AWSのセキュリティ資格の選び方｜Security Specialty合格までの順路

2026年7月10日

丸山桃子

この記事のポイント

✓AWSのセキュリティ資格をどう選び
✓どの順番で取るかを整理しました
✓AWS Certified Security - Specialtyの出題範囲と難易度

AWSのセキュリティ資格を取ろうと思って調べ始めたものの、そもそも何という名前の試験で、どのくらいの実力が必要なのかがはっきりしない。この記事は、そこで止まっている人に向けて書いています。

先に結論を書きます。AWSの認定資格の中で、セキュリティを主題にしたものは AWS Certified Security - Specialty の1つです。これは上級者向けの位置づけで、いきなり挑むと高い確率で不合格になります。現実的な順路は、クラウドの基礎を押さえる資格から入り、アソシエイトレベルでAWSのサービス全体を押さえてから、専門分野として受験する流れです。この記事では、その順路と、各段階でどれくらいの学習時間が必要になるか、そして資格を取った後に実務でどう効くのかを、順番に整理します。

AWSの認定体系の中でセキュリティ資格はどこに位置するか

最初に全体地図を押さえます。AWSの認定は、難易度で4つの層に分かれています。

いちばん下が基礎レベルで、クラウドの考え方とAWSの主要サービスの概要を問う試験です。実務経験がなくても受けられる設計になっており、多くの人がここから入ります。次がアソシエイトレベルで、実際にシステムを設計したり運用したりする立場を想定した試験です。ここからは、サービス同士の組み合わせ方や、要件に応じた選択の妥当性を問われるようになります。その上がプロフェッショナルレベルで、複雑な要件を持つ大規模環境の設計や運用が対象です。そして、これらとは別枠で専門レベルが用意されており、特定の技術領域を深く問う試験群がここに入ります。セキュリティ資格は、この専門レベルに位置しています。

専門レベルという位置づけを、単に「難しい」という意味だと理解すると危険です。ここでの意味は「特定領域に絞って深く問う」であり、その前提としてAWS全体の基礎知識が備わっていることを当然視している、ということです。つまり、セキュリティの知識だけを詰め込んでも合格できません。ネットワークの構成、ストレージの種類、コンピューティングの選択肢、それぞれの標準的な使い方を知らないと、問題文の状況設定そのものが理解できないのです。

この構造を踏まえると、「セキュリティ資格を取りたい」という目的に対する最短経路は、意外にもセキュリティ以外の勉強を先に済ませることになります。遠回りに見えますが、実際にはこちらの方が早く着きます。基礎が抜けた状態で専門レベルの問題集を解くと、解説を読んでも意味がわからず、時間だけが溶けていくからです。

もう1つ押さえておきたいのが、認定の有効期限です。AWSの認定は取得から3年間有効で、その後は再認定が必要になります。永久に持てる資格ではないという点は、取得を検討する段階で知っておくべきです。裏を返せば、認定を持っている人は直近3年以内に知識を更新しているという意味になり、そこに価値が置かれています。

AWS Certified Security - Specialty の試験概要

具体的な試験の内容に入ります。この試験は、AWS環境におけるセキュリティの設計と実装、そして運用の能力を測るものです。

出題形式は選択式で、単一選択と複数選択が混在します。問題数は65問前後、試験時間は170分程度が標準です。1問あたりに使える時間は2分半ほどですが、問題文が長いものが多く、実際には時間が不足しやすい試験です。合否は1000点満点のスコアで判定され、合格ラインは750点前後に設定されています。全問正解する必要はまったくなく、8割弱を正しく答えられれば通ります。

受験料は専門レベルの区分で、米ドル建てでは300ドルが基準です。日本での受験料は為替の影響を受けるため、申し込み時点の表示を確認してください。決して安くはない金額なので、準備不足のまま受けるのは避けたいところです。ここで知っておくと得をする仕組みがあります。

はい。AWS 認定を 1 つ取得すると、次回受験する AWS 認定試験が 50% 割引になります。AWS 認定アカウントにサインインしてこの割引にアクセスできます。出典: aws.amazon.com

