CISSP の問題に順を追って答える方法

CISSP の問題は4つの動作で処理します。選択肢より先に実際に問われていることを読む、 求められている決定とその担い手を見極める、問題文に明示された条件を文字どおりに守る、 そして前提を一切足さない。これらの動作は、2023年から2026年のあいだに受験者が共有した 138問の演習問題から、そして何よりもそれに付された理由づけから再構成したものです。 これらは受験者の意見であって、ISC2 の公式な解説ではありません。また、問題文そのものを ここに再現することはしていません。

CISSP の問題文はどこから読み始めるのですか

末尾からです。受験者の証言で最も繰り返される指示のひとつは、シナリオを読むより先に、 そして選択肢を見るより先に、問題文の最後の一文——実際に問われていることを担っている 一文——を読むことです。ある金融機関、そのネットワーク分割、そして直近の監査についての 10行のシナリオは、多くの場合ただの背景です。問いは最後の15語ほどの中にあります。

この逆向きの読み方は、広く出回っている4段階の方法として形になっています。最後の一文を 読む、消去する、残った2つの選択肢を分析する、決める。そこには、速度を落とすことの 要求が付いています。

“READ each question S L O W L Y and at least TWICE — a single word often gives away the answer or eliminates two choices.”

（すべての問題を ゆ っ く り と、少なくとも2回読むこと。たった1語が答えを明かしたり、 2つの選択肢を消したりすることがよくあります。）

受験者の証言には、この「たった1語」の教科書的な例が含まれています。ある問題は、組織 だった攻撃者「によって」公開された情報がどこで見つかるかを問います。反射的には通常の 脅威インテリジェンスの経路が思い浮かびますが、前置詞がすべてを変えています。攻撃の 実行者自身が公開するものは、防御側が自分たちの分析を公開する場所には見つかりません。 難しかったのは知識ではなく、読み方でした。

3つ目の言い回しがこの絵を完成させます。「Read like a lawyer」——弁護士のように読む。 問題文のすべての語が拘束力を持ちます。これは「think like a manager, understand like a technician, read like a lawyer」という三つ組の一部であり、この三つ組自体が受験者の 証言で最も繰り返される定型句です。

実際に問われている決定をどう見極めるのですか

問われていることを取り出したら、選択肢を見る前に、それがどんな性質のものかを確定させる 必要があります。受験者の証言で最も練られている枠組みは、自分に投げかける4つの問いに 帰着します。

“Identify the decision before looking at the answers: Who owns this decision? What phase am I in — governance, design, implementation, operation, response? What objective is being optimised — risk reduction, continuity, compliance, safety, cost? What authority does the actor actually have?”

（選択肢を見る前に決定を見極めること。この決定は誰のものか。自分はどの段階にいるのか ——ガバナンス、設計、実装、運用、対応のどれか。何が最適化されようとしているのか ——リスク低減、事業継続、コンプライアンス、人の安全、コストのどれか。その行為者は 実際にどんな権限を持っているのか。）

最も実りが多い絞り込みは段階です。何らかの行動を取る前にアラートが真陽性かどうかを 確かめている分析者は、まだ検知の段階にいるのであって、対応の段階にはいません。法的な 通知義務を評価している組織は、事実が確定したあとの報告の段階でそれを行っています。 どちらの場合も、誤って選ばれる選択肢は、隣接する、それ自体としては完全に正しい段階を 述べています——間違った時点で、というだけです。

問われている文の動詞が目的を決めます。ある露出を「回避する」方法を尋ねる問題は、それを 「低減する」方法を尋ねる問題と同じ種類の解答を期待していません。前者ではデータの最小化 が勝ち、後者では監視や技術的な対策が勝ちます。

問題文に書かれたペルソナはどんな役割を果たすのですか

これは受験者の証言において最も筋の通った精緻化であり、最も多くの曖昧さを解消するもの です。

“The role given in the question is your cue. CISO or senior leadership → think governance. Architect or engineer → think technical and operational. That single filter resolved a lot of ambiguous questions for me.”

