CEH(認定ホワイトハッカー)の難易度は中級！合格率と400時間の壁・案件価値まで解説

CEH（認定ホワイトハッカー）の受験を考えると、こういう不安が次々に浮かんできます。
先に結論をお伝えすると、CEHの難易度は「中級」です。

125問・4時間の選択式で、合格ラインは試験形式によって60〜85%と動きます。
範囲をきちんと押さえれば、手が届かない資格ではありません。

このメディアは、セキュリティ人材のフリーランス（案件参画）を支援しているスプラッシュエンジニアリングが運営しています。

この記事でわかることは次のとおりです。

読み終える頃には、CEHの難易度を自分の状況で見積もり、取得後のリターンまで見通せるようになります。

※記事の内容をサクッと確認したい方は、以下のスライドでご確認いただけます。

CEHの難易度は「中級」合格率6〜7割が一つの目安

CEHの難易度は中級で、闇雲に恐れる必要はありません。
まずは全体像を最短でつかみましょう。

CEHの合格率と合格ラインの実態

CEHの合格率は、EC-Councilから公式には公表されていません。
一般には6〜7割程度が目安といわれますが、これはGSXのブログなど受験者の報告をもとにした非公式な推計です。
公式の数字ではないので、参考程度に見ておくのが安全です。

ただ、試験の形式ははっきりしています。
CEH試験の概要は以下のとおりです。

項目	内容
問題数	125問
試験時間	4時間（240分）
出題形式	選択式（四択）
合格ライン	60〜85%（試験形式により可変）

合格ラインに幅があるのは、試験に複数のフォームがあり、問題ごとの難易度に応じてカットスコアが調整されるためです（GSX公式・CEHコース）。
簡単なフォームなら合格ラインが上がり、難しいフォームなら下がる、という仕組みです。
公表された合格率に一喜一憂するより、どのフォームでも6割以上を安定して取れる実力を目標にするほうが現実的です。

CEH合格に必要な学習時間の目安は300〜500時間

難易度を測るうえでわかりやすいのが、合格までに必要な学習時間です。
必要な時間に公式な規定はありません。
ここで示す数値は、受験者が公開している体験記（二次情報）をもとにした目安として捉えてください。
おおまかには次のように整理できます。

たとえば未経験から400時間を確保するなら、平日1時間・休日3時間のペースでおよそ7か月です。
短くはありませんが、範囲が明確なぶん計画は立てやすいです。
IT実務の経験があれば、ネットワークやOSの基礎を省ける分だけ時間を圧縮できます。
逆に、まったくの初学者が数週間で駆け抜けようとすると、演習不足で得点が伸びません。

自分の現在地を見極めて、無理のない期間を先に決める。
遠回りに見えて、これが一番の近道です。

CEHが難しいと言われる4つの理由

CEHが難しいと感じる理由は、大きく4つに分けられます。
順に見ていきます。

出題範囲が20モジュールと広い

CEH v13の出題範囲は、20のモジュールで構成されています。
偵察やスキャニングから、システムハッキング、Webアプリ攻撃、クラウド、暗号まで、扱う領域がとにかく広いです。
主なモジュールの領域は次のとおりです。

ひとつひとつは浅くても、これだけの分野を横断するので、得意分野だけで押し切れません。
ネットワークが得意でも暗号が手薄、という状態だと合格ラインで取りこぼします。

だからこそ、まず公式のブループリント（出題範囲表）を手元に置き、20モジュールを地図として学習設計の起点にすると効きます（EC-Council公式・CEH）。
どこが自分の弱点かを早めに把握できれば、限られた時間を配分しやすくなります。

暗記では解けず攻撃原理とツール操作の理解が問われる

CEHは用語の丸暗記だけでは得点が伸びにくい試験です。
選択式ではありますが、攻撃がどの順序で成立し、どのツールを何のために使うのかを理解していないと選択肢を絞れません。
たとえば、こういう問い方をされます。

