CompTIA Security+の勉強方法

2026年4月5日

朝比奈蒼

この記事のポイント

✓CompTIA Security+の勉強方法を
✓試験形式の理解から教材選び
✓パフォーマンスベース問題の対策までを順に整理します

結論から書きます。CompTIA Security+の勉強方法で最も効くのは、出題範囲の5分野を公式の配分どおりに時間配分することです。日本語の参考書を頭から読む方法では落ちます。理由は、この試験が知識の暗記ではなく「この状況でどの対策を選ぶか」を問う形式だからです。

検索している人の状況は察しがつきます。会社から受験を指示された。セキュリティの基礎を体系的に押さえたい。転職で評価される資格を1つ持ちたい。あるいは、すでに勉強を始めたが、参考書の内容が頭に入らず手が止まっている。

この試験の難しさは、範囲の広さと、日本語の情報の少なさの掛け算にあります。用語が英語由来で、和訳が教材ごとに揺れる。同じ概念に3つの訳語が当たっていることがあります。この記事では、その混乱を前提にした学習の組み立て方を示します。試験の形式、5分野の攻め方、教材の選び方、8週間の計画、当日の進め方までを順に扱います。

この試験が何を測っているのか

まず位置づけを押さえます。ここを理解すると、学習の方向が決まります。

CompTIA Security+は、特定のベンダーの製品に依存しない、セキュリティの基礎を測る国際資格です。ベンダーニュートラルであることが最大の特徴で、Cisco製品やMicrosoft製品の知識ではなく、セキュリティの考え方そのものを問います。現在の試験バージョンはSY0-701です。

そこで、一度ベンダーニュートラルな観点から体系的にセキュリティを学び直そうと考え、CompTIA Security+（SY0-701）の受験を決意しました。本資格は日本語での情報が少なく対策に悩む方も多い試験ですが、私の合格体験や勉強方法がこれから受験される方のご参考になれば幸いです。出典: sal-blog.com

この「体系的に学び直す」という動機が、この試験に一番合っています。逆に、特定の製品を扱えるようになりたいという目的には向きません。製品の設定を覚える試験ではないからです。

想定される受験者像も公式に示されています。ネットワークの基礎を理解していて、IT管理の実務経験が2年程度ある人。つまり完全な初学者向けではありません。ネットワークの経験がない状態で挑むと、通信の流れが分からないために暗記に頼ることになり、状況判断の問題で落ちます。

日本での評価についても書いておきます。国内の求人では情報処理安全確保支援士のほうが知名度が高い一方、外資系企業やグローバルに展開している企業では国際資格の評価が高い。また米国政府の職務要件で参照されていることもあり、国際的な通用性があります。国内資格と国際資格のどちらを先に取るかは、勤務先の性質で決めるのが合理的です。試験の全体像と学習期間の目安はCompTIA Security+に整理されていて、出題範囲と受験の流れが確認できます。

試験の形式と合格ラインを数字で把握する

形式を知らずに勉強を始めると、時間配分で失敗します。数字を押さえます。

試験時間は90分、問題数は最大90問です。つまり1問に使える時間は平均1分です。この時間感覚が重要で、じっくり考える余裕はありません。

採点は100点から900点のスケールで行われ、合格ラインは750点です。単純な正答率とは異なる換算がされますが、受験者の体感としては高い正答率が必要になります。

出題範囲は以下の5分野に分類され、それぞれの分野における用語やベストプラクティスの理解が必要です。試験自体は選択問題が中心で、深い論述問題などはありませんが、正答率83%以上が求められるため、あいまいな知識では合格は難しいと感じました。出典: sal-blog.com

「あいまいな知識では合格は難しい」という指摘が核心です。8割を超える水準を求められるので、6割程度の理解で受かる試験とは対策の組み方が違います。全分野を満遍なく仕上げる必要があり、苦手分野を捨てる戦略が取れません。

