CISSP 試験の CAT 形式を、1問ずつたどって理解する

CISSP 試験はコンピュータ適応型テストとして実施されます。CAT、すなわち Computerized Adaptive Testing です。具体的には、あらかじめ決められた問題の 一覧が配られるのではなく、それまでの解答に応じてその場で選ばれていく問題の 連なりが出題されます。2024年4月15日以降、この連なりは100問から150問 で構成され、最大3時間で解答します。それ以前の形式は4時間で125問から175問 でしたので、ネット上で読める体験談のかなりの部分は、すでに存在しない試験を 語っていることになります。

ここに挙げる目安は、2023年8月から2026年7月までに公開された受験者の体験談から 得たものです（私たちの方法）。公式の 規定は isc2.org にあります。

CISSP 試験の CAT 形式とは何か

CAT は、できるだけ多くの問題を解かせることを目的としていません。合否を 決められるだけの確からしさで、あなたの実力を推定することを目指しています。 一つ解答するたびにその推定は精度を増し、次の問題は残った不確かさを減らすように 選ばれます。

基本の原理

ある受験者が2024年10月、この話題で最も多く引用されている投稿のなかで、仕組みを こう要約しています。

"At the beginning of the test, the CAT presents a question of medium difficulty. [...] If they answer correctly, the next question will be more challenging; if they answer incorrectly, the next question will be easier." （試験の冒頭で、CAT は中程度の難易度の問題を出します。正解すれば次の問題は より手強くなり、誤答すれば次はやさしくなります。）

ここから直接導かれる結論があります。うまく解けている受験者ほど、試験はどんどん 難しくなっていくということです。したがって、難しいと感じること自体は悪い兆候 ではなく、仕組みが正常に働いている証拠です。

CAT ではないもの

CAT は、自分のペースで進めていく直線的な問題用紙ではありません。確定した問題に 戻れたと述べる受験者は一人もおらず、最も多く語られる助言は先へ進むことです。 "forgot about every question everytime I pressed next"（「次へ」を押すたびに その問題は忘れていた）。この戻れなさは、1問ごとの向き合い方そのものを変えます。 詳しくは CISSP の問題に答える手順 で扱っています。

2024年4月以降、問題数と試験時間はどうなったか

期間	問題数	試験時間
2024年4月14日まで	125〜175問	4時間
2024年4月15日以降	100〜150問	3時間

現行形式の3時間で100〜150問という範囲は、多くの体験談で裏づけられています。 ある不合格の報告は "the entire 150 questions for 3hours"（3時間で150問すべて） と述べています。

混乱のもとは、変更のあったその日そのものにさかのぼります。当時ある投稿者が "Think it shifted from 125-175 to 100-125" と書いていました。上限が誤りです。 その後の複数の体験談が、ちょうど150問まで続いた試験を報告しています。

アルゴリズムはどうやって次の問題を選ぶのか

「正解なら難しい問題へ」という説明の先に、ある投稿者が出題の選択基準を具体的に 示しています。

"So the CAT uses something called discriminative efficiency. [...] the point biserial correlation coefficient, which correlates the score on a specific item with the overall test score." （CAT は識別効率と呼ばれるものを使っています。特定の設問の得点と試験全体の 得点とを相関させる、点双列相関係数です。）

言い換えれば、アルゴリズムは、推定されたあなたの水準にいる受験者を最もよく 選り分ける問題を優先します。

「やさしい」「難しい」は主観的なもの

問題の難易度は、その設問がもつ統計的な性質であって、あなたの印象ではありません。 同じ投稿者はこう表現しています。"Maybe you are an expert in incident response, so those questions are easier. Where maybe you hate databases (we all do it's ok)."（インシデント対応の専門家なら、その分野の問題はやさしく感じるでしょう。 逆にデータベースが嫌いかもしれません。みんなそうですし、それで構いません。） 難しいと較正された問題が、あなたには拍子抜けするほど簡単に見えることもあります。

アルゴリズムはあなたの限界を探しにくる

同じテーマを執拗に突いてくる試験だった、と述べる受験者は何人もいます。 "The adaptive test will zero in on your every weakness like a crazy ex!!" （適応型テストは、しつこい元恋人のようにあなたの弱点を一つ残らず狙い撃ちします。） ただし、この読み方は罠でもあります。暗号技術が非常に得意だったある受験者は、 暗号の問題を浴びせられたうえで合格しました。その結論はこうです。"Don't stress the CAT too much, it's going to do what it wants and you're just along for the ride."（CAT を気に病みすぎないこと。CAT は好きなようにやるので、こちらは 乗せてもらっているだけです。）

