サイバーセキュリティ関連資格の選び方

サイバーセキュリティ資格を調べ始めると、国家資格、ベンダー資格、国際資格が混ざった一覧に行き当たり、結局どれを最初に取ればいいのか分からないまま画面を閉じることになりがちです。この記事は「一覧を眺める」ところで止まらないように、資格を4つの層に分けて地図を描き、自分がどの層から入るべきかを決められる形にまとめます。受験料と合格率は公的な統計で確認できる数字だけを使います。

結論を先に書きます。実務経験がまだ薄い段階で狙うべきは、合格率が5割に近い入口の国家試験です。国際資格や上位の国家資格は、実務経験の年数そのものが認定要件になっているものが多く、順番を飛ばすと受験料だけが消えていきます。

サイバーセキュリティ資格が今これだけ増えている背景

資格の数が増えているのは、守る対象が増えたからです。守るものが社内のサーバだけだった時代なら、情報システム部の担当者が1人いれば説明が付きました。今は業務委託先、クラウドのアカウント、生成AIに投げるデータ、従業員の自宅のネットワークまでが対象になります。層が増えた分だけ、必要な知識の種類も分かれ、資格もそれに合わせて分かれてきました。

その広がり方を毎年きれいに映しているのが、情報処理推進機構（IPA）が公表している「情報セキュリティ10大脅威」です。前年に社会的な影響が大きかった事案から候補を選び、研究者や企業の実務担当者による選考会が投票して順位を決める資料で、組織向けの2026年版は次の並びになっています。

1 ランサム攻撃による被害（2016年初選出、11年連続11回目）、2 サプライチェーンや委託先を狙った攻撃（2019年初選出、8年連続8回目）、3 AIの利用をめぐるサイバーリスク（2026年初選出）、4 システムの脆弱性を悪用した攻撃、5 機密情報を狙った標的型攻撃 出典: ipa.go.jp

この並びで注目したいのは2位です。「サプライチェーンや委託先を狙った攻撃」が8年連続で上位に入っているということは、発注する側が委託先のセキュリティを気にする年が8年続いているということでもあります。在宅で業務を請け負う人にとって、これは脅威の話であると同時に、仕事の入口の話でもあります。発注者は「この人にデータを渡して大丈夫か」を確かめる材料を探しており、資格はその材料のひとつとして機能します。

3位に入った「AIの利用をめぐるサイバーリスク」が2026年の初選出だという点も見逃せません。生成AIに社外秘の資料を貼り付けてしまう事故や、AIが書いたコードに脆弱性が残る話は、ここ1年で急に実務の話題になりました。資格の出題範囲もこの動きを追いかけており、古い参考書だけで学ぶと足元をすくわれます。

資格の全体像を4つの層に分けて整理する

サイバーセキュリティ資格は、次の4つの層に分けると迷いが減ります。層をまたいで比較しても意味がないので、まず自分がどの層にいるかを決めます。

第1層は「共通の土台」です。ITパスポート試験と情報セキュリティマネジメント試験がここに入ります。どちらも国が実施する情報処理技術者試験の一部で、コンピュータを使う人なら職種を問わず知っておきたい範囲を扱います。攻撃の手口を自分で防ぐというより、組織の中で正しく判断できるかを問う内容です。

第2層は「技術の基礎」です。基本情報技術者試験と、ネットワーク系のベンダー資格がここに当たります。ネットワークの仕組みが分からないまま攻撃の話を読んでも、言葉が頭に入ってこないので、技術側に進むならこの層を飛ばさないほうが結果的に早く進みます。

第3層は「専門」です。国家資格の情報処理安全確保支援士試験、いわゆる登録セキスペがこの層の中心にあります。ここから先は、試験に受かることと現場で通用することがほぼ同じ意味になってきます。

第4層は「管理職と国際案件」です。海外の団体が認定する資格の多くがここに入り、試験に受かっただけでは認定されず、数年単位の実務経験の証明を求められるのが普通です。順番を飛ばして第4層から入ろうとすると、受験料を払ったあとで「認定要件を満たしていません」と気付くことになります。

層の考え方が身に付くと、一覧記事で見かける「おすすめ11選」のような並びに惑わされなくなります。11個の資格は同じ土俵に並んでいるのではなく、第1層から第4層までが混ざって並んでいるだけだからです。