問題形式は2種類あります。選択問題と、パフォーマンスベース問題（PBQ）です。PBQは操作や設定を伴う実技型の問題で、試験の冒頭に数問まとまって出ることが多い。1問に時間を取られやすいので、後回しにする判断が重要です。詳しくは当日の進め方の節で扱います。

受験料は日本円で5万円台が目安です。決して安くないので、1回で通す計画を立てます。再受験の規定もあり、1回目の不合格後はすぐ再受験できますが、2回目以降は待機期間が設けられます。受験は認定試験会場かオンライン監督試験のどちらかを選べます。オンラインは自宅で受けられますが、部屋の環境要件が厳しく、机の上を完全に片付ける必要があります。環境を整える手間を考えると、初回は試験会場を選ぶほうが確実です。

資格の有効期間は3年で、継続教育のプログラムで更新します。更新には年会費と一定の教育活動が必要になるので、取得後の維持コストも見込んでおきます。

出題範囲の5分野をどの順で攻めるか

5分野には配分の重みがあります。重い順に手を付けるのが合理的です。

最も配分が大きいのは、セキュリティ運用の分野です。全体の3割近くを占めます。監視とログ、脆弱性管理、インシデント対応、資産管理、認証と権限管理、セキュリティ意識向上といった内容が含まれます。実務経験がある人には取り組みやすく、点を取りやすい分野です。ここから始めるのが正解です。

次に重いのが、脅威と脆弱性と緩和策の分野です。攻撃の種類、脅威アクターの分類、攻撃の兆候、そして対策の選び方を問います。攻撃手法の名前を覚えるだけでは足りず、「この兆候が出たときに何が起きているか」を判断する形で出ます。攻撃の実像を知るには、実際の診断の流れを追うのが早い。模擬的な侵入試験の進め方と発見される弱点の傾向は【ペネトレーションテスト事例】模擬ハッキングで弱点を発見！実施の流れと必要性にまとまっていて、攻撃者がどの順番で経路を作るかが具体的に確認できます。

3番目は、セキュリティプログラムの管理と監督の分野です。ガバナンス、リスク管理、サードパーティのリスク、コンプライアンス、監査。文書と制度の話が中心で、技術者には退屈に感じられる分野ですが、配分が大きいので捨てられません。委託先を経由した侵入のリスク管理は実務でも比重が増しており、取引先経由のウイルス侵入を防ぐ！中小企業のサプライチェーンリスク管理に侵入経路と対策の優先順位がまとまっています。試験の概念と実務の事例を結びつけると、記憶に定着します。

4番目は、セキュリティアーキテクチャの分野です。ネットワークの設計、クラウドのモデル、ゼロトラスト、データの保護、レジリエンス。ネットワークの基礎知識が前提になるので、ここでつまずく人が多い。つまずいたら分野の勉強を止めて、ネットワークの基礎に戻るほうが速い。

最も配分が小さいのが、一般的なセキュリティの概念の分野です。CIAの3要素、認証と認可、暗号の基礎、変更管理。分量は少ないが、他の全分野の土台になる用語が入っています。最初に軽く通し、最後にもう一度確認する扱いにします。

学習の順番としては、概念の分野を軽く通す、運用の分野を厚く、脅威の分野を厚く、管理の分野を文書ベースで、アーキテクチャの分野を最後にネットワークの復習と併せて、という流れを推奨します。配分の大きい分野に時間を寄せるのが得点効率として正しい。

前提知識が足りないときにどこへ戻るか

この試験で最も多い失敗は、前提が足りないまま進むことです。戻る先を明確にしておきます。

ネットワークの理解が足りない場合、アーキテクチャの分野と脅威の分野が両方とも暗記になります。具体的には、OSI参照モデルの各層で何が行われるか、TCPとUDPの違い、サブネットの切り方、DNSとDHCPの動き、ルーティングとスイッチングの役割。この6つが説明できないなら、先にネットワークを埋めます。CompTIAの体系ではネットワークの基礎資格が手前に置かれており、CompTIA Network+に出題範囲と学習の目安がまとまっています。同じ出題形式に慣れる効果もあるので、時間に余裕があるなら先に通す価値があります。

