チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
CEH（認定ホワイトハッカー）の受験を考えると、こういう不安が次々に浮かんできます。
先に結論をお伝えすると、CEHの難易度は「中級」です。
125問・4時間の選択式で、合格ラインは試験形式によって60〜85%と動きます。
範囲をきちんと押さえれば、手が届かない資格ではありません。
このメディアは、セキュリティ人材のフリーランス（案件参画）を支援しているスプラッシュエンジニアリングが運営しています。
この記事でわかることは次のとおりです。
読み終える頃には、CEHの難易度を自分の状況で見積もり、取得後のリターンまで見通せるようになります。
チップスボス〜、CEHって名前はカッコいいでしゅけど、正直オイラでも受かるのか不安でしゅ…
ボスふふふ、安心しろ。難易度は中級だ。やることを整理すれば怖くない。この記事で全部見せてやる。
※記事の内容をサクッと確認したい方は、以下のスライドでご確認いただけます。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【750～1100万円】社内ITセキュリティマネージャー｜IPO準備中のイノベーションファーム
情報セキュリティ施策推進担当者【550～765万円・在宅メイン】
CEHの難易度は中級で、闇雲に恐れる必要はありません。
まずは全体像を最短でつかみましょう。
CEHの合格率は、EC-Councilから公式には公表されていません。
一般には6〜7割程度が目安といわれますが、これはGSXのブログなど受験者の報告をもとにした非公式な推計です。
公式の数字ではないので、参考程度に見ておくのが安全です。
ただ、試験の形式ははっきりしています。
CEH試験の概要は以下のとおりです。
| 項目 | 内容 |
|---|---|
| 問題数 | 125問 |
| 試験時間 | 4時間（240分） |
| 出題形式 | 選択式（四択） |
| 合格ライン | 60〜85%（試験形式により可変） |
合格ラインに幅があるのは、試験に複数のフォームがあり、問題ごとの難易度に応じてカットスコアが調整されるためです（GSX公式・CEHコース）。
簡単なフォームなら合格ラインが上がり、難しいフォームなら下がる、という仕組みです。
公表された合格率に一喜一憂するより、どのフォームでも6割以上を安定して取れる実力を目標にするほうが現実的です。
難易度を測るうえでわかりやすいのが、合格までに必要な学習時間です。
必要な時間に公式な規定はありません。
ここで示す数値は、受験者が公開している体験記（二次情報）をもとにした目安として捉えてください。
おおまかには次のように整理できます。
たとえば未経験から400時間を確保するなら、平日1時間・休日3時間のペースでおよそ7か月です。
短くはありませんが、範囲が明確なぶん計画は立てやすいです。
IT実務の経験があれば、ネットワークやOSの基礎を省ける分だけ時間を圧縮できます。
逆に、まったくの初学者が数週間で駆け抜けようとすると、演習不足で得点が伸びません。
自分の現在地を見極めて、無理のない期間を先に決める。
遠回りに見えて、これが一番の近道です。
チップス400時間って、気が遠くなる数字でしゅ…
ボス逆だ。ゴールまでの距離が数字で見えるほど、計画は立てやすい。見えない敵が一番怖いんだ。
CEHが難しいと感じる理由は、大きく4つに分けられます。
順に見ていきます。
CEH v13の出題範囲は、20のモジュールで構成されています。
偵察やスキャニングから、システムハッキング、Webアプリ攻撃、クラウド、暗号まで、扱う領域がとにかく広いです。
主なモジュールの領域は次のとおりです。
ひとつひとつは浅くても、これだけの分野を横断するので、得意分野だけで押し切れません。
ネットワークが得意でも暗号が手薄、という状態だと合格ラインで取りこぼします。
だからこそ、まず公式のブループリント（出題範囲表）を手元に置き、20モジュールを地図として学習設計の起点にすると効きます（EC-Council公式・CEH）。
どこが自分の弱点かを早めに把握できれば、限られた時間を配分しやすくなります。
CEHは用語の丸暗記だけでは得点が伸びにくい試験です。
選択式ではありますが、攻撃がどの順序で成立し、どのツールを何のために使うのかを理解していないと選択肢を絞れません。
たとえば、こういう問い方をされます。
要は「手順と原理をセットで理解しているか」が問われます。
