CISSP の無料 CPE はどこで手に入るか

BrightTALK、SANS のバーチャルサミット、そして ISC2 会員ダッシュボードのコンテン ツ。この3つが、コミュニティが真っ先に勧める無料の情報源であり、その答えは3年を 通じて驚くほど安定しています。それ以外——ポッドキャスト、カンファレンス、他の認 定資格——は補足にあたります。ある活動が対象になるか、どのグループに分類されるか を定めるのは、isc2.org で公開されている CPE Handbook です。証言のなかには、20時間分が事後にグループ A からグループ B へ分類し直された 例が1件あります。

先に述べておくべき点が1つあります。ここで集めた情報源はすべて英語です。3年分 のアーカイブに、日本語の CPE 入手先は1件も挙がっていません。したがって認定の維持 は、実務上、聞くことと読むことの両方で英語に不自由しないことを前提とします。

コミュニティが最も勧める情報源はどれですか

BrightTALK です。まともな競合はありません。ときには何の補足もなしに返ってく る、反射的な答えです。

「BrightTALK. Nothing else.」

訳：「BrightTALK。ほかには何もない。」

主な魅力は自動反映にあります。ISC2 がスポンサーとなっているチャンネルは、会員番 号を登録しておけば CPE を直接アカウントに計上します。証言に挙がっているチャンネ ルは、ISC2 Think Tank、Knowledge Vault、APAC Secure Webinars、そして Security Briefings で、そのなかには EMEA 版もあります。

留保が2つ繰り返し出てきます。1つ目は、登録後に届く宣伝メールの量です。専用のメー ルアドレスを用意するよう勧められるほどの量になります。2つ目は、自動反映が気まぐ れだと言われている点です。たいていは機能しますが、常にではありません。

ISC2 のアカウントに自動で反映される情報源はどれですか

3つの系統が際立ちます。BrightTALK、SANS のバーチャルサミット、そして ISC2 自身の コンテンツ（会員ダッシュボードのクイズとウェビナー）です。SANS のサミットは、あ るスレッドで最も高く評価されたコメントの対象になっています。

「SANS virtual summits are my main source of CPEs. They're free, always high quality and they register your CPEs with ISC2 automatically」

訳：「SANS のバーチャルサミットが私の主な CPE の入手先です。無料で、常に質が高 く、CPE を ISC2 に自動で登録してくれます。」

以下は、挙げられている無料の情報源を、証言に報告されているとおりの目安と期間とと もにまとめたものです。

情報源（無料）	CPE の目安	カウンターに反映されるまでの期間
BrightTALK、ISC2 がスポンサーのチャンネル	ウェビナー1時間につき1	自動、アドレスがアカウントと一致していれば約1週間
SANS のバーチャルサミット	2日間のサミット1回につき12〜15	自動、期間の記載なし
ISC2 ダッシュボードのウェビナー	ある書き込みによれば120を満たすのに十分	15〜45日
ISC2 Insights のクイズ	クイズ1回につきグループ A で2、年に約6回	15〜45日
ポッドキャスト	聴取1時間につき1	手動申告
Microsoft Learn（SC-200、SC-300 のパス）	1つのパスで約40	手動申告
ISO 27001 Lead Auditor、無料の研修	約11	手動申告
FutureCon、無料のアクセスコードあり	月あたり約10	手動申告
SECON、ISC2 ニュージャージー支部、オンライン	5	手動申告
Black Hills / Antisyphon の週次ウェブキャスト	1時間につき1、修了証が発行される	手動申告
ベンダーや業界誌のウェビナー	1時間につき1	手動申告
ボランティア、執筆、地域チャプターの会合	変動	手動申告

クイズは特筆に値します。グループ A で計上され、受験回数に制限がなく、年に半ダー スほど公開されるため、労力をかけずに12単位になります。唯一の欠点は登録までの期 間で、最大で45日かかることがあります。

ISC2 自身のコンテンツについては、さらに踏み込んだ書き込みがあります。

「The webinars that are available to you in your membership dashboard are enough to earn all 120 cpes」

訳：「会員ダッシュボードで利用できるウェビナーだけで、120 CPE すべてを得るのに 足ります。」

カンファレンス1回でどれくらいの CPE になりますか

カンファレンスは2つ目の大きな系統です。時間あたりの効率は最も高いのですが、すべ てが無料というわけではありません。

イベント	無料か有料か	CPE の目安
ISC2 Security Congress	証言に記載なし	一度に約70
DefCon	証言に記載なし	20〜32
BSides	証言に記載なし	8〜16
SecureWorld	有料、320米ドルという記載	12
FutureCon	アクセスコードがあれば無料	月あたり約10
SECON、ISC2 ニュージャージー支部	無料、オンライン	5
地域チャプターの会合	おおむね無料	変動

証跡の面では、カンファレンスに形式ばったものは求められません。DefCon のあとに監 査を受けたある会員は、会場で自分が投稿した内容のスクリーンショットを提出し、申告 した35単位が受理されたと述べています。

