CISA 公認情報システム監査人難易度 2026｜合格率・勉強時間と取得の価値

2026年1月8日

前田壮一

この記事のポイント

✓CISA 公認情報システム監査人難易度を合格率・勉強時間・他資格比較から徹底解説
✓IT監査の専門資格は本当に難しいのか
✓40代・在宅ワーカーが取得する価値とキャリアの広がりを客観データで整理します

まず、安心してください。「CISA（公認情報システム監査人）は難易度が高そうだから、自分には無理かもしれない」。そう感じて検索された方が多いと思います。私も43歳でメーカーを辞めてフリーランスになったとき、新しい専門領域に踏み込むのは正直怖かったです。でも、結論から言うと、CISAは「天才だけが受かる試験」ではありません。出題範囲が決まっていて、対策の道筋が明確な、いわば努力が報われるタイプの資格です。

この記事では、CISAの難易度を合格率・勉強時間・出題形式の3つの角度から客観的に整理し、システム監査技術者やCISSPといった関連資格との比較、取得後のキャリアの広がり、そして在宅ワークや業務委託でこの知識をどう活かせるのかまで、できるだけ正直にお伝えします。メリットだけでなく、リスクや向き不向きも書きます。読み終えたとき、「自分が挑戦すべきかどうか」の判断材料が揃っているはずです。

CISA（公認情報システム監査人）とは何か

CISA（Certified Information Systems Auditor）は、ISACA（情報システムコントロール協会）が認定する、情報システム監査・コントロール・セキュリティの分野における国際資格です。1978年に始まり、世界150以上の国と地域で認知されている、IT監査領域では最も歴史と権威のある資格のひとつとされています。

CISAが扱う領域は、単なるITスキルではありません。「情報システムが、企業の経営目標やルールに沿って正しく構築・運用されているか」を第三者の立場で検証する、いわば「ITの監査人」としての知識体系です。具体的には、監査計画の立案、リスク評価、内部統制の評価、システム開発・調達・運用の妥当性チェック、情報資産の保護といった幅広い実務をカバーします。

この資格が注目される背景には、社会全体のデジタル化があります。企業の業務はほぼすべてがシステムに依存するようになり、サイバー攻撃やデータ漏えい、システム障害の経営インパクトが年々大きくなっています。だからこそ、「そのシステムは本当に信頼できるのか」を客観的に評価できる人材の価値が高まっているのです。

公認情報システム監査人（CISA）は、情報システムの信頼性と安全性を確保するための重要な役割を担う専門家資格です。 CISAは、情報システムの監査計画の策定・実施、リスク評価、セキュリティ対策の検証など、幅広い業務を行います。試験は高度な知識と経験が問われ、合格率は50%前後と難易度が高いですが、適切な学習と実務経験を積むことで合格を目指すことができます。 CISA資格を取得すると、企業内の監査部門や監査法人、独立コンサルタントなど、様々なキャリアパスが開けます。情報システムの重要性が高まる中、CISAの需要は今後さらに高まると予想されます。

CISAが対象とする5つの知識ドメイン

CISAの試験は、大きく5つの知識ドメイン（出題分野）から構成されています。難易度を理解するうえで、まずこの全体像を押さえておくと安心です。

第1ドメインは「情報システム監査のプロセス」で、監査の計画・実施・報告という監査人の基本動作を問います。出題比率は全体の約18%程度です。第2ドメインは「ITガバナンスとマネジメント」で、IT戦略や組織体制、ポリシー設計などを扱い、約18%を占めます。第3ドメインは「情報システムの取得・開発・導入」で、システム開発ライフサイクルやプロジェクト管理が中心です。

第4ドメインは「情報システムの運用とビジネスレジリエンス」で、日常運用・障害対応・事業継続計画（BCP）などをカバーし、最も比率が高く約26%を占めます。第5ドメインは「情報資産の保護」で、アクセス管理・暗号化・物理セキュリティといった、いわゆる情報セキュリティの中核領域です。この5分野をバランスよく理解することが、合格への近道になります。逆に言えば、出題範囲がはっきり区切られているため、ヤマを張らずに体系的に学べば着実に得点を積み上げられる試験だとも言えます。