暗号の理解が足りない場合、共通鍵と公開鍵の違い、ハッシュと暗号化の違い、デジタル署名が何を保証するのか、証明書のチェーンがどう検証されるか。この4つを図で描けるようにします。ここは短期間で埋まる領域なので、苦手意識だけで避けないほうがいい。

クラウドの理解が足りない場合、IaaSとPaaSとSaaSで責任の分界がどう変わるかを整理します。共有責任モデルは試験でも実務でも頻出の考え方です。オンプレミスの経験しかない人は、ここに時間を使う価値があります。

認証と権限管理の理解が足りない場合、認証と認可の違い、多要素認証の要素の分類、シングルサインオンの仕組み、権限の与え方のモデル。この領域は実務での導入事例を見ると理解が速いので、自分の勤務先で使っている認証の仕組みを図に描いてみてください。知識と現物が結びつくと、問題文の状況が読めるようになります。

戻る判断の基準を1つ示します。問題を解いていて、選択肢の用語の意味が分からないのではなく、状況の説明が読み解けないときは前提が足りていません。用語が分からないだけなら、その用語を調べれば済みます。状況が読めないなら、土台に戻ります。

教材の選び方と、日本語情報の少なさへの対処

この試験の実務的な障壁は、日本語の教材が限られていることです。対処の順番を書きます。

まず公式の試験目標を入手します。CompTIAは試験ごとに出題目標の一覧を公開しており、そこに出題される用語が網羅されています。これが学習範囲の正本です。参考書は解説ですが、試験目標は範囲の定義そのものなので、最後の確認はここで行います。英語ですが、用語の列挙が中心なので読解の負担は小さい。

次に、日本語の参考書を1冊選びます。網羅性より読みやすさで選びます。1冊を通して読み切れることが重要で、分厚い網羅型を途中で放り出すより、薄い1冊を2周するほうが結果が出ます。参考書を読むときは、試験目標と対照して、参考書に載っていない用語を洗い出します。この差分を自分でノートに埋めるのが、日本語情報の少なさへの唯一の対処です。

問題集は日本語と英語の両方を使います。日本語だけでは問題数が足りません。英語の問題集を使うことに抵抗があるかもしれませんが、この試験の問題文は難しい構文を使いません。状況の説明と選択肢が短文で並ぶ形式なので、専門用語が分かれば読めます。むしろ英語で覚えたほうが、和訳の揺れに惑わされません。

動画教材も選択肢になります。図解で説明される領域、特にネットワークと暗号は、文字より動画のほうが理解が速い。無料で公開されている解説動画も多く、通勤時間に使えます。

避けたほうがいい教材も書きます。出所の分からない問題の寄せ集めです。実際の試験問題を無断で流用したものが混ざっていることがあり、これを使うことは規約違反です。加えて、古いバージョンの試験に対応した問題が混ざっていると、現行の範囲から外れた内容を覚えることになります。教材は試験バージョンの表記を確認してから買います。

用語ノートの作り方も1つ提案します。英語の用語、日本語の訳語、1行の説明、関連する用語の3列で作ります。訳語の揺れをここで吸収します。私が技術記事の編集でこの分野を扱ったとき、同じ概念に対して寄稿者ごとに違う訳語が使われていて、統一に一番時間を使いました。学習者が混乱するのは当然です。自分の中の訳語を1つに決めておくと、問題文の揺れに動じなくなります。

8週間の学習計画の組み方

計画の例を示します。平日1時間、週末に3時間を確保する前提で、週11時間、8週間で合計88時間という設計です。実務経験のある人の標準的な水準です。

第1週は、試験目標の入手と全体像の把握に使います。参考書を通読しますが、理解しようとせず、用語を目に入れることだけを目的にします。分からない箇所に付箋を貼って進みます。この週で全体の地図が頭に入ります。

