情報処理安全確保支援士試験

情報処理安全確保支援士試験（SC）は、サイバーセキュリティの技術・管理・法務を横断し、リスク分析、設計、運用、インシデント対応、経営層への助言までを問う国家試験です。2026年度はCBT方式で前期・後期に実施され、科目A-1は50分30問、A-2は40分25問、科目Bは150分で4問中2問を解答します。各科目の合格基準は原則60点以上です。なお、試験合格だけで「情報処理安全確保支援士（登録セキスペ）」を名乗れるわけではなく、登録手続きを経て初めて名称独占の国家資格者となる点を最初に区別しておきます。

30秒で判断する情報処理安全確保支援士試験

• 向いている人：セキュリティエンジニア、SOC/CSIRT、インフラ・ネットワーク担当、セキュリティ企画や監査、技術と管理の両方から対策を提案したい人。
• 公式試験制度：2026年度は前期・後期ともCBT。A-1・A-2とBを別の実施期間で受験します。
• 試験時間：A-1 50分、A-2 40分、B 150分。Bは記述式で4問中2問を選択します。
• 合格基準：A-1、A-2、Bはいずれも100点満点中60点以上が原則。前段科目が基準未達の場合は後続採点されない段階判定です。
• 受験手数料：7,500円（SCは非課税）。
• 勉強時間：初学者300〜500時間、AP合格者・セキュリティ実務経験者180〜300時間を編集目安とします。

公式試験制度：2026年度はCBTで前期・後期の2回

SCは独立行政法人情報処理推進機構（IPA）が実施する国家試験です。IPAは対象者像として、サイバーセキュリティリスクを分析・評価し、組織の事業・サービス・情報システムの安全を確保するセキュリティエンジニアや、技術・管理の両面から対策を助言するセキュリティコンサルタントを示しています。

2026年度からCBTへ移行しましたが、IPAは知識・技能の範囲、出題形式、出題数・解答数、採点方式、配点、合格基準は変更しないと案内しています。従来の午前I・午前II・午後は、科目A-1・科目A-2・科目Bへ名称変更されました。A-1は50分30問、A-2は40分25問、Bは150分の記述式4問中2問です。

前期は申込2026年10月6日〜10月24日、A-1/A-2が10月17日〜10月27日、Bが11月11日〜11月23日です。後期は申込2027年1月27日〜2月27日、A-1/A-2が2月20日〜3月2日、Bが3月16日〜3月28日です。前期・後期とも会場の空席から日時を選ぶ方式で、A群とB群は同時に予約します。

「試験合格」と「登録セキスペ」は別：名称独占は登録後

SCに合格すると、経済産業大臣名の合格証書が交付されます。ただし、法律上の「情報処理安全確保支援士」を名乗るには別途登録が必要です。試験合格者など所定の資格要件を満たした人が登録手続きを行い、登録された後に名称独占の国家資格者となります。

この違いは履歴書でも重要です。試験に合格しただけなら「情報処理安全確保支援士試験 合格」と書き、登録済みなら登録資格として表現します。登録後は講習受講など資格維持の仕組みもあるため、「一度試験に受かれば永久に登録資格を名乗れる」と考えないようにします。

難易度：知識量より「事故の流れを読み、根拠付きで書く」力が難しい

シカクミチではSCの難易度を5段階の5と評価します。これは公式指標ではありません。暗号、認証、ネットワーク、Web、クラウド、マルウェア、脆弱性、ログ、インシデント対応、法務・ガバナンスなど範囲が広いうえ、科目Bでは長い事例から状況・原因・対策を読み取り、設問に沿って短く記述する必要があります。

単語を知っているだけでは不十分です。たとえばSQLインジェクションを説明できても、問題文の通信、ログ、入力値、実装条件から「どこに問題があるか」「何を変更すべきか」を特定できなければBで点になりません。技術を攻撃→観測→原因→対策の流れで理解することが重要です。

勉強時間：初学者300〜500時間、経験者180〜300時間を目安にする

IPAは標準学習時間を示していません。本サイトでは、AP相当の基礎がなくセキュリティも初めてなら300〜500時間、AP合格者やネットワーク・サーバ・セキュリティ実務経験者なら180〜300時間を編集目安とします。

