情報セキュリティマネジメントの参考書おすすめ｜2026年版を1冊選ぶ基準

情報セキュリティマネジメント試験（SG）の参考書は、攻撃名や暗号方式を覚えるだけの本ではなく、科目Aの知識を科目Bのケース判断へつなげられる1冊を選ぶことが重要です。2026年8月時点のSGは通年CBTで、科目A・科目Bを合わせて120分・60問。科目Bでは情報資産、委託先、クラウド、インシデントなどの状況から適切な管理策を判断します。この記事では、2026年版の1冊目を選ぶ基準、初学者とIT経験者で変える使い方、科目Bで本を「読むだけ」にしない方法を整理します。

本ページのリンクにはアフィリエイト広告が含まれる場合があります。掲載順は報酬額のみで決めていません。

30秒で結論：SGの1冊目は「科目A＋科目Bがつながる本」を選ぶ

確認順	見るポイント	選んでよい状態	避けたい状態
1	現行シラバス	2026年版・現行シラバスを前提にしている	旧試験方式・古い範囲のまま
2	科目A	用語を「何を守るか」と結び付ける	攻撃名と対策名の一問一答だけ
3	科目B	ケースの根拠を段階的に説明する	正解番号だけで思考過程が見えない
4	責任分担	利用者・管理者・委託先など役割が整理される	技術対策だけに偏る
5	CBT	120分の時間配分を練習できる	紙で読むだけの学習に固定される

SGの総合参考書は、用語辞典ではなく「ケース問題で判断するための基準」を作る本として使います。1冊目で科目Aの知識を確認し、すぐ科目Bのケースへ移り、間違えたら用語ではなく「どの条件を読み落としたか」まで戻る。この往復ができる本なら、最初から総合参考書を複数買う必要はありません。

向いている人別：参考書の選び方を変える

IT初学者は、CIA、情報資産、脅威、脆弱性、リスクという基本概念を図や具体例でつなぐ本が向きます。最初からSQLインジェクションや暗号アルゴリズムの名前だけを大量に覚えると、科目Bで「なぜその対策を選ぶか」が分からなくなります。

ITパスポート合格者は、重複する基礎用語を一から読み直すより、SGで深くなるリスク管理、委託先管理、インシデント対応、科目Bケースへ早く移れる構成を重視してください。知らない範囲だけ参考書へ戻る辞書型の使い方が合います。

総務・人事・営業など非IT部門は、個人情報、誤送信、委託、クラウド利用、アカウント管理など身近なケースへ置き換えて説明している本が向きます。技術の強さだけでなく、規程、教育、承認、監査など管理面も扱うことを確認します。

ITエンジニアは、技術的に最も強い対策を選べばよい試験ではない点に注意します。業務影響、責任範囲、コスト、運用可能性まで含めて判断する説明がある本を選び、実務経験による思い込みを補正してください。

確認した公式情報：通年CBT・120分・60問・IRT600点基準

IPA公式によると、情報セキュリティマネジメント試験は通年CBTで実施されます。科目Aは四肢択一、科目Bはケースを読む多肢選択式で、科目A・Bを合わせて120分、60問です。受験資格に年齢・学歴・実務経験の制限はありません。

合格基準はIRTで算出する総合評価点600点以上（1,000点満点）です。「60問中36問なら必ず合格」のような単純な正答数換算はできません。問題集の正答率は学習目安にはなりますが、本番評価点の保証には使わないでください。

科目Aではセキュリティの基礎、リスク、ISMS、アクセス管理、法規、ネットワークなどを扱い、科目Bでは情報資産管理、リスクアセスメント、委託先、クラウド、教育、インシデントなどのケースを扱います。参考書選びではこの二つを別々の章として覚えるのではなく、科目Aの概念が科目Bのどの判断に使われるかを確認できる構成が重要です。

SGに固有の参考書選び4原則

資産→脅威→脆弱性→影響→管理策の順に説明できる本を選びます。対策名だけを暗記せず、何を守り、どんな脅威があり、どの弱点が悪用され、何が起きるからその管理策を選ぶのかを一連で考えます。

