セキュリティの実務経験がないまま CISSP に合格する：受験者が語ること

はい、セキュリティの仕事に就いていなくても CISSP 試験に合格することは可能であり、 受験者自身がそれを語っています。新卒者、監査担当者、リスクコンサルタント、異業種 からの転職者です。「セキュリティの仕事に就いていなくても CISSP を受けられますか」は、 受験者が最も多く投げかける質問の一つであり、3年分の公開された体験談のアーカイブは、 それに具体的な事例で答えることを可能にします。一点だけ明確にしておきます。試験に 合格するだけでは認定されません。ISC2 はこれに加えて実務経験の確認を求めており、その 規則は isc2.org に示されています。以下はすべて、試験そのものについての記述です。

セキュリティの仕事に就いていなくても試験に合格できますか

はい。全文が公開された200件の体験談のうち、およそ10件は、受験時点でセキュリティの 職に就いていなかったと自ら述べる受験者によるものです——およそ20件に1件です。これらは 自発的な報告であり、受験者についての統計ではありません。

最も明快なタイトルは、「セキュリティの経験はまったくない」と述べたうえで、4週間の 準備を経て150問で初回合格したと報告する受験者のものです。基本的な IT の経験があり、 セキュリティの修士号を取得した直後でした。もう一人、病院で2年間 IT を担当している 受験者はこう書いています。

"I wanted to write this to tell everyone who thinks that they shouldn't take this, or can't take this, if they don't have the experience, that you can."

（経験がないからこの試験を受けるべきではない、あるいは受けられないと思っている すべての人に、あなたにもできると伝えたくてこれを書きました。）

その逆もまた同じくらい記録されています。不合格をテーマにした受験者の体験談には、 はるかに経験のある受験者が合格できなかった例が並びます。経験がないことは合格を 妨げず、経験があることは何も保証しません。

体験談では、経験のないどのような経歴の人が合格していますか

記録された事例は4つのグループにまとめられます。

新卒者。 会計学の学士とビジネスアナリティクスの修士を持ち、職務経験がまったく ない受験者が、監査法人に入る前に CISSP を受けています。もう一人は、一般的な IT の 2年とセキュリティの学士で、この分野への参入を試みるために受験しました。

ガバナンス、監査、リスクの経歴。 最も数が多いグループです。マネジメントと全社的 リスクマネジメントのコンサルタントで、実務12年の受験者は、自分の状況を率直に述べて います。

"I've never provisioned accounts, troubleshot network issues, or worked with cryptography. However, my experience in risk management helped me understand what's best for the business."

（アカウントを払い出したことも、ネットワークの障害を切り分けたことも、暗号を 扱ったこともありません。しかし、リスクマネジメントの経験のおかげで、事業に とって何が最善かを理解できました。）

隣接する職種。 セキュリティプラットフォームのプリセールスエンジニアは、 "very little security experience"（セキュリティの経験はごくわずか）でその職に就き、 10週間の計画を立てました。医療機器の品質マネジメントの専門家で、のちに PLM アーキテクトとなった人は、顧客とセキュリティについて話せるようにするために認定を 目指しました。

異業種からの転職者。 ある受験者は自分の道のりを三語で "no background, career change"（素地なし、キャリアチェンジ）とまとめ、出発点では「kernel」という語が何も 意味していなかったと付け加えています。2回目の受験で合格しました。

技術系でない経歴にとって難所はどこにありますか

難所は技術系のドメインに集中しており、書き手自身がそれを名指ししています。 ガバナンス、リスク、コンプライアンスの出身で IT の教育を受けていない受験者は、 出発点をこう記しています。復習を始める前、合格水準を上回っていたドメインは 一つだけ——セキュリティとリスクマネジメントでした。最も負担が大きいドメインとして 挙げられるのは、アーキテクチャ、通信とネットワークのセキュリティ、そして ソフトウェア開発です。

二つ目の難所は心理的なものです。インポスター症候群がこれらの体験談のいくつかに 明示的に現れます。その一人は、会議の冒頭で自分は「技術者ではない」と宣言することを 習慣にしていた専門職の女性です。

三つ目の罠は、これらの経歴に固有のものです。「マネージャーのように」考えれば技術的な 知識は要らなくなる、と信じてしまうことです。19歳の受験者は、セキュリティの経験が およそ3年あり、準備のすべてをこの前提の上に組み立てて、100問目で不合格になりました。

"I decided to focus on the mindset foremost […] This was a huge mistake. I was utterly blindsided by questions asking for technical applications of concepts I had never heard of."

