【資格】【合格体験記】CISM（Certified Information Security Manager）

なぜ今、CISMを選んだのか

CISM（Certified Information Security Manager）に合格しました。

今は「どうAIを使うか」ばかりが語られますが、同時にシャドーITやガバナンスの課題が現場に噴出しています。これから求められるのは、ただAIを導入するだけでなく、「AIを安全にビジネスに組み込めるPM」です。
私は技術の細部を追うだけでなく、リスクと意思決定という「マネジメントの視点」を自分の軸に据えるため、CISMの受験を決めました。

この記事では、ISACAの試験体系や費用構造、そして私が「AIに思考を外注して失敗した話」まで、これから受ける方が参考にできるよう、すべて無料で公開します。
（有料パートでは「感想戦」として、ポルトでキャリアブレイク中の私が、帰国後にどう動くつもりなのか、本音を絞って書いています）

1. ISACAとCISM試験の全体像

ISACAとは：セキュリティ単体ではない

まずISACA（東京支部の説明）は次の通りです。

ポイントは、ISACAが「セキュリティ単体」ではなく、監査・リスク・ガバナンスまで含む文脈で語られる団体だという点です。ここが分かると、CISMの設問が「技術的に正しそう」ではなく「組織として正しい（説明責任が回る）」を問う理由が腑に落ちます。

私の理解では、ISACAの世界観はざっくりこうです。

• セキュリティは現場の頑張りだけでは成立しない

• 誰が決め、誰が責任を持ち、どう例外を扱い、どう改善するか

• つまり「仕組み（統治）」として回っているかが重要

この前提が、CISMの「答えの選び方（ノリ）」に直結します。

CISMが問うもの

CISMの定義も明確に書かれています。

要するにCISMは、暗号アルゴリズムやパケット解析の細部を暗記する試験というより、組織としてセキュリティをどう設計し、どう管理し、どう判断するかを問う資格です。

もう少し具体的に言うと、CISMで問われやすいのは「個別の対策」そのものより、

• 経営・上級管理職に対して、何をどう報告し、何を意思決定してもらうべきか

• どの役割がオーナーで、どこに説明責任（Accountability）があるべきか

• 施策を運用として回る形に落とすには何が必要か（体制、手順、測定、改善）

といった上流の問いです。
最初ここに慣れないと、全部の選択肢が正しく見えて混乱します（私が一番しんどかったのもここでした）。

認定プロセス（試験合格＝ゴールではない）

ここが重要です。CISMは「試験に受かって終わり」ではありません。

1. 試験合格（800点中450点以上）

2. 認定申請（5年以上の実務経験証明などを提出）

3. 承認（ここで初めて「CISM」を名乗れる）

※私は現在「1. 試験合格」の段階です。

試験概要リファレンス

最低限これだけ押さえておけばOKです。

【ポルトガルでの受験体験】

私はポルト在住のため、自宅でのオンライン受験を選択しました（最寄りのテストセンターが片道3時間半のリスボンにしかなかったため）。
当日は「部屋の片付け」や「セキュアブラウザの強制終了」などのトラブルもありましたが、事前チェックのおかげで冷静に対処できました。自宅受験の方は、部屋の環境構築とマシンスペックの確認を強くおすすめします。

出題ドメインと比率

1. 情報セキュリティガバナンス (17%)

2. 情報リスクの管理 (20%)

3. 情報セキュリティプログラムの開発と管理 (33%)

4. 情報セキュリティのインシデントの管理 (30%)

ここで私が強調したいのは、「比率が高いドメインだけやればいい」という話ではなく、ガバナンス（ドメイン1）が“他ドメインの前提”として出てくるという点です。
CISMは結局、どのドメインでも「誰が決めるのか／説明責任は誰か／経営が判断できる形になっているか」という目線が頻繁に問われます。だからこそ、最初にISACAの文脈（監査・リスク・ガバナンス）を押さえるだけで、学習が安定しやすいです。
※ただ私はドメイン1の点数が一番低かったのですが。。

2. 使用教材

【推奨：メイン教材】

1. 公式問題集（紙）

• 名称: CISM Review Questions, Answers & Explanations Manual, 10th Edition

• 特徴: 約1,000問収録。ISACAのCISMの考え方を染み込ませるために数をこなすことは有効です。

• 注意点: 「問題のすぐ下に答えがある」という謎レイアウトです。視界に入ってしまい勉強しづらいため、私はスキャンして電子化し、AIに「問題部分のみ」を抽出させる加工を行いました（手間ですが効果的です）。