受験資格と認定要件の違い

ここで多くの方がつまずきやすいのが、「試験合格」と「資格認定」が別物だという点です。CISAは試験を受けるだけなら、実務経験がなくても誰でも受験できます。年齢・学歴・職歴の制限はありません。これは40代からの挑戦を考えている皆さんにとって、大きな安心材料だと思います。

ただし、正式にCISA保持者として認定されるには、情報システム監査・コントロール・セキュリティ分野で原則5年の実務経験が必要です。とはいえ、この経験要件には学歴や他資格による免除（最大3年分まで）があり、また試験合格後5年以内に経験を満たせば認定申請ができます。つまり「先に試験に合格しておき、実務を積みながら認定を目指す」という順番でも問題ありません。難易度を考えるうえでは、「試験そのものの難しさ」と「認定までの道のりの長さ」を分けて捉えることが大切です。

CISAの難易度を合格率から読み解く

「CISA 公認情報システム監査人難易度」と検索する皆さんが最も知りたいのは、やはり合格率でしょう。ここを客観的なデータで見ていきます。

ISACAは国別・年別の詳細な合格率を公式には細かく公表していませんが、各種の予備校や受験者の集計データによれば、CISAの合格率はおおむね50%前後で推移しているとされています。この数字だけ見ると「2人に1人は受かるなら、そこまで難しくないのでは」と感じるかもしれません。実際、その感覚は半分正しいです。

CISAの合格率は、年によって多少の変動はありますが、概ね50%前後で推移しています。情報システム監査に関する高度な知識と経験が問われるため、試験の難易度は高いとされています。

近年では、情報セキュリティの重要性が高まる中、CISAの受験者数が増加傾向にあり、合格率もやや低下傾向にあります。

ただし、この合格率の解釈には注意が必要です。CISAの受験者は、もともとIT業界や監査・コンサルティング業界で一定の実務経験を積んだ人が中心です。つまり、母集団のレベルが高い。完全な初学者がいきなり挑む試験ではなく、ある程度の前提知識を持った人たちが受けて、それでも半分が落ちる、という構図です。この「母集団の質」を考えると、合格率50%という数字は、見た目以上にハードルがあると理解しておくべきでしょう。

合格基準とスコアの仕組み

CISAの試験は、200点から800点のスケールドスコア（換算点）で評価され、450点以上が合格ラインとされています。これは正答率そのものではなく、問題の難易度差を調整した換算スコアです。ざっくりした目安として、正答率65%前後を安定して取れれば合格圏に入ると言われています。

ここで皆さんに知っておいてほしいのは、CISAが「満点を目指す試験」ではないということです。すべての問題を完璧に解く必要はなく、3分の2程度を確実に正解できれば合格できます。だからこそ、難問・奇問に時間を奪われるより、確実に取れる基本問題を落とさない戦略が効きます。試験対策の世界では、これは精神的にとても大きな違いです。「全部わからなくていい」と思えると、学習のプレッシャーがぐっと軽くなります。

試験形式とCBT受験のポイント

CISAの試験は、現在はCBT（コンピューターベーステスト）方式で実施されています。全国のテストセンターで、自分の都合に合わせて日時を予約して受験する形です。出題数は150問の四肢択一式で、試験時間は240分（4時間）です。

形式が四肢択一式であることは、難易度の観点で重要なポイントです。記述や論文がないため、「正しい知識を選び出す力」に集中できます。一方で、CISAの選択肢は「どれも一見正しそうに見えるが、最も適切なものを選ぶ」という性質が強く、単なる暗記では太刀打ちできません。「監査人としてどう判断すべきか」という思考の型を身につける必要があります。問題演習を繰り返し、選択肢を切るロジックを体に染み込ませることが、合格への王道です。

