チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
こういう疑問を持つセキュリティエンジニアやコンサルタントは、けっこう多いです。
先に結論をお伝えします。
CISAの難易度は「合格率だけ見れば標準的、でも実際の壁は数字より高い」という位置づけです。
試験合格と資格認定が別物であること、そして暗記では通らない独特の思考が求められること。
この2つが理由です。
このメディアは、セキュリティ人材のフリーランス（案件参画）を支援しているスプラッシュエンジニアリングが運営しています。
公的情報と公式データを軸に、CISAの難易度をフラットに解説します。
この記事でわかることは次の通りです。
読み終える頃には、CISAを取るべきか、取るならどう戦うかが見えているはずです。
チップスボス、CISAって合格率50%くらいなら余裕でしゅよね？付箋に「合格」って書いて貼っときましゅ！
ボス……その付箋の貼り方が一番の脆弱性だがな。合格率の数字だけ見て油断すると足元をすくわれる。この記事で「本当の難しさ」を叩き込んでやる。
※記事の内容をサクッと確認したい方は、以下のスライドでご確認いただけます。
オススメ案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
難易度の結論を先に出します。
数字の輪郭をつかんだうえで、なぜ数字以上に難しいのかを掘り下げます。
CISAの合格ラインははっきりしています。
ISACA公式によると、素点は200〜800点のスケールドスコアに変換され、どの試験バージョンでも450点が合格ラインです（ISACA公式・CISA Certification）。
ただし合格率は公式に公表されていません。
そのため出回っている数字は、アビタスやTACといった受験対策各社が公表する合格目安をもとにした推定値です。
実務経験者が母集団の中心という前提を踏まえると、だいたい45〜60%程度と見られています。
これはあくまで推定で、公式の確定値ではありません。
勉強時間の目安は、立場によって変わります。
ざっと整理すると、こうなります。
数字はあくまで平均的な目安です。
監査実務の経験があるかどうかで、必要な学習量は大きく変わります。
合格率が高めに見えるからといって、CISAが「簡単な資格」とは言えません。
理由は、試験の性質と母集団にあります。
まず、試験に合格しても、それだけでCISA認定を得られるわけではありません。
後述する実務経験要件と認定プロセスという第二の壁が待っています。
次に、受験者の顔ぶれです。
CISAはIT監査やセキュリティの実務者が受けることが多く、母集団のレベルが高めです。
つまり、地力のある人たちの中での合格率だという点を、割り引いて見る必要があります。
難易度を見誤りやすいポイントは、この3つです。
こう並べると、数字の印象より実際の攻略難度は高い、とわかります。
チップス合格率が高いのは、みんなが強いからってことでしゅか…？なんだか急に怖くなってきたでしゅ。
ボスそうだ。プールの平均身長が高いのは、大人ばかり泳いでるからだ。子どもが同じ気持ちで飛び込むと溺れるぞ。
難易度を語る前に、試験の仕様を正確に押さえます。
ここではISACA公式の一次情報をもとに、範囲・費用・要件を整理します。
CISA試験は5つのドメインで構成されます。
それぞれの出題比率を知ることが、学習の重み付けに直結します。
ISACA公式の試験内容概要では、出題比率は次の通りです（ISACA公式・CISA Exam Content Outline）。
| ドメイン | 内容 | 出題比率 |
|---|---|---|
| 1 | 情報システム監査プロセス | 21% |
| 2 | ITのガバナンスとマネジメント | 17% |
| 3 | 情報システムの調達・開発・導入 | 12% |
| 4 | 情報システムの運用とビジネスレジリエンス | 23% |
| 5 | 情報資産の保護 | 27% |
試験形式は150問の4択で、制限時間は4時間です。
