企業のDX推進が加速し、情報システムの複雑化とともにセキュリティインシデントのリスクが増大している。情報セキュリティマネジメント試験（SG）が注目される理由は、エンジニアリングスキルではなくセキュリティポリシーの策定・リスク管理・インシデント対応というマネジメント能力を国家資格として認定することにある。
IT部門の非エンジニア職（システム発注担当・コンプライアンス担当・ベンダー管理）でも、SG取得者は「セキュリティの会話ができる人」として社内評価が上がるケースが多い。2023年度からCBT（Computer Based Testing）方式に移行し、年間を通じて随時受験できるようになった点も、社会人受験者にとって受けやすい資格になった要因だ。
IPAが2016年度に新設した国家資格で、「守り側の共通言語を持っているか」を証明する試験だ。攻撃コードは書けなくても、フィッシング・SQLインジェクション・標的型攻撃の仕組みを説明でき、ISO 27001の意味がわかり、インシデント発生時に何をすべきか判断できる——そのレベルを問う。
| 項目 | 内容 |
|---|---|
| 実施方式 | CBT（年間通じて随時受験可） |
| 試験時間 | 120分 |
| 出題数 | 科目A：48問 / 科目B：12問（合計60問） |
| 出題形式 | 多肢選択式 |
| 合格基準 | 1,000点満点で600点以上 |
| 受験料 | 7,500円 |
令和6年度の合格率は約69%。IPA試験区分の中では明確に合格しやすい部類に入る。「ITパスポートより難しく、基本情報より易しい」という位置づけだ。
セキュリティ全般の幅広い知識を問う。暗記主体の問題が多いため、用語集を繰り返し読む学習法が有効だ。
| 出題分野 | 主な内容 |
|---|---|
| 情報セキュリティの基本概念 | 機密性・完全性・可用性（CIAトライアド）の定義 |
| 脅威・攻撃の種類 | マルウェア・フィッシング・標的型攻撃・ソーシャルエンジニアリング |
| セキュリティ対策技術 | ファイアウォール・VPN・暗号化・認証技術・IPS/IDS |
| 法律・規格 | 個人情報保護法・不正アクセス禁止法・ISO/IEC 27001・NIST CSF |
実際のセキュリティ事案を読み、適切な対応を選ぶ形式だ。「知識がある」だけでなく「組織のセキュリティ担当者として判断できるか」を問う。複数の選択肢が「どれも間違いではない」状況で、組織のセキュリティ原則に照らして最善の行動を選ぶ練習が必要になる。
覚えるべき重要用語：
| カテゴリ | 重要用語 |
|---|---|
| 認証技術 | 多要素認証・PKI・デジタル署名・X.509証明書・FIDO |
| 攻撃手法 | SQLインジェクション・XSS・DoS/DDoS・MITM・フィッシング |
| フレームワーク | ISO 27001（ISMS）・NIST CSF・サイバーセキュリティ基本法 |
| インシデント対応 | CSIRT・SOC・フォレンジック・エスカレーション手順 |
| バックグラウンド | 学習期間 |
|---|---|
| IT経験者（IT部門・システム担当） | 1〜2ヶ月（1日1時間） |
| IT未経験者・文系出身 | 2〜3ヶ月（1日1〜2時間） |
Step 1 — 参考書で概念の骨格を作る セキュリティ用語・攻撃手法・対策技術を体系的に把握する。「なぜその攻撃が危険で、なぜその対策が有効か」という因果関係を理解しながら読む。用語を丸暗記しても試験には受かるが、科目Bのシナリオ問題で応用が効かなくなる。
Step 2 — 科目A対策：過去問演習で用語を定着 IPAの公式サイトに公開されているサンプル問題を解く。「間違えた問題の用語を調べる → 類似問題を解く」のサイクルを繰り返す。
Step 3 — 科目B対策：シナリオ演習を積む 科目Bは問題量をこなすほど正答率が上がる。シナリオ読解の速さと「組織としての優先判断」の感覚は反復で身につく。
| 資格 | 関係性 |
|---|---|
| ITパスポート（IPA） | SGの手前の入門資格 |
| 基本情報技術者試験（FE） | IT全般の基礎資格。SG取得後のステップとして自然なルート |
| 応用情報技術者試験（AP） | IT技術者の中級国家資格 |
| 情報処理安全確保支援士（RISS） | セキュリティ専門家の業務独占上位資格 |
| CompTIA Security+ | グローバルに通用するセキュリティ資格（民間）。海外案件がある職場向け |