設問→登場人物→責任範囲→根拠で科目Bを読む練習ができる本を選びます。責任者、利用者、システム管理者、委託先など複数の立場を整理し、誰が行うべき対策かを問題文から判断します。

インシデント対応を時系列で並べる解説を重視します。発見、連絡、封じ込め、調査、復旧、再発防止などは順序が重要です。「一般に正しい対策」を選ぶだけでなく、今の段階で何を優先するかを判断します。

CBTの120分を二段階で管理する練習をします。短い科目Aと長い科目Bへ同じ時間を割り当てず、即答問題を先に処理し、ケース問題へ十分な時間を残す自分のルールを作ります。

参考書を見るときの5つの具体チェック

1．セキュリティ用語を目的と結び付けているか

多要素認証、暗号化、バックアップ、ログ、アクセス制御などは、単独で「強い対策」と覚えません。機密性、完全性、可用性のどれへ効くか、防止・検知・復旧のどの役割かを説明している本が使いやすくなります。

2．科目Bの登場人物を整理しているか

ケース問題では組織の責任分担が重要です。誰が決めるか、誰が実施するか、誰が確認するかを区別する解説があるかを見ます。技術者ができるから技術者へ任せる、といった短絡的な選択を防げます。

3．誤答選択肢の理由が書かれているか

正解肢だけでなく、他の選択肢が「タイミングが違う」「責任者が違う」「対象リスクが違う」と説明されている本は科目Bの判断力を鍛えやすくなります。正解番号を覚えるだけでは類題へ移れません。

4．現行シラバスに対応しているか

セキュリティはクラウド、認証、サプライチェーンなど変化する領域です。新規購入なら現行シラバスに対応した版を選び、古い版を使う場合は現在の範囲との差分をIPA公式で確認します。

5．模擬・ケース演習があるか

用語を読み終えてから科目Bへ進む方式では開始が遅れます。章単位でケースへ触れる、または本の後半にまとまった科目B演習があり、早期から使える構成かを確認してください。

購入前に科目Bを1問だけ見る

SGの参考書を選ぶ前に、科目Bのケース問題を一問だけ見てください。解けなくて構いません。目的は、どこで止まるかを確認することです。セキュリティ用語そのものを知らないのか、登場人物が多くて整理できないのか、問題文は読めるが最適な管理策を選べないのかで、必要な参考書の説明が変わります。

用語で止まるなら基礎説明の厚い本、人物関係で止まるならケースを図解する本、選択肢の差が分からないなら誤答理由まで説明する本が向きます。「初心者向け」という帯だけでなく、自分の詰まり方に合うかを実際のケースで判断してください。

2026年の1冊目候補：科目AとBを一冊でつなぐ

シカクミチの商品台帳では、SGの基本教材として「情報処理教科書 出るとこだけ！情報セキュリティマネジメント［科目A］［科目B］テキスト 2026年版」を承認済み商品にしています。出版社は翔泳社、著者は橋本祐史氏、ISBNは9784798194431です。翔泳社公式で2026年版、シラバスVer.4.1準拠、ISBN、著者を確認し、Pochippでも同一商品を登録済みです。

掲載理由はランキングを固定して「1位」と断定するためではありません。SG初学者が科目Aの知識と科目Bケースを一冊でつなぎ、基本教材として使う役割が明確だからです。販売順位、価格、在庫は変動するため、推薦根拠にはしません。

すでに現行シラバス対応の別教材を持っていて、科目Bの解説まで理解できている人は買い直す必要はありません。新しい総合本を増やすより、今の本で解決できないケース問題の詰まり方を特定してください。

買った後は「用語を読む本」ではなく「判断根拠へ戻る本」にする

1周目は、CIA、資産、脅威、脆弱性、リスク、管理策の骨格を作ります。知らない攻撃名を全部暗記しようとせず、どのリスクに関係するかを見ながら進めます。各章の後に科目A問題を解き、同じ週に短い科目Bケースも一題入れます。

