セキュリティ国家資格は1つだけ｜支援士と国家試験の違いと取る順番

結論から書きます。セキュリティ分野で「国家資格」と正確に呼べるものは、情報処理安全確保支援士ただ1つです。それ以外によく名前が挙がる基本情報技術者試験や応用情報技術者試験は、国が実施する国家試験ではあるものの、合格しても登録する制度がないため「資格」ではなく「合格実績」に分類されます。CISSPやCompTIA Security+は国家資格ではなく、民間団体が運営する認定です。

この区別は、細かい言葉遊びのように見えて実は重要です。求人票で「国家資格保有者」と書かれている場合、企業が想定しているのは支援士の登録者であることが多く、基本情報の合格証を持っていっても要件を満たさないことがあります。ここを取り違えたまま学習計画を立てると、数年単位で遠回りをします。この記事では、何が国家資格で何が違うのかを整理したうえで、取得にかかる費用と時間、そして実務でどう効くのかを順番に見ていきます。

セキュリティの国家資格と国家試験は別物

国家資格という言葉には、法律に基づいて資格が設けられ、登録した人だけがその名称を使えるという意味が含まれます。医師、弁護士、税理士がこの形です。情報処理の分野でこの形を持っているのは、情報処理安全確保支援士だけです。情報処理の促進に関する法律に位置づけられた名称独占の資格で、登録していない人が「情報処理安全確保支援士」と名乗ることは認められていません。略して登録セキスペと呼ばれます。

一方、情報処理技術者試験の各区分、つまりITパスポート、情報セキュリティマネジメント試験、基本情報技術者試験、応用情報技術者試験、そして高度試験の各区分は、国が実施する試験です。合格すれば経済産業大臣名の合格証書が交付されますが、登録制度はなく、名称を独占的に使う仕組みもありません。だから正確には「国家試験の合格者」です。実務の場では両者をまとめて国家資格と呼ぶ習慣があり、そのこと自体を責めるつもりはありませんが、応募要件を読むときだけは区別してください。

この区別が具体的に効く場面を挙げます。官公庁や大企業の案件で、提案書に有資格者の人数を書くよう求められることがあります。ここで数えられるのは登録者、つまり支援士です。また、情報セキュリティサービス基準への適合を示すリストに事業者が登録する際にも、支援士の在籍が要件の一つに数えられます。つまり支援士の価値は、個人の知識の証明という面よりも、組織が案件を取るために必要な看板という面のほうが大きいのです。個人の学習到達度を測りたいだけなら、応用情報や民間資格で十分に足ります。正直なところ、この事情を説明せずに「セキュリティなら国家資格を取るべき」と書いている記事は多すぎると思います。

情報処理安全確保支援士の試験と登録、維持にかかる費用

支援士になる道筋は三段階です。試験に合格する、登録する、登録を維持する。それぞれに費用と手間がかかります。

試験は春と秋の年2回で、受験手数料は7,500円です。出題は午前の多肢選択と午後の記述式で構成され、合格率は例年20%前後で推移しています。午前は基礎知識の確認なので過去問の反復で通せますが、午後は与えられたシステム構成や事故の状況を読み、何が起きていて何をすべきかを文章で説明させる形式です。知識を暗記しただけでは書けません。逆に言えば、実務で設計や運用に触れている人ほど有利で、学生よりも社会人の合格率が高い試験でもあります。

合格しただけでは支援士になりません。登録の申請が必要で、登録免許税と登録手数料を合わせて2万円程度がかかります。そして登録後は、更新のための講習が義務です。毎年のオンライン講習と、3年に1度の実践的な講習を受ける仕組みで、3年間の総額は15万円前後になるのが一般的です。会社が負担してくれるなら問題ありませんが、個人で払う場合、年あたり5万円の維持費を回収できるかを冷静に考える必要があります。