要は「手順と原理をセットで理解しているか」が問われます。
これを机上の暗記だけで乗り切るのは難しく、実際に手を動かす学習が近道になります。

CEH公式には演習環境iLabsが用意され、GSXコースでは221のラボシナリオと6か月有効のIDが提供されます（GSX公式・CEHコース）。
講座の40%以上がラボ演習に充てられていて、手を動かす前提の設計です。
攻撃を再現してツールの挙動を自分の目で見ておくと、本番で選択肢の意味がすっと入ってきます。

日本語教材はあるが英語情報のキャッチアップが必要

CEHには日本語のローカライズが用意されていて、試験も日本語翻訳版で受けられます。
GSXの公式トレーニングも日本語なので、言語だけで詰むことはありません。
ただ、難易度を押し上げる要因として英語情報の存在があります。

日本語教材は体系的な基礎固めに向いていますが、最新の手法やツールの細かい挙動までは追いきれない場面があります。
なので、要所では英語の一次情報にあたる姿勢があると得点が安定します。

とはいえ、いきなり英語論文を読む必要はありません。
まずは日本語で全体像をつかみ、つまずいた用語やツールだけ英語の公式ページで確認する、という使い分けが現実的です。
翻訳ツールを併用すれば、英語のハードルはかなり下げられます。

v13でAIハッキングや量子時代の暗号など最新領域が追加された

CEHは版を重ねていて、2026年6月時点の最新版はv13です。
v13は「AIを組み込んだ倫理的ハッキング資格」とされ、20モジュール全体にAIの視点が取り入れられました。
主な最新領域は次のとおりです。

暗号を扱うモジュール20では、量子コンピューティングによる攻撃や耐量子暗号といった現代的なテーマが加わっています（EC-Council公式・CEH）。
古い版を前提にした対策情報を鵜呑みにすると、AIや量子まわりの新しい出題で足をすくわれます。

数年前の体験談や旧版の範囲だけで準備した人ほど、この差でつまずきがちです。
学習教材や情報は、v13に対応した最新のものかどうかを必ず確認してください。

他のセキュリティ資格と比べたCEHの難易度ポジション

難易度の高さだけでなく、目的の軸でCEHの位置を確認します。

CISSP・CISMとの違いはマネジメント系か攻撃技術系か

CEHとよく比較されるのがCISSPやCISMです。
同じセキュリティ資格でも、目的の方向がはっきり違います。
違いを整理すると次のようになります。

資格	性格	主な対象
CEH	攻撃技術系（攻撃者視点の手法）	技術担当・診断者
CISSP	マネジメント系（8ドメインの統括）	管理者・責任者層
CISM	マネジメント系（情報セキュリティ管理）	管理者層

CISSPはISC2が運営し、セキュリティを戦略・統括する立場に向けた8ドメインの広い知識が問われます。
対してCEHは、攻撃手法を手を動かして理解する技術寄りの資格です。
どちらが上か下かではなく、目指す役割が違うと捉えるのが正確です。

CISSPそのものの難しさはCISSPの難易度を解説した記事で詳しく扱っています。
手を動かして守りを固めたいならCEH、組織全体の方針を描く立場を目指すならCISSPと、適性で選ぶのがオススメです。

OSCP・PenTest+との違いは実技の重さ

同じ攻撃技術系でも、OSCPやPenTest+とは実技の比重が違います。
CEHは演習を前提にしつつ、試験自体は選択式が中心です。
比重の違いは次のように整理できます。

OSCPは制限時間内に実際のマシンを攻略してレポートを提出する、実践色の濃い試験です。
そのぶん準備の負荷は高く、実技の壁で苦戦する人も少なくありません。

CEHはまず攻撃手法を体系的に整理する段階に向いていて、OSCPはその先の「実際に手を動かして突破する力」を証明する段階、という関係です。
実技の比重が高いペネトレーションの仕事像はペネトレーションテスターの解説記事でも紹介しています。