CBT方式なので、テストセンターやオンラインで随時受験できます。
比率を見ると、ドメイン4と5だけで全体の半分を占めます。
限られた学習時間をどこに厚く配分すべきか、この表から読み取れます。
CISAには受験料だけでなく、維持コストもかかります。
投資判断のために、総コストを把握しておきましょう。
ISACA公式の情報では、受験料と関連費用は次の通りです（2025年時点、ISACA公式・CISA認定取得ページ）。
認定を得るには、最大5年の実務経験が必要です。
情報システムの監査・統制・セキュリティ分野の経験が対象で、学位や他資格による一部代替も認められています。
維持には、年間20単位・3年間で120単位のCPE（継続教育）が必要です（ISACA公式・Maintain CISA Certification）。
取って終わりの資格ではありません。
学び続けることが前提です。
チップス取った後もずっと勉強でしゅか…！オイラ、更新のこと忘れて失効させちゃいそうでしゅ。
ボス気合いで覚えようとするな。CPEはカレンダーで管理しろ。学び続けられない奴に、監査で他人を評価する資格はないということだ。
CISAが難しいと感じる理由を、4つの壁に分けます。
壁の正体がわかれば、対策の的を絞れます。
CISA最大の難所は、知識量ではなく思考様式にあります。
これは通称「ISACA-ism」と呼ばれる、独特の判断基準です。
CISAの設問では、技術的に正しい選択肢が複数並ぶことがよくあります。
その中から「監査人として最も適切な判断はどれか」を選ばなければなりません。
正解が1つではなく、ベストな1つを選ぶ試験なのです。
たとえば、リスクを発見したときの対応を問う設問があるとします。
ここで求められるのは、技術的な修正手順ではなく、統制やガバナンスの観点からの優先順位です。
この壁を越えるための対策を挙げます。
暗記型の学習者ほど、この思考の壁でつまずきます。
知識を入れる前に、考え方をインストールする意識が必要です。
CISAは国際資格なので、設問の原文は英語ベースです。
日本語で受験する場合、訳文のクセが理解を妨げることがあります。
翻訳された設問は、独特の硬い言い回しになりがちです。
一読しただけでは何を問われているか掴みにくく、時間を奪われる原因になります。
言語面のつまずきを減らす工夫は、こんなところです。
日本語だけで押し切ろうとすると、微妙なニュアンスを取りこぼします。
用語レベルで和英を往復できると、設問の意図が格段に読みやすくなります。
試験に合格しても、それで終わりではありません。
CISA認定には、最大5年の実務経験という第二の関門があります。
対象になるのは、情報システムの監査・統制・セキュリティ分野の経験です。
学位や特定の他資格の保有で、一部を代替できる仕組みもあります。
気をつけたいのは、未経験で試験に合格した場合の扱いです。
おさえるべき注意点は3つあります。
つまり、合格はゴールではなくスタートラインです。
キャリアの計画とセットで、経験の積み上げ方まで設計しておくことが欠かせません。
CISAは範囲がとても広い試験です。
開発・運用・ガバナンス・セキュリティを横断して問われます。
特定分野の深い技術力があっても、それだけでは足りません。
むしろ求められるのは、システム全体を評価・保証する側の視点です。
技術者が陥りやすいギャップを整理します。
この視点の切り替えができないと、範囲の広さに押し流されます。
自分が作る立場から、他人の仕事を監査する立場へ頭を切り替えることが突破口です。
チップス作る側から評価する側でしゅか…オイラ、自分のパスワード管理すら評価に落ちそうでしゅ。
ボスまず自分を監査しろ。付箋のパスワードは即指摘事項だ。他人を評価する前に、足元の統制を固めるのが監査の第一歩だな。
CISAの難易度は、他資格と比べると輪郭がはっきりします。
既知の資格を基準に、難しさの種類の違いを見ていきましょう。
国内の難関資格である情報処理安全確保支援士と比べてみます。
両者は、難しさの方向性がまったく違います。