ここが支援士の評価が分かれる点です。合格しても登録しない人が相当数いるのは、この維持費が理由です。合格の実績は一生残るので、履歴書には「情報処理安全確保支援士試験 合格」と書けます。登録が必要なのは、名称を使う場合と、有資格者としてカウントされる場合だけです。したがって判断の基準はシンプルで、勤め先や取引先が支援士の在籍を必要としているなら登録し、自分の知識の証明が目的なら合格までで止めてよい、ということになります。会社の提案書に名前を載せる用途があるなら、費用の負担を勤め先に相談する交渉材料にもなります。

試験対策の進め方については、午後問題の記述をどう組み立てるかまで踏み込んだ情報処理安全確保支援士に独学合格する勉強法｜2026年最新のセキュリティ対策【2026年版】に具体的な手順が整理されています。学習時間の見積もりを立てる段階で一度読んでおくと、無駄な教材を買わずに済みます。

国家試験としての情報処理技術者試験を、どこから始めるか

支援士は高度試験に分類されるため、基礎知識がない状態から直接狙うのは効率が悪いです。段階を踏む場合の順番と、それぞれの位置づけを整理します。

ITパスポートは、IT全般の入門にあたる区分です。通年でコンピュータ受験ができ、合格率は50%前後。セキュリティの専門知識を測るものではありませんが、用語の土台を作る意味はあります。すでにIT業界で働いている人には不要です。

情報セキュリティマネジメント試験は、セキュリティを管理する側の視点を問う区分です。技術者ではなく、部門で情報管理の責任を持つ人向けに作られています。こちらも通年受験が可能で、合格率は70%前後と高め。事務職や管理職が社内の情報管理を任されたときの学習目標としては、ちょうどよい難易度です。

基本情報技術者試験は、技術者としての基礎を広く問う区分です。通年受験化されて受けやすくなり、合格率は40%前後で推移しています。アルゴリズムとプログラミングの問題が含まれるため、非エンジニアには壁になります。逆にここを通しておくと、その後の学習がずっと楽になります。試験形式の変更点と対策の順序は基本情報技術者試験2026年版｜CBT対策と最短合格のための勉強法にまとまっています。

応用情報技術者試験は、基本情報の上位区分で、年2回の実施、合格率は23%前後。午後に記述式が入るため、支援士の午後対策の練習としても機能します。実務経験のある人が支援士を狙う場合、応用情報を経由するかどうかは好みの問題ですが、午前Iの免除が得られる点は無視できません。高度試験に合格するか、応用情報に合格すると、その後の2年間は午前Iの受験が免除されます。連続して受けるつもりなら、この免除制度を計算に入れて日程を組んでください。

体系的な基礎固めという意味では、基本情報技術者試験と応用情報技術者試験の出題範囲と難易度の目安を先に見比べて、自分がどこから入るかを決めるのが遠回りを避ける方法です。

申し込みから受験当日までの実務を押さえる

制度の話が続いたので、手続きの実務も書いておきます。ここで躓いて1回分の試験を逃す人が毎年います。

支援士試験は春期と秋期の年2回で、申し込み期間は試験日の約3カ月前から1カ月半前までに設定されます。この受付期間が意外と短く、気づいたときには締め切っていることがあります。受験を決めた時点で、次の申し込み開始日をカレンダーに入れてください。申し込みは専用のサイトから行い、受験手数料は7,500円。支払い方法はクレジットカードとコンビニ払いなどが用意されています。顔写真の登録が必要なので、規格に合う画像を事前に用意しておくと手続きが1回で終わります。

コンピュータ受験の区分、つまりITパスポート、情報セキュリティマネジメント試験、基本情報技術者試験は扱いが違います。こちらは通年で実施されていて、全国の会場から日時を選んで予約します。人気の会場は土日が先に埋まるので、学習の進み具合が見えてきた時点で2カ月先の枠を押さえ、そこに向けて仕上げるほうが計画が崩れません。空いている日に受けようと考えていると、いつまでも受けないまま1年が過ぎます。期限を先に決めるのは、この分野の学習で一番効く工夫です。

