情報セキュリティマネジメント試験と基本情報技術者試験の違い

2026年6月25日

＠SOHO編集部

この記事のポイント

✓情報セキュリティマネジメント試験と基本情報技術者試験の違いを
✓対象者像・出題形式・合格率・勉強時間・受験手数料・合格後のキャリアまで並べて比較します
✓どちらを先に受けるべきか

まず、安心してください。情報セキュリティマネジメント試験と基本情報技術者試験のどちらを受けるべきかで迷っている皆さんは、すでに正しい場所に立っています。この2つはどちらもIPA（情報処理推進機構）が実施する国家試験で、スキルレベルの区分も同じ「レベル2」です。つまり、どちらかが格上でどちらかが格下、という単純な上下関係ではありません。違うのは「誰のための試験か」という設計思想です。

結論を先に書きます。皆さんがITの仕事そのもの（開発・運用・インフラ）に関わる、あるいは今後関わりたいのであれば基本情報技術者試験です。ITを使う立場で情報を守る側に回る（総務、人事、経理、営業企画、情報システムの窓口、中小企業の管理部門）のであれば情報セキュリティマネジメント試験です。この記事では、その判断を自分で下せるように、対象者像、出題形式、合格率、必要な勉強時間、受験手数料、合格後の使い道までを並べて比較していきます。私も43歳でメーカーを辞めてフリーランスになった人間なので、「資格を取っても意味がなかった」という徒労だけは避けてほしいという気持ちで書いています。

2つの試験が並び立っている背景と、いま比較される理由

情報処理技術者試験の中で、基本情報技術者試験は最も歴史の長い区分のひとつです。名称は変わってきましたが、ITの基礎知識を横断的に確認する試験として長く運用されてきました。対して情報セキュリティマネジメント試験は2016年に新設された、比較的新しい区分です。新設の背景は明確で、当時すでに情報漏えい事故の多くが「高度な攻撃技術」ではなく「組織内の運用の穴」から起きていたからです。持ち出したUSBメモリ、退職者のアカウントが残ったまま、委託先に個人情報をメール添付で渡す、といった話です。これらはエンジニアだけを鍛えても止まりません。だから、情報を使う部門の担当者向けの試験が別に用意されました。

この2つがいま比較される理由は、受験者側の事情が変わったことにあります。ひとつはCBT（コンピュータを使った試験）化により、どちらも通年で受けられるようになったことです。以前のように「春と秋しかない」という制約がなくなったため、「どちらを先に受けるか」を自分の都合で決められるようになりました。もうひとつは、企業が資格取得を推奨する対象を広げたことです。情報システム部門だけでなく、全社員に何らかのセキュリティ系資格を取らせる動きが出ています。とくに取引先からセキュリティ体制の説明を求められる中小企業では、担当者を国家試験で裏付けるという発想が広がりました。

実際の検索行動を見ても、この2つを並べて調べている人の悩みはかなり具体的です。知恵袋にはこうした質問が残っています。

皆様、ありがとうございます。とにかくどちらか取得出来れば良いです。そう考えた場合どちらが取得しやすいですか？また、未経験からの勉強時間はどの程度になりますか出典: detail.chiebukuro.yahoo.co.jp

この質問の立て方は、正直に言うととても現実的です。「体系的に学べるのはどちらか」ではなく「どちらが取りやすいか」を聞いている。仕事をしながら勉強時間をひねり出す人にとって、これは真っ当な問いです。そしてこの問いに対する答えは、後述するとおり「情報セキュリティマネジメント試験のほうが短期で届きやすい」で、ほぼ固まっています。ただし、取りやすさだけで決めると使い道を外すことがあります。その落とし穴も含めて順に見ていきます。

