脆弱性を評価する | 資産分類・BIAを踏まえて実施する |
| BCP（Business Continuity Plan：事業継続計画） | 事業を止めないための全体計画 | DRを含む上位の計画 |
| DR（Disaster Recovery：災害復旧） | ITシステムを復旧させる計画 | BCPの一部 |
流れにすると「資産分類 → BIA → リスクアセスメント → 対策」、計画の側は「BCPの中にDRがある」。この2つの流れを押さえるのが重要でした。
もうひとつ、粒度と役割の違いもよく問われます。
| 組み合わせ | 違い | 試験での問われ方 |
|---|---|---|
| フレームワーク / プログラム / コントロール | 枠組み → 実行のしくみ → 個々の対策 | この順に具体化しているか |
| ガバナンス / マネジメント | 方向付けと監督 / 実行 | 経営層はガバナンス、現場はマネジメント |
改定後もドメイン3（情報セキュリティプログラム）は33％で最大のままなので、フレームワークとプログラムの区別は押さえておいて損はありません。
4. インシデント対応
ここも順序を問う問題が多いです。
| 順序 | 段階 | やること |
|---|---|---|
| 1 | 検知 | 異常や侵害の兆候に気づく |
| 2 | 分析 | 影響範囲と原因を切り分ける |
| 3 | 封じ込め | 被害の拡大を止める |
| 4 | 根絶 | 原因そのものを取り除く |
| 5 | 復旧 | 業務・システムを通常の状態に戻す |
| 6 | 再発防止 | 教訓を手順やコントロールに反映する |
改定後もドメイン4は29％と大きいので、この順序は確実に押さえておきたいところです。
解き方のコツ
本番で意識したのは、次の順序です。
| 順序 | 見るポイント | 判断の内容 |
|---|---|---|
| 1 | 階層 | 戦略の話か、運用の話か |
| 2 | 順序 | 前提・分析・対策・運用のどの工程か |
| 3 | ビジネス視点 | 事業目的との整合性が高いのはどれか |
特に「最も適切なもの」を問う問題では、次の観点で選ぶと正解に近づきます。
- より上位の概念
- より長期的な効果
- ビジネスへの整合性
申し込みと試験当日
申し込みで意識したこと
- 試験はオンライン監視受験とテストセンター受験が選べます。私は1回目をオンライン、2回目をテストセンターで受けました。静かな一人部屋を用意できるならオンライン、難しければテストセンターがいいと思います。
- 再受験の可能性を前提に日程を組むのが現実的です。私は実際に2回受験しています。特に2026年11月3日の改定をまたぐ場合は、再受験が新アウトラインになる可能性を考慮してください。
オンラインとテストセンターの違い
両方受けた上での比較です。
| 観点 | オンライン監視受験（1回目） | テストセンター受験（2回目） |
|---|---|---|
| 環境準備 | 専用ソフトの導入や部屋のチェックに手こずりやすく、開始前に時間と気力を取られる | 会場の機器を使うので準備は不要。受付もスムーズ |
| やりとりの言語 | 試験監督官は海外（私の場合は英国）で、基本は英語のチャット | 現地スタッフと日本語で完結 |
| 中断・失格リスク | 人が入ってこない完全な一人部屋が必須。宅配便の音などでも不正とみなされ、試験が打ち切られるリスクがある | 試験専用の部屋なので、自分で気を使うことはほぼない |
| 移動 | 不要。住む場所を選ばない | 会場までの移動が必要。都市部以外だと選択肢が限られる |
| 日程の柔軟さ | 時間帯の選択肢が広く、予約枠を取りやすい | 会場の空き状況に左右される |
- オンラインがおすすめな方：4時間、家族も宅配便も完全に避けられる部屋を用意できる方。移動がなく、日程も選びやすいのは大きな利点です。
- テストセンターがおすすめな方：自分でコントロールできない要因で試験が止まり、不合格になってしまう可能性を限りなく下げたい方。
当日の流れ（テストセンター）
私が選んだテストセンターは航空会館でした（会場は申し込み時に選択します）。
- 受付は非常にスムーズで、特に詰まることもなく進みます。
- 私の場合、開始は予定より15分ほど早まりました。先に準備が整えばそのまま開始できるようです。
- 持ち込み制限や本人確認は、一般的なテストセンターでの試験と同様です。
特別に身構えるような注意点はなく、全体として試験環境で困ることはありませんでした。
試験内容について（NDAの範囲で）
試験内容はNDA（Non-Disclosure Agreement：受験時に同意する秘密保持契約）の対象となるため、詳細は書けません。
公表されている試験範囲どおり、「どの選択肢も部分的には正しい中で、最も適切なものを選ぶ」形式が中心です。知らない用語が出て困ることよりも、知っている用語の選択肢が4つ並んでいて絞れないことのほうが多い、というのが私の感触でした。
日本語訳には独特の癖があります。主要な用語は英語とセットで押さえておくことをおすすめします。
受験の感想
1回目の414点は、合格ライン450に対して惜しく見えますが、実感としては手応えが掴めないまま終わりました。
2回目は「解き方のコツ」の手順で選択肢を絞れたので、迷う時間が圧倒的に減りました。スコアは459点とギリギリですが、手応えは1回目とはまったく違いました。
これから受ける方へ
- まず受験日を決めてから教材を買う：2026年11月3日を超えるかどうかで、買うべき教材の版が変わります。
- 公式問題集は何周したかではなく、どこまでやりこんだかで測る：誤りの選択肢ごとに、不正解の理由を説明できるまでやりこんでください。
- 教材の優先度は公式問題集 ≧ 公式研修＞Udemy：公式研修は開催が3ヶ月に1度なので、公式問題集を1周した直後に当てられると理想的です。
- 模試の初回正答率70％を受験の目安にする：正答率が70％に届いていなければ、問題数を増やすより、問題を「順序」「階層」「役割」に分けて考える練習をするほうが合格への近道です。
CISMは考え方の試験です。問題を解くたびに「これはどの階層の話で、どの順序の話なのか」を言語化してみてください。
一緒に働く仲間を募集しています
クラウドネイティブでは、セキュリティ領域で一緒に働く仲間を募集しています。
IT業界での経験があり、セキュリティに興味を持って学び、それを実践に移すのが好きな方と相性の良い環境です。セキュリティエンジニアへの転職を考えている方や、セキュリティエンジニア経験がある方も歓迎です。少しでも気になった方は、カジュアル面談からお気軽にご相談ください。募集中のポジションは採用情報からご覧いただけます。
参考リンク
- ISACA CISM 公式ページ
- CISM Exam Content Outline
- Certification: CISM Job Practice Update 2026（ISACA Support）
- ISACAプレスリリース：CISM Exam Content Outlineの更新
- ISACA東京支部：CISM
- ISACA東京支部：会費について
- ISACA：Become a Member（会費）
- ISACA公式ストア：CISM QAE Database
- 株式会社クラウドネイティブ 採用情報
- カジュアル面談のお申し込み
ISACA、CISMはISACAの登録商標です。