当日の持ち物と時間配分にも触れます。支援士試験は午前と午後で半日以上を使う長い試験です。午前Iの免除がある人は開始時刻が遅くなるので、免除の有無を受験票で確認してください。午後の記述式は時間との勝負になります。問題文が長く、設問に答えるための根拠が本文のどこに書かれているかを探す作業に時間を取られます。過去問を解くときは、必ず本番と同じ制限時間を計ってください。時間を測らずに解いた過去問は、正答率が高く出るだけで、本番の役には立ちません。

結果の発表は、コンピュータ受験の区分なら即日から数日で、支援士試験は試験日から約2カ月後です。合格した場合、登録するかどうかの判断は急ぐ必要がありません。合格の有効期間に期限はないので、勤め先の状況が固まってから登録しても間に合います。

民間資格とベンダー資格は何が違い、どう使い分けるか

国家資格ではないものにも、実務で強く評価されるものがあります。フェアに見ていきましょう。

CISSPは、国際的な認定として管理職層に評価される資格です。出題範囲がセキュリティ全域に広く、受験料が10万円を超えるため、日本国内の個人が自費で取るには重い選択です。ただし外資系企業や海外との取引がある職場では、支援士よりも通りがよい場面があります。CompTIA Security+は、実務の入口としての基礎を体系的に確認できる認定で、範囲が明確なので学習計画を立てやすいのが利点です。国内で使われる場面は限られますが、未経験者が知識の穴を埋める目的にはよく合います。範囲と難易度の目安はCompTIA Security+で確認できます。

ネットワークの基礎を固める目的では、シスコ社の認定が定番です。セキュリティの事故はネットワーク経路の理解なしには読み解けないので、通信の仕組みをどこかで体系的に学ぶ必要があります。CCNA（シスコ技術者認定）は、そのための教材として長く使われてきました。クラウド事業者の認定も同様で、いまの実務ではクラウド環境の設定不備が事故の主要な原因になっているため、使っている基盤の認定を1つ持っておくと話が早くなります。

使い分けの基準を整理します。国内の元請け企業や官公庁の案件に関わりたいなら支援士。外資系や海外案件を視野に入れるならCISSP。未経験から知識の土台を作るならCompTIA Security+やベンダー系の基礎認定。この三つは競合ではなく、目的が違うだけです。全部を取る必要はありません。むしろ資格を並べすぎた経歴書は、何を専門にしたいのかが読み取れず、評価が下がることがあります。数ではなく、狙う仕事に対応した1つか2つに絞ってください。

資格を取ると仕事と収入はどう変わるのか

この問いに対する答えは、資格そのものの効果と、資格を取る過程で身についた知識の効果を分けて考える必要があります。

まず市場環境を見ます。セキュリティ人材の不足は長く指摘されていて、その結果として採用の条件が緩む動きが出ています。

この人材不足を背景に、近年ではセキュリティ分野の実務経験がない人材も採用対象とする企業が増えつつあります。 出典: lanscope.jp

実務経験なしでも採用対象になるという状況は、裏を返せば、経験の代わりになる何かを企業が求めているということです。そこで資格が効きます。未経験者にとって資格の価値は、知識の証明ではなく「この分野に本気で時間を使った証拠」として読まれる点にあります。書類選考の通過率に影響するのはこの段階です。

一方、経験者が取る場合の効果は違います。すでに実務があるなら、資格は単価交渉と案件の選択肢を広げる道具になります。学習の過程そのものが効くという証言もあります。

「私は10年前にSecurity+から始めて、CEH、そしてCISSPと取得してきました。CISSPの学習は本当に大変でしたが、試験勉強を通じて自分の弱点を知り、セキュリティの全体像を把握できました。資格取得後は海外企業からのオファーも増え、年収は約150万円アップしました。日本企業との取引では、セキスペも持っていることで信頼性が高まったと感じています。」 出典: tech-stock.com

この証言で注目したいのは、収入の増加額よりも「自分の弱点を知り、全体像を把握できた」という部分です。セキュリティは範囲が広く、独学だと自分が触っている領域だけに知識が偏ります。試験は範囲が決められているので、興味のない領域も勉強させられます。その強制力が、結果として全体像の理解につながる。資格の実質的な価値はここにあると私は考えています。