ポッドキャスト、書籍、動画は本当に数えられますか

数えられます。自己学習としてであり、コミュニティはこれらをグループ A に分類してい ます。3つのポッドキャストが繰り返し挙がります。Security Now、Darknet Diaries、そ して Paul's Security Weekly です。

実務的な要点が2つあります。1つ目は、申告がエピソード単位で行われることです。長い 形式が好まれる理由はここにあります。2時間の週刊ポッドキャストなら、同じ入力回数で より多くの単位になります。2つ目は、短い文章の要約が証跡として足りることです。監査 を受けたある会員は「a screenshot from Spotify as supporting documentation, and it was accepted」（Spotify のスクリーンショットを裏づけ資料として提出し、それが受理 された）と報告しています。

同じ原則が、書籍、記事、ホワイトペーパー、研修動画にも当てはまります。有料のプ ラットフォームも定期的に挙がります。20時間を超える講座を約10米ドルで購入した例 や、オンライン研修のサブスクリプションについて、ある会員はこう書いています。

「I binged probably 80 CPEs worth of LinkedIn Learning last year」

訳：「昨年は LinkedIn Learning を、たぶん80 CPE 分ほど一気に見ました。」

他の認定資格を CPE に変えられますか

これは最も実りの多い鉱脈の1つです。認定資格の準備は学習として数えられ、取得その ものも申告できます。ただし、それが認定日のあとであること、つまり endorsement が承認され 年会費を支払ったあとであることが条件です。観測されている目安は、クラウド事業者の 入門レベルの認定資格で約40 CPE です。

「My plan is to get one new certification per year. I just recorded my AWS SAA for 40 CPEs.」

訳：「私の計画は毎年1つ新しい認定資格を取ることです。ちょうど AWS SAA を40 CPE として登録したところです。」

同じ仕組みの無料の変種が2つ挙がっています。1つは Microsoft Learn のパスで、1つの パスを修了すると約40単位になります。もう1つは、無料で受けられる約11時間の ISO 27001 監査員研修です。

実技演習のプラットフォームも同じ枠に入りますが、ISC2 のアカウントと連携させるに は有料のサブスクリプションが必要という違いがあります。

「Sign up to hackthebox and link your isc2 membership #. Every machine you pwn goes towards your cpe […] I've already earned 250 out of 120 cpes during my first year」

訳：「Hack The Box に登録して、ISC2 の会員番号を紐づけてください。攻略したマシ ンはすべて CPE に加算されます。［…］私は1年目ですでに120のうち250 CPE を獲得し ました。」

同種のプラットフォームも、「40 CPE から50 CPE の価値がある」パスとともに挙げられ ており、40時間を超える申告が問題なく受理されています。

遅れたサイクルを早く取り戻すにはどうしますか

証言には典型的な2つの救援要請が出てきます。1つはサイクル3年目で単位がゼロ、残り 10か月という会員。もう1つは、必要な120のうち1単位しかない会員です。どちらの場合 も、返信は同じ方法に収束します。

1. 自動で反映されるウェビナー、まず BrightTALK を続けて視聴し、申告の手間なしに 土台をつくります。
2. 無料のバーチャルサミットを1つか2つ組み込みます。1回2日で12〜15単位になります。
3. 日程が許すなら効率の高いイベントを狙います。ISC2 の年次大会だけでサイクルの半 分以上をまかなえます。
4. 認定日以降にすでに行ったことを遡って申告します。読書、ポッドキャスト、社内研 修、グループ B の対象になる業務上の会議などです。
5. ISC2 ダッシュボードのクイズを、登録までの期間を考えてできるだけ早く済ませます。

証言は、取り戻せることを示しています。同時に、取り戻さなかった場合の代償も示して います。認定を失った事例はいずれも試 験の受け直しで終わっており、つまりもう1回分の受験料を、 CISSP の受験料のページ に挙げた金額で支払うことになります。そのうえ、 再受験の証言が道のりで 最もつらい部分だと語る、数週間の復習も必要になります。

単位がカウンターに反映されるまでどれくらいかかりますか

証言のなかで数値が示されている期間は2つだけですが、計画を立てるにはそれで十分で す。BrightTALK の自動反映は約1週間で届きます。ただし使用したメールアドレスが ISC2 のアカウントと一致していることが条件です。ISC2 のクイズとウェビナーは15〜45日以内 に計上されます。

結論は単純です。サイクル最後の数週間を当てにしないでください。12月末に行った 活動は、12月31日に終わるサイクルにおいて、1月にしか反映されないことがあります。証 言のなかで最も広く共有されている助言も同じ方向を指しており、どんな挽回策よりも価 値があります。

「My advice to a newly minted CISSP is to try to get all the CPE out of the way as early as you can. After mine was issued, I was able to hit my 3 years' worth of CPE within the first 8 months.」

訳：「認定を取ったばかりの CISSP への助言は、CPE をできるだけ早く片づけてしま うことです。私は認定が発行されたあと、最初の8か月で3年分の CPE に到達できまし た。」

数え方の詳細、グループ A とグループ B、監査の進み方については、 120単位の手引きをご覧ください。