情報セキュリティマネジメント試験

情報セキュリティマネジメント試験（SG）は、セキュリティ製品を開発する技術者だけでなく、情報を扱う部門で安全な運用を判断する人のための国家試験です。2026年8月14日時点では通年CBTで、科目A・科目Bを合わせて120分、60問すべてに解答し、IRTによる総合評価点600点以上が基準です。合格へ必要なのは攻撃名の暗記だけではありません。情報資産を特定し、脅威と脆弱性からリスクを考え、業務を止めずに管理策を選ぶ流れをケース問題で使えることが重要です。シカクミチではIT初学者150〜200時間、IT業務やITパスポート学習経験者50〜80時間を編集上の目安とします。

30秒で判断する情報セキュリティマネジメント試験

• 向いている人：総務・人事・営業・企画・管理部門などで情報を扱う人、セキュリティ担当の入口を学びたい人、ITパスポートの次に管理・運用を深めたい人。
• 受験資格：年齢、学歴、実務経験による制限はありません。
• 試験方式：年間を通じて随時実施されるCBT。科目Aは四肢択一、科目Bはケースを読む多肢選択式です。
• 時間と問題数：科目A・科目Bを合わせて120分、60問／60問。
• 合格基準：IRTで算出する総合評価点600点以上（1,000点満点）。単純な正答数だけで評価点を断定しません。
• 受験手数料：7,500円。申込時はIPAの通年試験案内で最新条件を確認してください。
• 勉強時間：初学者150〜200時間、経験者50〜80時間はシカクミチ編集上の目安で、IPA公式値や合格保証ではありません。

公式試験制度：科目Aの知識を科目Bの現場判断へつなぐ

実施団体は独立行政法人情報処理推進機構（IPA）です。情報処理技術者試験の一つとして、2016年度から設けられ、現在はCBT方式で通年実施されています。紙の年2回試験を前提とした古い日程記事をそのまま使わず、受験会場と空席を申込時に確認します。

科目Aは、機密性・完全性・可用性、脅威、脆弱性、攻撃手法、暗号、認証、情報資産、リスク、ISMS、インシデント管理、アクセス管理、法規などを中心に、ネットワーク、データベース、監査、サービス管理、経営管理も扱います。科目Bは、情報資産管理、リスクアセスメント、委託先管理、クラウド利用、教育・訓練などのケーススタディです。科目AとBは別々の試験ではなく、120分の中で連続して解きます。

基準点は総合評価点600点です。IPAはIRTに基づいて解答結果から評価点を算出すると説明しているため、「60問中36問なら必ず合格」と単純換算できません。問題演習では正答率を目安にできますが、本番の評価点を正答数から保証する表現は避けます。

難易度：用語暗記よりも「守る対象と業務影響」の判断で差がつく

SGの難しさは、セキュリティ用語の範囲が広いことと、現場の条件に合わせて最適な対策を選ぶことです。多要素認証、暗号化、ログ監視などが一般に有効でも、問題文が問う資産、脅威、業務制約に合わなければ正解になりません。技術経験者も「最も強い対策」を選ぶのではなく、リスクと費用、責任分担、運用可能性を読み取る必要があります。

難易度2.3/5.0というDBスコアはシカクミチ編集上の目安です。ITパスポートよりセキュリティ管理を深く扱いますが、プログラミング実技や記述答案はありません。初学者でも順序立てて学べますが、単語帳だけで科目Bを後回しにすると得点が安定しません。

資格固有の勉強法1：資産→脅威→脆弱性→管理策で整理する

対策名を単独で覚えず、まず守る情報資産を特定し、その資産に対する脅威、悪用される脆弱性、影響、管理策の順に表を作ります。顧客名簿なら漏えいだけでなく改ざんや利用不能もあり、原因は外部攻撃、内部不正、誤送信、端末紛失などに分かれます。対策もアクセス制御、暗号化、教育、ログ、バックアップの役割が異なります。

この資産→脅威→脆弱性→影響→管理策を一つの事例で説明できれば、科目Aの知識が科目Bの判断へつながります。誤答したら用語の意味だけでなく、問題文のどの条件を読み落としたかを残します。