これを机上の暗記だけで乗り切るのは難しく、実際に手を動かす学習が近道になります。
CEH公式には演習環境iLabsが用意され、GSXコースでは221のラボシナリオと6か月有効のIDが提供されます（GSX公式・CEHコース）。
講座の40%以上がラボ演習に充てられていて、手を動かす前提の設計です。
攻撃を再現してツールの挙動を自分の目で見ておくと、本番で選択肢の意味がすっと入ってきます。
CEHには日本語のローカライズが用意されていて、試験も日本語翻訳版で受けられます。
GSXの公式トレーニングも日本語なので、言語だけで詰むことはありません。
ただ、難易度を押し上げる要因として英語情報の存在があります。
日本語教材は体系的な基礎固めに向いていますが、最新の手法やツールの細かい挙動までは追いきれない場面があります。
なので、要所では英語の一次情報にあたる姿勢があると得点が安定します。
とはいえ、いきなり英語論文を読む必要はありません。
まずは日本語で全体像をつかみ、つまずいた用語やツールだけ英語の公式ページで確認する、という使い分けが現実的です。
翻訳ツールを併用すれば、英語のハードルはかなり下げられます。
CEHは版を重ねていて、2026年6月時点の最新版はv13です。
v13は「AIを組み込んだ倫理的ハッキング資格」とされ、20モジュール全体にAIの視点が取り入れられました。
主な最新領域は次のとおりです。
暗号を扱うモジュール20では、量子コンピューティングによる攻撃や耐量子暗号といった現代的なテーマが加わっています（EC-Council公式・CEH）。
古い版を前提にした対策情報を鵜呑みにすると、AIや量子まわりの新しい出題で足をすくわれます。
数年前の体験談や旧版の範囲だけで準備した人ほど、この差でつまずきがちです。
学習教材や情報は、v13に対応した最新のものかどうかを必ず確認してください。
チップス範囲が広くて、しかもAIとか量子とか…オイラの頭がショートしそうでしゅ…
ボス慌てるな。広いからこそ、地図（ブループリント）を先に持て。闇雲に走る奴から脱落していくんだ。
難易度の高さだけでなく、目的の軸でCEHの位置を確認します。
CEHとよく比較されるのがCISSPやCISMです。
同じセキュリティ資格でも、目的の方向がはっきり違います。
違いを整理すると次のようになります。
| 資格 | 性格 | 主な対象 |
|---|---|---|
| CEH | 攻撃技術系（攻撃者視点の手法） | 技術担当・診断者 |
| CISSP | マネジメント系（8ドメインの統括） | 管理者・責任者層 |
| CISM | マネジメント系（情報セキュリティ管理） | 管理者層 |
CISSPはISC2が運営し、セキュリティを戦略・統括する立場に向けた8ドメインの広い知識が問われます。
対してCEHは、攻撃手法を手を動かして理解する技術寄りの資格です。
どちらが上か下かではなく、目指す役割が違うと捉えるのが正確です。
CISSPそのものの難しさはCISSPの難易度を解説した記事で詳しく扱っています。
手を動かして守りを固めたいならCEH、組織全体の方針を描く立場を目指すならCISSPと、適性で選ぶのがオススメです。
同じ攻撃技術系でも、OSCPやPenTest+とは実技の比重が違います。
CEHは演習を前提にしつつ、試験自体は選択式が中心です。
比重の違いは次のように整理できます。
OSCPは制限時間内に実際のマシンを攻略してレポートを提出する、実践色の濃い試験です。
そのぶん準備の負荷は高く、実技の壁で苦戦する人も少なくありません。
CEHはまず攻撃手法を体系的に整理する段階に向いていて、OSCPはその先の「実際に手を動かして突破する力」を証明する段階、という関係です。
実技の比重が高いペネトレーションの仕事像はペネトレーションテスターの解説記事でも紹介しています。
体系的な土台をCEHで作り、実戦力をOSCPで示すという順路を描く人もいます。
自分が今どの段階にいるかで選ぶと、遠回りを避けられます。
国家資格や基礎資格との違いも押さえておきましょう。
情報処理安全確保支援士は日本の国家資格で、CompTIA Security+は基礎・入口に位置づけられます。
立ち位置を並べると次のとおりです。
初学者がいきなりCEHに挑むより、Security+のような基礎で土台を作り、そこからCEHへ進む順路が一般的です。
情報処理安全確保支援士はIPAが運営する国家資格で、国内の制度理解や登録制度と結びつく点が特徴です。
その難易度や位置づけは情報処理安全確保支援士の難易度を解説した記事で詳しく扱っています。