第2週と第3週は、運用の分野を厚く進めます。配分が最大の分野なので、ここに2週を使います。ログの種類と読み方、脆弱性管理のサイクル、インシデント対応の6段階、資産の棚卸し。実務で触っているものは既存の知識と結びつけ、触っていないものはノートに書き出します。

第4週と第5週は、脅威と脆弱性の分野です。攻撃の分類を体系で覚えます。攻撃の名前を単独で覚えるのではなく、「どの層を狙うか」「何を奪うか」「兆候は何か」の3つを組にして覚えます。この組で覚えると、状況判断型の問題に対応できます。

第6週は、管理と監督の分野です。文書と制度の話なので、暗記の比重が高い。フレームワークの名前と目的、リスクの評価方法、契約類型と責任の分界。ここは短期記憶で乗り切れる部分があるので、試験日に近い週に置くのが効率的です。

第7週は、アーキテクチャの分野とネットワークの復習を並行させます。設計の考え方は、ネットワークの基礎が入っていれば理解が速い。ゼロトラストの考え方と、従来の境界型防御との違いを説明できる状態にします。

第8週は、模擬試験と弱点の潰し込みに使います。90分の時間を計って通しで解き、正答率を測ります。8割を超えていなければ、間違えた問題の分野を集中的に復習します。この週に新しい範囲を始めないのが重要で、範囲を広げるより取り落ちを埋めるほうが点が上がります。

計画が崩れたときの調整も決めておきます。崩れたら日程を延ばすのではなく、配分の小さい分野の時間を削ります。試験日を動かすと、学習の緊張が抜けて全体が延びます。日程を固定して中身を削るほうが結果が出ます。

問題演習で暗記に逃げないための方法

問題を解く段階で、多くの人が暗記に逃げます。この試験ではそれが通じないので、方法を変えます。

解いたあとに、正解の選択肢が正しい理由と、不正解の選択肢が誤りである理由を両方言語化します。4択なら4つ分の説明を作る。手間がかかりますが、この作業をすると状況判断の型が身につきます。正解だけ覚えると、少し条件を変えた問題で落ちます。

次に、間違えた問題を分野ではなく「なぜ間違えたか」で分類します。用語を知らなかった、用語は知っていたが状況を読み違えた、2つの選択肢で迷って外した、時間が足りずに勘で選んだ。この4分類で記録すると、対策が変わります。用語不足なら暗記、状況の読み違いなら概念の理解不足、迷いなら区別の基準が曖昧、時間不足なら解く順番の問題です。

「2つで迷う」が多い人は、似た概念の区別表を作ります。この試験は似た用語を並べて区別を問う出題が多い。認証と認可、脅威と脆弱性とリスク、暗号化とハッシュとエンコード、検知と防御、可用性と冗長性と回復性。こうした対を表にして、違いを1行で書けるようにします。

模擬試験は本番に近い条件で解きます。90分を計り、途中で調べず、通しで終える。分割して解くと、時間配分の練習になりません。そして採点後に、時間が足りなくなった箇所を確認します。時間を食う問題の型が分かれば、本番で飛ばす判断ができます。

当日の進め方とパフォーマンスベース問題

本番の進め方で点が変わります。具体的に書きます。

PBQは試験の冒頭に出ることが多く、1問で数分から10分近く使うことがあります。ここで時間を使い切ると、後半の選択問題を落とします。だからPBQは最初に見て、すぐ手が動くものだけ解き、迷ったら後回しにします。試験システムには後で戻る機能があるので、マークを付けて進みます。選択問題を全部終えてから、残り時間でPBQに戻るのが安全な順番です。

選択問題は1問1分の感覚で進めます。読んで即決できない問題は、マークを付けて飛ばします。迷った問題に戻る時間を確保することが、8割を超えるための条件です。全問を1回通してから、マークした問題を2周目で処理します。