対象者像とスキルレベルの違いを正確に押さえる

IPAは試験区分ごとに「対象者像」と「業務と役割」を公開しています。ここを読み飛ばすと、比較の軸そのものがずれます。

基本情報技術者試験の対象者像は、ITを使ってサービスやシステムを作る側の入口に立つ人です。上位者の指導を受けながらプログラムを設計し、実装し、テストする。あるいはシステムの運用を担う。そのために必要な基礎知識として、コンピュータの仕組み、アルゴリズム、データベース、ネットワーク、セキュリティ、プロジェクトマネジメント、経営戦略までを広く問われます。範囲が広いのは「専門に進む前の土台」を確認する試験だからです。

情報セキュリティマネジメント試験の対象者像は、組織の情報資産を守る側の担当者です。自分でファイアウォールを設定する人ではなく、部門の情報資産を洗い出し、リスクを評価し、規程を作り、社員に守らせ、事故が起きたら報告と復旧を回す人です。だから出題は、技術的な設定手順よりも、管理の手順と判断に寄っています。個人情報保護法や不正アクセス禁止法といった法令、内部監査、委託先管理、インシデント対応の流れ。技術要素も出ますが、「仕組みを知っていれば選べる」水準に抑えられています。

ここで皆さんが誤解しやすい点をひとつ挙げます。「セキュリティのほうが専門的だから難しいはずだ」という思い込みです。実際は逆になることが多い。理由は、情報セキュリティマネジメント試験が扱う範囲が基本情報技術者試験より狭いからです。基本情報技術者試験の出題範囲には、セキュリティ分野そのものが含まれています。つまり集合としては、基本情報技術者試験のほうが大きい。専門性の深さではなく、範囲の広さで難易度が決まる試験です。

比較軸	情報セキュリティマネジメント試験	基本情報技術者試験
スキルレベル	レベル2	レベル2
想定する立場	ITを利用する部門の情報セキュリティ担当者	IT技術者、およびその入口に立つ人
出題の重心	管理・法令・運用・インシデント対応	技術の基礎全般とアルゴリズム、経営・管理
プログラミング	問われない	疑似言語による問題が中心的に問われる
実施方式	CBTで通年	CBTで通年
出題範囲の広さ	狭い（セキュリティ管理に集中）	広い（セキュリティは一分野として含まれる）

この表の最後の2行が、選択の分かれ目です。プログラミング的な思考を測る問題が出るかどうかで、必要な準備がまったく変わります。

出題形式と試験時間の違いが、勉強計画を左右する

2023年4月に両試験は出題構成を変えました。現在はどちらも「科目A」「科目B」の2部構成です。ここを知らずに古い参考書を買うと、午前・午後という区分で書かれていて混乱します。中古の教材を買うときは必ず対応年度を確認してください。

基本情報技術者試験は、科目Aが小問形式で60問・90分、科目Bが20問・100分という構成です。科目Bはアルゴリズムとプログラミングが大半を占め、残りが情報セキュリティです。つまり基本情報技術者試験では、セキュリティは科目Bでも配点を持ちますが、主役はアルゴリズムです。ここが多くの受験者のつまずきどころで、科目Aは通っても科目Bで落ちるという人が毎年出ます。

情報セキュリティマネジメント試験は、科目Aが48問・60分、科目Bが12問・60分です。科目Bは長文の事例問題で、架空の企業の状況を読んで「この場面で担当者は何をすべきか」を選びます。文章量が多いので国語的な読解力が要ります。逆に言えば、アルゴリズムに苦手意識がある人にとっては、はるかに戦いやすい形式です。

合格基準はどちらも、科目A・科目Bそれぞれが1000点満点で600点以上です。片方だけ高得点でも通りません。どちらか一方に偏った勉強をしないというのが、両試験に共通する鉄則です。

試験時間の設計が示す意味も押さえておきましょう。基本情報技術者試験の科目Bは20問で100分、つまり1問に5分使える設計です。これは「読んで即答」ではなく「机上でトレースする」ことを前提にしています。疑似言語のプログラムを紙の上で1行ずつ追い、変数の値を書き出して答えを出す作業です。この訓練をしていない人が時間内に解ききるのは難しい。一方、情報セキュリティマネジメント試験の科目Bは12問で60分なので1問5分ですが、こちらは計算ではなく読解と判断です。事例を読み、選択肢の中から手順として妥当なものを選ぶ。準備の質がまったく違うということが、この時間配分から読み取れます。

