二つの CISSP 模範解答が食い違うとき、どちらが正しいのですか

二つの模範解答が食い違うとき、その原因はほぼ必ず次の三つのいずれかです。版の違い、 依拠する学説の違い、そして本物の誤りです——CBK そのものは安定しています。意見の 不一致はこの分野の風景の一部です。2023年から2026年のあいだに受験者が共有し、この 記事のために読み直した138問の演習問題のうち、13問はコミュニティを恒常的に二分した ままです。そして、ごく少数の論争は実際に決着がついていません。ここでは設問の本文を 一切再現していません。また引用した立場は受験者の意見であり、ISC2 による公式な正誤の 判定ではありません。

なぜ二つの公式解答が違う答えを示すのですか

「公式」という語がいくつものものを指すからです。同じ出版元が、学習ガイド、問題集、 モバイルアプリ、復習用の問題を出しており、それぞれ執筆者も、時期も、依拠する 学説上の出典も異なります。

受験者の証言には、事業継続についての問題に、その典型例があります。次のうち、継続計画に 属する行動はどれか、というものです。ある問題集は、継続は予防的で復旧は事後的である という理由から、耐障害性の措置を正解としています。ISC2 の公式アプリは、恒久的な予防 措置は、発動して使う計画には入らないという理由から、代替サイトへの切り替えを正解と しています。どちらの筋道も擁護できます。継続と復旧の境界について、二つの定義から 出発しているからです。

ほかに三つの原因が繰り返し現れます。まず版のずれです。ネットワークアドレスが割り 当てられるときにやり取りされるメッセージについての問題は、コミュニティから書き方が 悪いと判断されています。コミュニティはその模範解答を、版から版へ引き継がれた編集上の 手落ちと見ています——ただし、設問を別様に読めば本の解答も擁護できるままだ、とも 認めています。

次に学説の移り変わりです。まだ動作し、まだ更新も受け取っている機器群を一律に入れ替える ことについての問題に、サポート終了を根拠とする模範解答が付いています。コメントした 人たちは、まだパッチを受け取っているハードウェアはサポート終了ではなく計画的陳腐化の 段階にある、と反論します。スレッドの結論はこうです。評価の高い教材でも間違えることが あります。

最後に枠組みの食い違いです。ある管理策の購入を何を根拠に正当化するかを問う問題は、 年換算のリスク指標と収益性の指標を対立させています。一方の陣営はリスクマネジメントの 観点から、他方は投資判断の観点から論じます。どちらの枠組みも教えられており、設問は そのどちらを前提にしているかを述べていません。

due care と due diligence：この問題に安定した答えはありますか

いいえ。これは受験者の証言のなかで最も示唆に富む事例です。同じ設問が3年のあいだに 5回、ほぼ一字一句そのままの形で現れており、公開されている模範解答は二つの概念に 分かれています。問われている原則はつねに同じです。ある人が自分の責任を正確に、かつ 期限どおりに果たす義務を何と呼ぶか、というものです。

三つの出典が due diligence を正解とし、ただ一つが due care を正解としており、 そのたびにコミュニティの一部が模範解答に異を唱えます。流通している語呂合わせ自体も 互いに矛盾しています。

"Due Diligence = Do Detect; Due Care = Do Correct"

「Due Diligence は検知すること、Due Care は是正すること」

これが最も広まっており、実行の行為については due care を指し示します。しかし、最も よく論証されたスレッドで通っている説明は、視点を逆にします。due care のほうが 「合理的な人」という広い基準であり、due diligence はその具体的な構成要素、すなわち 割り当てられた責任を正確に、期限どおりに果たすことだ、というものです——設問から ほぼそのまま取られた言い回しです。

したがって正しい向き合い方は、一つの答えを覚えることではなく、意見の不一致の軸を 知ることです。一方には一般的な慎重さの基準があり、他方には割り当てられた責任を 果たしたことの検証可能性があります。両方の陣営が一点で一致しています。設問が教科書の 定義を一字一句そのまま用いているときは、正しいのはその教科書であって、職業上の一般的な 用法ではありません。

コミュニティが公式の模範解答に異を唱えるとき、どうすればよいですか

まったく異なる二つの状況を区別してください。模範解答が間違っている場合と、模範解答は 正しいのに読み手がその理由を受け入れようとしない場合です。

受験者の証言には、ソフトウェアのサプライチェーンについての問題をめぐる、広範な反発の 事例があります。文書レビューを担当する人物が、あるサプライヤーに重大な不備を見つけ、 模範解答はその人物がコンポーネントの運用認可を取り消すことを期待しています。最も高く 評価されたコメントは、評価者が影響分析もないまま重要な認可を一方的に取り消すのは 不合理だとしており、その大半は報告書を作成したはずだと述べています。同じ問題は7か月後に もう一度投稿され、結論は同じでした。意見の不一致は評価者の役割と意思決定者の役割の 分離に関わるものであり、決着することはありません。

逆に、最初は間違っていると見なされた模範解答のいくつかは、説明を読めば筋が通っている ことがわかります。ある受験者は災害復旧の準備状況テストについての解答に異を唱えますが、 本番環境ではない環境での台本どおりの演習は本番の運用を妨げない、と指摘されます。別の 受験者は管理者権限についての解答に異を唱え、それが悪い実務を描いていると正しく指摘 します——しかし設問は具体的な制約を置いており、その解答はその制約を満たしています。

決着をつける検証は二つの確認に尽きます。公式の説明は、参照できる出典に帰属させられる 定義に依拠していますか。そうであれば、職場では適用しないとしても、試験のためにはそれを 採用してください。設問に明示された条件を無視していませんか。あるいは同じ章のなかで、 ある問題と別の問題で矛盾していませんか。そうであれば、誤りの可能性が高いものとして 記録し、先に進んでください。

自らを ISC2 の問題作成者だと名乗る二人の投稿者が、この機会に、実際に測られているものを 改めて述べています。

"As an exam writer for the CISSP, I can absolutely say that is NOT what we are looking for. Understanding the concepts and how to apply them, is."