体系的な土台をCEHで作り、実戦力をOSCPで示すという順路を描く人もいます。
自分が今どの段階にいるかで選ぶと、遠回りを避けられます。

情報処理安全確保支援士やSecurity+との違いは国家資格か基礎か

国家資格や基礎資格との違いも押さえておきましょう。
情報処理安全確保支援士は日本の国家資格で、CompTIA Security+は基礎・入口に位置づけられます。
立ち位置を並べると次のとおりです。

初学者がいきなりCEHに挑むより、Security+のような基礎で土台を作り、そこからCEHへ進む順路が一般的です。
情報処理安全確保支援士はIPAが運営する国家資格で、国内の制度理解や登録制度と結びつく点が特徴です。

その難易度や位置づけは情報処理安全確保支援士の難易度を解説した記事で詳しく扱っています。
CEHは国際的な攻撃技術の証明という色が濃く、守備範囲が違います。

どれかひとつで完結するというより、目的に応じて組み合わせる発想が役立ちます。

CEHの受験資格と費用が難易度を左右する前提条件

試験の難しさ以前に、受験資格と費用というハードルがあります。
まずこの2点を確認しておくと、後の計画が立てやすいです。

受験資格は公式トレーニング受講か2年以上の実務経験

CEHは誰でもすぐに受験できるわけではありません。
受験資格を得るルートは、大きく2つあります。

公式トレーニングを受講すると、修了時に受験資格コードが発行されます。
実務経験ルートでは、2年以上の経験を示す書類（上長の署名など）を提出し、審査を通す必要があります。
この申請料100ドルは、審査が通らなくても返金されないので注意してください。

どちらが向くかは状況次第です。
基礎から体系的に学びたい人や実務経験が浅い人は公式トレーニングが安心で、すでに現場経験が十分ある人は実務経験ルートで費用を抑える選択もあります。
自分の経験年数と、演習環境を用意しやすいかどうかを基準に選ぶのが現実的です。

費用の目安はGSX公式コースで約54.7万円から

費用は難易度を左右する現実的な要素です。
日本語で受けられるGSXの公式コースは、目安として約54.7万円（税込）からとされています。
コースの概要は次のとおりです。

項目	内容
料金	約547,800円（税込）〜（※改定される場合あり）
期間	5日間（日本語）
含まれるもの	CEH試験・iLabs演習ID（6か月有効）
試験形式	125問・4時間・選択式

料金には試験費用と演習環境が含まれ、講座の40%以上がラボ演習という実践的な構成です（GSX公式・CEHコース）。
安い金額ではないので、受講する前に「取得後どう活かすか」まで描いておきたいところです。

なお料金は改定されることがあるため、申し込み前に必ず公式サイトで最新の金額を確認してください。
実務経験ルートで独学すれば費用は抑えられますが、演習環境を別途どう用意するかが課題になります。

難易度を踏まえたCEH合格の勉強法

難しい理由がわかれば、対策は具体化できます。
4つの理由に対応した勉強法を紹介します。

公式演習とブループリントを学習の軸にする

最短で合格に近づくには、学習の軸を決めることが大事です。
オススメは、公式のブループリント（出題範囲）と演習環境を中心に据える進め方です。

軸にすべき要素は次のとおりです。

CEHは手順と原理の理解が問われるので、読むだけの学習では得点が頭打ちになりがちです。
実際に攻撃を再現し、ツールの出力を自分の目で確認すると、選択肢の意味が腹落ちします。

GSXコースはラボが充実していて、独学の場合も検証用の仮想環境を用意して手を動かすと効きます（GSX公式・CEHコース）。

まず範囲の地図を持ち、演習で手を動かす。
この2つを軸にすれば、広い範囲でも迷子になりにくくなります。

市販書籍で基礎を固め苦手分野を潰す

演習と並行して、市販の書籍で基礎を固めると理解が安定します。
日本語の書籍は、体系立てて全体像をつかむのに向いています。

英語版になりますが『All-in-One CEH Certified Ethical Hacker Exam Guide』は出題範囲を網羅した定番書で、購入時に版がv13に対応しているかを確認すると失敗が減ります。

