CISA（Certified Information Systems Auditor、公認情報システム監査人）は、ISACAが認定する情報システム監査・IT統制・ITガバナンス・情報セキュリティ分野の国際資格です。IT監査人だけでなく、内部監査、システムリスク、IT統制、情報セキュリティ、ガバナンス、コンプライアンスに携わる人にも広く利用されています。
2026年現在のCISA試験は、150問の多肢選択式、試験時間240分です。日本語受験にも対応しており、PSIテストセンターまたはオンライン監督方式で受験できます。試験受験自体には実務経験がなくても挑戦できますが、CISAとして正式に認定されるには原則5年以上の関連実務経験が必要です。
また、資格取得後も継続教育が必要で、3年間で120CPE、かつ毎年最低20CPEを取得・報告しなければなりません。CISAは「試験に合格して終わり」の資格ではなく、継続的な専門能力の維持が前提となる資格です。
CISAを30秒で確認
- 資格名：Certified Information Systems Auditor（CISA）
- 日本語名：公認情報システム監査人
- 認定：ISACA
- 試験：150問・240分
- 試験言語：日本語対応
- 受験方式：PSI試験会場またはオンライン監督
- 受験料：ISACA会員575米ドル、非会員760米ドル
- 出題：5ドメイン
- 認定要件：原則5年以上の情報システム監査・統制・保証・セキュリティ等の実務経験
- 試験合格後：5年以内に認定申請
- 申請料：50米ドル
- 更新：3年間で120CPE、毎年最低20CPE
- 年次維持費：会員45米ドル、非会員85米ドル
- 当サイトの学習時間目安：250～450時間程度
| 資格名 | CISA（Certified Information Systems Auditor） |
|---|---|
| 認定団体 | ISACA |
| 試験問題数 | 150問 |
| 試験時間 | 240分 |
| 試験形式 | 多肢選択式 |
| 日本語受験 | 可能 |
| 受験料 | 会員575米ドル／非会員760米ドル |
| 主な対象 | IT監査、内部監査、IT統制、情報セキュリティ、ITリスク、ガバナンス担当者 |
CISAとは
CISAは、組織の情報システムが適切に管理・保護され、信頼できる状態にあるかを監査・評価するための専門能力を証明する資格です。
対象は単なる「セキュリティ診断」ではありません。監査計画、ITガバナンス、システム開発、IT運用、事業継続、情報資産保護など、企業ITを統制・監査するための広い知識が問われます。
CISAはITエンジニア資格ではなく「監査・統制・保証」の資格です。
システムを作る側の知識だけでなく、第三者的な立場からリスク・統制・証拠・改善策を評価する視点が重要です。
2026年CISA試験の出題範囲
2026年試験では、2024年8月から有効となった新しいExam Content Outlineが継続されています。出題は5ドメインです。
| ドメイン | 出題比率 |
|---|---|
| Domain 1：Information System Auditing Process | 18％ |
| Domain 2：Governance & Management of IT | 18％ |
| Domain 3：Information Systems Acquisition, Development & Implementation | 12％ |
| Domain 4：Information Systems Operations & Business Resilience | 26％ |
| Domain 5：Protection of Information Assets | 26％ |
Domain 1：情報システム監査プロセス
リスクベース監査計画、監査手法、サンプリング、監査証拠、データ分析、報告、品質改善などを扱います。CISAらしい「監査人としてどう考えるか」を最も直接的に問う領域です。
Domain 2：ITガバナンスとマネジメント
IT戦略、組織構造、ポリシー、エンタープライズアーキテクチャ、リスク管理、プライバシー、データガバナンス、ベンダー管理などを扱います。
Domain 3：情報システムの取得・開発・導入
システム開発方法論、プロジェクトガバナンス、要件、テスト、移行、リリース、導入後レビューなどが対象です。
Domain 4：情報システム運用と事業継続
IT運用、資産管理、変更管理、パッチ、ログ、サービスレベル、データベース、バックアップ、BCP、DRなどが中心です。
Domain 5：情報資産の保護
アクセス管理、暗号化、ネットワーク、クラウド、IoT、セキュリティ監視、インシデント対応、フォレンジックなどを扱います。
CISA試験の難易度
CISAの難しさは、IT用語の知識だけではなく「監査人として最も適切な判断」を求められる点です。実務では複数の対応が考えられる場面でも、試験ではISACAの監査・統制原則に基づいて最適解を選ぶ必要があります。
| 難しいポイント | 理由 | 対策 |
|---|---|---|
| 監査人視点 | 技術者視点と正解が異なる場合がある | 「実装」ではなく「評価・証拠・リスク」で考える |
| 設問の優先順位 | FIRST、BEST、MOSTなど判断語が多い | 根本原因と統制目的を意識する |
| 出題範囲 | 監査からBCP、セキュリティまで広い | ドメイン単位で弱点管理する |