2. Udemy（演習用）

• 講座名: [Pass CISM exam 2025: Six Tests with 900 REAL exam questions]

• 特徴: 150問×6セット。レビュー評価通り質が高く、公式QAEの補完として最適でした。個人的には公式QAEよりも取り組みやすかったです。

【私は使用しませんでした】

• 公式レビューマニュアル（教科書）: 正直、読み切る気力が湧きませんでした。問題演習中心で十分合格ラインに届きます。

• 公式QAE Database（Web問題集）: サブスク費用が高額です。「1ヶ月だけ」などのプランがないため、個人受験にはハードルが高いと感じました。

3. CISMにかかる費用の全体像

ISACAの費用体系は、「会員費」と「維持費」が別物であるため非常にわかりにくいです。ここをクリアにします。

• A：ISACA会員の年会費（Membership dues）
  ISACAの会員でいるための費用（割引・会員特典の対価）。任意。

• B：CISM資格の年次維持費（Annual Maintenance Fee / AMF）
  CISMを保持し続けるための費用。資格保持者は必須。

この2つを切り分けると、費用構造が一気に理解しやすくなります。

いつ・何にお金がかかるか（受験 → 認定 → 維持）

1) 受験フェーズ（試験を受けるため）

• 受験料（必須）：会員 $575 / 非会員 $760

• ISACA会員費（任意）：年 $135（会員になる場合）

• 新規入会手数料（会員になる場合・初回のみ）：オンライン $10（オフライン$30）

• ローカルチャプター会費（会員の場合に発生）：地域で変動
  例：Tokyoチャプターは Professional Member が $30

• 教材（任意）：QAEや問題集、Udemy等（価格は時期・販売形態で変動）

2) 認定フェーズ（“合格”→“CISM保持者”になるため）

CISMは「試験に受かって終わり」ではなく、認定要件を満たして申請して初めて資格保持者になります。

• 認定条件の例：試験合格（スケールドスコア200–800で、450以上）＋実務経験等

• 重要：合格後5年以内に申請しないと合格が失効（申請処理費が発生する旨は公式で明記されています）

3) 維持フェーズ（CISMを保持し続けるため）

• AMF（必須）：会員 $45 / 非会員 $85（毎年）

• CPE（必須）：年20、3年120

私のケース（会員として受験）：結局いくら？

（$1=155円換算）

私は会員として受験しました。理由はシンプルに、受験料・教材割引や、今後の資格維持（AMF）の前提まで含めると、結果的に会員の方が合理的になりやすいと判断したためです（もちろん、チャプター会費や今後の活用予定によって結論は変わります）。

「認定まで」含める場合

• ここに申請処理費（$50）を追加（※合格後、認定申請時に発生）。
  → 合計：144,100円

翌年以降の維持（毎年）

• AMF（会員）$45＝6,975円/年

• さらにCPE（年20/3年120）が必須

4. 勉強方法と、今回だけ失敗した理由

ここが本記事で一番お伝えしたい部分です。私は普段の資格試験（AWS等）の必勝パターンをAIで強化しようとして、一度失敗しました。

1. 本来の「必勝パターン」

普段、私は以下のフローで学習します。

1. 1周目: 用語と関連性を確認（正答率は無視）。

2. 2周目: 「自信を持って正解」以外を解き、弱点を潰す。

3. 3周目: 全問解き直し、80%以上を目指す。

   • 鉄則: 間違えた問題はAIに解説させるが、最後は必ず「自分の手で紙にまとめる」。

2. 今回の失敗：AIに「思考」まで外注してしまった

CISMでは、さらなる効率化を狙って以下の工程を加えてしまいました。

• ❌ 間違えた問題の傾向分析をAIにやらせる

• ❌ AIに「チートシート」を作らせて、それを暗記する

なぜ失敗したのか？

1. 前提のズレ: CISM特有の「行間を読む（組織的な前提）」をAIが補完しきれず、的外れな解説になることがあった。

2. 思考の欠如: 「自分で整理してまとめる」という理解のプロセスをAIに代行させた結果、知識が定着せず、応用が利かなくなりました。

3. 立て直し：アナログへの回帰

「これでは受からない」と気づき、泥臭い方法に戻しました。

• AIはあくまで「壁打ち相手」に留める。

• 解説を読んだ上で、「自分が覚えられていない原則」「なぜその判断になるのか」を自分の言葉で紙に書き出す。

• 追加でUdemyの問題集*を2周し、判断軸を身体に染み込ませる。

【教訓】
AIは便利ですが、学習において「悩んで、整理して、書く」という思考の工程まで外注すると、脳は成長しません。遠回りに見えても、最後は自分の手が重要でした。