資格固有の勉強法2：科目Bは登場人物と責任範囲を先に書く

ケース問題では、情報セキュリティ責任者、部門長、システム管理者、利用者、委託先など複数の立場が登場します。本文を読み始める前に設問へ目を通し、誰が、何を、なぜ行うかを確認します。次に登場人物と管理対象を短くメモし、責任のない人へ作業を押し付ける選択肢を除きます。

特に委託先管理では、委託したから責任が消えるわけではありません。契約時の要求、選定、実施状況の確認、事故連絡、終了時のデータ処理まで時系列で考えます。この設問→登場人物→責任範囲→根拠の読み方を科目B演習で固定します。

資格固有の勉強法3：インシデント対応を時系列で並べる

事故対応は、発見、初動連絡、影響範囲の把握、封じ込め、原因除去、復旧、再発防止という流れで整理します。最初から原因調査や公表だけを選ぶのではなく、被害拡大を防ぎ、証拠を保全し、権限者へ報告する順序を問題文の手順に合わせます。

演習では選択肢を正解・不正解で終わらせず、「なぜ今この行動か」「前後に必要な行動は何か」を一行で説明します。内部不正、マルウェア感染、誤送信、クラウド設定ミスなど事例別に時系列を作ると、暗記していないケースにも対応できます。

資格固有の勉強法4：CBTの120分を二段階で管理する

60問を120分で解く単純平均は1問2分ですが、短い科目Aと長い科目Bへ同じ時間を配分しません。1周目は科目Aの即答問題を処理し、迷う問題へ見直し印を付けます。科目Bでは設問を先に読み、本文の根拠へ戻ります。残り時間の基準を模擬演習で決め、最後に未回答と見直し印を確認します。

CBTでは画面上の問題番号、回答状況、見直し機能を使うため、公式案内と同じ操作感に近い模擬問題で練習します。紙へ長いメモを書く前提にせず、限られた補助用紙で人物、資産、条件だけを短く整理します。

勉強時間と開始時期：初学者150〜200時間を三段階に配分

初学者が180時間を確保するなら、1日30分で約12か月、60分で約6か月、90分で約4か月、120分で約3か月です。ITパスポート合格者や実務経験者が70時間を確保するなら、1日30分で約5か月、60分で約10週間、90分で約7週間です。これはシカクミチ編集上の単純逆算で、公式値ではありません。

時間の配分は、基礎用語4割、科目A問題演習2割、科目Bケース演習3割、模擬と弱点修正1割を出発点にします。初学者はネットワークや暗号の基礎へ多めに、管理職や総務経験者は技術用語へ多めに調整します。

10週間の具体的学習計画と終了条件

1〜2週目：CIAとリスクの骨格を作る

機密性・完全性・可用性、資産、脅威、脆弱性、リスク、管理策を学びます。終了条件は、身近な情報資産を一つ選び、三つ以上の脅威と対応策を説明できることです。

3〜4週目：技術対策と認証・暗号をつなぐ

マルウェア、攻撃手法、ネットワーク、アクセス制御、認証、暗号、バックアップを扱います。終了条件は、対策が防止・検知・復旧のどの役割かを分類し、似た用語を区別できることです。

5〜6週目：管理・法規・委託先

ISMS、リスクアセスメント、教育、内部不正、法規、監査、委託先管理を学びます。終了条件は、委託前・契約・実施中・終了時の管理を時系列で説明できることです。

7〜8週目：科目Bのケースを根拠付きで解く

設問先読み、登場人物、資産、責任範囲、本文根拠を記録します。終了条件は、誤答の理由を「知識不足」ではなく読み落とした条件まで特定できることです。

9〜10週目・直前期：120分の模擬と弱点修正

本番時間で複数セットを解きます。終了条件は、直近3回で未回答を残さず、見直し時間を確保し、正答率が安定して合格基準を上回る余裕を持つことです。IRT評価のため正答数だけで合格を保証しません。

問題演習：誤答を四つに分けて戻る場所を変える

誤答は①用語を知らない、②用語を混同した、③ケースの条件を読み落とした、④時間不足の四つに分けます。①はテキストやシラバスへ戻り、②は比較表、③は根拠文への線引き、④は解答順の修正が必要です。すべてを問題数で解決しようとしません。

過去問題・公開問題を使う際は、制度や法令の古さを確認します。セキュリティは攻撃手法や法規が更新されるため、古い問題の正解を暗記するのではなく、最新シラバスと公式案内へ照合します。翌日と1週間後に別の事例で再現できれば復習完了です。