進め方のポイントは次のとおりです。

CEHは範囲が広いぶん、得意分野だけを繰り返しても総合点は伸びません。
むしろ、間違いが多い分野を早めに洗い出して、そこに時間を寄せるほうが効率的です。

オススメは、問題を解くたびに分野ごとの正答率を記録しておく方法です。
数字で弱点が見えると、感覚に頼らず配分を決められます。

基礎書籍で土台を作り、演習で実戦感覚を養い、苦手を個別に潰す。
この往復を繰り返すと、どのフォームでも安定して6割以上を狙える力がついてきます。

学習時間を確保するスケジュールの組み方

300〜500時間を確保するには、受験日から逆算する計画が効きます。
生活に落とし込むと、無理のないペースが見えてきます。

配分の一例は次のとおりです。

まず受験日を決め、そこから逆算して週あたりの時間を割り振ると、必要量がはっきりします。
未経験者は基礎固めに時間がかかるので、序盤に余裕を持たせるのがオススメです。

経験者は基礎を短縮できるぶん、演習と苦手分野に時間を寄せられます。
大切なのは、毎日少しずつでも続けることです。

週末にまとめてやろうとすると挫折しやすいので、平日にも学習を組み込むと定着します。
先に予定表へ落とし込んでおけば、忙しい時期でもペースを崩しにくくなります。

CEH取得後の市場価値と案件への活き方

難易度に見合うリターンはあるのか。
取得後の市場価値と、案件への活かし方を見ます。

CEHが評価される実務は脆弱性診断・ペネトレ・SOC監査

CEHは、攻撃者視点のスキルを証明する資格として実務で評価されやすい傾向があります。
特に武器になりやすいのは、次のような領域です。

こうした仕事は、攻撃がどう成立するかを理解している人ほど成果を出しやすい領域です。
CEHで攻撃手法を体系的に学んでいると、診断の観点や監査の勘所をつかみやすくなります。
たとえば脆弱性診断の仕事内容は脆弱性診断エンジニアの解説記事でも詳しく紹介しています。

もちろん資格だけで実務がこなせるわけではありません。
ただ、攻撃者の思考を学んだ証明として、案件を任せる側の安心材料になりやすいのは確かです。
未経験からこれらの領域を目指す人にとって、CEHは入口の名刺代わりになります。
学んだ手法を実案件で試し、成果として積み上げていくと、評価が固まっていきます。

フリーランス案件や単価にどうつながるか

取得が案件参画や単価にどうつながるのかは、多くの人が気になる点だと思います。
結論を言うと、資格単体よりも「資格×実務」の掛け算で単価が動く構造です。
おおまかな傾向を整理します。

セキュリティ人材の不足は続いていて、攻撃技術を持つ人材の需要は底堅い状況です。
そのなかでCEHは、攻撃者視点を学んだ証明として案件参画の後押しになります。

ただ、実際の単価は経験や案件内容で大きく変わるので、断定的な数字を鵜呑みにするのは禁物です。
そこで参考になるのが、実際に公開されている掲載案件です。

脆弱性診断やペネトレーションの案件は、セキュリティ領域のなかでも単価が高めに設定される傾向があります。
CEHで学んだ手法を活かせる案件の相場感は、セキュリティプロ・フリーランスの掲載から職種別に確認できます。

資格だけで終わらせず実務に接続するために

CEHは取得がゴールではなく、実務への通過点と捉えるのが健全です。
資格で学んだ手法を実案件で使ってこそ、市場価値につながります。
接続のために意識したいことは次のとおりです。

資格を取っただけで案件が舞い込むわけではありません。
現場で手を動かし、成果を出して初めて「使える人材」として評価されます。

とはいえ、未経験からいきなり実務案件を得るのが簡単でないのも事実です。
そういうときは、案件参画を支援する事業者を活用するのもひとつの手です。
セキュリティ人材のフリーランスを支援するスプラッシュエンジニアリングは、CEHや攻撃技術を活かせる案件参画の選択肢になります。

