CISSP 試験の変更点 2024

CISSP 試験は、進化し続けるセキュリティの概念と技術を反映するために、2024 年 4 月 15 日に更新されました。ドメインの重み付けは概ね安定していますが、多くのドメインで内容が更新され、量子鍵配送（quantum key distribution）、セキュア アクセス サービス エッジ（secure access service edge）、更新されたプライバシー関連法などの新しいトピックが追加されています。

2024 年 4 月 15 日、ISC² は CISSP 試験向けの刷新された目的（objective）のセットを導入しました。試験の目的を刷新することの狙いは、試験がセキュリティ分野の最新の出来事に対して引き続き関連性を保てるようにすることです。状況が進むにつれて新しい技術が導入されると、それらだけでなく最新の標準やプロセスも踏まえるよう、目的は更新されます。このブログでは、変更点を見ていき、2025 年に向けて刷新された試験を準備するにあたって把握しておくべき重要なポイントをいくつか探っていきます。前回の更新版の教材で CISSP を勉強していた場合、内容やトピックの多くが同じであるため、変更／追加された部分を確認するだけで十分です。

CISSP の領域と変更点

まず、CISSP 試験を構成する 8 つのドメインを確認しましょう。以下の表では、2024 年の更新により現在の相対的な重み付けと比較しながら、2018 年と 2021 年の 8 つのドメインおよび相対的な重み付けを示します。相対的な重み付けはここ数回の更新で大きくは変わらず、わずかな変更にとどまっていることに気づくはずです。

ドメイン更新の詳細

前回の試験アップデートと同様に、試験のブループリントに追加された新しいセキュリティの概念、用語、略語がいくつか見つかります。以下の変更点のリストは網羅的ではありませんが、かなり包括的です。更新された学習ガイドでは、2024 年に新しくなったものや削除されたものもあわせて明記しています。