（問題に与えられた役割が合図です。CISO や上級管理層ならガバナンスで考える。 アーキテクトやエンジニアなら技術と運用で考える。この1つの絞り込みだけで、曖昧な問題が 私にはたくさん解けるようになりました。）

役割が示されていないとき、受験者の証言が採る既定の立場はリスク助言者のそれです。しかし 役割が示されているときは、それがあらゆる反射に優先します。自分が絶対だと信じている 優先順位に対してもです。証言に出てくる印象的な例があります。あるインシデントが、 脆弱な立場の人々が入居する施設で、生命維持に関わる機器を停止させます。問題文は解答者を インシデント対応チームの一員として指定しています。「人命が第一」という反射は避難を 指し示しますが、避難はこのチームの決定ではなく、介護職員の所管です。人命の優先が 停止されているのではありません。ペルソナの権限がそこまで及ばないのです。

この絞り込みは、「think like a manager」という標語が2024年以降に地歩を失った理由も 説明します。この標語はペルソナが管理職のときには機能し、それ以外では誤った解答を生み ます。ISC2 の問題作成者を名乗る2人の投稿者はさらに踏み込み、この考え方そのものを 否定しています。彼らの発言と、自称の身元に対して必要となる留保については、 標語をめぐる論争で 検討しています。ここで扱っている読解の作業について言えば、教訓は1行に収まります。 問題文に書かれた役割は、読み取るものであって、推測するものではありません。

絶対に無視してはいけない明示的な条件は何ですか

すべてです。問題文に書かれた条件は、あらゆる経験則に優先します。最も安全な解決策を 自然と好んでしまう傾向に対してもです。受験者の証言はこれをそっけない規則にしています。

“You cannot just ignore explicitly stated key criteria like ‘lowest cost’.”

（「最も低いコスト」のように明示された重要な条件を、そのまま無視することはできません。）

元の例は置き換えて考える価値があります。ある物流企業の、定期的に再起動しては そのたびに20分ほど利用できなくなるフィルタリング用ゲートウェイを思い浮かべてください。 問題文は、最も低いコストで可用性を維持することを求め、かつ同じ通信を他の対策が カバーしていると明記しています。最も堅牢な選択肢——冗長化、自動切り替え——は可用性を 満たしますが、白紙に黒々と書かれた2つ目の条件に反します。条件は2つ提示されました。 解答は両方を満たさなければなりません。

解答を変える語は数が少なく、絶えず現れます。BEST、MOST、FIRST、NEXT、LEAST、 PRIMARY、PREVENT、MINIMUM。これらの問題についての受験者の証言は、とりわけ決定的な 9つ目を付け加えています。「ultimately」説明責任を負うのは誰かを問う問題は、実行する人 ではなく、委任できない人を探しています。そして「minimum」は、すべてを見境なく保護する 選択肢をすべて失格にします。

その裏返しも重要です。コストは、言及されていないときでも背景に残り続けます。 「Best ≠ most secure」——最良の解答は、最も安全な解答ではありません。

絶対に排除すべき前提は何ですか

すべてです。これは受験者の証言において最もよく記録されている誤りであり、受験者と模範 解答のあいだの意見の不一致の大半を直接に引き起こしているものです。規則は1文に収まり ます。

“If the question didn't say it, it didn't happen.”