2周目からは問題を先にします。科目Aで間違えたら定義へ戻り、科目Bで間違えたら「資産を取り違えた」「責任者を誤った」「時系列を誤った」「リスクと対策が合っていない」など原因を分けます。科目Bで止まったのに攻撃名の章を全部読み直す、といった原因と復習のずれを避けます。

3周目では、同じ種類のケースをまとめて比較します。委託先、クラウド、誤送信、マルウェア、内部不正などで、自分がどの条件を読み落としやすいかを記録します。直前期は全ページを再読せず、再誤答した管理策とケースの根拠だけを確認します。

科目Bケースを5種類に分けて復習する

委託先管理では、契約前の選定、契約条件、実施中の確認、事故連絡、契約終了時のデータ処理まで時系列で整理します。「外部へ委託したから自社の管理責任がなくなる」と考えないことが重要です。

クラウド利用では、サービス事業者と利用者の責任分界、アカウント管理、設定、ログ、バックアップなどを分けます。クラウドだから安全・危険という二択ではなく、どの責任を誰が持つかをケースごとに確認します。

誤送信・情報漏えいでは、原因、影響範囲、初動、再発防止を分けます。メールを送った本人だけの問題にせず、承認手順、宛先確認、アクセス権、教育など管理策を複数層で考えます。

マルウェア・不正アクセスでは、発見直後の封じ込めと、その後の原因調査・復旧・再発防止を混同しないようにします。技術的な対策名を知っていても、順番を誤るとケースの正解から外れます。

内部不正では、権限付与、職務分離、ログ、異動・退職時の権限削除などを一連で考えます。信頼できる人だから監視不要ではなく、組織として不正や誤操作を防ぎ、発見できる仕組みを選びます。

科目Aは「用語の目的」、科目Bは「条件の優先順位」を練習する

科目Aでは、認証、暗号、ログ、バックアップ、ISMS、法規などを単語帳のように覚えず「何を防ぐ・検知する・復旧するためか」を言える状態にします。似た用語を横並びにし、誤った選択肢を正しい定義へ直す復習が有効です。

科目Bでは、問題文のすべてを同じ重要度で読みません。設問を先に読み、登場人物、守る資産、起きた問題、業務制約、責任範囲に印を付けます。強力な対策でも業務要件に合わなければ正解にならないため、問題文に書かれた条件を最優先します。

インシデント対応では、発見直後に再発防止策を考えるのか、まず被害拡大を止めるのかなど時点を意識します。ケース演習の復習時に「この選択肢は一般論として正しいが、この時点では順番が違う」のように説明できると応用しやすくなります。

誤答ログは「知識不足」だけで終わらせない

誤答原因	記録する内容	次の対策
用語不足	知らなかった用語と目的	参考書の該当節へ戻る
資産・脅威の誤認	守る対象と実際の脅威	資産→脅威→脆弱性を作り直す
責任者の誤認	誰が決定・実施・確認するか	登場人物の役割表を作る
時系列ミス	今の段階と前後の行動	発見から再発防止まで並べ直す
時間不足	どの問題で止まったか	保留ルールを設定する

このログを使うと、科目Bを間違えるたびに参考書の最初から読み直す必要がなくなります。同じ責任者ミスが三回続けば組織・委託の章、時系列ミスが続けばインシデント対応へ戻る、というように復習先を決められます。

10週間で使う学習プラン

週	参考書の役割	演習	終了条件
1	CIA・資産・リスク	科目A少量＋ケース観察	身近な資産で脅威と対策を説明
2	攻撃・認証・暗号	科目A中心	対策の目的を区別できる
3	ネットワーク・アクセス管理	用語＋短いケース	防止・検知・復旧を分類
4	ISMS・リスク管理	ケース比率を上げる	資産→脅威→管理策を説明
5	委託先・クラウド	責任分担ケース	委託前から終了まで整理
6	インシデント	時系列ケース	初動から再発防止まで並べる
7	法規・監査	分野混合	主体・目的を区別
8	誤答ページだけ	120分を意識	時間不足の原因を把握
9	新規知識を増やさない	模擬・公開問題	科目Bの根拠を説明
10	再誤答のみ	本番順序で確認	未回答を残さず見直せる