*参考: Udemy問題集の結果

模擬試験結果（1周目）

模擬試験結果（2周目）

最後6番目（他の5回で出てきた問題の総集編）

4. トータルの学習時間（合計：約97時間）

学習期間ごとの内訳は以下の通りです。

• 6月: 23時間23分

• 7月〜10月：0時間

• 11月: 2時間27分

• 12月: 71時間14分

5. 結果振り返り

まず、今回のCISM試験結果は以下の通りでした。

• 受験日：2025/12/17

• 総合スコア：545（合格）

• 合格基準：450以上

• 分野別スコア（Scaled Score）

  • Information Security Governance：423

  • Information Security Risk Management：563

  • Information Security Program：658

  • Incident Management：516

総合では合格できた一方で、Governance（423）が合格基準（450）を下回っていたのは正直少し残念でした。ただ、ここは自分の経験上も相対的に薄い領域なので、結果としては納得感もあります。

今後はこのGovernanceの部分を重点的に、

• 「誰が何を決めるのか」

• 「説明責任をどう回すのか」

• 「全社としてセキュリティをどう統治するのか」
  といった観点で、もう少し理解を深めていきたいと思います。

一方で、Information Security Programが高めに出たのは、私がこれまでPMとして「仕組みを作って回す」「運用に落とす」経験を積んできたことと繋がっていると感じました。この強みは今後も伸ばしつつ、弱点（Governance）を補っていきます。

6. 私のメモから結局どんな試験だったか書いてみた。

CISMを勉強し始めたとき、私が一番しんどかったのは「知識が足りない」よりも、問題のノリが他資格と違うことでした。
AWSみたいに状況が丁寧に書かれていて「この条件ならこれが最適」と選ぶ感じではなく、CISMはもっと上から目線というか、組織としての前提が省略されたまま、最適な判断を選ばされる印象を受けました。

1. CISMは「個別の正しさ」より「仕組み」を見ます

CISMは、何か一つの対策（教育、ツール導入、手順改善）みたいな個別作業よりも、

• 誰が決めるのか

• 誰が責任を持つのか

• どういう基準で判断するのか

• どう監督して改善するのか

といった、会社として回す仕組みを優先する傾向があります。

問題文に「全社的に」「一貫して」「確実に」「上級管理職」みたいな言葉が出たら、たいてい「仕組み（ガバナンス）」の話です。良い施策を選ぶ前に、意思決定と説明責任が回っている選択肢を探すのがコツでした。

2. 「取締役会/経営層」が出たら、答えは要点です

CISMでは、取締役会や経営層が出てくる設問がよくあります。
このとき、答えは現場向けの細かいデータや、作業成果物（リスク評価の一覧）ではなく、経営が意思決定できる形にまとまった要点になりやすいです。

私が覚えた鉄則はこれです。

• 経営向けレポート＝リスク・影響・意思決定材料

• 現場向けレポート＝KPIや傾向、運用の改善材料

「経営に何を示すのがベスト？」と聞かれたら、細かい材料よりも、結論に近い危険度（露出）や増減（トレンド）が選ばれやすい、という感覚を持っておくとラクになります。

3. CISMは「順番」をよく問います

CISMは知識というより、考える順番を問う問題が多いです。

超ざっくり言うと、私はこれを頭の中で固定しました。

• まず「どこが重要？」（ビジネス影響）

• 次に「何が起きる？」（リスク）

• 最後に「何に投資する？」（優先順位・費用対効果）

この順番を外すと、選択肢が全部正しく見えて混乱します。逆に言うと、順番さえ戻せれば選びやすくなります。

4. インシデント系は「今やること」を間違えない

インシデント系もCISMのクセが出ます。

• 今起きているなら：まず止血（隔離・封じ込め）

• 再発防止がテーマなら：原因究明（根本原因）

「分析」「教育」「恒久対策」は大事ですが、たいてい後です。
ここも「最初に」「最も重要」が出たら、優先順位勝負だと思うと選びやすいです。

5. 迷ったときに私がやっていた1つの自問

問題文に

• 最初に

• 最も重要

• 上級管理職 / 取締役会

• 戦略 / 計画

が出たら、私は反射でこう自問していました。

「これは仕組み（ガバナンス）の話？ それとも経営判断（影響・リスク・優先順位）の話？」

この切り替えができるようになると、CISMは急に解きやすくなります。

7. 合格後の認定申請プロセス

• 申請: 3/7 8時40分

• 上司承認: 3/7 8時45分

• 認定承認: 3/13 15:10分（Degital Badgeは2週間以内発行と記載あり）

実際に認定申請フォーム（Application Form）の入力を終えてSubmitしてきました。具体的にどんな入力項目があったのか、リアルな補足としてまとめておきます。