ただし、資格だけで収入が上がると期待するのは間違いです。資格手当を出す会社では月1万円から3万円程度の加算が相場ですが、手当のない会社も多いです。関連する職種の報酬水準を市場全体で確かめるなら、ソフトウェア作成者の年収・単価相場で分布を見ておくと、資格手当よりも職種と経験年数のほうが金額に効いていることが分かります。

未経験から狙う順番と、学習時間の現実的な目安

順番の推奨を書きます。IT実務の経験がまったくない場合は、ITパスポートか情報セキュリティマネジメント試験から入り、次に基本情報技術者試験、そのあとに応用情報技術者試験、最後に支援士。この4段は、素直に積み上げると2年から3年かかります。

学習時間の目安は、ITパスポートが50時間から100時間、情報セキュリティマネジメント試験が100時間前後、基本情報技術者試験が150時間から250時間、応用情報技術者試験が200時間から300時間、支援士が300時間から500時間です。開発の実務経験がある人は、この半分程度で通ることもあります。逆に非IT職から入る場合は、基本情報のアルゴリズム対策に想定の1.5倍の時間を見てください。

すでにIT業界で数年働いている人は、この階段を全部踏む必要はありません。基本情報を飛ばして応用情報から入り、そのまま支援士へ進むのが最短です。実務でサーバーやネットワークに触っている人なら、応用情報の午前は過去問の反復で足りますし、午後の記述は自分の担当領域を選択すれば書けます。

学習方法についても触れておきます。この分野で最も効率が悪いのは、分厚い参考書を最初のページから読むやり方です。範囲が広すぎて、後半に入る前に前半を忘れます。過去問から入って、解けない問題の周辺だけを参考書で埋めるほうが早い。私も編集の仕事で技術系の試験対策記事を扱ってきて、合格者に共通していたのはこの順序でした。参考書を1周する前に過去問に手を出すことへの心理的な抵抗が、多くの人の足を止めています。

もう一つ。手を動かす環境を用意してください。仮想環境に意図的に弱い設定のサーバーを立てて、実際に侵入されてみる。ログを見て、何が起きたかを追う。この経験が1度でもあると、試験問題の意味が急に読めるようになります。机の上だけで通した人は、合格後に現場で使えないという評価を受けやすい。資格を取ることと仕事ができることの差は、ここで生まれます。

学んだ内容を業務に落とし込む具体例

資格の学習を業務に結びつけると、覚えた内容が定着します。実際に手を動かせる作業をいくつか挙げます。

1つ目は、社内で使っているサービスの棚卸しです。会社が契約しているクラウドサービスやWebサービスを一覧にして、それぞれの管理者が誰なのか、多要素認証が有効になっているか、退職者のアカウントが残っていないかを確認します。地味な作業ですが、事故の原因として最も多いのがこの領域です。試験で学ぶアクセス制御の考え方が、そのまま実務の点検項目になります。多要素認証を全社に広げるとき、どの方式を選ぶかで運用の手間が大きく変わります。認証アプリ、物理キー、電話番号への通知のうち、どれを標準にするかを決めて一覧に書き添えておくと、次の担当者が迷いません。

2つ目は、事故が起きたときの連絡手順を1枚の紙にまとめる作業です。誰が最初に気づき、誰に連絡し、どの時点で外部に公表するのか。試験ではインシデント対応の流れを問われますが、自社の版を作ってみると、決まっていない箇所がいくつも見つかります。この1枚は、作った人の業務上の成果物になります。転職や案件の応募で提示できる材料としても機能します。

3つ目は、開発を委託している場合の契約書の確認です。セキュリティに関する要件が書かれているか、診断で指摘された項目を誰の費用で修正するのか、事故が起きたときの責任分担がどうなっているか。ここを読める人は社内に少ないので、法務と開発の間をつなぐ役割として重宝されます。試験で学ぶ関連法令の知識が効く場面です。

