3年で120 CPE：CISSP の更新はどう動くのか

3年サイクルごとに120 CPE——必要なのはそれだけです。40という年間最低数は、認定を 受けた会員については2022年以降存在しません。それでもこの問いは、ほとんど変わ らない形で繰り返し戻ってきます。年に40か、3年で120か。カウンターはいつ動き出す のか。ポッドキャストは数えられるのか。コミュニティの答えはおおむね一致していま すが、すでに適用されない古い規則の記憶と隣り合わせに置かれています。この記事は、 認定を受けた会員が理解している内容をまとめたものです。異議申立てや監査の場面で は、ISC2 が isc2.org で公開している CPE Handbook が引 き続き基準となる文書です。

必要な CPE は何単位で、期間はどれくらいか

体験談で一貫している答えは、3年サイクルごとに120 CPE です。サイクルは一つの まとまりとして動き、個別に満たすべき3回の年次分割ではありません。

数え方の単位は単純で、会員が取り違えるたびに繰り返されます。1時間の活動が1単 位 です。2025年のスレッドは、ある会員が11時間の講座に対して30〜40 CPE を告げた あと、この点をはっきりさせています。

"1 hour = 1 CPE so not entirely sure where the 30-40 comes from"

訳：「1時間＝1 CPE なので、その30〜40がどこから出てきたのかよく分かりません」

最初の投稿者は、その見積もりが対話型アシスタントによるものだったと認め、申告を 訂正しました。有益な注意点です。出回っている数字は、実際に費やした時間に照らし て確かめる必要があります。

分量は威圧的に見えますが、体験談はそれを障害としては描いていません。複数の会員 が、特別な努力なしに250、400、467、さらには490単位というカウンターを示しており、 そのうちの一人は、うまくいく習慣を一文にまとめています。

"I tend to watch a one-hour webinar on my spare monitor most Fridays, as I finish up my workweek on the primary monitor."

訳：「たいていの金曜日、メインのモニターで週の仕事を片づけながら、サブのモニターで1時間のウェビナーを見るようにしています」

日本語で読む方には意味のある注記があります。体験談に記録された CPE の入手先は、 すべて英語のものです。ウェビナー、ポッドキャスト、カンファレンス、学習プラット フォーム——3年分の記録のなかに、日本語の情報源は一つも挙がっていません。つまり認 定の維持は、実務上、英語を無理なく読み、聞けることを前提とします。

年間40 CPE という最低数はまだあるのか

いいえ、認定を受けた会員についてはもうありません——そしてこれは、おそらく体験談 のなかで最も広く見られる混同です。あるコメントは、ハンドブックを引用して議論に 決着をつけています。

"ISC2 has a suggested annual minimum to help balance maintaining your certification, however, there is no annual requirement unless you hold the associate status."

訳：「ISC2 は、認定維持の負担を平準化するために年間の最低数を推奨していますが、associate ステータスを持つ場合を除いて年間の義務はありません」

この規則の来歴は、自らを ISC2 の試験作成者であり13年目の CISSP だと名乗る会員が 語っています。

時期	報告された規則
2020年より前	年間40 CPE が義務、3年サイクルで120
2020年	年間最低数を20 CPE に引き下げ
2022年以降	年間最低数を廃止——サイクルごとの120だけが残る

"Prior to 2020, you had to do 40 per year, with 120 per 3yr cycle. In 2020 they dropped it to 20/yr and then in 2022, they did away with it all together."

訳：「2020年より前は、3年サイクルで120に加えて年間40が必要でした。2020年に年間20へ引き下げられ、2022年には完全になくなりました」

同じ人物はこれを贈り物というよりリスクと見ており、年ごとの安全弁がなくなったこ とで認定者は油断し、やがて「最初の一団」が認定を失うだろうと予測しています。混 同は実際に続いています。2026年5月になっても、認定を受けたばかりの会員が、「年間 40 CPE、または3年で120」で認定を維持する方法を探していると書いていました。

グループ A とグループ B の違いは何か

区分は単純です。グループ A は情報セキュリティの領域に直接関係する活動、グ ループ B はより一般的な職能開発を対象とします。単位を早く積むためのスレッドで 共有された典型的な戦略は次の通りです。

"Category A: a combination of podcasts, CBTs, and reading white papers / articles. […] Category B: mostly work related stuff like leadership meetings"

訳：「カテゴリー A：ポッドキャスト、オンライン講座、ホワイトペーパーや記事の講読の組み合わせ。［…］カテゴリー B：主にリーダーシップ会議など仕事に関係するもの」

ただし、この分類は決定的なものではありません。2026年1月の事例では、ISC2 が予告な く決めた グループ A からグループ B への20時間の再分類 が報告されています——そ のなかには、ISC2 自身が会員にメールで送ったウェビナー2時間分も含まれていました。 別の会員は、活動の説明を書き直してセキュリティとの結びつきを明示することで、却 下の取り消しを得たと述べています。これらのスレッドから浮かび上がる助言は、異議 を唱えること、ただし根拠を携えて、というものです。

"If you can show why they should count they will likely accept them."