苦手分野別の立て直し方

• 暗号・認証：共通鍵、公開鍵、ハッシュ、電子署名を「何を守るか」「誰の鍵か」で整理します。
• 攻撃名：手口、狙われる弱点、被害、予防・検知を一組にし、名称だけを暗記しません。
• 法規：目的、守る対象、義務を区別し、条文番号の丸暗記より事例への適用を優先します。
• 科目B長文：設問を先に読み、人物・資産・問題・要求をメモしてから本文へ戻ります。
• 時間不足：科目Aの即答を先に取り、迷う問題を保留する判断時刻を模擬で固定します。

独学か講座か、教材をどう選ぶか

ITパスポート相当の用語を理解し、ケース問題の誤答原因を自分で説明できる人は独学向きです。教材は現行シラバス対応のテキスト、科目A問題集、科目Bケース問題の役割を分けます。用語集だけで科目B演習が少ない教材は、別の公開問題で補います。

講座を検討するのは、ネットワークや暗号の基礎で止まる、ケースの根拠を見つけられない、学習期限を自分で管理できない場合です。確認済みaffiliate offerは0件なので、特定講座の価格、割引、ランキング、合格保証は作りません。教材は出版社公式で対象シラバスと版を確認します。

基本教材の候補として、2026年版・シラバスVer.4.1準拠・ISBNを出版社公式で確認したテキストを掲載します。科目Aの知識と科目Bのケース対策を一冊から始めたい人向けです。ランキング、価格、これ一冊での合格を保証するものではありません。

本ページのリンクにはアフィリエイト広告が含まれる場合があります。掲載順は報酬額のみで決めていません。

読者属性別の結論

• IT初学者：攻撃名から入らず、CIAとリスクの骨格を先に作り、150〜200時間を見込みます。
• ITパスポート合格者：重なる用語の復習を短くし、科目Bの管理判断へ早く移ります。
• 総務・人事・営業：個人情報、委託先、誤送信、クラウド利用など自部門の事例へ置き換えると定着します。
• ITエンジニア：技術的に強い対策だけでなく、規程、教育、責任分担、事業継続を含む管理策を重視します。
• セキュリティ職志望：SGは管理・運用の入口です。合格後は実務、基本情報、応用情報、支援士など目的に応じて深めます。

合格後の次資格とキャリア

IT全般とプログラミングへ広げるなら基本情報技術者試験、セキュリティを専門化するなら情報処理安全確保支援士試験が候補です。ITの入口から位置づけを確認するならITパスポート、全体のつながりは資格マップで確認できます。SG合格だけで専門職への就職が保証されるものではなく、自部門での改善経験と結び付けて説明します。

よくある質問

IT未経験でも受験できますか？

受験資格の制限はありません。未経験者はネットワーク、認証、暗号の基礎時間を含め、科目Bを後回しにしない計画を立てます。

ITパスポートとどちらを先に受けますか？

IT全体を広く学ぶならITパスポート、情報管理とセキュリティを先に深めたいならSGが候補です。制度上の前提関係はありません。

60問中36問で合格ですか？

そうとは断定できません。IPAはIRTで総合評価点を算出し、600点以上を合格基準としています。単純な正答数換算は目安に留めます。

自宅で受験できますか？

通年CBTですが自宅受験ではありません。指定されたCBT会場で受験します。空席と休止期間を申込時に確認してください。

科目Bは記述式ですか？

記述式ではなく多肢選択式です。ただし長いケースから条件と責任範囲を読み取り、適切な対策を選ぶ実践問題です。

独学で合格できますか？

可能です。科目Aの用語だけでなく、科目Bの誤答根拠を自分で分析できることが条件です。基礎や計画管理で止まる場合は講座を検討できます。

確認した公式情報

• IPA「情報セキュリティマネジメント試験」 — 国家試験としての位置づけと通年CBTを確認（2026-08-14）。
• IPA「情報セキュリティマネジメント試験 出題内容」 — 科目A/B、120分、60問、IRT、600点基準、出題分野を確認（2026-08-14）。

試験方式、手数料、シラバス、休止期間は変更されます。申込前にIPA公式を確認してください。難易度、勉強時間、学習順、教材選び、次資格はシカクミチ編集上の目安で、合格・就職を保証しません。