CISSP は 8 つのドメインを扱います。具体的には、セキュリティとリスク管理、資産のセキュリティ、セキュリティアーキテクチャとエンジニアリング、通信およびネットワークセキュリティ、アイデンティティとアクセス管理、セキュリティ評価とテスト、セキュリティ運用、そしてソフトウェア開発のセキュリティです。このガイドでは、各ドメインの内容、何に注目すべきか、学習時間をどのように計画するかを順を追って説明します。詳細な内訳は、下の完全版 PDF をダウンロードしてください。
Certified Information Systems Security Professional (CISSP) は、情報セキュリティの専門家向けの資格の中でも、最も権威があり、世界的に広く認められているものの一つです。この資格を取得するには、セキュリティの原則とベストプラクティスに関する深い知識が必要です。効率よく準備できるように、この CISSP Study Guide (PDF) を作成しました。ダウンロードは完全に無料なので、今日から認定資格取得への道を始められます。
この CISSP Certification Study Guide は、最新の CISSP 試験シラバスに合わせるために、2026 年向けに完全に更新されています。重要な情報セキュリティの概念を体系的に習得するためのアプローチを提供し、試験の構成、目的、そして 8 つのドメインにまたがって扱われる必須トピックの概要も含んでいます：
- セキュリティとリスク管理
- アセットセキュリティ
- セキュリティアーキテクチャとエンジニアリング
- 通信およびネットワークセキュリティ
- アイデンティティおよびアクセス管理 (IAM)
- セキュリティ評価とテスト
- セキュリティ運用
- ソフトウェア開発のセキュリティ
効果的に学習できるように、各モジュールにはハンズオンの演習と、重要な概念に関する詳細な解説が含まれており、試験に合格するために必要な重要な CISSP セキュリティ原則を確実に理解できるようになっています。
すでに CISSP の学習コースを受講したことがある、公式の Common Body of Knowledge（CBK）を確認したことがある、あるいは過去問題や模擬問題を練習している場合でも、この CISSP 試験学習ガイドは、知識を自己評価し、より重点的に取り組むべきトピックを判断するのに役立ちます。これから始める方であれば、本ガイドを通じて学習時間を計画し、重要な CISSP セキュリティ管理の概念に優先順位を付けることができます。
本 CISSP PDF 学習ガイドは他の学習資料を補完することを目的としていますが、重要なセキュリティ分野を効率よく復習するための欠かせないリソースでもあります。しっかり準備し、初回受験で CISSP 試験に合格する可能性を最大限に高めるのに役立ちます。
セキュリティとリスク管理
リスク管理には主に 3 つのステップがあります。脅威と脆弱性を特定し、リスクを評価し（リスク評価）、対応するかどうか、またどのように対応するかを選択します（多くの場合、その選択はリスク低減です）。全体的なリスクを管理する一環として、IT チームは IT 環境を安全に保つことに努め、経営チームが十分に情報に基づいた判断を下せるよう情報を提供し、さらに経営チームが目標と要件に基づいて IT 環境を承認（サインオフ）できるようにします。リスク管理には財務面の要素もあります。つまり、経営チームはリスクと予算のバランスを取らなければなりません。理想的な世界では、企業は最小限の金額と時間を投じて、組織にとって許容可能な水準までリスクを低減するでしょう。
組織の脅威モデリングを行う際は、潜在的な脅威を文書化し、それらに優先順位を付けます（多くの場合、攻撃者の立場や考え方に自分を置き換えて考えることによって行います）。よく知られた方法は 4 つあります：
アセットセキュリティ
資産について考えるとき、建物、土地、コンピューターなどの物理的資産だけを思い浮かべる人もいます。しかし、CISSP 試験におけるアセットセキュリティは、知的財産やデータのような仮想資産に重点を置いています。ドメイン 3 には、いくつかの物理的セキュリティのトピックが含まれます。なお、2024 年については、このドメインは変更されていません（タイトルは同じ、内容も同じで、追加や削除はありません）。
セキュリティを向上させるには、データと物理的資産の両方を特定し、その重要度や機密性に基づいて分類する必要があります。分類に応じて、それらを適切に取り扱うための手順を指定できるようになります。
多くの場合、管理者はデータの保管や保護に重点を置き、データの削除をおろそかにしがちですが、データのライフサイクルのあらゆる段階が重要です。
セキュリティ アーキテクチャとエンジニアリング