情報処理安全確保支援士は、IPAが実施する国家資格です。
合格率は例年20%前後で推移し、技術を深掘りする問題が中心です（IPA公式・情報処理安全確保支援士試験）。
対するCISAは、合格率こそ高めですが、監査思考と実務経験を問う試験です。
難しさのベクトルが、こう分かれます。
どちらが難しいかは、単純には比べられません。
自分が技術深掘り型か、統制・保証型かで、感じる難易度が逆転します。
セキュリティの上位資格群の中で、CISAの立ち位置を確認します。
代表的なのがCISSPとCISMです。
それぞれの守備範囲を整理すると、選び方が見えてきます。
| 資格 | 主な領域 | 向いている人 |
|---|---|---|
| CISSP | 技術×マネジメントの総合 | 幅広く最難関級を狙う人 |
| CISM | セキュリティマネジメント | 管理・統括を担う人 |
| CISA | 監査・保証 | 評価・第三者保証を担う人 |
CISSPは技術とマネジメントを横断し、セキュリティの上位資格群の中でも取得難度が高いとされます。
より詳しい位置づけは、CISSPの難易度を解説した記事もあわせて参考にしてください。
CISMがマネジメント寄り、CISAが監査・保証寄りという住み分けです。
目的が「守る」のか「評価する」のかで、選ぶべき資格が変わります。
資格の難易度を合格率だけで語るのは危険です。
数字が一人歩きすると、実態を見誤ります。
CISAの合格率が高めに見える背景には、いくつかの要因があります。
主なものはこの3つです。
つまり、合格率は難易度の一面しか映しません。
母集団・受験機会・認定要件まで含めた総合難易度で捉えることが、正しい評価につながります。
チップス資格ごとに難しさの種類が違うんでしゅね。数字だけ見てたら選び方まちがえそうでしゅ。
ボスそうだ。ものさしが違うものを、同じ目盛りで比べるな。お前に必要なのは、守る資格か、評価する資格か。そこから逆算しろ。
ここで、心のどこかにある疑問に答えます。
「その時間投資は報われるのか」という核心です。
CISAは、正社員市場でも一定の評価を得ています。
特に監査部門やガバナンス領域で強みを発揮します。
評価されやすいのは、こんな場面です。
年収の相場感は、公開されている職種別の統計から読み取れます。
IT監査やセキュリティ関連職は、他のIT職種と比べても高めのレンジにいる傾向があります（厚生労働省 職業情報提供サイト jobtag）。
なお、正社員の年収はあくまで比較材料です。
弊社の支援対象はフリーランス（案件参画）で、正社員転職の斡旋はしていません。
そのうえで、CISAが監査・保証というポジションで安定した評価を得やすい点は、キャリアの土台として押さえておく価値があります。
CISAが真価を発揮するのは、フリーランス市場です。
希少性が、そのまま単価の交渉力につながります。
診断や運用ができるエンジニアは、比較的多くいます。
でも、監査・保証まで語れる人材は限られます。
正直なところ、監査側に回れる人材の希少性は、これからさらに高まると見ています。
診断や運用の担い手は増えても、評価・保証まで語れる層はなかなか育たないからです。
希少性が単価を押し上げる構造は、こうなっています。
実際、金融機関のガバナンス強化やルール策定を担う案件は、この希少性が評価される代表例です。
たとえば銀行業界のFISC対応・ガバナンス強化のフリーランス案件のように、監査・統制の知見が直接単価に反映される募集があります。
具体的な案件相場を知りたい方は、セキュリティプロ・フリーランスで実際の募集条件を確認してみてください。
チップス診断はできる人が多いけど、監査まで語れる人は少ない…そこが狙い目でしゅか！
ボスふふふ、そういうことだ。難易度は市場価値の裏返しだ。誰でも越えられる壁の先に、高い報酬は落ちていない。
難易度を踏まえたうえで、現実的な学習計画を示します。
250時間を前提に、逆算で組み立てましょう。
学習期間は、実務経験の有無で大きく変わります。
自分のレベルに合った配分を選ぶことが、遠回りを防ぎます。
経験レベル別の目安は次の通りです。