初学者150〜200時間、経験者50〜80時間はシカクミチ編集上の目安で、IPAの公式学習時間ではありません。時間よりも、科目Bで「なぜこの管理策か」を問題文の条件から説明できることを受験判断に使ってください。

模擬演習3回で120分の使い方を改善する

1回目の模擬では、現在の解き方のまま所要時間を記録します。科目Aで長く迷うのか、科目Bの長文で戻り読みが増えるのか、最後に未回答が残るのかを確認します。正答率だけを見ず、どこで時間を失ったかを残してください。

2回目では、科目Aで即答できない問題へ見直し印を付けて先へ進みます。科目Bでは設問を先に読んでから本文へ戻ります。一周目を早く終えることが目的ではなく、長いケースへ必要な時間を残すことが目的です。

3回目では、見直し順を固定します。未回答、根拠が弱い科目B、迷った科目Aの順など、自分の失点原因に合わせます。演習後に参考書へ戻ったページを数えると、知識不足と時間管理不足を分けられます。

ケース問題を「正解した」で終わらせない4問チェック

科目Bを一問解いたら、正誤に関係なく四つを確認します。第一に守る情報資産を一文で言えるか、第二に最も重要な問題条件を二つ以内で挙げられるか、第三に正解肢が誰の責任で行われる対策か説明できるか、第四に他の選択肢がなぜ今の状況に合わないか説明できるかです。

たまたま正解しても、この四つを説明できない問題は未定着として扱います。逆に誤答しても、解説後に資産・条件・責任者・誤答理由を再構成できれば、次回の類題へつながります。正答率だけより「根拠を言語化できる問題数」を増やす方が、参考書を使った科目B学習の質を確認しやすくなります。

一週間後には同じケースの答えを覚えていない状態で、設問だけ見て根拠を再度探します。答えの番号を記憶しているだけなら別ケースへ移り、同じ判断原則を使えるかを試してください。この再テストで、参考書の説明が自分の判断基準として残っているかを確認できます。

直前7日は参考書の全ページを読み直さない

試験直前の一週間は、新しい用語を広く増やすより、誤答ログに残った資産・責任分担・時系列のミスを優先します。毎日、科目Aの短い確認と科目Bケースを組み合わせ、参考書へ戻るのは根拠を説明できなかった箇所だけにします。

直前3日では120分の通し演習を繰り返しすぎず、睡眠や集中力を崩さない範囲で時間配分を確認します。前日は新しいケース集へ手を広げず、何度も戻ったページ、委託先・クラウド・インシデントなど自分の再誤答テーマ、当日の保留ルールを確認してください。

参考書を閉じた状態で「資産→脅威→脆弱性→影響→管理策」と「設問→登場人物→責任範囲→根拠」の二つの手順を言えるなら、直前復習の軸ができます。本番で未知のケースが出ても、暗記した事例名ではなくこの手順へ戻ることができます。

独学と講座・スクールは「基礎かケースか」で判断する

SGは市販教材と公開問題を使って独学する選択肢があります。独学に向くのは、分からない用語を自分で調べ、科目Bの誤答について「どの条件を読み落としたか」を説明できる人です。

講座を検討する意味があるのは、ネットワークや暗号の前提から止まり、参考書の説明自体を理解できない場合、ケースを読んでも根拠箇所を見つけられない場合、学習期限を自分で管理できない場合です。同じ総合参考書を増やすより、講義・質問・学習管理という別の役割を追加します。

現時点で確認済みaffiliate offerがない講座を、提携済みであるかのように紹介する必要はありません。講座を検討するときは現行シラバス対応、科目B演習、質問対応、教材更新など自分の不足に合う機能を確認してください。

教材を使い切ったと判断する6条件

• CIA、資産、脅威、脆弱性、リスク、管理策を一つの事例で説明できる。
• 科目Aの主要用語を「目的」とセットで説明できる。
• 科目Bで登場人物と責任範囲を問題文から整理できる。
• インシデント対応を時系列で並べられる。
• 同じ種類のケースで同じ誤答原因を繰り返さなくなっている。
• 120分で未回答を残さず、自分の見直し手順を実行できる。