問題文の読み方にもコツがあります。この試験の問題文は、状況の説明のあとに「最も適切な対策はどれか」「最初に行うべきことはどれか」という形で問います。この「最も」「最初に」という限定語が答えを決めます。技術的に正しい選択肢が複数あるとき、限定語がどれを選ばせようとしているかを読みます。「最初に行うべき」なら、封じ込めより先に確認や記録が来ることがあります。

もう1つ。選択肢に「すべての通信を遮断する」のような極端な対策が並ぶことがあります。この試験の設計思想では、事業を止める対策は最後の手段です。業務への影響を最小にする選択肢を選ぶのが、出題者の意図に沿った判断になります。

試験会場に持ち込むものも確認します。身分証明書が2点必要になる場合があり、氏名の表記が一致していないと受験できません。予約時の氏名の綴りと、身分証の綴りを照合しておきます。オンライン受験の場合は、部屋に他の人がいない状態、机の上に何も置かない状態、カメラで部屋を1周見せられる状態を作ります。

取得したあとにどう使うか

資格は取ってから使い方を決めるものではありません。先に決めておくと、学習の動機が保てます。

社内での異動に使う場合、資格そのものより学んだ範囲の説明ができることが効きます。面談で「運用の分野で学んだログ管理の考え方を、いまの担当業務にこう適用できる」と言える状態にします。取得の報告だけでは動きません。

転職に使う場合、国際資格としての通用性が効く先を選びます。外資系企業、グローバルに展開している企業、海外の顧客を持つ会社。国内中心の企業では、情報処理安全確保支援士との組み合わせで示すほうが伝わります。

業務委託で案件を受ける場合、この資格は「基礎が体系的に入っている」ことの証明として機能します。特に中小企業向けの支援では、専門用語を正しく使えることが信用に直結します。補助金を使った対策支援は依頼が出やすい領域で、制度と申請の順番は中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法にまとまっています。案件の出方と求められる役割はAI・マーケティング・セキュリティのお仕事で確認でき、技術だけでなく文書化と説明の比重が高いことが分かります。

更新の計画も立てます。有効期間は3年で、継続教育の活動で更新します。上位の資格を取ると下位の資格の更新が同時に満たされる仕組みもあるので、次の資格を取る計画と更新の計画を合わせて考えると無駄がありません。

他の資格と比べて、どれを先に取るか

順番を間違えると、時間を余計に使います。国内外の主な資格と並べて整理します。

国内の情報処理技術者試験と比べると、出題の性質が違います。基本情報技術者と応用情報技術者は範囲がIT全般に広く、セキュリティはその一部です。情報処理安全確保支援士はセキュリティに特化していて難度が高く、記述式の問題が含まれます。国内での知名度と評価では支援士が上位ですが、学習時間も大きく増えます。

学習の順番として合理的なのは、ネットワークの基礎を固めてからCompTIA Security+を通し、その後に支援士に進む形です。Security+で身につく体系が、支援士の午後問題で問われる考え方の土台になります。逆に支援士を先に狙って挫折する人は、範囲の広さと記述の負荷を同時に受けるからです。

国際資格の上位には、経験年数が受験や認定の要件になるものがあります。実務経験が数年必要なので、若いうちに取ることができません。だからSecurity+を先に取って、経験を積みながら上位を目指す流れになります。上位資格を取ると下位の資格の更新が同時に満たされる仕組みもあるので、無駄になりません。

クラウドのセキュリティ資格を先に取るべきかという問いもあります。勤務先がすでにクラウド中心なら、そちらのほうが実務に直結します。ただしクラウド固有の設計だけを覚えると、境界型防御の考え方や物理的な対策の知識が抜けます。ベンダーニュートラルな基礎を先に通しておくと、後からどのクラウドにも応用できます。