つまり、先に基礎レベルやアソシエイトレベルを取得しておけば、専門レベルの受験料が半額になります。順路として基礎から積み上げることを勧めましたが、費用の面からも同じ結論になるということです。基礎レベルの受験料と、専門レベルの割引額を比べれば、先に取っておいた方が総額で安くなる計算です。

受験の形式は、テストセンターでの受験と、自宅などからのオンライン受験の2つが選べます。オンライン受験は移動が不要な代わりに、部屋に他の人がいない、机の上に何も置かない、といった条件が厳格に運用されます。在宅で仕事をしている人には便利な選択肢ですが、家族と同居している場合は当日の段取りを先に決めておく必要があります。不合格だった場合、次に受けられるまでに待機期間が設けられているため、日程に余裕を持って計画してください。

想定されている経験水準を直視する

この試験で最も誤解されやすいのが、必要とされる実務経験の水準です。公式の説明を読むと、かなりはっきりしたことが書かれています。

AWS Certified Security - Specialty は、セキュリティソリューションの設計と実装における 5 年の IT セキュリティ経験と 2 年以上の AWS ワークロードのセキュリティ保護に関する実務経験がある経験豊富な個人を対象としています。この認定は、クラウドアーキテクチャ、データベース、ネットワーキング、DevSecOps にわたる複数の職務に必要なスキルと専門知識を補完するものです。出典: aws.amazon.com

ITセキュリティの経験が5年、AWS上でのセキュリティ実務が2年以上。これが想定される対象者です。正直なところ、この条件を満たしている人は、日本のIT人材の中でもかなり限られます。

ただし、これは受験の要件ではありません。受験資格に制限はなく、経験がなくても申し込めます。では、この記述をどう受け取るべきか。私の理解では、これは「試験問題が想定している読者の前提知識の深さ」を示したものです。問題文は、すでに動いているシステムがあって、そこで何かが起きている、という設定で書かれます。経験のある人にとっては状況が即座に絵になりますが、経験のない人にとっては、まず状況を理解するための翻訳作業が必要になります。この差が、時間不足という形で現れます。

では経験が足りない人はどうすればよいか。答えは、手を動かして疑似的な経験を作ることです。自分のアカウントで小さな環境を作り、権限を絞り、ログを取り、意図的に失敗させて挙動を確認する。この作業を繰り返すと、問題文の状況が絵として浮かぶようになります。読むだけの学習では、この変化は起きません。

私自身、クラウドの管理画面を触り始めた頃は、権限周りの設定でつまずき続けました。設定したはずのアクセス許可が効かない理由がわからず、何時間も画面を行き来したことがあります。原因は、複数の場所に書かれた許可と拒否の優先順位を理解していなかったことでした。その失敗を経てからは、権限の話が急に頭に入るようになりました。遠回りに見えて、実際に詰まった経験ほど身につくというのは本当だと思います。

出題範囲を分解して優先順位をつける

出題範囲は、いくつかの領域に分かれており、それぞれに配点の比率が設定されています。領域の名称は改定で変わることがあるので、申し込み前に公式の試験ガイドで最新の構成を確認してください。おおまかには、次のような領域で構成されています。

1つ目は、脅威の検出とインシデント対応です。不審な挙動をどう検知するか、検知した後に何をするか。自動で検知するための仕組みと、対応を自動化する構成を問われます。配点の比率としては小さめですが、実務での重要度は最も高い領域です。

2つ目は、ログの記録と監視です。どのログをどこに集め、どう保全し、どう分析するか。監査に対応できる状態をどう作るかが主題です。ログ設計は、事故が起きた後に「取っていなかった」では取り返しがつかない領域なので、出題も多くなります。

3つ目は、インフラストラクチャの保護です。ネットワークの分割、通信経路の制御、境界での防御。配点の比率が最も大きい領域の1つで、ネットワークの基礎知識がそのまま得点に反映されます。ここが弱い人は、先にネットワークを固めた方が効率がよくなります。

4つ目は、アクセス管理です。誰が何にアクセスできるかを定義する仕組みで、この試験の中核と言ってよい領域です。許可と拒否の優先順位、一時的な権限の付与、複数アカウントをまたいだアクセス。細かいルールが多く、暗記ではなく仕組みの理解が求められます。