「CISSP の問題作成者として、はっきり申し上げます。私たちが求めているのはそれでは 断じてありません。概念を理解し、それをどう適用するかを理解していること、それが 求めているものです。」

AI が生成した問題やブレインダンプをどう見分けますか

受験者の証言には、人工的な出所が投稿者自身によって明かされているか、コメントした 人たちによって見抜かれている問題が7問あります。その特徴は列挙できるほど一貫して います。

兆候	何を示すか
完全なセキュリティ構成を列挙する10行のシナリオ	設問と関係のない、生成された背景描写
リスクと推奨すべき管理策を問う二部構成の設問	実際の試験には存在しない形式
リスクと噛み合わない対策を組み合わせた選択肢	見直しを経ていない自動生成
設問本文の内部矛盾	専門家による確認の不在
解答が役割に依存するのに役割の記載がない	答えようのない問題
入門水準の純粋な定義問題	試験の水準を大きく下回る難易度設定
出典の記載がなく、出所が問われている	ブレインダンプの疑い

コメントした人たちの判定は素早いものです。これらの問題の一つは "AI slop" と呼ばれ、 別の一つは役割の記載がないため答えようがないと断じられ、三つめはサイドチャネル攻撃に 対してハードウェアセキュリティモジュールを推奨しています——記述されたリスクに対処 しない対策です。

ブレインダンプの事例はより深刻です。有効性と同じだけ職業倫理に関わるからです。受験者の 証言には、海賊版の問題集から来た可能性が高いとモデレーターが指摘し、それで議論が終わった 問題が少なくとも1件記録されています。実際の試験問題を流通させる問題集は守秘義務契約に 違反しており、その模範解答に教育上の価値はありません。

残るのは中間のカテゴリーです。真面目に作られてはいるが検証されていないコミュニティ製の 問題集で、コメントした人たちは "very hard and not fully validated"（非常に難しく、 完全には検証されていない）と表現しています。設問を書き換える以外に誰も正当化できない 模範解答によって見分けられます。これらの出典を見分けることは、 CISSP 教材の比較で扱っており、 そこでも同じ基準を当てています。問題集の価値は、その解説の価値に等しい、というものです。

どの問題が最も意見の不一致を生みますか

ドメイン別の内訳は示唆に富みます。ドメイン1、セキュリティとリスクマネジメントが138問の うち38問を占め、セキュリティ運用（24問）、アイデンティティ管理（21問）、 アーキテクチャ（18問）を大きく引き離しています。意見の不一致が集中するのもこの ドメインです。理由は単純で、その概念は定義によるものであり、その境界は取り決めによる ものだからです。

五つの領域が争点の大半を占めます。すでに述べた due care と due diligence の区別。 事業継続と災害復旧の境界。説明責任の連鎖——ここでは正解が提示された選択肢に依存し、 取締役会が挙がっていなければ、選べるなかで最も上位の階層を取ります。セキュリティ ガバナンスの定義。そしてハードウェアのライフサイクルの用語、end of sale と end of support の対比です。

逆に、厄介に見えて完全に安定している概念もあります。脅威、脆弱性、リスク。管理策の ベースラインの scoping と tailoring。インシデント対応の各フェーズ。need to know。 これらを間違えたときの問題は知識の欠落であって、疑わしい模範解答ではありません。

最後の目印です。受験者の証言に出てくるいくつかの問題は細かすぎると判断されており、 「CISSP is NOT a technical exam」という指摘が繰り返し現れます。極度に技術的な問題に ついて模範解答が争われていても、それが教科書を開く理由になることはまれです。

争いのある概念は復習すべきですか、それとも先に進むべきですか

受験者の証言から浮かび上がる規則は、難しさではなく頻度によります。

もしその概念があなたの問題集で何度も現れるなら——上記の五つの領域がそうです——復習に 値します。ただし期待されているような復習ではありません。一つの答えを覚えることではなく、 競合する二つの定義と、天秤をどちらかに傾ける基準を学ぶことです。

もし問題が単発で、書き方が悪く、自動生成され、あるいは出所が不明なら、答えははっきり しています。先に進んでください。こうした問題の本当の代償は失った1点ではなく、そこで 費やされる時間と自信です——この二つの資源は、 試験前に解くべき問題の量に よってすでに逼迫しています。疑わしい模範解答に固執することは、実際、 最も多い復習の失敗の一つに 数えられています。そして、出典どうしを和解させようとせず、一問一問をそれ自体だけで 扱ってください。

最後に残るのは、どんな問題集であれそれを役に立つものにする、ただ一つの動作です。説明する ことを求めることです。正しい選択肢の名前を挙げるだけの模範解答では、それが間違って いることに気づくことすらできません。これが Cybridia が採った原則であり、その 4,298問の一つ一つに、なぜ誤答が誤りなのかを述べる解説が付いています——この 受験者の証言の集まりが留保なしに勧める、唯一の復習の動作です。

設問の読み方については 解答の手順を、選択肢の 絞り込みについては ダミー選択肢の外し方を ご覧ください。この受験者の証言の集まりの限界については、 私たちの方法で詳しく述べています。