（問題が言っていないことは、起きていません。）

その語呂合わせの変種はもっと厳しいものです。「Think like a pedantic auditor」—— 細かいことにこだわる監査人のように考える。自分が窮屈だと想像した予算も、誰も口にしな かったサービス水準も、頭の中で補った構成も、どれも存在しません。

受験者の証言に出てくる事例が教えてくれるのは、それらがすべて善意で行われているという ことです。ある受験者は、サーバを外部ホスティングへ移行することについての模範解答に 異議を唱えました。その人はサーバがすでにそこにあると想定していたのですが、問題文は そう述べていませんでした。別の受験者は、災害復旧についての問題で最も安価な選択肢を 退けました。問題文は復旧目標を与えていたにもかかわらずです。この反論が寄りかかって いたのは、問題文が一度も言及していないサービス水準でした。どちらの場合も知識はあり ました。誤った解答を生んだのは、足された情報のほうです。

2024年末に受験者の証言から現れた対抗標語は、そのものずばり Just Answer The Question と呼ばれ、まさにこのずれを狙っています。隠された意図を探すことは、書かれていないものを 文章に足すことに等しい、というわけです。最も引用されるその言い回しと、それが管理職の 標語をどのように王座から降ろしたのかは、 論争についての記事で 報告しています。

なお、足された前提は、準備の段階で最も根強い誤りのひとつでもあります。実務経験が 豊かであるほど強くなるからです。これは 勉強中に避けるべき失敗の 上位に位置しています。

実務経験と CBK のどちらで答えるのですか

CBK です。両者が食い違うたびに、そうします——そして両者はしばしば食い違います。 ある問題文は、管理者の日常業務用アカウントを侵害した攻撃者が上位の権限を得るのを どう防ぐかを問います。管理された権限昇格はたしかに選択肢の中にありますが、それを 安全にする現代的な解決策——多要素認証——は提示されておらず、期待されている解答は、 権限を業務用アカウントから厳密に分離することです。そのスレッドのコメント投稿者は 全員、これが本番環境では悪い実務であると認めたうえで、書かれているとおりの論点に 答えなければならない、と結論づけています。

同じ仕組みは他の場所にもあります。ある受験者は、重大なインシデントでは現実には ほぼ即座に当局へ通知する、と異議を唱えます。CBK の論理はその評価をより後の段階に 置いており、そちらが勝ちます。

その逆もまた同じくらい真実であり、受験者が最もよく取り逃がす機微でもあります。CBK は 技術を敵視していません。ネットワーク機器へのコマンドラインによる遠隔アクセスについて 問う問題は、方針ではなく、正確な技術的解答を期待しています。決着をつける言い回しは こうです。

“Thinking like a manager doesn't mean you should discard technical answers.”

（マネージャーのように考えることは、技術的な解答を捨てるべきだという意味では ありません。）

だからこそ、役に立つ復習とは正解を暗記することではなく、それぞれの誤答がなぜ誤りなのか を言えるようになることです。Cybridia が体系化したのはこの動作であり、 4,298 問のそれぞれについて、解説がダミー選択肢の誤りの理由を詳しく述べて います。模擬試験の正答率が実際の水準についてほとんど語らないのも、同じ理由です。それは 模擬試験の得点についての目安で 説明しています。

問題文が明らかにおかしいときはどうするのですか

それは起こります。評価の高い書籍においてもです。受験者の証言は、アドレス割り当て プロトコルのやり取りについてのある問題を記録しています。その公式の解答は編集上の誤り だと広く考えられており、版を重ねても一度も訂正されていません。別の問題は解答不能と 宣告されています。役割が示されていないため、4つの選択肢のいずれも擁護できるのです。

推奨される取り組み方は3つの動作に帰着します。それぞれの問題を「その問題だけの真空の 中で」扱い、同じ問題群の他の問題との整合性を探さないこと。問題文の正確な文言に従って 最も悪くない選択肢を選ぶこと。そして次へ進むこと。悪い問題の本当の危険は失った1点では なく、それが試験の残りに植えつける迷いです。この仕組みは、 試験中に落ちたと感じることで 述べているものと同じであり、戦い方も同じです。1問ずつ、後ろで閉じていくことです。

残るのは、選択肢をどう排除するかを知ることです。それは ダミー選択肢を消去法で外す で扱っており、まじめな模範解答どうしが矛盾するときについては 問題集のあいだで判断する で扱っています。