入口の3試験は合格率が公開されている

第1層と第2層は、国が受験者数と合格者数を公表しているので、難易度を推測ではなく数字で確かめられます。IPAが公開している推移表（令和8年4月21日時点）から、令和7年度の数字を取り出すと次のようになります。

試験区分	応募者	受験者	合格者	合格率
ITパスポート試験	307,266名	271,352名	132,012名	48.6%
情報セキュリティマネジメント試験	50,226名	45,924名	32,141名	70.0%
基本情報技術者試験	172,217名	147,186名	56,370名	38.3%
情報処理安全確保支援士試験	49,030名	35,342名	7,333名	20.7%

情報セキュリティマネジメント試験の合格率が7割というのは、この分野では例外的に高い水準です。この試験は攻撃を技術で止める人ではなく、部署の中で情報の扱いを決める人を想定しているため、暗記量は多いものの、内容そのものは業務の常識に近い範囲に収まっています。セキュリティという言葉に身構えている人でも、ここからなら入れます。

一方で情報処理安全確保支援士試験は合格率が20.7%で、応募したうち実際に受験したのは7割強にとどまります。申し込んだものの準備が間に合わず当日を迎えなかった人が3割近くいる、という読み方ができます。学習計画を立てずに申し込むと、この3割に入ります。

受験料は試験区分をまたいで共通です。

受験手数料 7,500円（情報処理技術者試験は消費税込み。情報処理安全確保支援士試験は非課税。）です。 出典: ipa.go.jp

ITパスポート、情報セキュリティマネジメント、基本情報技術者の3つは、会場のパソコンで受けるCBT方式で、年間を通して随時実施されています。自分の準備ができた時点で日程を選べるので、社会人にとっては計画が立てやすい形式です。

ただし2026年度は事情があります。IPAはシステムの入れ替えのため、この3試験を2026年12月28日以降に一時休止すると告知しており、再開時期はまだ決まっていません。会場によってはそれより前に受け付けが終わる場合もあると明記されています。年内に1枚取っておきたいなら、日程は早めに押さえるのが安全です。詳しい条件はIPAの告知ページで確認できます。

国家資格の本命、情報処理安全確保支援士の全体像

情報処理安全確保支援士は、サイバーセキュリティ分野で唯一の国家資格です。合格しただけでは名乗れず、登録して初めて資格者になる点が、他の情報処理技術者試験と大きく違います。

登録にかかる費用は、収入印紙で納める登録免許税が9,000円、登録手数料が10,700円です。合わせて19,700円が最初に必要になります。提出書類は、登録申請書と現状調査票、誓約書、合格証書の写し、戸籍の謄本か抄本または住民票の写し、登録事項等公開届出書などで、役所で取る書類が含まれるため、合格してからの手続きに2週間ほど見ておくと落ち着いて進められます。

維持のルールもはっきり決まっています。

登録の有効期限は、登録日または更新日から起算して 3年 となります。登録更新申請は、 更新期限の60日前まで に行う必要があります。登録更新申請を行うためには、毎年の受講が義務付けられている 講習を全て修了 する必要があります。登録更新申請において、 更新手数料 はかかりません。 出典: ipa.go.jp

更新そのものに手数料はかかりませんが、3年間でオンライン講習を3回、実践的な講習を1回、合計4回受けることが条件になります。講習には受講料がかかるため、資格を持ち続ける費用は試験の受験料だけでは終わりません。受講料は年度や講習の提供者によって変わるので、申し込み前にIPAのページで最新の金額を確認してください。

登録している人の数も公開されています。2026年4月1日時点の登録者総数は26,453名、平均年齢は44.3歳です。年代の内訳は40代が9,398名で最も多く、次いで50代が6,895名、30代が6,281名と続きます。20代は2,227名で全体の1割に届きません。数字の形から読み取れるのは、この資格が「若いうちに取る資格」ではなく、実務を10年前後積んだ人が後から取りに来る資格だということです。逆に言えば、20代で登録まで到達すると、母集団の中では珍しい立ち位置になります。