最初の25%でA系の基礎知識、次の25%でセキュリティ主要論点、残り50%をBの事例演習に使う配分を初期値にします。A系で知識を増やすだけでB演習を後回しにすると、長文から根拠を拾う力が育たないため、開始1か月以内にB問題へ触れます。

資格固有の勉強法1：攻撃を「入口→痕跡→影響→対策」の4段階で整理する

攻撃手法は入口・痕跡・影響・対策の4段階で整理すると、科目Bで使いやすい知識になります。フィッシング、認証突破、Web脆弱性、マルウェア、内部不正などを、単なる定義ではなく「何をきっかけに侵入し、どんなログや挙動が残り、何が侵害され、どこで止めるか」でまとめます。

過去問演習では、本文中の事実をこの4列へ当てはめます。模範解答を暗記するのではなく、ログ、HTTP通信、設定値、権限、利用者行動のどれが根拠になったかを残します。類題で同じ観点を再利用できれば理解が定着しています。

資格固有の勉強法2：科目Bは「設問が要求する粒度」で答える

科目Bでは設問が要求する主語・対象・理由の粒度を合わせることが重要です。「対策を述べよ」に一般論を長く書くのではなく、本文の構成・制約・原因に直接効く対策を指定字数で書きます。「なぜか」と聞かれたら、結論だけではなく問題文の条件との因果を入れます。

演習時は答案を書いた後に「本文のどこを根拠にしたか」を一行でメモします。根拠箇所が見つからない答案は、自分の知識だけで一般論を書いた可能性があります。SCは詳しい知識を披露する試験ではなく、事例に適合した判断を答える試験として扱います。

資格固有の勉強法3：ログ・通信・設定を一枚の時系列へ並べる

ログ・通信・設定変更・利用者操作を時系列へ並べる練習をすると、インシデント系の問題が読みやすくなります。いつ、誰が、どの端末から、何へアクセスし、どの認証・権限で処理され、何が変化したかを番号で並べます。

ログを個別に読むだけでなく、FW、Web、認証、OS、クラウド監査ログなど異なる記録を一つの事故として結びます。時系列にすると、侵入前後の境界、検知できなかった箇所、追加すべき監視ポイントが見えやすくなります。

資格固有の勉強法4：セキュリティ設計は「守る対象→脅威→統制」で考える

ゼロトラスト、認証、暗号化、ネットワーク分離、バックアップ、権限管理などの用語を、製品名として覚えないようにします。まず守る対象と重要度を決め、想定する脅威を置き、その脅威を予防・検知・復旧のどこで抑えるかを考えます。

対策は強ければ強いほどよいわけではありません。業務要件、運用負荷、可用性、コストなどの制約があります。科目Bでは「なぜその対策がこの事例に必要か」を説明できるよう、対策の目的と副作用をセットにします。

A-1・A-2対策：60点突破で満足せずBに使える基礎を残す

A-1は高度試験共通の基礎、A-2はSC固有の専門知識を問います。各科目は原則60点以上が基準ですが、ぎりぎり突破だけを狙うとBで必要な基礎が不足します。A-2は暗号、認証、ネットワーク、攻撃、脆弱性、マネジメントなど分野別に誤答率を記録し、70〜80%を安定させてBへ学習時間を移します。

A-1には免除制度があります。AP・高度・SCの合格や過去の午前I/A-1通過など所定条件を満たす人は申請できるため、自分が対象かをIPAの年度別案内で確認します。SCにはIPA認定課程によるA-2免除制度もありますが、一般受験者全員が免除される制度ではありません。

学習順序：基礎ネットワーク→認証・暗号→攻撃→運用・法務→B演習

初学者はTCP/IP、DNS、HTTP/TLS、ルーティング、FWなど通信の基礎を先に固めます。次に認証・認可、PKI、暗号、鍵管理へ進み、Web脆弱性、マルウェア、メール、クラウド、インシデント対応へ広げます。最後にガバナンス、リスク管理、法令・契約を組み合わせます。

ネットワーク基礎が弱い場合はネットワークスペシャリストの基礎論点、全体的なIT基礎が弱い場合は応用情報技術者試験の学習範囲も参照します。セキュリティ入門から始めたい人は情報セキュリティマネジメント試験を前段に置く方法もあります。