CEHは国際的な攻撃技術の証明という色が濃く、守備範囲が違います。
どれかひとつで完結するというより、目的に応じて組み合わせる発想が役立ちます。
チップスどれも似た名前に見えて、頭がこんがらがるでしゅ…
ボス名前で覚えるな。「攻撃技術か、管理か、基礎か」で分けろ。軸が決まれば迷わん。
試験の難しさ以前に、受験資格と費用というハードルがあります。
まずこの2点を確認しておくと、後の計画が立てやすいです。
CEHは誰でもすぐに受験できるわけではありません。
受験資格を得るルートは、大きく2つあります。
公式トレーニングを受講すると、修了時に受験資格コードが発行されます。
実務経験ルートでは、2年以上の経験を示す書類（上長の署名など）を提出し、審査を通す必要があります。
この申請料100ドルは、審査が通らなくても返金されないので注意してください。
どちらが向くかは状況次第です。
基礎から体系的に学びたい人や実務経験が浅い人は公式トレーニングが安心で、すでに現場経験が十分ある人は実務経験ルートで費用を抑える選択もあります。
自分の経験年数と、演習環境を用意しやすいかどうかを基準に選ぶのが現実的です。
費用は難易度を左右する現実的な要素です。
日本語で受けられるGSXの公式コースは、目安として約54.7万円（税込）からとされています。
コースの概要は次のとおりです。
| 項目 | 内容 |
|---|---|
| 料金 | 約547,800円（税込）〜（※改定される場合あり） |
| 期間 | 5日間（日本語） |
| 含まれるもの | CEH試験・iLabs演習ID（6か月有効） |
| 試験形式 | 125問・4時間・選択式 |
料金には試験費用と演習環境が含まれ、講座の40%以上がラボ演習という実践的な構成です（GSX公式・CEHコース）。
安い金額ではないので、受講する前に「取得後どう活かすか」まで描いておきたいところです。
なお料金は改定されることがあるため、申し込み前に必ず公式サイトで最新の金額を確認してください。
実務経験ルートで独学すれば費用は抑えられますが、演習環境を別途どう用意するかが課題になります。
チップスえ、勉強する前に受験資格ってものがあるんでしゅか！？知らなかったでしゅ…
ボスそこでつまずく奴が多いんだ。資格と費用、この2つを先に確認しておけ。話はそれからだ。
難しい理由がわかれば、対策は具体化できます。
4つの理由に対応した勉強法を紹介します。
最短で合格に近づくには、学習の軸を決めることが大事です。
オススメは、公式のブループリント（出題範囲）と演習環境を中心に据える進め方です。
軸にすべき要素は次のとおりです。
CEHは手順と原理の理解が問われるので、読むだけの学習では得点が頭打ちになりがちです。
実際に攻撃を再現し、ツールの出力を自分の目で確認すると、選択肢の意味が腹落ちします。
GSXコースはラボが充実していて、独学の場合も検証用の仮想環境を用意して手を動かすと効きます（GSX公式・CEHコース）。
まず範囲の地図を持ち、演習で手を動かす。
この2つを軸にすれば、広い範囲でも迷子になりにくくなります。
演習と並行して、市販の書籍で基礎を固めると理解が安定します。
日本語の書籍は、体系立てて全体像をつかむのに向いています。
英語版になりますが『All-in-One CEH Certified Ethical Hacker Exam Guide』は出題範囲を網羅した定番書で、購入時に版がv13に対応しているかを確認すると失敗が減ります。
進め方のポイントは次のとおりです。
CEHは範囲が広いぶん、得意分野だけを繰り返しても総合点は伸びません。
むしろ、間違いが多い分野を早めに洗い出して、そこに時間を寄せるほうが効率的です。
オススメは、問題を解くたびに分野ごとの正答率を記録しておく方法です。
数字で弱点が見えると、感覚に頼らず配分を決められます。
基礎書籍で土台を作り、演習で実戦感覚を養い、苦手を個別に潰す。
この往復を繰り返すと、どのフォームでも安定して6割以上を狙える力がついてきます。
300〜500時間を確保するには、受験日から逆算する計画が効きます。
生活に落とし込むと、無理のないペースが見えてきます。
配分の一例は次のとおりです。
まず受験日を決め、そこから逆算して週あたりの時間を割り振ると、必要量がはっきりします。
未経験者は基礎固めに時間がかかるので、序盤に余裕を持たせるのがオススメです。
経験者は基礎を短縮できるぶん、演習と苦手分野に時間を寄せられます。
大切なのは、毎日少しずつでも続けることです。