まず前提として、50ドルの申請料（Application Processing Fee）を支払うと、実際の申請フォームが入力可能になります。

CISMの認定条件は「過去10年以内に、情報セキュリティマネジメントの実務経験が5年以上（かつCISMの4ドメイン中3つ以上をカバーしていること）」ですが、特定の要件を満たせば最大2年間の業務経験免除（Waiver）を受けることができます。

実際の申請画面は、大きく以下の3つの領域（タブ）に分かれています。

① Domain Experience（実務経験の入力）

メインとなる実務経験を入力する画面です。
申請前は「英語で具体的な業務内容を長々と書かされるのでは…？」と身構えていましたが、実際は非常に拍子抜けするほどシンプルでした。

• 対象期間（Start Date / End Date）と会社名を入力するだけ。

• その経験が、CISMの4つのドメインのうちどれに該当するかチェックボックスを入れるだけ。

• ※具体的な経験内容を英作文するような記述欄は一切ありませんでした。

② General Work Waiver（一般業務経験による免除）

セキュリティマネジメント「以外」の、一般的な情報セキュリティ業務経験がある場合、ここで最大2年分の免除を申請できます。（※次のEducational Waiverで免除を使えたため、ここは空欄でスキップしました）

③ Educational Waiver（資格・学歴による免除）

保有する別の資格や学歴を使って免除を申請するタブです。ここでも最大2年分の免除が可能です（※すべてのWaiverを合算して最大2年までという制限があります）。
私は「CISSP保持による2年間の免除」を選択し、(ISC)²からダウンロードしたCISSPのデジタル認定証PDFをアップロードしました。

⚠️ここが一番のハードル：Verify Experience（実務の証明者）

すべての期間入力を終えて「次へ」進むと、「その経験が事実であることを証明してくれる第三者（Verifier）」の氏名とメールアドレスの入力が必須になります。

• 上司、マネージャー、同僚、またはクライアントであること

• 家族や自分自身での証明は不可

つまり、当時の職場の同僚や上司に「ISACAから英語の確認メールが飛ぶから、Approve（承認）だけクリックしてね」と事前にLINE等でお願いする必要があります。これがおそらく、申請プロセスの中で一番手間のかかる部分です。

最後にアンケートに答えて完了

証明者のメアドを入力して提出すると、最後に簡単なアンケート画面になり、それでおしまいです。

【追記：そしてあっという間に承認完了へ！】
Submitして数十分後には、元上司から「英語のメールが来てたから、リンク飛んでApproveボタン押しといたよ！」と連絡がありました。この承認プロセスは本当に数分で終わります。

1. 元上司からの『実務経験の承認（Approve）』 → 【完了（Verified）】

2. ISACA側での『CISSP証明書の確認』待ち

これがクリアになれば、晴れて「CISM保持者」になれます！

8. 今後の目標

今後は、AAISMの受験と、AWS SAP／DOPの更新を進める予定です。
→ 全て合格、更新しました。

AAISM（Advanced in AI Security Management）はISACAの上級資格で、企業におけるAIの導入・運用を前提に、「AIを安全に使う／AIでセキュリティ運用を強化する」ためのガバナンス・リスク管理・統制（コントロール）を、実務目線で問う試験です（90問・150分、3ドメイン構成）。

またAAISMは、CISSPまたはCISMの有効保持者でないと受験できない点も特徴です。

2026年2月28日に暫定合格しました。

2026年1月8日/1月9日に更新しました。

9. 有料｜感想戦

ここから先は有料の「感想戦」です。

ここから先はノウハウではなく、裏側にあった戦略と本音の話です。

• 資格を取れて素直に嬉しい。でも、まだ道の途中である理由

• このCISMという「目線」を、帰国後にどうキャリアへつなげるのか

もしここまでの内容が役に立った、あるいはこの実験を応援してもいいと思っていただけたなら、Tipとして購入していただけると嬉しいです。いただいた応援は、次の受験料と執筆活動の継続費用として再投資します。

※記事を読んでなにか相談があれば、X（@N_shun_S）でDM（またはリプ）をください。可能な範囲で返信します。
（規約に触れるような内容（問題の再現など）には対応できません。ご了承ください）