ベンダー資格と国際資格の使いどころ

国家資格とは別に、製品を作っている企業が出すベンダー資格があります。ネットワーク機器の分野で長く標準として扱われてきたのがCCNA（シスコ技術者認定）で、通信の経路やアクセス制御の設定を、機器の操作に近い粒度で学びます。セキュリティの入口に立つとき、通信の流れを絵に描けるかどうかで理解の速度が変わるため、技術側に進むなら価値の落ちにくい1枚です。

ベンダー資格の良い点は、学んだ内容がそのまま手を動かす作業に繋がることです。弱い点は、有効期限があり、更新しないと失効することです。製品の世代が変われば出題範囲も変わるので、維持コストを払い続ける覚悟がいります。取る前に更新の間隔と費用を確認しておかないと、数年後に「失効していた」と気付くことになります。

国際資格は、外資系企業や海外の取引先が関わる案件で名前が挙がります。管理者向けのものと技術者向けのものに分かれており、管理者向けは実務経験の年数を認定要件にしているものが多いのが特徴です。試験に受かったあとで経験年数の証明を求められ、そこで足りずに認定に進めないという話は珍しくありません。受験を考える段階で、試験の難易度ではなく認定要件の方を先に読んでください。

現実的な判断としては、国内で在宅の業務委託を中心に働くなら、まず国家資格の第1層と第2層を固め、必要に応じてベンダー資格を1枚足す、という順番が無駄になりにくい組み立てです。国際資格は、勤務先や取引先から名前を指定されたときに初めて検討すれば間に合います。

試験の中身を数字で確かめる

どの試験を受けるか決める前に、試験そのものの設計を見ておくと、学習の力の入れどころが分かります。IPAは試験要綱で、区分ごとの出題数、時間、配点、合格基準を公開しています。ここでは入口として選ばれることが多いITパスポート試験を例に、設計を読み解きます。

試験時間は120分、出題形式は四肢択一の多肢選択式、出題数は100問です。ここまでは多くの解説記事にも書かれていますが、要綱にはもう一段細かい条件が載っています。100問のうち総合評価に使われるのは92問で、残りの8問は今後出題する問題を評価するために使われます。つまり採点対象外の問題が混ざっており、解いている最中にどれがそれなのかは分かりません。難しい問題に出会ったときに動揺せず、飛ばして先へ進む判断が要るのはこのためです。

分野別の問題数も決まっています。経営や法務を扱うストラテジ系が32問、プロジェクトや運用を扱うマネジメント系が18問、技術を扱うテクノロジ系が42問です。技術の割合が最も大きいものの、経営と法務を合わせた文系寄りの範囲が5割を占めます。「ITの試験だから技術だけ覚えれば通る」と考えると、ここで取りこぼします。

合格基準は2段構えです。総合評価点は1,000点満点で600点以上、これに加えて分野別評価点がストラテジ系、マネジメント系、テクノロジ系のそれぞれで300点以上必要です。つまり得意分野で点を稼いでも、苦手な1分野が基準を割れば不合格になります。採点方式は素点ではなく項目応答理論という方法で、問題の難しさを考慮して評価点を出すため、「何問正解すれば合格」という言い切りはできません。学習では、苦手分野を捨てないことが最優先になります。

情報セキュリティマネジメント試験は総合評価点が600点以上の1条件のみ、基本情報技術者試験は科目Aと科目Bの両方で600点以上が条件です。同じCBT方式でも合格の形が違うので、申し込む前に自分が受ける区分の基準を確認してください。

資格が効く場面と、効かない場面

資格の話をするとき、効く場面ばかり並べると判断を誤ります。効かない場面を先に知っておくほうが、時間の使い方を決めやすくなります。

効く場面は3つあります。1つ目は、書類選考で条件が明示されているときです。応募要件に資格名が書かれている案件では、持っていないと土俵に上がれません。2つ目は、実務経験が説明しにくいときです。職務経歴に書ける具体的な案件がまだ少ない段階では、学習の証明が経験の代わりになります。3つ目は、社内で新しい役割を任されるときです。担当を決める側にとって、資格は判断の根拠として使いやすい材料になります。

効かない場面も3つあります。1つ目は、すでに実績が積み上がっているときです。同じ分野で何年も成果を出している人にとって、入口の資格は情報量を増やしません。2つ目は、資格の範囲と仕事の範囲がずれているときです。管理の資格を取って技術の案件に応募しても、聞かれることに答えられません。3つ目は、更新が続かないときです。失効した資格は、持っていない状態と同じ扱いになります。

