CISSP に求められる実務経験：5年、2つのドメイン、1年の免除

必要なのは、8つの CBK ドメインのうち少なくとも2つにまたがる5年の関連職務経験 であり、承認された学位または資格によって1年短縮できます。CISSP には、試験が道 のりの半分でしかないという特徴があります。もう半分は事務手続きであり、受験者 がそれについて語るのはほとんどの場合あとになってから、「provisional pass」を手 にした時点です。以下は受験者自身の言い回しをもとにしています。適用される基準は ISC2 の CISSP 実務経験ページ で公開されています。

実際には何年の経験が必要ですか

5年です。証言の中に例外なく現れる数字であり、合格を報告しに来た受験者に最も頻 繁に向けられる注意でもあります。

"Passing the test is one of the requirements, the second is that you need to have 5 years of relevant work experience in order to fully receive the certification."

「試験に合格することは要件の1つにすぎず、2つ目は、認定を完全に受け取るために 5年の関連する職務経験が必要だということです。」

このコメントには公式ページへのリンクが添えられています。この話題に答えるメン バーの大半に共通する反応です。同じ投稿の下には、より素っ気ないメッセージもあ ります。"Congrats, you still won't have the CISSP certification for years though"（「おめでとうございます。とはいえ CISSP 認定を手にするのはまだ何年も先 ですが」）。

この要件は、水準の合っていない求人票に対してフォーラムが繰り返し示す苛立ちも説 明します。その苛立ちは、この資格が実際に何をもたらすのかというより広い議論につ ながっており、 CISSP を取る価値はあるか で扱っています。

"Anyone who lists the CISSP as "nice to have" for an "entry-level" job is full of crap. […] The CISSP REQUIRES five full years of cybersecurity experience in the eight exam domains before a person can be granted the certification. That is, by definition, NOT AN ENTRY LEVEL CERTIFICATION."

「CISSP を『entry-level』の求人に『nice to have』として並べる人はでたらめを 言っています。［…］CISSP は、認定が与えられる前に、8つの試験ドメインにおける 満5年のサイバーセキュリティ経験を要求します。それは定義からして、入門レベル の資格ではありません。」

注意しておくべき点があります。分析した50件の証言のうち、インターンシップ、見習 い制度、パートタイム、業務委託、兵役を扱ったものは1件もありません。これらの点に ついては、ISC2 の文書だけが答えを与えます。

この経験はいくつの CBK ドメインにまたがる必要がありますか

8つのうち少なくとも2つです。証言の中で最も詳しい言い回しは、在職2年で資格を多 数持つ IT 技術者に向けられたものです。

"Do you have the required experience to obtain the CISSP certification? Your current certifications would only count as 1 year. You would then need at least 4 years of working experience in at least 2 of the 8 security domains."

「CISSP 認定を得るために必要な経験はお持ちですか。あなたの現在の資格は1年分に しかなりません。そのうえで、8つのセキュリティドメインのうち少なくとも2つで、 少なくとも4年の職務経験が必要になります。」

言い換えれば、8つのドメインすべてを網羅することも、職種名に「security」の語が入 る職に就いていたことも求められていません。2つのドメインで足ります。そして、この 読み方こそが、多くのインフラ系の経歴にとって申請を手の届くものにしています。

学位や資格は要件を短縮できますか

はい、1年だけ短縮できます。この上限についてコミュニティの見解は一貫しています。 学位と資格は、1年を超えて積み上がることはありません。

報告された証憑	説明されている効果	受験者の状況
サイバーセキュリティの学士号（BS）	1年の免除	IT 13年のうちサイバー4年以上——endorsement 取得
SSCP（ISC2）	1年の免除	サイバー4.5年——23歳で完全に endorsement 取得
Security+	1年の免除（ある Associate の言及）	経験が不足——Associate 資格を経由
IT 資格の積み重ね	合計で1年、それ以上はなし	在職2年——あと4年の積み上げが必要

endorsement が実際に得られた2つの事例は明確です。

"Four + years of cyber, but cumulative 13 years of IT overall. Also a BS in cybersecurity to get that one year waiver."

「サイバーは4年以上、ただし IT は通算13年です。加えて、その1年の免除を得るた めにサイバーセキュリティの学士号があります。」

"I currently have 4.5 years of cybersecurity experience, and the remaining one-year experience requirement was fulfilled through the ISC2 SSCP waiver."