判断の基準を1つ示します。いまの業務で使う知識が足りていないなら製品寄りの資格、キャリアの選択肢を広げたいならベンダーニュートラルな資格です。前者は明日の仕事のため、後者は2年後の選択のためです。

申し込みと日程の決め方

事務手続きで足を取られる人がいるので、流れを書いておきます。

まずアカウントを作り、試験バウチャーを購入します。バウチャーには有効期限があるので、買ってから放置すると失効します。学習を始める前に買うと期限に追われますが、逆に締切ができて計画が保たれるという効果もあります。8週間の計画を立てるなら、計画の開始時に買って試験日も同時に予約するのが一番確実です。

予約の際は、氏名の綴りを身分証明書と完全に一致させます。ローマ字表記の順序、ミドルネームの扱い、旧姓併記の有無。ここが違うと当日に受験を断られます。実際に起きているトラブルなので、予約完了のメールで綴りを確認してください。

試験日は、平日の午前を選べるなら選びます。集中力が高い時間帯で、会場も空いています。週末は予約が埋まりやすいので、早めに押さえます。

日程を決めるときに考慮すべきは、仕事の繁忙期と重ならないことです。直前の1週間は模擬試験と弱点の潰し込みに使うので、その週に残業が集中すると計画が崩れます。四半期末や年度末を避けるだけで、合格の確率は上がります。

再受験の規定も先に確認します。1回目の不合格後はすぐ再受験できますが、2回目以降は待機期間が設けられます。再受験にも受験料がかかるので、1回で通す前提で仕上げます。バウチャーを2回分まとめて安く買える形が案内されている場合もありますが、これは「落ちる前提」の計画になりやすいので、私は勧めません。

運営者から見た、この資格の位置

ここからは、在宅ワークと業務委託の市場を長く見てきた立場からの観察です。

20年この市場を見てきて、セキュリティ関連の資格が案件獲得に効くようになったのは比較的最近だと感じています。以前は、資格の有無より過去の作業実績だけで判断されていました。変わったのは、発注する側が技術を評価できない企業になってきたからです。専任者がいない会社が外部に頼むとき、相手の実力を測る手がかりが資格しかない。だから資格が入口の判断材料になります。

運営者として見てきた限りでは、この資格を持っている人が評価されるのは、体系的に説明できる点です。個別の製品を触った経験は誰でも話せますが、「なぜその対策が必要なのか」を上位の概念から説明できる人は少ない。中小企業の担当者は、専門家の説明が分からないまま見積を受け取っている状態にあります。分かる言葉で筋道を示せる人に、次の依頼が来ます。

報酬の構造についても書きます。専門性の高い領域は単価が上がりますが、中間に会社が入る案件では手数料が抜かれ、単価が上がるほど抜かれる絶対額も増えます。中間マージンが乗らない直接の取引では、依頼する側は同じ予算でより多くを頼めますし、受ける側は手数料0%の環境なら手取りが厚くなります。資格の取得に5万円台の受験料と88時間を投じるなら、投じた分がどう回収されるかまで見ておく価値があります。

最後に、学習の途中で手が止まったときの対処を書きます。参考書を読み続けるのをやめて、問題を解いてください。この試験は状況判断を問う形式なので、解説を読むより問題を解いて間違えるほうが学習が進みます。私も編集の仕事で新しい分野を担当するとき、資料を読み込むより先に人に質問して間違いを指摘されるほうが早く身についた経験があります。間違える回数が学習量です。範囲が広いことに怯えず、配分の大きい分野から順に潰していけば、8週間で届く水準の試験です。

よくある質問

Q. CompTIA Security+は未経験でも合格できますか？

想定受験者はネットワークの基礎を理解し、IT管理の実務経験が2年程度ある人です。完全な未経験からでも不可能ではありませんが、ネットワークの知識がないと状況判断の問題に対応できません。OSI参照モデル、TCPとUDPの違い、DNSとDHCPの動きが説明できない状態なら、先にネットワークの基礎を埋めてください。