問題演習：過去問は答えではなく「根拠の位置」を残す

過去問を解いたら、正解・不正解だけでなく、各設問の根拠が問題文のどこにあったかを記録します。正解しても根拠が説明できなければ未完成です。逆に表現が模範解答と違っても、本文根拠と因果が明確なら方向性は合っています。

2026年度はCBTへ移行し、問題は非公開と案内されています。従来の公開過去問は知識と記述力の訓練には引き続き役立ちますが、「今年も同じ問題形式が公開される」前提ではなく、IPAの体験画面や最新案内も確認します。

苦手・弱点の立て直し：技術不足と読解不足を分ける

誤答は「知識不足」「問題文の根拠を見落とした」「因果関係を逆にした」「答案の粒度が違った」に分けます。知識不足なら教材へ戻り、根拠見落としなら本文マーキング、因果ミスなら時系列化、粒度違いなら設問文の主語と要求語を確認します。

Bの点が伸びないからといって専門書を増やし続けるのは効率的とは限りません。知識はあるのに答案がずれる人は、同じ問題を解き直すより「設問→根拠→答案」の三点セットを短く作る練習を増やします。

独学・講座・教材選び：IPA公式を基準に更新日を確認する

独学する場合はIPAの試験区分ページ、試験要綱・シラバス、公開過去問を基準にします。市販教材は2026年度CBT移行を反映しているか、従来の午前・午後表記だけで止まっていないかを確認します。知識範囲そのものは大きく変わっていなくても、受験日程と画面操作は変わっています。

講座を使う場合は、B記述答案へのフィードバックがあるかを重視します。動画だけで知識を増やすより、自分の答案が「一般論になっている」「本文の根拠を使っていない」と指摘される方が改善しやすい試験です。

直前期：A系とBを別日にピーク化する

2026年度CBTではA系とBの実施期間が分かれます。直前期はA-1/A-2の受験前に短問の正答率を上げ、A系終了後はBの150分演習へ比重を移します。従来の一日完結試験の感覚で、すべてを同時にピークへ持っていく必要はありません。

B前の1〜2週間は、150分で2問を選び、設問ごとの根拠と答案を時間内に作る通し演習を行います。選択問題は最初に全体を眺め、自分が根拠を拾いやすい2問を選ぶ判断も練習します。

FAQ

受験資格に実務経験は必要ですか？

年齢・学歴・実務経験による受験資格制限はありません。実務経験がなくても受験できます。

試験に合格したら情報処理安全確保支援士を名乗れますか？

試験合格だけでは登録資格者ではありません。所定の登録手続きを経て登録された後に名称を使用します。

2026年度から問題内容も変わりましたか？

IPAはCBT移行に伴って知識・技能の範囲、出題形式、出題数・解答数、採点方式、配点、合格基準は変更しないと案内しています。

2027年度も同じ制度ですか？

2027年度から新試験制度へ移行予定です。2026年度の日程・科目名称をそのまま翌年度へ流用せず、IPA最新案内を確認してください。

公式情報：2026年度CBTと登録制度を分けて確認する

試験方式・対象者像はIPAのSC試験ページ、2026年度の前後期日程・受験手数料・免除制度は年度スケジュール、登録資格の扱いはIPAの登録案内を基準にしています。SCは制度変更の途中にあるため、受験申込時と登録申請時の両方で公式情報を再確認してください。

取得後の次の資格・実務：登録・実務テーマ・隣接分野を選ぶ

SC合格後に名称独占資格として情報処理安全確保支援士を名乗りたい場合は、合格で終わらせずIPAの登録要件と手続きを確認します。登録を急がない場合でも、学んだ内容を脆弱性管理、ログ監視、クラウド設定、インシデント対応、セキュリティレビューなど自分の実務テーマへ一つ接続すると知識が定着します。

次の学習は目的で分けます。通信・プロトコル解析を深めるならネットワークスペシャリスト、設計・運用全体へ広げるなら他の高度試験、マネジメントや監査を強めるならガバナンス系の学習へ進みます。資格を横に増やすより、SCで弱かった領域を基準に次を選ぶ方が効率的です。