CISAの勉強時間の目安と効率的な学習法

難易度を測るもうひとつの軸が、必要な勉強時間です。これは前提知識によって大きく変わるので、いくつかのパターンに分けて整理します。

IT監査や情報セキュリティの実務経験がある方なら、おおむね100時間から150時間程度が目安とされています。一方、IT業界の経験はあるが監査は未経験という方は200時間前後、IT・監査ともにほぼ初学者という方は300時間以上を見込んでおくと安全です。1日2時間の学習なら、初学者でおよそ5か月、経験者なら2〜3か月といったところでしょうか。

この勉強時間は、後で触れる国家資格のシステム監査技術者などと比べると、決して長くありません。範囲が明確で、公式の問題集（QAEデータベース）という強力な対策教材があるため、独学でも合格を狙える資格です。焦らず、毎日コツコツ積み上げれば、40代からでも十分に手が届きます。

独学か、専門校か、自分に合う学習スタイル

CISAの学習には大きく2つのルートがあります。ひとつは、公式問題集と市販テキストを使った独学。もうひとつは、国際資格専門校の対策講座を利用する方法です。

独学のメリットは、費用を抑えられること。公式問題集と参考書を合わせても数万円程度で揃います。一方デメリットは、専門用語が多く、独特の「監査人の視点」を独力で身につけるのに時間がかかる点です。専門校の講座は受講料が15万円から30万円程度とまとまった出費になりますが、合格に直結する解法のコツや、独特の出題傾向を効率よく学べます。多くの専門校は無料の説明会やサンプル教材を用意しているので、まずはそうした無料リソースで雰囲気をつかんでから決めるのが賢明です。

私自身、フリーランスとして技術文書のライティングや品質管理の仕事をするなかで、独学で資格を取り直した経験があります。そのとき痛感したのは、「最初の1か月で挫折しないこと」が何より大事だということ。CISAの場合、最初に過去問を解くと専門用語の壁にぶつかって心が折れそうになります。私の失敗談を正直に言うと、いきなり問題集から入って撃沈し、用語の意味を調べるだけで1日が終わる、という非効率な時期がありました。テキストでドメインの全体像をざっと掴んでから問題演習に移る、という順番にしてから一気に効率が上がりました。皆さんは遠回りせず、最初に「地図」を手に入れてから歩き始めてください。

学習のコツ:問題演習を軸にする

CISA合格者の多くが口を揃えるのが、「問題演習中心の学習が最短ルート」だということです。CISAは出題パターンがある程度決まっており、公式問題集を繰り返し解くことで、出題者の意図を読み取る感覚が養われます。

具体的な進め方としては、まずテキストで各ドメインの概要を1回通読し、その後はひたすら問題演習に時間を割きます。間違えた問題は「なぜその選択肢が正解で、他の選択肢がなぜ不正解なのか」を解説でしっかり理解する。この「不正解の理由の理解」が、CISA攻略の核心です。同じ問題集を最低でも2〜3周し、正答率が安定して80%を超えてきたら、合格はかなり近いと考えてよいでしょう。暗記ではなく「監査人ならどう考えるか」を問う試験なので、解いた数がそのまま実力になります。

CISA取得のメリットとキャリアパス

ここまで難易度の話を中心にしてきましたが、皆さんが本当に知りたいのは「その難しさに見合うリターンがあるのか」だと思います。ここは正直に、客観的に書きます。

専門性の証明とキャリアの選択肢

CISAの最大のメリットは、IT監査という専門領域における客観的な能力証明になることです。国際的に認知された資格なので、外資系企業や監査法人、コンサルティングファームでの評価が高く、転職市場でのアピール材料になります。