4つ目は、従業員向けの注意喚起です。偽のメールを見分ける方法、パスワードの管理、公衆の無線環境での注意点。技術的な対策をどれだけ固めても、担当者が認証情報を渡してしまえば意味がありません。教育は、年に一度の座学よりも、実際に訓練用の偽メールを配って反応を測る形のほうが定着します。開封した人を責めるのではなく、報告した人を評価する運用にするのが要点です。中小規模の事業者であれば、対策の費用に公的な補助制度を使える場合があるので、導入計画を立てる前に自治体と国の制度を確認してください。

この4つは、いずれも試験勉強と並行して進められます。そして全部が、後から見せられる成果物になります。学習の期間を、成果物を作る期間と重ねてください。

資格を活かす前に、費用と時間の回収を設計しておく

資格取得を検討する段階で計算しておくべきことがあります。総額です。支援士まで一直線に進むと、受験手数料が区分ごとに7,500円、参考書と問題集が1区分あたり5,000円から1万円、支援士の登録と3年分の講習で17万円前後。学習時間を仮に1,000時間として、時間あたりの機会費用も本来は入れるべきです。

この投資を何で回収するかを、先に決めてください。回収の形は主に三つあります。勤め先での手当と昇進、転職時の条件交渉、そして業務委託での案件獲得です。1つ目を狙うなら、社内に資格手当の制度があるかを先に確認します。制度がない会社で個人負担するのは、率直に言って割に合いません。2つ目を狙うなら、転職先の求人票で実際に支援士が要件になっているかを見ます。3つ目を狙うなら、資格よりも実績の提示方法を先に整えるべきです。

順番を間違えている人をよく見ます。資格を全部取ってから仕事を探そうとするパターンです。この分野は人が足りていないので、基礎を固めた段階で応募したほうが早く、実務を通じて学ぶほうが試験対策としても効率がよい。学習と仕事を並行させる形を、最初から設計に入れてください。セキュリティ関連の業務がどういう形で外部に委託されているかは、AI・マーケティング・セキュリティのお仕事で依頼の内容と求められる範囲を確認できます。

誤解されやすい3つの点を整理する

この分野の資格については、繰り返し目にする誤解があります。3つに絞って整理します。

1つ目は、「国家資格だから一生使える」という思い込みです。支援士は3年ごとの更新制で、講習を受けなければ登録が取り消されます。合格の実績は一生残りますが、登録の状態は維持の努力に依存します。医師や税理士のように、一度取れば定年まで通用する資格とは性質が違います。この点は制度の欠陥ではなく、技術の変化が速い分野で知識の鮮度を保つための仕組みだと理解するのが妥当でしょう。とはいえ、個人負担で年5万円という維持費が重いのは事実です。登録するかどうかは、資格の権威ではなく費用対効果で判断してください。

2つ目は、「資格を取れば実務ができるようになる」という誤解です。試験の出題は、与えられた状況を読んで適切な対応を選ぶ形式です。実務は、状況そのものを自分で把握する作業から始まります。何が起きているのか分からない状態でログを集め、時系列を組み立て、どこから侵入されたかを推測する。この最初の一歩は、試験では問われません。だから合格者が現場で戸惑うのは普通のことで、それを本人の能力不足と考える必要はありません。足りないのは知識ではなく、状況を把握する手順の経験です。

3つ目は、「未経験からセキュリティの専門職を目指すのは無理」という思い込みです。人材の不足を背景に、経験のない人を採用して育てる方針に切り替えた企業が増えています。ただし入口は限られていて、多くの場合はセキュリティ専任ではなく、社内の情報システム担当や運用保守の枠から入ることになります。そこで数年、実際のシステムに触れてから専門領域に移るのが標準的な道筋です。最初からセキュリティ専任の求人だけを探すと、応募できる先がほとんどなく、諦める結果になります。入口を広く取ってください。

関連して、応募書類の書き方にも触れておきます。資格の欄に取得済みのものを並べるだけでなく、それぞれの資格で何を学び、どの業務に使えると考えているかを1行添えると、読む側の印象が変わります。職務経歴書は、担当した業務を時系列で並べるだけでは読まれません。何を任され、どう判断し、結果としてどうなったかを3行で書く形に整えると、経験の少なさは不利になりにくくなります。