この整理から導ける行動はひとつです。資格を取ること自体を目的にせず、「誰に何を証明したいのか」を先に決めることです。証明したい相手が決まれば、必要な層が決まり、取る順番も決まります。

合格したあとの手続きと記録の残し方

合格は終わりではなく、手続きの始まりです。ここを流すと、せっかく取った資格が使われないまま眠ります。

まず合格証書の扱いです。情報処理技術者試験の合格者には、経済産業大臣の署名が入った合格証書が交付されます。原本は再発行されないため、受け取ったらすぐに保管場所を決め、スキャンした画像も残しておきます。応募書類に添付を求められる場面があるので、探し回らずに出せる状態にしておくと機会を逃しません。

次に履歴書と職務経歴書への書き方です。資格欄には、試験区分の正式名称と合格年月を書きます。略称だけで書くと、読む側が同じ資格だと認識できない場合があります。職務経歴書では、資格名を並べるだけで終わらせず、その知識をどの業務で使ったかを1行添えてください。「情報セキュリティマネジメント試験に合格」で止めるのと、「合格後、預かった顧客データの保管ルールを文書化した」と続けるのとでは、読み手が受け取る情報量が変わります。

登録が必要な資格の場合は、期限の管理が加わります。情報処理安全確保支援士なら有効期限は3年で、更新申請は期限の60日前までに済ませる必要があります。講習は毎年受けるものと3年のうちに1回受けるものが混ざっているため、手帳やカレンダーに受講の予定を先に入れておかないと、更新の直前に慌てることになります。

ベンダー資格も同じです。有効期限のある資格は、失効日の3か月前に通知が来ることを前提にせず、自分で日付を管理してください。更新条件が途中で変わることもあるので、年に1度は公式ページを見に行く習慣を作っておくと安全です。

自分の1枚を決める4つの問い

資格の一覧を眺めても決まらないのは、比べる軸がないからです。次の4つの問いに順番に答えると、候補が2つか3つまで絞れます。

1つ目は「守るものは何か」です。顧客の個人情報を預かる側なのか、社内の仕組みを設計する側なのか、攻撃を検知して止める側なのかで、必要な知識の層が変わります。受け取ったデータを扱う立場なら、管理のルールを扱う情報セキュリティマネジメント試験が最短です。

2つ目は「今の手札は何か」です。ネットワークやプログラミングの下地がないまま専門の試験に挑むと、用語の壁で止まります。下地がないと感じるなら、ITパスポート試験のように全体を薄く広く押さえる試験を先に通したほうが、次の教材が読めるようになります。機器の設定まで踏み込みたいなら、ネットワークの基礎を扱う認定を先に挟むと理解が早まります。

3つ目は「いつまでに要るのか」です。CBT方式の試験は日程を自分で選べますが、年に決まった回数しか実施されない試験もあります。期限が決まっている場合は、実施方式から逆算して候補を絞ります。

4つ目は「維持できるか」です。更新に講習や再受験が必要な資格は、取った後に毎年お金と時間がかかります。年間の維持費を払い続けられるかどうかは、取る前に計算しておく項目です。

この4つに答えると、多くの場合は「第1層の国家試験を1枚、そのあとに技術系を1枚」という順番に落ち着きます。遠回りに見えますが、上位の試験に出てくる用語が先に頭に入っているかどうかで、次の学習にかかる時間が変わります。

独学の進め方と、費用と期間の見積もり

独学で進めるときの手順は、試験区分が変わってもほとんど同じです。

最初にやるのは、試験の公式な出題範囲を読むことです。IPAの試験区分ページには、対象者像、業務と役割、期待する技術水準が言葉で書かれています。参考書を選ぶ前にこれを読むと、何を覚えるべきかではなく、どういう判断ができる人を求めているかが分かります。判断の軸が先に入ると、暗記が楽になります。

次に過去問を先に解きます。学習前に解くので当然ほとんど解けませんが、それでいいです。目的は点を取ることではなく、問題の形式と時間配分を体に入れることです。IPAは過去の問題冊子と解答例を年度ごとに公開しているので、教材費をかけずに始められます。