合格率の実像と、数字の読み方

合格率はよく比較されますが、単純に並べると誤読します。前提として、情報セキュリティマネジメント試験のほうが一貫して高い水準にあります。IPAが公表している統計では、情報セキュリティマネジメント試験はおおむね70%前後で推移してきました。基本情報技術者試験は紙の試験だった時代は25%前後まで下がった回もありましたが、CBT方式に移行してからは40%台から50%前後へと上がっています。最新の数字はIPAの統計資料で必ず確認してください。年度ごとに変動します。

ここで注意したいのは、合格率の差がそのまま難易度の差とは言えないことです。理由は3つあります。

第一に、受験者の母集団が違います。基本情報技術者試験は学生と新人研修での団体受験が多く、準備が不十分なまま受ける層を含みます。情報セキュリティマネジメント試験は、会社から言われて受ける社会人が中心で、業務知識がある状態で臨む人が多い。この構成の差が数字を動かします。

第二に、CBT化の影響があります。通年で受けられるようになると、人は「仕上がってから申し込む」ようになります。試験日が固定されていた時代は、準備が間に合わなくても受験するしかありませんでした。通年化は、受験者の平均的な仕上がり度を引き上げる方向に働きます。合格率が上がったことを「試験が易しくなった」と読むのは早計です。

第三に、合格率は「受けた人のうち通った人」の割合であって、「勉強を始めた人のうち通った人」ではありません。挫折して受験にすら至らなかった人は分母に入りません。基本情報技術者試験はアルゴリズムで離脱する人が一定数いるので、この見えない離脱が合格率を実態より高く見せます。

私が中高年向けに記事を書く中で何度も見てきたのは、「合格率70%なら余裕だろう」と踏んで情報セキュリティマネジメント試験を受け、科目Bの事例問題で足を取られるパターンです。あの科目Bは、実務で規程を読んだ経験がない人には案外手強い。法令の条文を暗記していても、「この状況で最初に報告すべき相手は誰か」は答えられないのです。数字は入口の目安にはなりますが、皆さん自身の適性のほうがずっと重要です。

必要な勉強時間の比較と、現実的な学習計画

勉強時間の目安には諸説あります。まず参考として、現場の声を引いておきます。

一般的な勉強時間はどちらも200時間くらいとか技術者なら基本情報のほう、それ以外は情報セキュリティで良いのでは出典: detail.chiebukuro.yahoo.co.jp

「どちらも200時間」という見立ては、IT未経験者を想定するなら基本情報技術者試験については妥当だと思います。ただ情報セキュリティマネジメント試験については、実務経験がある社会人であれば50時間から100時間程度で仕上げる人も珍しくありません。差が出るのは、業務で規程や契約書に触れているかどうかです。委託先への秘密保持契約を見たことがある人は、それだけで科目Bの半分の土台があります。

現実的な計画の立て方を示します。基本情報技術者試験を未経験から狙う場合は、3か月から4か月で組むのが無理のない形です。最初の1か月で科目Aの用語を通し、2か月目からは科目Bのアルゴリズムに全体の半分以上の時間を配分します。ここを逆にして「まず全範囲を暗記してからアルゴリズム」にすると、たいてい時間が足りません。アルゴリズムは慣れが必要で、後回しにできない性質の科目だからです。疑似言語の問題は、1日1問でいいので毎日触れることを勧めます。

情報セキュリティマネジメント試験は、1か月から2か月で組めます。過去問を中心に回し、間違えた問題の周辺知識を教科書で埋める。この順番が効率的です。科目Bの事例問題は、時間を計って解いてください。読む速度が足りないと、知識があっても落とします。