訳：「なぜ数えられるべきかを示すことができれば、たいていは認めてもらえます」

実務上の帰結です。活動の説明は、後から文脈なしに、申告された1時間が本当にセキュ リティに属するのかを判断しなければならない人を思い浮かべて書いてください。

単位はいつから貯め始められるのか

認定日 からです。つまり endorsement が承認され、かつ 年会費が支払われてか らです。

"You can't collect CPE until after your certification date which is when it is fully endorsed"

訳：「CPE を集められるのは認定日より後で、それは endorsement が完全に承認された時点です」

落とし穴は現実のものです。ある候補者は、endorsement を待つあいだに参加した RSA カンファレンスと三つの認定を「失った」と述べています。どれも申告できませんでし た。報告されている endorsement の所要期間 は申請の提出から3週間〜6週間半、経験が詳しく審査される場合はさらに長くなるため、 学習の努力が数えられない期間がそこに生まれます。年会費の支払いも起点の一部であ ることから、AMF の仕組みがカウンター の開始時点を直接左右します。

ISC2 の認定を複数持つ人については、体験談はカウンターが別々であること、ただし主 題が両方の知識体系にまたがるかぎり同じ CPE を双方に申告できることを述べています。 ISC2 が主催するイベントは、自動的に両方に適用されるとされています。

余った CPE は次のサイクルに繰り越せるのか

一部は繰り越せます。コミュニティが述べている繰り越しは、サイクルの最後の6か月 に取得した単位だけに関わり、上限として40という数字が挙げられています——これに基 づいて計画を立てる前に、CPE Handbook で確かめるべき数字です。

実務上の意味については全員が一致しています。サイクルの終わりが近いなら、120に達 したところで活動の申告をやめないことです。この最後の期間に得たものは失われませ ん。

監査はどのように行われ、どんな証拠が認められるのか

CPE の監査は、無作為であり、証拠の形式にはうるさくない ものとして描かれてい ます。ある会員は、オンライン講座の0.5単位をめぐって数年ぶりに監査を受けたと述べ、 その選別はまったく狙い撃ちではないと結論づけています。

体験談で報告された証拠	述べられた結果
ポッドキャスト再生アプリのスクリーンショット	認められた
カンファレンス中に撮った投稿のスクリーンショット	認められ、35単位が有効に
修了証、領収書	認められた
何をしたかを述べただけの申告	十分な場合もある

"'proof' doesn't have to be formal… sometimes (gasp) they'll take whatever you tell them you did"

訳：「『証拠』は形式的である必要はありません……ときには、驚くことに、やったと言った内容をそのまま受け取ってくれます」

述べられている良い実践は一貫しています。日付、表題、時間数、リンクを表計算で管 理すること。プラットフォームが提供していれば修了証をダウンロードすること。ポッ ドキャストや読書については2、3行の要約を書くこと。「申告が監査されないかぎり、こ れ以上詳しくする必要はありません」。この監査は、申請の時点で実務経験を対象とする endorsement の監査とは別のものです。

サイクルを流してしまうと何を失うのか

まず停止、次いで認定の喪失です。そしてその後について、体験談ははっきりしていま す。CISSP を失い、再び必要になった会員は、全員が完全な試験をもう一度受け直しま した。四つの体験談がそれを伝えており、そのなかには2002年に認定されて2020年に手 放した会員と、2014年に認定されコロナ禍のあとペースを保てなかった会員が含まれま す。試験を受け直すとは、もう一度受験料を払うということです。報告されている金額 は CISSP の受験料を扱ったページ に、経験豊富な専門家がこの試験に落ちる理由は CISSP に落ちる理由 にまとめています。

体験談で最も多い二つの巻き返しの状況——「3年目に入って CPE は0、残り10か月」と 「120のうち1単位しかない」——は、いずれもうまく収まっています。返信は、実質的に ウェビナーの連続受講とカンファレンスという、短期で追い上げる選択肢を並べていま す。コミュニティが挙げている無料の情報源 は、それだけで1サイクル分を賄うのに足ります。とはいえ、最も繰り返される助言は最 も単純なものです。早く始めること。必要なら120単位を8か月で終わらせ、サイクルの残 りを気楽に過ごすことです。