そのあとで参考書を1冊だけ選び、最後まで通します。複数冊を並行すると進まないので、1冊を2回読むほうが進みます。2周目に入ったら、間違えた問題だけを集めた自分用の一覧を作り、試験前の1週間はそこだけを見ます。

費用の見積もりは次のようになります。受験料が7,500円、参考書と問題集で3,000円から5,000円程度、合計で1万円強です。学習時間は、下地がある人で100時間前後、まったくの初学者で180時間前後が一般的な目安として語られますが、これは人によって大きく振れる数字なので、自分の1週目の進み方を見て後から調整するほうが現実的です。

学習が続かない理由の多くは、教材の質ではなく、予定の立て方にあります。平日に1時間確保するより、平日は20分にして、その代わり週末に2時間まとめて取るほうが続いたという声は多く聞かれます。自分の生活のどこに時間が空いているかを先に見つけてから、教材を買ってください。

教材を選ぶときに見る3か所

参考書は表紙とページ数では選べません。書店やオンラインの試し読みで、次の3か所だけを見てください。

1か所目は改訂の年です。奥付に書かれた版の年が古いものは、範囲が入れ替わっている可能性があります。特にクラウドと生成AIに関する項目は、数年で内容が変わります。

2か所目は用語の説明の仕方です。専門用語が出てきたその場で、日常の言葉に置き換える1文が添えられているかを見ます。添えられていない本は、辞書を横に置きながら読むことになり、進みが遅くなります。初学者ほどここで差が出ます。

3か所目は図の使い方です。通信の流れや権限の関係は、文章だけでは頭に残りません。1つの概念に対して1つの図がある本を選ぶと、復習の時間が短くて済みます。

問題集は、解説の長さで選びます。正解の番号だけが書かれているものは、間違えた理由が分からないので学習が進みません。不正解の選択肢がなぜ違うのかまで書かれているものを選んでください。1問あたりの解説が短い問題集を2冊買うより、解説の厚い1冊を繰り返すほうが結果的に早く到達します。

生成AIの普及で、学ぶ順番が変わった部分

2026年の脅威の3位に「AIの利用をめぐるサイバーリスク」が初めて入ったことは、学習の順番にも影響します。数年前の参考書は、攻撃の入口をメールと外部からの侵入に置いていました。今は、従業員が自分の判断で外部のサービスに社内のデータを貼り付ける経路が加わっています。防ぐ相手が外の攻撃者だけではなくなった、ということです。

この変化は、技術の話というより運用の話です。どのデータを外部のサービスに入れてよいかを決め、入れてはいけないものを具体的に書き出し、それを全員が読める場所に置く。やることはこれだけですが、決める人がいないまま各自の判断に任されている組織は今も多く残っています。情報セキュリティマネジメント試験が扱う範囲は、まさにここです。

在宅で仕事を請ける側にとっても他人事ではありません。受け取った原稿や資料を、要約のために外部のサービスへ貼り付けてよいかは、契約書に書かれていないことのほうが多いからです。書かれていない場合は、発注者に確認するのが原則です。「一般的には問題ないはず」と自分で判断せず、やり取りの記録が残る形で聞いておくと、後から食い違いが起きません。金額や契約の条件と同じで、あいまいなまま進めると、揉めたときに自分を守る材料がなくなります。

学び方も変わりました。出題範囲の改訂情報は公式サイトで公開されているので、参考書を買う前に改訂の有無を確認してください。古い版を安く買ったつもりが、新しい範囲が丸ごと抜けていたという失敗は、この分野では特に起きやすくなっています。

独自データから見た、資格の換金の仕方

資格を取ったあとの話をします。在宅ワーク求人サイトに並ぶ仕事の中で、セキュリティの知識が直接効いてくるのは、セキュリティ専門の案件だけではありません。むしろ、他の職種の案件に「安心して任せられる理由」として効くことの方が多くなります。

たとえばAI・マーケティング・セキュリティのお仕事では、広告データや顧客リストを扱う業務が含まれます。名簿を預かる仕事に応募するとき、情報の扱いを学んだ証明があるかどうかは、発注者から見た安心材料になります。AIコンサル・業務活用支援のお仕事も同じで、生成AIを業務に入れる支援では「社外に出してはいけないデータをどう切り分けるか」が必ず論点になります。ここは2026年の脅威の3位に入った領域そのものです。