週末にまとめてやろうとすると挫折しやすいので、平日にも学習を組み込むと定着します。
先に予定表へ落とし込んでおけば、忙しい時期でもペースを崩しにくくなります。
チップス独学と公式コース、どっちがいいのか迷うでしゅ…
ボス経験と財布と相談だ。演習環境を自前で用意できるなら独学、手取り足取りなら公式。どちらも「手を動かす」ことだけは省くな。
難易度に見合うリターンはあるのか。
取得後の市場価値と、案件への活かし方を見ます。
CEHは、攻撃者視点のスキルを証明する資格として実務で評価されやすい傾向があります。
特に武器になりやすいのは、次のような領域です。
こうした仕事は、攻撃がどう成立するかを理解している人ほど成果を出しやすい領域です。
CEHで攻撃手法を体系的に学んでいると、診断の観点や監査の勘所をつかみやすくなります。
たとえば脆弱性診断の仕事内容は脆弱性診断エンジニアの解説記事でも詳しく紹介しています。
もちろん資格だけで実務がこなせるわけではありません。
ただ、攻撃者の思考を学んだ証明として、案件を任せる側の安心材料になりやすいのは確かです。
未経験からこれらの領域を目指す人にとって、CEHは入口の名刺代わりになります。
学んだ手法を実案件で試し、成果として積み上げていくと、評価が固まっていきます。
取得が案件参画や単価にどうつながるのかは、多くの人が気になる点だと思います。
結論を言うと、資格単体よりも「資格×実務」の掛け算で単価が動く構造です。
おおまかな傾向を整理します。
セキュリティ人材の不足は続いていて、攻撃技術を持つ人材の需要は底堅い状況です。
そのなかでCEHは、攻撃者視点を学んだ証明として案件参画の後押しになります。
ただ、実際の単価は経験や案件内容で大きく変わるので、断定的な数字を鵜呑みにするのは禁物です。
そこで参考になるのが、実際に公開されている掲載案件です。
脆弱性診断やペネトレーションの案件は、セキュリティ領域のなかでも単価が高めに設定される傾向があります。
CEHで学んだ手法を活かせる案件の相場感は、セキュリティプロ・フリーランスの掲載から職種別に確認できます。
CEHは取得がゴールではなく、実務への通過点と捉えるのが健全です。
資格で学んだ手法を実案件で使ってこそ、市場価値につながります。
接続のために意識したいことは次のとおりです。
資格を取っただけで案件が舞い込むわけではありません。
現場で手を動かし、成果を出して初めて「使える人材」として評価されます。
とはいえ、未経験からいきなり実務案件を得るのが簡単でないのも事実です。
そういうときは、案件参画を支援する事業者を活用するのもひとつの手です。
セキュリティ人材のフリーランスを支援するスプラッシュエンジニアリングは、CEHや攻撃技術を活かせる案件参画の選択肢になります。
CEHや攻撃技術系のスキルを案件で活かしたい方は、セキュリティプロ・フリーランスで案件を見るところから始めてみてください。
チップス資格を取っても、案件につながらなきゃ意味ないでしゅよね…？
ボスそのとおりだ。資格は名刺、実力は実力。両輪がそろって初めて単価が動く。取って終わりにするな。
最後に、CEHの難易度でよくある疑問にまとめて答えます。
チップスオイラみたいな情シス2年目でも、いつか挑戦できるんでしゅか？
ボスできる。基礎を固めて、手を動かす。順番さえ間違えなければ、未経験も通過点にすぎん。
CEHの難易度は中級で、125問・4時間の選択式、合格ラインは60〜85%と動きます。
合格までの学習時間は300〜500時間が目安で、範囲は20モジュールと広く、v13ではAIや量子時代の暗号まで広がりました。
難易度はたしかにコストですが、その先には脆弱性診断・ペネトレーション・監査といった案件で評価される市場価値というリターンがあります。
大切なのは、難易度を自分の状況で見積もり、取得後に実務へつなげることです。
資格は名刺、実務は実力。
この両輪を回すことで、CEHは案件参画への確かな一歩になります。
CEHや攻撃技術系のスキルを活かせる案件を探すなら、セキュリティプロ・フリーランスへの登録から始めてみてください。
チップスなんだか、CEHが遠い資格じゃなくなってきたでしゅ！
ボスふふふ、その意気だ。難易度を知った時点で、お前はもう一歩踏み出している。あとは手を動かすだけだ。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【750～1100万円】社内ITセキュリティマネージャー｜IPO準備中のイノベーションファーム
情報セキュリティ施策推進担当者【550～765万円・在宅メイン】