出題比率の高いドメインに時間を寄せるのが鉄則です。
ドメイン4と5だけで全体の半分を占めるので、ここを後回しにすると失点が響きます。
学習の後半は、過去問演習に比重を移します。
知識のインプットより、ISACA-ismの思考に慣れる時間を意識的に取ることが、合格の分かれ目です。
教材選びは、公式を軸にするのが基本です。
遠回りしないための判断軸を整理します。
まず押さえるべき公式教材は、この3つです。
独学と講座のどちらを選ぶかは、時間の価値で判断します。
アビタスなどのISACA公式トレーニングは、体系的に学べる選択肢として存在します。
これは事実として挙げるもので、独学が劣るという意味ではありません。
判断のポイントはシンプルです。
学習時間を自力で確保・設計できるなら独学、時間をお金で買って最短距離を行きたいなら講座。
選択肢は、この2択に集約されます。
チップスオイラ、独学だと絶対ゲームしちゃうでしゅ…講座でお尻に火をつけてもらった方がいいかもでしゅ。
ボス己を知るのは監査の基本だな。継続できない前提で仕組みを買う。それも立派な投資判断だ。
「CISAは意味ない」という声も検索されます。
不安を煽るこの言説に、正面から答えます。
「意味ない」と言われるのには、いくつか背景があります。
その多くは、監査という仕事へのイメージから来ています。
よく聞かれる誤解を整理します。
でも現実は、逆の動きを見せています。
ガバナンスや第三者保証の需要は拡大していて、体制構築を担える人材が求められています。
実際にセキュリティガバナンス体制構築・CSIRT支援のフリーランス案件のような募集は、継続的にあります。
つまり「意味ない」という声と、実際の需要にはギャップがあります。
この差こそが、取得者が増え続けている理由です。
CISAは万人向けの資格ではありません。
自分が取るべき層かどうか、条件で判定しましょう。
向いている人と向かない人を整理します。
| 向いている人 | 向かない人 |
|---|---|
| 監査・GRC・コンサル志向で単価や独立を狙う人 | 純粋な技術深掘り一本で勝負したい人 |
| 評価・保証する立場でキャリアを築きたい人 | 手を動かす実装・運用に専念したい人 |
技術を突き詰めたい人には、支援士やCISSPのほうが合う場合があります。
逆に、統制やガバナンスの領域で市場価値を上げたいなら、CISAは強力な武器になります。
大切なのは、流行や噂で決めないことです。
自分のキャリアの方向性と照らし合わせて、取るべきかを冷静に判断することが、後悔を防ぎます。
チップス「意味ない」って声、けっこう見かけたでしゅ。でも需要はちゃんとあるんでしゅね。
ボス噂に振り回されるな。市場が金を払う場所に、意味がないわけがない。お前が見るべきは口コミではなく、求人票だ。
CISAの難易度は、ひとつの数字では測れません。
合格率・実務経験要件・思考の壁という3つの総合で捉えるべきものです。
この記事の要点を振り返ります。
読者タイプ別の推奨は、はっきりしています。
監査・GRC・保証の領域で価値を上げたいなら、CISAは有力な選択肢です。
純粋な技術特化を目指すなら、他資格のほうが合うこともあります。
正直なところ、監査とセキュリティを両方語れる人材の価値は、これから一段と際立つと感じています。
守る担い手は増えても、その体制を評価・保証できる層は、そう簡単には増えないからです。
難しさは、そのまま市場価値の裏返しです。
特に監査とセキュリティを両方語れる人材は希少で、金融機関のセキュリティリスク評価・統括支援案件のように、その希少性が単価に直結する場が広がっています。
CISAの学習と並行して、その知見がどんな案件でいくらの価値になるのかを知っておきましょう。
実際の案件単価は、セキュリティプロ・フリーランスで確かめてみてください。
難易度に見合う出口を先に知っておくことが、モチベーションと合格への最短距離につながります。
オススメ案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