業務委託の現場から見た、資格の使われ方

20年この市場を見てきた立場から、資格が実際にどう使われているかを書きます。

依頼する側が資格を見るのは、ほぼ最初の接触の場面だけです。提案の一覧から誰に声をかけるかを決める段階で、有資格の表示は目に留まります。しかし2回目以降の依頼になると、資格はまったく参照されません。前回どう仕事をしたかだけが判断材料になります。つまり資格は入口の鍵であって、部屋の中での評価には効かない。この非対称性を理解しているかどうかで、資格の位置づけが変わります。

長く続いている人に共通するのは、資格を取ったあとに何をしたかが語れる状態を作っていることです。診断の報告書を書いた、社内の規程を整備した、事故の対応手順を作った。こうした具体的な成果物があると、資格の有無に関係なく仕事が回り始めます。反対に、資格だけを並べて「実務経験はこれから」と書いている人は、最初の1件を取るまでに時間がかかります。だから資格を取る過程で、練習でも構わないので成果物を作っておくことを強くおすすめします。架空の会社を想定した診断報告書でも、自宅のネットワークの点検記録でもよい。見せられるものがあるかどうかが、資格の10倍効きます。

仲介手数料が乗らない直接取引の場では、この関係の作り方がさらに重要になります。中間マージンが差し引かれない取引では、依頼する側は同じ予算でより多くの作業を頼めますし、受け手の側は額面が同じでも手取りが厚くなります。運営者として見てきた限り、この形で長く仕事をしている人は、単発の案件を数で追うのではなく、同じ依頼者の年次業務を毎年任される関係を作っています。継続案件は前提の説明が不要なので、双方の手間が減る。手数料0%の取引が持つ本当の価値は、金額の差よりも、この継続関係が成立しやすいことにあります。

最後に、この分野を目指す方へ。国家資格が1つしかないという事実は、悪い話ではありません。選択肢が少ないぶん、迷う時間が短くて済みます。まずは自分が国内の元請け案件を狙うのか、事業会社の社内担当を目指すのか、外部委託で専門業務を請けるのかを決めてください。目的が決まれば、取るべきものは自動的に1つか2つに絞られます。順番を間違えずに積み上げれば、実務経験がない状態からでも道はつながります。

よくある質問

Q. セキュリティの国家資格は情報処理安全確保支援士だけですか？

登録制度を持つ名称独占の国家資格としては支援士だけです。基本情報技術者試験や応用情報技術者試験は国が実施する国家試験ですが、合格後の登録制度がないため区分としては合格実績になります。求人票で国家資格保有者と書かれている場合、企業が想定しているのは支援士の登録者であることが多い点に注意してください。

Q. 情報処理安全確保支援士は合格したら必ず登録すべきですか？

必須ではありません。登録には2万円程度、維持には3年間で15万円前後の講習費用がかかります。勤め先や取引先が有資格者の在籍を必要としているなら登録の価値がありますが、自分の知識の証明が目的なら合格の実績を履歴書に書くだけで足ります。費用の負担を勤め先に相談するのも一つの方法です。

Q. 未経験から支援士を目指すには何年かかりますか？

IT実務の経験がない状態からだと、ITパスポートか情報セキュリティマネジメント試験、基本情報技術者試験、応用情報技術者試験を経て支援士まで、2年から3年が現実的な目安です。学習時間の合計は1,000時間前後を見てください。すでにIT業界で数年働いているなら応用情報から入り、1年から1年半で到達できます。

Q. CISSPと情報処理安全確保支援士はどちらを取るべきですか？

狙う仕事で決めてください。国内の元請け企業や官公庁の案件に関わるなら支援士、外資系企業や海外との取引を視野に入れるならCISSPが通りやすくなります。両方取る必要はありません。資格を並べすぎると何を専門にしたいのかが読み取れず、かえって評価が下がることがあります。