• Domain 1（名称はそのまま、重みが1%増加）。タイトルの観点では、Domain 1 は同じです。しかし、把握しておくべき変更がいくつかあります：
  • 「情報セキュリティの5つの柱」が追加されました
  • 「セキュリティ・ガバナンス原則」というトピックに、それらを維持する行為が追加されました
  • セキュリティ制御のフレームワークについては、ISO、NIST、COBIT、SABSA、PCI、FedRAMP など、特定のフレームワークが挙げられています。各フレームワークがマネジメント（管理）レベルで何を意味するのかを理解してください
  • 法令・規制のトピックに、compliance が追加されました。
  • プライバシーに関するトピックが、特定の General Data Protection Regulation、 California Consumer Privacy Act、Personal Information Protection Law、および Protection of Personal Information Act に更新されました。— 他のトピックと同様に、ブループリントで具体的な例が挙げられている場合は、それらを理解し、またそれらの違いを必ず確認してください)
  • 事業継続のトピックに、評価と実装のアクションが追加されました。
  • 事業継続のための外部依存関係に関する新しいトピックが追加されました。
  • 雇用契約のトピックが、ポリシーに基づく要件に言及するよう更新されました。
  • リスク評価/分析のトピックに、スコーピング（範囲設定）が追加されました。
  • 監視と測定のために「continuous」という語が追加されました
  • リスクフレームワークのトピックに、具体的な例が追加されました
  • ハードウェア、ソフトウェア、サービスに関するリスクのトピックは更新され、サプライヤー（製品の改ざんなど）と取り引きする際に生じ得る、より広範なリスクを強調するようになりました
  • 「第三者の評価とモニタリング」のトピックは「risk mitigations（リスクの低減）」に改名され、第三者の評価とモニタリング、サービスレベル要件、ソフトウェアの部品表（software bill of materials）などの例が追加されました
  • 認識（awareness）のトピックでは「present」が「increase」に変更されました。わずかな変更ですが、初期の認識ではなく継続的な認識に焦点を当てています
  • 定期的なコンテンツレビューに関するトピックが追加されました。新興技術やトレンドを含め、（AI や暗号通貨などの）具体例も示しました。
• ドメイン 2（名称と重みは同じ）。2024年の試験アップデートに関して、このドメインに変更はありません！
• ドメイン 3（名称と重みは同じ）。
  • 「Keep it simple」というトピックを「Keep it simple and small」に変更し、複雑さに関してはサイズが重要だという点を示しました。
  • 「zero trust」に関するトピックが、「trust but verify」を含むように更新されました。これは新しいトピックではなく、既存の2つのトピックを単にまとめただけです。
  • 「Secure access service edge」というタイトルの新しいトピックを追加しました
  • 産業用制御システム（ICS）に関するトピックに「Operational Technology」をタイトルに追加しました
  • マイクロサービスに関するトピックに、APIについての注意喚起を追加しました
  • PKI のトピックに量子鍵配送（quantum key distribution）への参照が追加されました）
  • キー管理の実践に関するトピックに、ローテーション（rotation）への参照が追加されました
  • デジタル署名のトピックでは、否認防止と整合性（インテグリティ）のトピックを組み合わせました
  • 配線クローゼットのトピックで、「intermediate distribution facilities」を「intermediate distribution frame」に変更しました
  • 環境問題に関するトピックに、自然災害と人為的な問題の例が追加されました
  • 以下のトピックおよびサブトピックが追加されました:
    • 情報システムのライフサイクルを管理する
      • ステークホルダーのニーズと要件
      • 要件分析
      • アーキテクチャ設計
      • 開発 / 実装
      • 統合
      • 検証と妥当性確認
      • 移行 / 展開
      • 運用・保守 / 維持
      • 引退 / 廃棄
• ドメイン4（名前は同じ、重みも同じ）.
  • 第 4.1 節では、タイトルを「assess and implement」から「Apply」に少し変更しています。
  • 第 4.1.2 節では、ユニキャスト（unicast）、ブロードキャスト（broadcast）、マルチキャスト（multicast）、エニキャスト（anycast）の例が追加されています。
  • 第 4.1.3 節では、IPSec、SSH、SSL、TLS を含む安全なプロトコルの例を示しています。
  • 追加されたトピックは 7 件（4.1.6 から 4.1.12）で、トランスポート アーキテクチャ、パフォーマンス指標、トラフィック フロー、物理セグメンテーション、論理セグメンテーション、マイクロセグメンテーション、エッジ ネットワークを扱っています。マイクロセグメンテーションは、VLAN、VPN、仮想ルーティング＆フォワード（virtual routing and forward）、仮想ドメイン（virtual domain）への参照を含むように、かなり大きく変更されました。
  • 第 4.1.13 節では Bluetooth が追加され、Li‑Fi は削除されました。
  • 第 4.1.14 節で「Cellular networks」が「Cellular/mobile networks」に変更されました。
  • ソフトウェア定義ネットワーク（Software defined networks）が第 4.1.16 節で独自のサブトピックとして追加されました。
  • 仮想プライベートクラウド（Virtual Private Cloud、VPC）が第 4.1.17 節で独自のサブトピックとして追加されました。
  • 第 4.1.18 節に、監視と管理（および具体例）が追加されました。
  • 第 4.2.1 節が「Operation of hardware」から「Operation of infrastructure」に変更され、トピックが少し広がりました。
  • 第 4.2.2 節に、メディアの物理的セキュリティと信号伝搬品質を例として追加しました
  • 第 4.2.3 節を更新し、物理 NAC と仮想ソリューションに言及するようにしました
  • エンドポイント セキュリティに関する第 4.2.4 節に、「ホストベース（host-based）」という用語を追加しました
  • 第 4.3.1 節は 2021 年には「Voice」でしたが、現在は例として、ビデオやコラボレーションに加えて、会議（conferencing）と Zoom も追加されています
• Doman 5（名前と重みが同じ)).
  • ドメイン 5 では、「Identity and Access Management (IAM)」のタイトルはそのまま維持されます。
  • 第 5.1 節では、資産へのアクセスを制御することに関連して、サービスに関する新しい項目が追加されました。以前は、サービスは対象範囲に含まれていませんでした。更新された試験では、サービスに対するアクセス制御を理解しておくようにしてください。
  • 「Identity Management (IdM) implementation was removed.」というタイトルのトピックは削除されました。
  • 「グループ」と「ロール」が、第 5.2.1 節として追加されました。この節では、ユーザーとアクセスの管理を扱います。
  • 第 5.2.2 節では、タイトルが「Single/Multi-Factor Authentication (MFA)」から「Authentication, Authorization, and Accounting (AAA)（例：multi-factor authentication (MFA)、password-less authentication）」に更新されました。これにより、認可（Authorization）を含めるだけでなく、password-less 技術も対象に加えています。なお、2021 年試験で扱われていた説明責任（accountability）に関するトピックは、このトピックに統合されたことに注意してください。
  • 資格情報（クレデンシャル）管理システムに関するトピックが更新され、「password vault」を例として含めるようになりました。これは、企業のパスワードやシークレットを一元管理するアプリ／サービスを指します。
  • 新しいトピック 5.4.7 が追加され、タイトルは「Access policy enforcement（例：policy decision point、policy enforcement point）」です。これにより、認可（authorization）の仕組みに関するトピックが拡充されます。
  • 「Role definition（例：新しいロールに割り当てられる人々）」というタイトルのセクション 5.5.3 が更新され、新しいロールへ社内で移行する人々を指す transition が含まれるようになりました。
  • セクション 5.5.4 の privilege escalation に関する内容では、managed service account を削除し、sudo の使用を最小限にする点を意識しつつ、「use of sudo」と「audits its use」に焦点を当てるようにしました。
  • 認証システムに関するサブトピック（OIDC、SAML、Kerberos、RADIUS、TACACS+）は削除されました。
• ドメイン 6（名前と重みが同じ）。
  • このドメインでは、タイトルは同じままです。—「Security and Assessment Testing」。
  • 第 6.1.1 節では、内部トピックに「組織の管理下（within organization control）」が追加されます。
  • 第 6.1.2 節では、外部トピックに「組織の管理外（outside organization control）」が追加されます。
  • 第 6.1.3 節では、第三者トピックに「企業の管理外（outside of enterprise control）」が追加されます。
  • 監査戦略のトピックを参照するために、「Location（例：オンプレミス、クラウド、ハイブリッド）」というタイトルの新しいトピック 6.1.4 が追加されました。
  • 侵入テストのトピック 6.2.2 では、レッド、ブルー、および/またはパープル チームの演習例が追加されました。各チームの違いを把握しましょう。
  • 合成トランザクション（6.2.4）に関するトピックに、ベンチマークへの参照が追加されました。
  • トピック 6.2.7 の名称が「Test coverage analysis」から「Coverage analysis」へ変更されました。
  • インターフェース テストに関するトピック 6.2.8 に、ユーザー インターフェース、ネットワーク インターフェース、アプリケーション プログラミング インターフェース（API）の例が追加されました。
  • 6.5.1、6.5.2、および 6.5.3については、組織による管理があったかどうかを示すようにトピックが更新されました。
  • 6.5.4 では、セキュリティ監査を実施または促進することを参照するため、「Location（例：オンプレミス、クラウド、ハイブリッド）」という題名の新しいトピックが追加されました
• ドメイン 7（名称と重みは同じ）.
  • タイトル「Security Operations」は同じままです。
  • トピック 7.1.5（Artifacts）に関して、データが追加されました。
  • トピック 7.2.1 は「Intrusion detection and prevention」から「Intrusion detection and prevention system (IDPS)」へ、わずかに名称が変更されました。
  • トピック「Continuous monitoring」は「Continuous monitoring and tuning」へ更新されました。
  • トピック 7.4.2 は「Separation of Duties (SoD)…」から「Segragation of Duties (SoD)…」へ変更されました。
  • 7.5.3 に「Data at rest/data in transit」というタイトルの新しいトピックが追加されました。リソース保護技術を適用するトピックを指しています。
  • トピック 7.7 では、タイトルが「Operate and maintain detective and preventative measure」から「Operate and maintain detection and preventative measures」へ改名されました。
  • トピック 7.10.1（バックアップのストレージ戦略）について、クラウドストレージ、オンサイトストレージ、オフサイトストレージの例を追加しました。
  • トピック 7.10.2（リカバリーサイトの戦略）について、cold. vs. host とリソース容量の合意に関する例を追加しました。
  • 「Communications」というタイトルのトピック 7.11.3 では、そのトピックがコミュニケーションの方法に関するものであることを示すために「methods」という語を追加しました。
  • 災害復旧計画のテストに関連して、「Communications（例：stakeholders、test status、regulators）」というタイトルの新しいトピックを 7.12.6 として追加しました。
  • トピック 7.15.2（セキュリティのトレーニングと意識向上）について、insider threat、ソーシャルメディアの影響、二要素認証の疲労（two-factor authentication fatigue）の例を追加しました。
• ドメイン8（名称は同じで、重みを1%下げる）.
  • このドメインのタイトルである Software Development Security は同じままです。
  • 開発手法に関するトピック 8.1.1 では、scaled agile framework への参照を追加しました。
  • アプリケーション セキュリティ テストに関するセクション 8.2.9 では、ソフトウェア構成分析および Interactive Application Security Test (IAST) の例を追加しました。
  • 管理サービスに関するトピック 8.4.4 では、SaaS、IaaS、PaaS を削除し、「enterprise applications」に置き換えました。
  • 8.4.5 に、SaaS、IaaS、PaaS への言及を含むクラウドサービスを扱う新しいトピックが追加されました。