5つ目は、データの保護です。保存時と通信時の暗号化、鍵の管理、鍵の持ち主を誰にするか。鍵管理の設計は、実務でも判断が分かれるところで、試験でも判断の妥当性を問う形で出ます。

6つ目は、管理とガバナンスです。組織全体で守らせるルールをどう仕組みとして実装するか。個別の設定ではなく、組織単位での統制が主題になります。

優先順位の付け方としては、配点の大きい領域から手を付けるのが基本です。ただし、アクセス管理は他のすべての領域の前提になるので、ここは最初に固めてください。アクセス管理を理解しないままログの設計や暗号化を学んでも、断片的な知識にしかなりません。

学習教材と進め方

教材の選び方について、実際に使われているものを整理します。

まず公式の学習環境です。

初歩から始めて、認定を取得しましょう。オンライン学習センターの AWS Skill Builder で Exam Prep Plan に従って学習を進め、自信をもって試験当日に臨みましょう。出典: aws.amazon.com

公式の学習プラットフォームには、試験ごとの学習計画が用意されており、無料で利用できる範囲と有料の範囲があります。有料の範囲には模擬試験や実機演習が含まれます。公式教材の利点は、出題範囲との対応が確実なことです。市販の教材は、改定前の内容が残っていることがあるため、範囲の確認は公式を正とすべきです。

次に、公式ドキュメントとホワイトペーパーです。この試験では、サービスの詳細な挙動が問われるため、ドキュメントを読む力が必要になります。ただし、全部読もうとすると終わりません。出題範囲の領域ごとに、主要なサービスのベストプラクティスに関する文書だけを選んで読むのが現実的です。

3つ目は模擬試験です。これは必須と言っていいでしょう。理由は、知識の確認より時間配分の練習のためです。問題文が長いこの試験では、読む速度そのものが得点に影響します。模擬試験を通しで解いて、自分が何分で何問進めるかを把握しておかないと、本番で後半に時間が残らない事態になります。

4つ目は手を動かす演習です。前述のとおり、経験の代替としてこれが効きます。ポイントは、成功させるだけでなく失敗させることです。権限を意図的に不足させてエラーを見る、暗号化された領域に鍵なしでアクセスして拒否される様子を見る。この体験が、選択肢の消去に直結します。

進め方の順番としては、まず範囲全体を一周して地図を作り、次にアクセス管理を深掘りし、その後に配点の大きい領域を順に潰し、最後に模擬試験で時間配分を詰める、という流れが安定します。最初から完璧に理解しようとして1つ目の領域で止まるのが、いちばん多い失敗パターンです。

学習期間の目安とスケジュール

どれくらいの期間が必要かは、出発点によって大きく変わります。目安を3つのパターンで示します。

AWSの実務経験があり、アソシエイトレベルの認定を持っている人であれば、80時間前後の学習で届く範囲です。平日1時間、休日3時間のペースなら2か月程度になります。この層の課題は、知識の穴を埋めることなので、模擬試験で弱点を特定してから集中的に潰すのが効率的です。

AWSは触っているが認定を持っていない人の場合、まずアソシエイトレベルを先に取ることを勧めます。遠回りに見えますが、受験料の割引と、基礎の整理という2つの利点があります。アソシエイトに2か月、専門レベルに2か月半、合わせて4か月半程度を見ておくと現実的です。

AWSをほとんど触ったことがない人の場合、正直に言えば半年から1年を見るべきです。基礎レベルに1か月、アソシエイトレベルに3か月、専門レベルに3か月。この間に手を動かす時間を別に確保する必要があるので、実際にはもう少しかかります。焦って順番を飛ばすと、専門レベルで壁にぶつかって戻ってくることになり、結果的に時間が増えます。

スケジュールの作り方で重要なのは、受験日を先に予約してしまうことです。日程が決まっていない学習は、必ず延びます。予約は変更できるので、まず仮の日付を押さえ、そこから逆算して週ごとの範囲を割り振ります。週単位で計画すると、遅れが出ても翌週で調整できます。日単位の計画は、1日崩れると全体が崩れるので勧めません。