（まず何よりも mindset に集中することにしました […] これは大きな間違いでした。 聞いたこともない概念の技術的な適用を問う問題に、完全に不意を突かれました。）

話はそこで終わりません。Associate の体験談との混同を避けるために、これは述べて おく必要があります。同じ書き手は再受験し、20歳で合格しています。やはり100問目 であり、mindset だけに頼るのをやめて内容そのものを復習し直したうえでのことです。 必要な5年がなかったため、彼は Associate of ISC2 となり、その立場を受け入れています。勤務先にはそれで十分でした。つまり一人の受験者 に二つの段階があり、ここで引用したのは不合格、あちらで引用したのは合格です。

不合格の体験談で最も繰り返される言い回しの一つは、多くの支持を集めたコメントに 由来します。技術者のように内容を知り、そのうえで意思決定者のように使う——どちらか 一方ではなく、両方です。

この節を閉じるにあたっての反論。 経験がないことだけが不利になるわけでは ありません。不合格についての受験者の体験談は、むしろ技術に寄りすぎた準備を、 自己診断される不合格原因として最も多いものと特定しています。ネットワーク、 クラウド、あるいはセキュリティオペレーションセンターで10年から20年の経験を持つ 受験者が、助言者としてではなく実装者として答えたために落ちています。言い換えれば、 現場の経験があっても準備は免除されず、経験がないことは失格事由ではありません。この 側面は本記事の主題ではなく、 CISSP に落ちる理由で 扱っています。

これらの受験者はどれくらい勉強しましたか

述べられた期間は6週間から1年以上にわたり、二つの共通点があります。

報告された経歴	述べられた期間
IT の経験なし	働きながら1.5か月の集中
職務経験のない新卒者	1日およそ5時間で約2か月
技術的な素地なし	2.5か月から3か月の集中
プリセールスエンジニア	10週間の計画
監査・リスクコンサルティング	11か月、不合格1回を含む
主要ドメインの経験なし	1年以上、不合格1回を含む

一つ目の共通点。これらの準備は、同じ体験談群にいる経験のある受験者の準備よりも 長く、密度が高いものです。経験者の側には、2週間から3週間で駆け抜ける道のりも 存在します。二つ目の共通点。これらの受験者の何人かは100問目をはるかに越えて進み ます——これらの体験談では150問が繰り返し現れ、より古いものでは、2024年4月より前の 形式で175問が現れます。標本はそこから規則を作るには小さすぎますが、早期の終了を 期待するのではなく、試験の長い版を想定して計画を立てることを正当化します。

もっと入りやすい認定から始めるべきですか

必須ではありませんし、体験談は双方向の論拠を与えています。

賛成の側。先に触れた新卒者は、合格したにもかかわらず、その報告を警告で締めくくって います。

"Looking back […] the CISSP exam is probably not ideal for fresh graduates. I would recommend starting with something more foundational to build up your knowledge before tackling CISSP."

（振り返ってみると […] CISSP 試験は新卒者には向いていないでしょう。CISSP に 取りかかる前に、知識の土台を築くためにもっと基礎的なものから始めることを勧め ます。）

もう一人、同じ団体のクラウド認定をすでに持っていた受験者は、その団体の試験を一度 受けていたおかげで、試験当日に初めて形式を知るという事態を避けられたと考えています。 複数の体験談が、CISSP の前に一般的な認定を段階的に積み重ねたことに触れ、それが準備を 耐えられるものにした土台だったと述べています。

反対の側。他の書き手は、より入りやすいとされる一部の認定に比べて、CISSP は純粋な 暗記の面では負担が小さいと見ています。そして、IT の教育を受けていない受験者の一人は、 事前の認定をまったく持たずに合格しました。先に引用したリスクマネジメントの コンサルタントは、自分と同じ立場の人へ直接のメッセージを送っています。概念を事業上の 判断に適用できるのであれば、技術系でない経歴にも、模擬試験の平凡な点数にも、落胆する 必要はない、と。

最後に、直接の経験がない受験者の一人は、ISC2 の実務経験要件に算入される認定を持って おくよう勧めています。試験のあとで実績を積む時間を確保するためです。コミュニティに よれば、この換算は根拠が何であれ合計1年が上限です。 CISSP に必要な実務経験 が、受験者が認めさせることのできた内容を説明しています。適用される規則そのものは isc2.org で確認してください。

これらの事例を体験談全体の中に位置づけるには、 200件の合格体験記と 私たちの方法をご覧ください。