社会人の皆さんに対して、私が自分の経験から言えることがひとつあります。私は退職の1年前から副業を始めていて、そのとき痛感したのは「平日の夜は当てにならない」ということです。会議が延びる、子どもの用事が入る、単純に疲れて頭が動かない。結局、私が続けられたのは朝の1時間と土曜の午前でした。勉強時間を「平日夜に毎日2時間」で設計して破綻した経験があるので、皆さんには最初から週末中心の計画を勧めます。合計時間ではなく、崩れない配置で考えるほうが到達します。

どちらを先に受けるべきか、判断のための4つの分岐

比較を終えたら、決めなければ意味がありません。判断の軸を4つに絞ります。

第1の軸は、業務でコードやシステム構成に触れるかどうかです。触れる、あるいは今後触れる予定があるなら基本情報技術者試験です。触れないなら情報セキュリティマネジメント試験です。ここが最も効く軸で、ほかの3つはこれを補正するだけのものだと考えてください。

第2の軸は、会社が求めているものです。資格手当や昇格要件の一覧に片方だけが載っていることがあります。受験料を会社が負担する制度も、対象区分が指定されている場合があります。自分の判断より先に、人事の規程を読んでください。これで決まる人が実は一番多い。

第3の軸は、期限です。半年以内に何か形にしたい、転職活動の書類に書ける実績を早く作りたいという状況なら、到達の早い情報セキュリティマネジメント試験から入るのが合理的です。到達してから基本情報技術者試験に進んでも、学習は無駄になりません。情報セキュリティマネジメント試験の知識は、基本情報技術者試験のセキュリティ分野にそのまま流用できます。

第4の軸は、その先に進みたい上位区分です。応用情報技術者試験、そして情報処理安全確保支援士（登録セキスペ）を視野に入れているなら、基本情報技術者試験を先に通すほうが道筋がきれいです。応用情報技術者試験は基本情報技術者試験の延長線上に範囲が設計されているので、間を飛ばすと苦労します。逆に、管理側のキャリアで完結させるつもりなら、情報セキュリティマネジメント試験から上位のマネジメント系区分へ進む道もあります。

ネットワーク寄りの仕事を志すなら、ベンダー資格との組み合わせも考える価値があります。ルーティングやスイッチングの実務知識を測る資格の位置づけと学習範囲はCCNA（シスコ技術者認定）のページに整理されているので、国家試験と並べて見ておくと、自分に足りない層が見えてきます。国家試験は「体系」を、ベンダー資格は「製品の操作」を測るもので、役割が違います。

効率的な勉強方法と、無料で使えるもの

勉強方法は、両試験で共通する部分と、分かれる部分があります。

共通するのは、過去問を軸に据えることです。IPAは過去の試験問題と解答を公式サイトで公開しています。ここが最も信頼できる無料の教材です。市販の問題集を買う前に、まず公開問題を1回分解いてみることを勧めます。自分の現在地がわかりますし、そもそも出題の雰囲気が合わないと感じたら、選ぶ試験自体を考え直せます。

無料の学習サイトも充実しています。過去問を分野別に演習できるサイトが有志によって運営されており、解説付きで回せます。有料の通信講座や動画教材は、独学の順序付けが苦手な人には有効ですが、必須ではありません。私の実感では、独学で挫折する原因は教材の質ではなく「順序を決められないこと」です。順序さえ決まれば、無料教材でも十分に届きます。

分かれるのは、科目Bの対策です。基本情報技術者試験の科目Bは、手を動かす訓練です。疑似言語のプログラムを紙に写し、変数の値を1行ずつ書き出す。これを最低20問はやってください。読むだけでは身につきません。もし何らかのプログラミング言語に触れられる環境があるなら、疑似言語の問題を実際のコードに書き直して動かしてみると理解が跳ねます。言語は問いません。表計算ソフトのマクロでも構いません。