CEHや攻撃技術系のスキルを案件で活かしたい方は、セキュリティプロ・フリーランスで案件を見るところから始めてみてください。

CEHの難易度に関するよくある質問

最後に、CEHの難易度でよくある疑問にまとめて答えます。

CEHは独学でも合格できますか

独学での合格は可能ですが、いくつか前提があります。
最大の壁は、合否以前の受験資格です。
独学ルートで受けるには、次のどちらかが必要です。

• 情報セキュリティの実務経験2年以上を証明して申請する
• または公式トレーニングを受講して受験資格を得る

実務経験がない場合、独学だけでは受験資格の要件を満たせないので注意してください。
また、CEHは手順とツール操作の理解が問われるため、演習環境をどう確保するかが独学成功の鍵になります。

市販書籍で知識を固めつつ、検証用の仮想環境で実際に手を動かせる人であれば、独学でも十分に狙えます。
逆に、環境構築や英語の一次情報に不安がある人は、公式トレーニングのほうが近道になりやすいです。
まずは自分が受験資格をどう満たすかを先に決めて、そこから学習計画を立て始めましょう。

CEHは意味ない・取る価値はあると言えますか

「意味ない」という声も見かけますが、答えは目的次第です。
価値が出るかどうかは、取得の狙いと自分のキャリアが合っているかで決まります。

• 攻撃手法を体系的に学びたい人には価値が高い
• 診断・ペネトレ案件で証明が欲しい人にも有効
• 目的が曖昧なまま取ると過剰投資になりやすい

CEHは攻撃者視点を体系立てて学べる資格で、診断や監査の実務と相性が良いです。
こういう目的に合致していれば、費用と時間に見合う価値があります。

反対に、キャリアの方向とずれたまま「なんとなく」取得すると、費用対効果は悪く感じられます。
「意味がない」のではなく、「目的と合っていないと意味を感じにくい」というのが正確なところです。
取得を検討するときは、まず自分がCEHで何を証明したいのかをはっきりさせることをオススメします。

未経験からでもCEHに挑戦できますか

未経験からの挑戦も可能ですが、順路と覚悟が必要です。
いきなりCEHに挑むより、段階を踏むほうが挫折しにくくなります。

• CompTIA Security+などの基礎資格で土台を作る
• 実務経験または公式トレーニングで受験資格を得る
• 演習で手を動かしながらCEHに挑戦する

未経験者の場合、合格までの学習時間は400〜500時間が目安です。
基礎知識がないところからだと、ネットワークやOSの理解に時間がかかるためです。
そのぶん、最初に基礎を固めておくと後半の伸びが変わってきます。

また、受験資格の要件があるので、公式トレーニングを入口にする人も少なくありません。
時間はかかりますが、範囲が明確な資格なので、計画的に進めれば未経験からでも十分に到達できます。
Security+などで土台を固めた段階を経ると、CEHの演習に入ったときに詰まる回数が目に見えて減ります。

まとめ！CEHの難易度を正しく見積もり案件価値につなげる

CEHの難易度は中級で、125問・4時間の選択式、合格ラインは60〜85%と動きます。
合格までの学習時間は300〜500時間が目安で、範囲は20モジュールと広く、v13ではAIや量子時代の暗号まで広がりました。

難易度はたしかにコストですが、その先には脆弱性診断・ペネトレーション・監査といった案件で評価される市場価値というリターンがあります。
大切なのは、難易度を自分の状況で見積もり、取得後に実務へつなげることです。

資格は名刺、実務は実力。
この両輪を回すことで、CEHは案件参画への確かな一歩になります。

CEHや攻撃技術系のスキルを活かせる案件を探すなら、セキュリティプロ・フリーランスへの登録から始めてみてください。