「現在サイバーセキュリティの経験は4.5年で、残る1年の経験要件は ISC2 の SSCP による免除で満たしました。」

一方で、フランスの学位——セキュリティの修士、RNCP 資格、エンジニア学位——に言 及した証言はなく、免除の対象となる資格の一覧を示した証言もありません。この一覧 は ISC2 が管理していて時期とともに変わります。免除を前提に申請を組み立てる前に 確認すべきものです。

サポート、サーバー管理、ネットワークの職はセキュリティの経験になりますか

このテーマで最も多い質問であり、コミュニティの答えは受験者が恐れているよりもは るかに広いものです。要となるコメントは、セキュリティの経験はまったくないと思い 込んでいた病院の「IT Specialist」に向けられています。

"During your 2 years as an IT Specialist have you worked with asset management, account creation/ permissions, end point security settings, VPN, OS hardening..etc? People seem to only consider the in-depth areas in each of the 8 domains."

「IT Specialist として働いた2年のあいだに、資産管理、アカウント作成と権限、エ ンドポイントのセキュリティ設定、VPN、OS の堅牢化などに関わりましたか。みなさ ん、8つのドメインそれぞれの踏み込んだ領域しか考えていないようです。」

つまり作業は、ゼネラリストの職務を個々の業務に分解し、その業務を CBK ドメインに 対応づけることです。アカウントと権限を扱うヘルプデスクはアイデンティティ管理に 触れており、VPN を設定してシステムを堅牢化するネットワーク管理者は通信セキュリ ティと運用セキュリティに触れています。

実際に endorsement を通過したのはどのような経歴ですか

受験者の証言からは、endorsement を通過した経歴、あるいは投稿の時点で条件を満た していると本人が述べた経歴の一覧が得られます。これは、受け入れられた、あるいは 受け入れられうるものとして示された事例の標本として読んでください。公式の物差し ではありません。

報告された経歴	endorsement の状況
ヘルプデスク、サーバー管理、その後ネットワーク管理。行き詰まりの職と本人が説明	endorsement 取得（2023年4月→5月）、その後に初のサイバー職
IT 13年のうちサイバー4年以上、加えてサイバーセキュリティの学士号	endorsement 取得
サイバー4.5年に SSCP の免除、23歳	完全に endorsement 取得
経験およそ5年に SSCP	申請を審査中（"experience box-checking"）
GRC のみ5年	合格後、自分は条件を満たしていると考えています
IAM（5年）に加えてセキュリティアーキテクチャ	合格、条件は充足
DBA 3.5年、ISSO 1年、IT リスクアナリスト2年	3回目の受験で合格
システムエンジニア、ペネトレーションテスト、SOC、製品セキュリティ	合格
IT 分野の弁護士からプライバシーとリスクへ転向、セキュリティ8年	合格
デスクトップサポートから情報セキュリティへ、16年	合格
Big 4 のコンサルティング（7年）に加えてセキュリティ専門職1.5年	合格
MSP でのインシデントレスポンス、コンプライアンス、SOC 2 対応準備	合格、endorsement は審査中

経験のない経歴との対比は鮮明です。そうした人たちは Associate of ISC2 となり、証言の中に例外は1件も報告されていません。その受験の話は セキュリティ未経験で CISSP に合格する にまとめています。

最後に、技術色の濃い受験者に繰り返し現れる但し書きがあります。経験は申請には効 きますが、マネージャーの思考を求める試験に合格することを保証はしません。あるメ ンバーはこう述べています。"5 years of experience is great, but if it's not in that managerial role then it won't be as useful as you think"（「5年の経験は立 派ですが、それがマネジメントの役割で得たものでなければ、思っているほど役には立 ちません」）。証言の中で最も多く自己診断されている不合格の原因であり、 CISSP に落ちる理由 で詳しく扱っています。

経験が認められない受験者はいますか

分析した50件の証言に、endorsement の却下は1件も現れません。 含まれているの は2つの中間的な状況で、いずれもその後に承認されています。

• 審査の途中で届いた、職歴の時系列についての追加情報の求め。申請はその2週間半後 に承認されました。
• 詳細審査の通知（"audit review message"）。不快な驚きとして受け止められました が、結果には影響しませんでした。

この不在は、却下が存在しないことを証明するものではありません——却下された受験者 が投稿することはまれです——また、証言は却下の理由にも不服申立ての手段にも触れて いません。

申請を提出する前に ISC2 に確認しておくべきことは何ですか

これらの証言が答えを開いたままにしている点は、短いながら決定的です。

• フルタイムの正確な定義と、パートタイムの扱い。
• インターンシップと見習い制度の数え方。
• 兵役またはそれに準ずる公務の数え方。
• 免除の1年が認められる学位と資格の最新の一覧、とりわけフランスの学位の扱 い。
• Associate 資格の正確な期間。同じスレッドの2人のメンバーが食い違っています （一方は5年、もう一方は6年）。
• 却下の理由と、取りうる不服申立て。

いずれの点についても、答えは isc2.org にあります。

申請が整ったあとに何が続くのかは、 endorsement にかかる期間と申請の各段階 についての記事で説明しています。これらの証言がどこから来て、何を裏づけるのかに ついては、私たちの方法 または ブログのテーマ一覧 をご覧ください。