情報セキュリティマネジメント試験の科目Bは、読む訓練です。事例文の中から「登場人物の役割」「情報資産の種類」「すでに起きていること」を拾い出す練習をしてください。付箋を貼る感覚で、問題文に印をつけながら読むと精度が上がります。加えて、勤務先の情報セキュリティ規程を一度通読すると効果があります。試験問題は現実の規程を模して作られているので、本物を読むのが最短の教材になります。

学んだことを文章にまとめる力も、地味ですが効きます。セキュリティの担当者になると、規程の改訂や社内への周知文を書く場面が増えます。報告書や社内文書の型を体系的に押さえたいならビジネス文書検定の出題範囲が参考になります。試験として受けるかは別として、求められる書式の水準を知っておくと、合格後の実務で困りません。

受験手数料と申込の実務、そして団体受験の手数料

費用面も比較しておきます。情報処理技術者試験の受験手数料は、区分によらず一律です。現在はどちらも7,500円（税込）で、これは基本情報技術者試験でも情報セキュリティマネジメント試験でも同じです。以前は5,700円でしたが改定されています。古い記事の金額を信じないでください。

申込はIPAの申込システムからマイページを作り、試験区分と会場と日時を選びます。CBT会場は全国にあり、平日夜や土日の枠もあります。空きは地域差が大きく、都市部の土曜枠は早く埋まります。勉強の進み具合が読めない場合でも、先に枠を押さえてしまうほうが結果的に仕上がります。締め切りが決まると人は動くからです。

企業が社員にまとめて受けさせる場合は、バウチャーチケットによる一括払いが用意されています。人数分の受験手数料を会社が先にまとめて支払い、社員はチケットで申し込む仕組みです。経理処理を一本化できるので、研修として組む場合はこれを使うのが実務的です。多人数による一斉受験の相談窓口もIPA側にあります。会社の研修担当を兼ねている皆さんは、この制度を知っているだけで社内の段取りが楽になります。

再受験については、同じ区分を続けて受ける場合に待機期間が設けられています。不合格だった翌日にすぐ受け直せるわけではないので、受験規約で条件を確認してください。この点を知らずに「落ちてもすぐ受け直せる」と考えて準備を薄くすると、次の機会まで空白ができます。

なお、基本情報技術者試験には科目Aの免除制度があります。IPAが認定した講座を修了し、修了試験に合格すると、一定期間は科目Aの受験が免除されます。範囲の広い科目Aを外して科目Bに集中できるので、アルゴリズムに時間を割きたい人には有効な選択肢です。ただし講座の費用がかかるため、7,500円の受験手数料と天秤にかけて判断してください。

合格後に何が変わるか、転職と在宅ワークへの活かし方

資格は仕事を保証しません。これは正直に書きます。ただ、使い道はあります。

基本情報技術者試験の合格が効くのは、未経験から技術職に入るときの「選考の入口」です。応募要件に「基本情報技術者試験相当の知識」と書く企業は今も多く、書類の段階で足切りを回避できます。加えて、社内での配置転換の材料になります。情報システム部門への異動を希望する場合、職務経歴に技術的な裏付けがないと通りにくい。そこに国家試験の合格実績を置けるのは実務的な意味があります。開発職の報酬水準を掴んでおきたいなら、職種別の相場をまとめたソフトウェア作成者の年収・単価相場を見ておくとよいでしょう。会社員としての年収と、業務委託での単価の考え方は別物なので、両方を知ってから進路を決めるべきです。

情報セキュリティマネジメント試験の合格が効くのは、管理部門での立ち位置です。取引先からセキュリティチェックシートへの回答を求められたとき、社内で答えられる人がいないという状況は今も珍しくありません。そこに答えられる担当者がいると、会社は助かります。中小企業が実際にどこから手を付けているかは中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法で具体的に扱っています。補助金を使った施策の流れを知っておくと、合格後に社内で提案を通しやすくなります。