CISA保持者の代表的なキャリアパスとしては、監査法人のIT監査部門、事業会社の内部監査部門、コンサルティングファームのリスクアドバイザリー部門、そして独立コンサルタントなどがあります。情報システムの重要性が高まり続けるなか、こうした「システムを評価・検証する」専門職の需要は安定して伸びています。特に、内部統制報告制度（J-SOX）への対応や、サイバーセキュリティ規制の強化により、IT監査人材を求める企業は増加傾向にあります。

報酬面については、案件や経験によって幅が大きいため一概には言えませんが、専門性が高い領域であるぶん、一般的なIT職より単価が高めに設定される傾向があります。在宅や業務委託で専門スキルを活かす場合の相場感は、ソフトウェア作成者の年収・単価相場のような客観データが参考になります。職種ごとの単価レンジを把握しておくと、自分のスキルをどう値付けすべきかの判断がしやすくなります。

中高年・40代からの取得価値

40代・50代の皆さんにこそ、私はCISAの取得価値が高いと考えています。理由は、IT監査が「経験の蓄積がそのまま強みになる」領域だからです。

若手のエンジニアは技術の習得スピードで勝負できますが、監査やガバナンスの世界では、組織を見てきた経験、業務を俯瞰する視点、人と調整する力といった、年齢とともに培われる能力が大きく評価されます。これまでのキャリアでマネジメントや業務改善に関わってきた方なら、その経験がCISAの知識と結びついて、強力な武器になります。実際、IT監査の現場では、技術一辺倒の若手より、ビジネスとITの橋渡しができる経験豊富な人材が重宝される場面が少なくありません。

ただし、リスクも正直に書きます。CISAを取得したからといって、すぐに高待遇の仕事が舞い込むわけではありません。資格はあくまで「土台」であり、実務での信頼の積み重ねがあって初めて活きます。資格取得を「ゴール」ではなく「スタート」と位置づけ、取得後にどう実務へつなげるかまで描いておくことが、40代からの挑戦を成功させる鍵です。

在宅・業務委託での活かし方

CISAの知識は、フルタイムの監査職だけでなく、在宅ワークや業務委託の形でも活かせます。たとえば、中小企業のセキュリティ体制の評価支援、ITガバナンス整備のアドバイザリー、内部統制ドキュメントの整備支援といった、スポット型・プロジェクト型の仕事が存在します。

具体的には、企業のセキュリティ強化を支援する仕事としてAI・マーケティング・セキュリティのお仕事のような領域があります。これはAI活用やマーケティング、セキュリティといった成長分野の業務を在宅・業務委託で請け負うもので、CISAで培ったリスク評価の視点が役立ちます。また、企業のDX推進やAI導入を支援するAIコンサル・業務活用支援のお仕事も、ガバナンスやリスク管理の知見が求められる場面が増えています。システム構築側に関わりたい方にはアプリケーション開発のお仕事もあり、開発と監査の両視点を持つ人材は希少価値が高まります。

監査の専門性は、文章でアウトプットする仕事とも相性がよいです。監査報告書やセキュリティ方針書の作成、技術文書のレビューなど、専門知識を文章化できる人材の需要もあります。こうした書く仕事の単価感は著述家，記者，編集者の年収・単価相場が参考になりますし、ビジネス文書の基礎を固めたい方はビジネス文書検定の知識も土台として役立ちます。

CISAの知識を実務に活かす:周辺領域の理解

CISAは単体で完結する資格ではなく、セキュリティやIT運用の周辺知識と組み合わせることで真価を発揮します。難易度を乗り越えて取得した知識を、実務でどう広げていくかを考えてみましょう。

セキュリティ運用との連携

IT監査人は「評価する側」ですが、評価対象であるセキュリティ運用の実態を理解していなければ、的確な監査はできません。たとえば、企業のセキュリティ監視がどのように行われているかを知ることは、監査の質を直接左右します。24時間体制の監視を外部委託する仕組みについては、【SOC運用外注費用】24時間365日の監視体制！SOCアウトソーシングの相場と選び方が運用の実態と相場を具体的に解説しており、監査人として「適切な監視体制とは何か」を判断する基準づくりに役立ちます。