CISSP 試験アップデート FAQ

CISSP 試験の変更点を理解していただくために、以下に最近のアップデートに関するよくある質問と回答をいくつか紹介します。

1. CISSP 試験の試験設計図（blueprint）はどのくらいの頻度で変更されますか？通常は 3 年ごとです。最新の変更は 2024 年 4 月 15 日に行われました。それ以前は 2021 年 5 月に変更されています。さらに前には 2018 年、2015 年、2012 年にも変更がありました。
2. 古い学習教材を使って新しい試験に合格できますか？はい。多くの人がそうしています。ポイントは、該当トピックに関する関連する実務経験と知識を持っていることです。勉強だけに基づいて合格を目指す場合、古い教材ではより難しくなる可能性があります（もちろん、試験の開始には前提となる実務経験が必要です）。
3. 今回のブループリントの更新により、試験形式は変更されましたか？ いいえ、一部の言語で線形試験（問題数が決まっている形式）から非線形試験へ移行したケースを除き、変更はありません。試験は現在、すべての言語で Computerized Adaptive Testing (CAT) 形式のみで提供されています。CAT 版は、最低 100 問、最高 150 問です。
4. なぜ試験を3年ごとに更新するのですか？ ? 主な目的は、試験を新しく、そして関連性の高いものに保つことです。CISSP の試験ブループリントが一度も更新されない場合、認定の価値と関連性は低下してしまいます。新鮮で関連性の高い状態を維持することで、同資格は一流のセキュリティ認定として保たれます。ほかにも理由があります。たとえば、試験の海賊版（許可なく試験内容を拡散する行為）は現実的な懸念です。