クラウドの基礎から入るなら、まずはAWS認定クラウドプラクティショナーで全体像とサービスの名前を頭に入れ、次にAWS認定ソリューションアーキテクトアソシエイトで設計の考え方を押さえるのが標準的な順路です。この2つを終えた時点で、専門レベルの問題文が読めるようになっているはずです。

申し込みから当日までの段取り

学習と並んで、意外とつまずくのが受験の手続きです。ここで手戻りが出ると学習計画そのものがずれるので、流れを先に押さえておきます。

最初に必要なのが認定用のアカウント作成です。普段クラウドを使うために作るアカウントとは別物で、認定の管理専用に用意されています。ここを混同して「ログインできない」と悩む人が多いところです。アカウントには氏名を登録しますが、この氏名が本人確認書類の表記と一致していないと、当日に受験を断られることがあります。パスポートや運転免許証の表記と、登録した氏名のつづりが揃っているかを、申し込みの前に確認してください。ローマ字表記の姓名の順序も揃えます。

次に試験会場と日程の選択です。テストセンターを選ぶ場合、会場によって空きの状況がかなり違います。都市部でも、週末の枠は数週間先まで埋まっていることがあります。逆に平日の午前中は比較的空いています。オンライン受験を選ぶ場合は、事前に接続確認のツールを実行しておきます。当日になってカメラやマイクが要件を満たしていないと分かると、それだけで受験できなくなります。

当日の注意点もいくつかあります。テストセンターでは、私物をすべてロッカーに預けます。飲み物も持ち込めません。長時間の試験なので、直前の水分と食事の取り方を考えておくと集中が続きます。オンライン受験の場合は、部屋の中を360度カメラで映して確認する手順があり、机の上と周囲に何も置けません。同居している人がいる場合は、試験時間中は部屋に入らないよう伝えておきます。

日本語で受験する場合の注意もあります。この試験は英語の原文を翻訳した問題文が出るため、日本語として読みにくい表現が混ざることがあります。試験画面では原文の英語を表示する機能が用意されているので、意味が取りにくい問題では英語を確認した方が早いことがあります。この機能の存在を知らずに、日本語だけを何度も読み返して時間を使う人が多いので、模擬試験の段階から切り替える練習をしておくとよいでしょう。

結果は、試験の終了後に画面上で合否が示される形式が基本で、詳細なスコアレポートは後日、認定用のアカウントで確認できます。レポートには領域ごとの達成状況が示されるため、不合格だった場合はどこが弱かったかが分かります。この情報は次の受験に向けた最良の教材になるので、必ず見返してください。

再認定への向き合い方も先に決めておくと楽になります。有効期限は3年で、期限が近づくと再認定のための試験を受けることになります。同じ試験を受け直す方式と、上位の認定を取得することで維持される方式があるため、3年後の自分がどちらを選ぶかを想定しておきます。実務で使い続けている人は自然に知識が更新されますが、資格を取ったあと別の領域に移った人は、3年目にゼロから思い出す作業が必要になります。取得後も、公式のアップデート情報を定期的に見る習慣をつけておくと、この負担が大きく減ります。AWSはサービスの追加と変更が速く、2年前の常識が現在の最適解ではなくなっていることが普通にあるからです。

他のセキュリティ資格との違いと使い分け

AWSのセキュリティ資格だけを見ていると判断を誤るので、他の選択肢と並べて考えます。

国家資格である情報処理安全確保支援士は、特定のクラウドに依存しない体系的な知識を問う試験です。範囲が広く、法令や組織的な管理も含まれます。公的な立場での信頼性が高く、官公庁や大企業の案件で評価されやすいという性質があります。一方で、特定のクラウド環境での実装力は測りません。

国際資格のCISSPは、管理者層を対象とした認定で、技術だけでなくマネジメントの領域まで含みます。取得には実務経験の証明が必要で、維持にも年会費と継続教育が求められます。組織のセキュリティ責任者を目指す立場なら意味がありますが、手を動かす実装者にとっては優先度が下がります。

CompTIA Security+ は、ベンダーに依存しない基礎レベルの認定です。セキュリティの用語と概念を体系的に押さえるには適しており、AWSの専門レベルに挑む前の土台作りとしても機能します。