監視体制の妥当性を評価できるようになると、監査の説得力が一段と増します。「コストをかけているか」だけでなく、「そのコストが適切なリスク低減につながっているか」を見極める。これこそが監査人に求められる視点であり、CISAで学んだ枠組みが現場の知識と結びついて初めて意味を持ちます。

補助金・制度知識を組み合わせる

中小企業のセキュリティ支援に関わる場合、技術や監査の知識だけでなく、企業が使える制度の知識もあると重宝されます。多くの中小企業はセキュリティ投資の予算に限りがあり、公的な支援制度を活用したいというニーズが強いからです。

たとえば、セキュリティ対策に使える補助金については小規模事業者のためのセキュリティ補助金ガイド2026｜実質2割で鉄壁の防御が、どの制度をどう使えば負担を抑えられるかを整理しています。監査やコンサルの立場でクライアントに提案する際、「こういう補助金が使えます」と具体的に示せると、信頼が一気に高まります。資格で得た専門性に、こうした実務的な知識を上乗せすることが、40代からの差別化につながります。

技術的な検証スキルとの相乗効果

監査人は実際に手を動かして攻撃するわけではありませんが、技術的な脆弱性がどう生まれ、どう検出されるのかを理解していると、監査の精度が格段に上がります。たとえばWebサイトの脆弱性をどう診断するかについては、オープンソースで始めるWebサイト脆弱性診断｜OWASP ZAPの使い方ガイドが無料ツールを使った実践的な手順を解説しています。

こうした技術的な検証の仕組みを理解しておくと、監査の現場で「この組織は脆弱性管理を適切に行っているか」を実感を持って評価できます。CISAの知識体系は概念的・体系的ですが、それを現場の具体的な技術と結びつけることで、机上の知識が「使える専門性」へと変わります。資格の難易度を乗り越えるだけでなく、取得後にどう知識を肉付けしていくかが、専門家としての価値を決めるのです。

独自データから見るIT監査・セキュリティ人材の市場

最後に、在宅ワークや業務委託の求人データという客観的な切り口から、CISAをはじめとするIT監査・セキュリティ人材の市場性を考察します。

在宅ワーク・業務委託の求人動向を見ると、AI・セキュリティといった専門領域の案件は、一般的な事務系・ライティング系の案件に比べて単価が高く設定される傾向があります。これは需要に対して供給（対応できる人材）が不足しているためです。CISAのような国際資格は、その「対応できる人材」であることを客観的に証明する手段になり、案件獲得の場面で有利に働きます。

職種別の単価相場を見ても、専門技術を要する職種ほどレンジが上にシフトする傾向が明確です。たとえばソフトウェア作成者の年収・単価相場のデータからも、専門性の有無が単価に直結することが読み取れます。CISAが扱う監査・ガバナンス領域は、こうした技術職のなかでも特に「ビジネスとITの両方を理解している」希少な層に位置づけられ、その希少性が報酬や案件の質に反映されやすいのです。

注意点として、業務委託で専門スキルを売る場合、報酬の高さに目を奪われて身元の不確かな相手や前払いを要求する案件に飛びつくのは禁物です。専門性が高い領域だからこそ、信頼できる取引相手を選び、契約条件を明確にすることが、長く安定して働くための土台になります。手数料が引かれず直接取引できる仕組みを選べば、自分の専門性に見合った報酬を手元にしっかり残せます。

総じて、CISAの難易度は決して低くありませんが、出題範囲が明確で対策しやすく、努力が報われるタイプの資格です。そして取得後の市場性も、デジタル化とセキュリティ需要の高まりを背景に堅調です。40代からでも、これまでのキャリアで培った業務理解という強みを活かせば、十分に挑戦する価値があります。準備さえ整えれば、年齢は障壁になりません。まずは公式問題集を1冊手に取り、最初のドメインを読むところから、静かに始めてみてください。