単価の相場を知っておきたい場合は、ソフトウェア作成者の年収・単価相場が参考になります。職種ごとの相場を見てから自分の希望額を決めると、根拠のない安値で請けることを避けられます。文章を書く仕事と組み合わせるなら、著述家，記者，編集者の年収・単価相場も併せて見ておくと、複数の収入源を持つときの配分を考えやすくなります。

資格と直接は結び付きませんが、書類の作法を扱うビジネス文書検定のような資格を1枚持っていると、報告書や手順書の形が整い、結果としてセキュリティの説明も伝わりやすくなります。専門知識を持っていても、伝わらなければ判断材料になりません。

アパレルのEC運営を請け負う現場では、この繋がりが分かりやすい形で現れます。商品の撮影ディレクションや説明文の作成を任される立場でも、注文データのファイルは手元に渡ってきます。ブランド側の担当者から「この顧客リストはどこに保存していますか」と聞かれたときに、保管場所と共有方法を自分の言葉で説明できるかどうかで、その後に任される範囲が変わります。技術の資格というより、説明責任の資格として効く場面です。

フリーランスと在宅ワークの市場を20年運営してきた立場から見ると、長く続く人ほど、単発の作業ではなく「この人に任せると楽だ」という関係づくりに時間を使っています。セキュリティの知識は、その関係づくりの土台になります。発注する側は、毎回確認しなくても安全に進めてくれる相手を探しており、それが見つかったときに継続の依頼が生まれます。

運営者として見てきた限りでは、仲介手数料が差し引かれない直接取引の構造も、この関係づくりを後押しします。同じ予算でも、中間で引かれる分がなければ、依頼する側はより多くの仕事を頼めて、受け取る側は手数料0%の分だけ手取りが厚くなります。金額の大小ではなく、同じ仕事に対して残る額が違うという質の差です。学習に投じた時間を回収するまでの期間も、その分だけ短くなります。

最後に、資格を取る順番の話に戻ります。一覧の上から順に取る必要はありません。守るものを決め、今の手札を数え、期限と維持費を確認する。この4つが決まれば、最初の1枚は自然に決まります。決まったら、日程を先に押さえてください。資格の学習が止まる理由の大半は、受験日を決めていないことにあります。

よくある質問

Q. サイバーセキュリティ資格は未経験からでも取れますか？

入口の試験であれば取れます。ITパスポート試験は令和7年度の合格率が48.6%、情報セキュリティマネジメント試験は70.0%で、いずれも実務経験は受験要件になっていません。どちらも会場のパソコンで受けるCBT方式で年間を通して実施されているため、準備ができた時点で日程を選べます。上位の国家資格や国際資格は実務経験が前提になるものが多いので、順番を守るのが近道です。

Q. 受験料はいくらかかりますか？

情報処理技術者試験と情報処理安全確保支援士試験の受験手数料は、試験区分を問わず7,500円です。情報処理技術者試験は消費税込み、情報処理安全確保支援士試験は非課税と公表されています。参考書と問題集を合わせても、入口の試験なら合計1万円強で挑戦できます。過去問と解答例は公式サイトで無料公開されているため、教材費はさらに抑えられます。

Q. 情報処理安全確保支援士は維持費がかかりますか？

かかります。登録時に登録免許税9,000円と登録手数料10,700円が必要で、登録の有効期限は3年です。更新申請自体に手数料はかかりませんが、3年間でオンライン講習3回と実践的な講習1回の計4回を修了することが更新の条件になっています。講習には受講料がかかるため、取得後も費用が続く前提で計画を立ててください。

Q. 在宅の業務委託で資格はどう役立ちますか？

発注者が委託先を選ぶときの判断材料になります。IPAの情報セキュリティ10大脅威2026では、組織向けの2位が「サプライチェーンや委託先を狙った攻撃」で、8年連続で上位に入っています。データを渡す側は委託先の扱いを気にしており、情報の取り扱いを学んだ証明があると説明が短く済みます。セキュリティ専業の案件に限らず、名簿やAI活用を扱う仕事全般で効いてきます。