在宅や業務委託で活かす道もあります。セキュリティ分野の委託業務は、実は技術作業だけではありません。社員向けの教育コンテンツ作成、規程のひな型づくり、チェックシートの回答支援、訓練の実施と集計といった管理寄りの仕事があります。教育系の案件がどう設計されるかは社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドに具体例が載っています。訓練は一度やって終わりではなく、継続の設計が必要な業務なので、外部の担い手が入りやすい領域です。

技術寄りの委託案件の広がりを知るにはAI・マーケティング・セキュリティのお仕事が参考になります。セキュリティ単独ではなく、AI活用や分析と束ねて発注されるケースが増えているという実情が見えてきます。片方の資格だけで完結させず、隣接する分野をひとつ持っておくほうが、仕事の幅は広がります。

両方を近いタイミングで受けるという選択について

「どちらも取ればいいのでは」と考える皆さんもいると思います。結論から言えば、可能ですが同時並行は勧めません。理由を3つ挙げます。

第一に、科目Bの性質が違いすぎます。一方は机上でプログラムをトレースする作業、もう一方は長文の事例を読んで判断する作業です。この2つを同じ週に混ぜると、どちらの型も定着しません。人間の学習は、似た作業をまとめたほうが定着します。

第二に、出題範囲の重なりは思ったより小さいからです。重なるのはセキュリティ分野だけで、基本情報技術者試験の出題の大半はそれ以外です。「2つ同時なら効率的」という期待は、範囲の重なりを過大に見積もっています。

第三に、CBTで通年実施になった以上、同時に受ける必要がないからです。順番に受ければよい。情報セキュリティマネジメント試験に1か月半、そのあと基本情報技術者試験に3か月、と直列に組むほうが、4か月半を並行で使うより確実に2つ届きます。

順番については、先に述べた4つの軸で決めてください。迷ったら、期限が近いほうを先に。期限がどちらも遠いなら、業務で使う頻度が高いほうを先に。これで十分です。

運営者として市場を見てきた立場からの考察

フリーランスと在宅ワークの市場を20年運営してきた立場から言えば、資格そのものよりも「資格を取ったあとに何を引き受けたか」で仕事の流れが決まります。セキュリティ分野は特にそれが顕著です。合格証を持っている人は増えましたが、依頼側が本当に欲しがっているのは「規程を現場に合わせて書き直してくれる人」「訓練を年間の計画に落として回してくれる人」です。つまり、判断と継続を任せられる相手です。

運営者として見てきた限りでは、長く続く人は単発の作業を積み上げていません。「この領域はこの人に任せておけば楽だ」という関係を作っています。セキュリティの仕事はこの構造と相性が良い。なぜなら一度きりで終わる業務がほとんどないからです。規程は改訂が必要になり、訓練は毎年やることになり、法令が変われば対応が発生します。最初の1件を丁寧にやると、翌年も声がかかる。この積み上がり方が、単発の受託とは違います。

もうひとつ、額面と手取りの話をしておきます。同じ業務でも、仲介に手数料が乗る経路と、依頼者と直接契約する経路では、手取りがはっきり変わります。手数料0%で直接つながる形は、受け手の手取りが厚くなるだけでなく、依頼者側も同じ予算でより多く頼めます。運営者として両側を見てきて実感するのは、この構造が続くと双方の関係が落ち着くということです。手取りが薄いと受け手は数をこなすしかなくなり、一件あたりの丁寧さが削られます。結果として依頼者も損をする。金額の話ではなく、仕事の質の話としてここは大きいと考えています。

最後に、試験選びに戻ります。国家試験は「その分野で何が基本とされているか」を教えてくれる装置です。基本情報技術者試験はITの基本を、情報セキュリティマネジメント試験は情報を守る組織運営の基本を教えてくれます。どちらを選んでも、学んだ範囲の地図が手に入ります。地図を持っている人は、依頼された仕事の全体像を掴むのが速い。20年見てきて、これは資格の一番の効き目だと思っています。皆さんの今の立ち位置から近いほうを、まず1つ。それで十分に前へ進めます。