ページを最後まで読んだだけでは使い切ったことになりません。問題演習で根拠を説明でき、間違えたときに必要なページだけへ戻れる状態が基準です。この条件を満たす前に総合本を買い替えると、同じ用語説明を重複して読む時間が増えます。

2冊目を買ってよい条件

1. 科目Bの演習量が足りない：解説は理解できるが同じケースを覚えてしまった。
2. ネットワーク・暗号だけ基礎不足：一分野だけ前提知識が足りない。
3. 模擬演習が不足：知識はあるが120分の時間配分が安定しない。
4. 説明形式が合わない：同じ論点を何度読んでも資産・脅威・対策の関係が理解できない。

一周して用語を忘れたという理由だけで総合本を追加する必要はありません。忘れた用語は問題演習から戻る回数を増やします。追加する場合は「科目Bケース用」「ネットワーク基礎用」のように役割を一文で説明できる教材に限定してください。

中古・旧版を使う場合の注意点

暗号やアクセス制御の基礎概念は旧版でも学べますが、出題範囲、クラウド利用、脅威動向、シラバスは更新されます。これから一冊目を買うなら現行シラバス対応版を選ぶ方が差分確認を減らせます。

旧版を持っている人は、基礎説明の補助として使い、現在の試験方式・範囲はIPA公式で確認してください。旧版に載っていない新しい用語があるからといって本全体を捨てる必要はありませんが、現行範囲の確認なしで主教材に固定しない方が安全です。

購入判断：この本を軸にする人・買い直さなくてよい人

SGを初めて学び、科目Aと科目Bを一冊でつなぎたい人は、下の2026年版教材を1冊目候補として確認できます。用語を読む本ではなく、ケースの判断根拠へ戻る本として使います。

すでに現行シラバス対応の教材を持ち、科目Bの解説まで理解できる人は買い直さなくて構いません。問題演習を増やし、詰まり方を分類してください。

ネットワーク・暗号の基礎だけ理解できない人は、総合参考書をもう一冊買うより、IT基礎へ役割を限定した教材や講義の方が原因に合います。

参考書を決めた後に確認するページ

試験制度、勉強時間、科目A・Bの学習法は情報セキュリティマネジメント試験の資格ガイドで整理しています。IT全般の入口はITパスポート、エンジニア方向へ広げるなら基本情報技術者、セキュリティ専門化なら情報処理安全確保支援士も確認できます。

FAQ

SGの参考書は何冊必要ですか？

最初の総合参考書は1冊で十分です。科目Bの演習量、特定分野の基礎、模擬演習など不足する役割が明確になったら追加します。

IT未経験でもこの1冊から始められますか？

始められますが、ネットワークや暗号の前提で止まる場合は、その部分だけ別の基礎解説を補うことがあります。科目Bを後回しにしすぎないことが重要です。

科目Bは記述式ですか？

記述式ではなく多肢選択式です。ただし長いケースから人物、資産、責任範囲、根拠を読み取る必要があります。

60問中36問なら合格ですか？

単純には言えません。IPAはIRTで総合評価点を算出し、600点以上を基準としています。正答率は学習上の目安として使ってください。

ITパスポートとどちらを先に受けますか？

IT全体を広く学ぶならITパスポート、情報管理・セキュリティを先に深めたいならSGが候補です。制度上どちらかの合格が前提という関係ではありません。

出典・確認先

• IPA 情報セキュリティマネジメント試験 — 国家試験、通年CBT、受験案内
• IPA 出題内容 — 科目A・B、120分、60問、IRT600点、出題範囲
• 翔泳社 書籍情報 — 2026年版、シラバスVer.4.1、著者、ISBN

試験・商品情報は2026年8月14日までの確認内容を基準にしています。試験方式、手数料、シラバスは変更される場合があるため、受験前にIPA公式を確認してください。