ベータ問題とは何か、得点に数えられるのか

出題される問題の一部は採点されません。較正の途中にあり、今後の出題内容を 試すために紛れ込ませてある問題です。

"Beta questions on the CISSP exam serve as unscored questions that help test developers evaluate new content. These questions are mixed into the exam without affecting the test-taker's score." （CISSP のベータ問題は採点対象外の問題で、試験の作成者が新しい内容を評価する のに役立ちます。受験者の得点に影響を与えないまま試験に混ぜられています。）

問題のプールは大きなものです。"The pool of questions is tens of thousands questions"（プールには数万問があります）。

2024年7月に書いたある受験者は、体感の割合を "10% that were probably questions they were testing out" と見積もっています。あくまで印象であって、公式の数字では ありません。試験中にそれと見分ける手がかりはなく、それだけでも「この問題は やさしいから自分は落ちているに違いない」という解釈は退けられます。

試験はいつ、なぜ終わるのか

試験は、アルゴリズムが十分な情報を得た時点で終わります。あるいは、いずれかの 上限（150問、3時間）に達した時点でも終わります。入手できた48件の受験報告のうち、 100問での終了が群を抜いて多く、次いで150問まで続いた一群があります。この結果の すべての内訳と、そこから何が言えるのかは CISSP が100問で終了：合格か不合格か にまとめています。

これらの割合は合格率ではありません。「Passed!」の投稿はネット上で圧倒的に 多く見えるからです。100問で終了したという事実が意味するのは、アルゴリズムが 判定に達したということだけであり、それはどちらの方向にもありえます。 "Failed at 100, proficient on 3 domains and below on the other 5"（100問で 不合格、3ドメインは水準に達し、残る5ドメインはそれ以下）というコメントが そのことを示しています。

試験の最後にどんな情報が得られるのか

画面は何の予告もなく切れます。"out of nowhere the screen goes black"（突然 画面が真っ暗になる）。続いて満足度アンケートがあり、これにも制限時間があります。 結果はそのあと試験官から紙で手渡され、多くの場合は何も言われません。試験室を 出るまでの一連の流れは CISSP 試験当日：受付、NDA、休憩 で説明しています。合格の場合、そこには暫定の状態が記されています。

"Congratulations! We are pleased to inform you that you have provisionally passed..." （おめでとうございます。あなたが暫定的に合格したことをお知らせいたします……）

合格した受験者に点数が知らされることはありません。不合格の場合、報告書には ドメインごとの位置づけが示され、たとえば "150 Questions — Result: 3 Above, 2 Near, 3 Below — Time Left: 5 minutes" といった形です。採点の仕組みと700/1000 という基準については CISSP の700点：なぜ70%ではないのか で扱っています。

英語を母語としない受験者にとって、この形式は何を変えるのか

入手できた体験談はいずれも英語で受けた試験を述べており、言語の負荷はたびたび 話題にのぼります。

"I have to say, as a non-native English speaker, some questions were really more of a language test than cybersecurity" （英語を母語としない者として言えば、いくつかの問題は本当に、サイバー セキュリティというより語学試験でした。）

これらの議論に加わった ISC2 の問題作成者は、その点には対処してきたと述べています。 "we have been trying very hard to make the questions as 'linguistically agnostic' as possible"（設問をできるだけ「言語に依存しない」ものにしようと、 非常に力を入れてきました。）

言語の壁は実際、自己診断による不合格の原因の一つとして CISSP に落ちる理由 に挙げられています。用意されている言語と時間延長は公式の規定であり、ISC2 に 確認すべきものです。ISC2 に提出した医学的な理由による特例で、時間が6時間に 延長された事例が1件記録されています。

したがって、英語が母語でない場合、本番の形式に近い条件で練習することの重要性は 二重になります。Cybridia のアプリは、そのために CAT に合わせた適応モードと 8 回分の時間計測つき模擬試験を用意しています。

古い体験談はなぜ通用しないのか

2023年8月のある報告は "I answered 175 questions in total"（合計175問に答えた） と述べています。この形式はもう存在しません。切り替えは2024年4月15日にその場で 記録されており、100問で終わったことに驚いた受験者にこう返されています。

"Congratulations and as to why you managed to pass at 100. It is because the exam format changed today requiring fewer overall questions." （おめでとうございます。100問で合格できた理由は、今日から試験形式が変わり、 全体の問題数が少なくて済むようになったからです。）

その受験者自身、危うくつまずくところでした。古い情報をもとに旧形式に合わせて ペースを組み、"sped run through the questions"（問題を駆け足で進めてしまった） のです。これが古い情報源の具体的な危険であり、 CISSP 試験の時間配分 で扱っています。

ネットで見つけた体験談を読むときの原則があります。日付を確かめることです。 2024年4月より前に書かれたものについては、問題数も試験時間もペースの目安も もう当てはまりません。ブログのほかの記事は、いずれも現行の形式に 基づいています。