このドメインは、他のいくつかのドメインよりも技術的です。すでにセキュリティエンジニアリングの役割で働いている場合は、このドメインで有利になります。そうでない場合は、扱うトピックを確実にしっかり理解できるよう、追加の時間を確保してください。また、このドメインの概念の一部は基礎的な性質を持っているため、他のドメイン全体を通してそれらの側面を見つけることになるでしょう。
セキュリティの観点からエンジニアリングプロセスを管理する際には、セキュリティ要件を満たす、またはそれを上回る安全なソリューションに行き着くよう、実績のある原則を用いる必要があります。研究は、アイデア／コンセプトの段階や設計の段階など、いくつかのフェーズで大きな役割を果たします。さらに、このセクションのサブトピックはすべて新しい内容であり、いずれもエンジニアリングにおけるセキュリティ面に焦点が当てられています。
通信とネットワークセキュリティ
ネットワーキングは、CISSP 試験の中でも最も複雑なトピックの1つになり得ます。ネットワークに関する背景がある場合は、このドメインは難しく感じないでしょう。とはいえ、ネットワーキングの経験があまりない場合は、このセクションに追加で時間をかけ、さらに、このセクションを一通り学んだ後でもまだ理解できないトピックについて深掘りすることを検討してください。
このセクションでは、セキュリティに重点を置いたネットワーキングの設計面を扱います。ネットワーキングの主な機能は通信を可能にすることですが、セキュリティによって、通信が許可されたデバイス同士の間でのみ行われること、また必要に応じて通信が非公開（プライベート）に保たれることが保証されます。
アイデンティティおよびアクセス管理
このセクションでは、ユーザー名、パスワード、ディレクトリなど、認証および認可に関連する技術と概念を扱います。領域としてはそれほど広大ではありませんが技術的であり、これらの技術の設計と実装に関する重要な詳細が数多くあります。
資産の種類に関係なくアクセスを制御するための、いくつかの共通した方法があります。たとえば、まずユーザーを認証する方法が必要です——ユーザーが自分の主張する通りの人物（存在）であることを検証します。次に、ユーザーを認可する方法が必要です——特定の資産に対して、要求された操作（読み取り、書き込み、削除など）を実行する権限があるかどうかを判断します。認証と認可が通常どのように機能するのか、もう少し詳しく見ていきましょう。
セキュリティ評価とテスト
このセクションでは、評価および監査を扱うとともに、それらを実施するために理解しておくことが期待されるすべての技術や手法を紹介します。
組織の監査戦略は、その規模、業界、財務状況、およびその他の要因によって異なります。規模の小さい非営利団体、小規模な民間企業、そして小規模な上場企業では、監査戦略に対する要件や目標がそれぞれ異なります。監査戦略は、現在の戦略によって組織が自らに不利益をもたらしていないことを確認するため、定期的に評価し、テストする必要があります。
セキュリティ運用
この領域は、環境を守るための日々の業務に焦点を当てています。運用以外の役割（たとえばエンジニアリングやアーキテクチャ）に携わっている場合は、ここで扱う情報に十分に慣れるために、このセクションに追加の時間をかけるべきです。この領域では、前の領域に見られるような設計や計画上の検討事項よりも、「どのように実施するか」に重点を置いた、より実践的なセクションが多いことに気づくでしょう。
ソフトウェア開発のセキュリティ
この領域では、ソフトウェア開発におけるリスクとセキュリティの管理に焦点を当てます。セキュリティは開発ライフサイクルの中核として扱われるべきであり、プロセスへの“後付け”や“後回し”であってはなりません。開発の方法論やライフサイクルは、組織内でセキュリティをどのように捉え、どのように実装するかに大きな影響を与えます。
このセクションでは、アプリケーションを開発する際に考慮すべきさまざまな方法と観点について説明します。開発のライフサイクルには通常、最終的な目標や到達点はありません。代わりに、プロジェクトのさまざまなフェーズで実施すべき手順を含む、継続的な取り組みのループです。
今すぐ無料の CISSP Study Guide PDF をダウンロードし、認定成功への次の一歩を踏み出しましょう！
セキュリティ運用（security operations）領域を学習していますか？ Netwrix Auditor は、IT システム全体での変更とアクセスを追跡することで、これらの概念を実際の形で示します。ガバナンス、リスク、コンプライアンス（governance, risk, and compliance）領域については、Netwrix が コンプライアンスを達成し維持する ためにどのように役立つかをご覧ください。
共有する