そしてネットワークの土台を固めるという意味では、ベンダー各社が提供しているネットワーク系の認定も役に立ちます。AWSのインフラ保護の領域は、結局のところネットワークの話です。サブネットの分割、経路制御、通信の許可と拒否。この基礎が入っていれば、AWS固有のサービス名を覚えるだけで済みます。

使い分けの考え方はこうです。AWS環境の設計と運用を仕事にするなら、AWSの専門レベルが最も直接的に効きます。特定のクラウドに限らず幅広く提案する立場を目指すなら、国家資格や国際資格の方が通りがよくなります。そして両方を持つ人は少ないため、組み合わせは差別化になります。

資格を取った後に実務で何が変わるか

資格そのものが仕事を連れてくるわけではありません。ただし、変わることはあります。

最も大きいのは、提案の場で話が通りやすくなることです。セキュリティの話は、判断の根拠を説明できるかどうかで信頼が決まります。認定を持っているという事実は、その説明が体系に基づいていることの担保として機能します。特に、初めて会う相手に対して、短時間で前提を共有する手段としては効率がいいものです。

次に、任される範囲が変わります。権限設計やログ設計は、失敗したときの影響が大きいため、経験の浅い人には任されにくい領域です。認定は、その領域を任せる判断の材料になります。実際に任されれば経験が積めるので、そこから先は好循環に入ります。

単価の面では、セキュリティ領域を扱える人材は継続的に不足しているため、同じ技術職の中でも上振れしやすい傾向があります。職種ごとの報酬の幅はソフトウェア作成者の年収・単価相場にデータがまとまっているので、自分の現在地と目標を照らし合わせる材料になります。どういった依頼が発生しているかを見たいなら、AI・マーケティング・セキュリティのお仕事で扱われる案件の傾向が参考になります。

あわせて知っておくとよいのが、発注側の事情です。中小企業では、対策の必要性は理解していても予算が組めないという状況が多く、公的な支援制度を使って進めるケースが増えています。中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法に制度の使い方がまとまっており、提案する側がこの知識を持っていると、話の進め方が変わります。また、取引先を経由した侵入への警戒が強まっている現状は、取引先経由のウイルス侵入を防ぐ！中小企業のサプライチェーンリスク管理に整理されているとおりで、発注側がなぜ急いでいるのかを理解する手がかりになります。

市場を長く見てきた立場からの観察

フリーランスと在宅ワークの市場を20年運営してきた立場から言うと、セキュリティ領域は、資格と実際の仕事の結びつきが比較的はっきりしている珍しい分野です。多くの職種では「資格より実績」という言い方が正しいのですが、この分野では、資格が実績を得るための入場券として機能しています。理由は単純で、発注する側が技術を評価できないため、外部の基準に頼るからです。

運営者として見てきた限りでは、この分野で長く仕事が続いている人には共通点があります。技術の説明を、相手の言葉に翻訳できることです。暗号化の方式やアクセス制御の仕組みを、そのまま説明して理解される場面はほとんどありません。「この設定をしていないと、退職した人が今もデータを見られる状態です」と言い換えられる人のところに、相談が集まっています。資格の勉強で得た知識を、そのまま口にせず、翻訳して渡す。この一手間が、継続の依頼を生んでいるように見えます。

もう1つ、中間に業者が入らない直接取引の現場を見てきて感じることがあります。セキュリティの仕事は、相手の環境を深く知らないと提案できません。仲介を経由すると、情報が要約されて届くため、判断に必要な細部が落ちます。直接つながっていれば、気になったことをその場で聞けます。中間マージンが乗らない構造は、同じ予算で依頼側がより多く頼め、受ける側の手取りが厚くなるという分かりやすい利点を持ちますが、この分野で実際に効いているのは、必要な情報が減衰せずに届くことの方だと思います。

最後に、進め方を整理しておきます。今の自分がAWSを触っていないなら、まず基礎レベルの認定から入る。すでに触っているなら、アソシエイトレベルを先に取って割引を確保する。そのうえで、アクセス管理を最初に深掘りし、配点の大きい領域を順に潰し、模擬試験で時間配分を詰める。受験日は先に押さえる。この順番を守れば、遠回りに見えて最短距離になります。手を動かす時間を削らないこと、これだけは妥協しないでください。