| 英語由来の概念 | 日本語訳だけではニュアンスが掴みにくい | 重要用語は英語も併記して覚える |
| 実務経験とのズレ | 自社ルールとISACAの考え方が異なる | 問題演習でISACA流の判断を身につける |
CISA試験の受験料
| 区分 | 受験料 |
|---|---|
| ISACA会員 | 575米ドル |
| 非会員 | 760米ドル |
受験申込は通年で行われており、受験資格期間内にPSIで試験日を予約します。会員には受験料割引がありますが、別途ISACA会費が必要です。
日本語で受験できる？
CISAは日本語で受験できます。2026年のCandidate Guideでは、CISAの試験言語として英語・スペイン語・中国語簡体字・フランス語・ドイツ語・韓国語・日本語が案内されています。
受験はPSIの試験会場またはオンライン監督方式を選択できます。オンライン監督の場合、試験監督とのチャットは英語のみとなるため注意してください。
CISAの受験資格
試験を受けるだけであれば、5年の実務経験を満たしていなくても受験できます。ISACAは、情報セキュリティやIT監査に関心がある人が試験に挑戦すること自体を認めています。
ただし、正式にCISA認定を取得するには、原則として5年以上の情報システム監査、統制、保証またはセキュリティ関連の専門実務経験が必要です。
「試験合格」と「CISA認定」は別です。
実務経験が不足していても試験には合格できますが、その時点でフルCISA認定者になれるわけではありません。
実務経験要件
ISACAは、CISA認定申請時点からさかのぼる10年間に、原則5年以上の関連実務経験を求めています。経験はCISA Job Practice Domainに関連している必要があります。
学歴や一般的なIS・監査経験等によって一部免除が認められる場合があります。具体的な免除年数は学位や経験内容によって異なるため、申請時点の公式Applicationを確認してください。
試験合格後の認定申請
| 段階 | 内容 |
|---|---|
| 1 | CISA試験に合格 |
| 2 | 実務経験要件を満たす |
| 3 | 上司・マネージャー等による経験確認 |
| 4 | 50米ドルの申請処理料を支払う |
| 5 | 認定申請書を提出 |
| 6 | 承認後CISA認定 |
試験合格から5年以内に認定申請を行う必要があります。
CISA Associateとは
実務経験が不足している学生等向けに、ISACAはCISA Associateという別のdesignationを提供しています。対象プログラム参加者がCISA試験に合格すると、一定条件のもとで取得できます。
CISA AssociateはフルCISA認定ではありません。CPE要件はありませんが、有効なISACA会員資格が必要で、原則最大4年間またはフルCISA取得まで有効です。
CISAの合格率
ISACAは、CISA試験の一般向け公式合格率を常時公表していません。そのため、本記事ではスクール等の推定合格率を「公式合格率」として掲載しません。
公式な合格率は公表されていません。
ネット上の「合格率○％」は民間スクールや受験者アンケート由来の場合があります。ISACA公式の合格率とは区別してください。
CISAの勉強時間
ISACAは合格に必要な標準学習時間を公式には公表していません。以下は当サイトの目安です。
| 受験者タイプ | 学習時間目安 |
|---|---|
| IT監査未経験 | 350～450時間 |
| 内部監査・IT統制経験あり | 280～380時間 |
| IT監査実務経験あり | 250～330時間 |
| セキュリティ実務中心 | 300～400時間 |
CISAの勉強方法
1. 5ドメインの全体像を把握する
最初に出題比率を確認し、Domain 4・5の比重が高いことを理解します。ただし監査プロセスを扱うDomain 1はCISA特有の思考を身につけるうえで重要です。
2. 監査人として考える
「自分なら修正する」ではなく、「監査人としてまず何を確認し、どの証拠を集め、どのリスクを評価するか」で考えます。
3. 問題演習を多く行う
CISAでは知識暗記より選択肢の比較が重要です。なぜ他の選択肢がBESTではないのかまで説明できるようにします。
4. BCP・DR・セキュリティを実務と結びつける
バックアップ、RTO、RPO、アクセス管理、ログ、インシデント対応などを単語ではなく業務プロセスとして理解します。
5. 日本語だけに頼りすぎない
Control、Assurance、Governance、Audit Evidenceなど、重要概念は英語も併記して理解すると選択肢のニュアンスを掴みやすくなります。
3～4か月の学習スケジュール例
| 期間 | 学習内容 | 目標 |
|---|---|---|
| 1か月目 | Domain 1・2 | 監査・ガバナンスの思考を理解 |
| 2か月目 | Domain 3・4 | 開発・運用・BCPを整理 |
| 3か月目 | Domain 5＋総合演習 | セキュリティと全体弱点を補強 |
| 直前2～4週 | 模擬問題 | 240分で150問を解く時間感覚を作る |
不合格になりやすい原因
| 失敗 | 原因 | 改善 |
|---|---|---|
| 技術者目線だけで解く | 監査人の役割を外す | 評価・証拠・独立性で考える |
| 暗記中心 | BEST問題で迷う | 統制目的を理解する |
| Domain 1を軽視 | CISA独自の監査思考が身につかない | 監査計画・証拠・報告を重点学習 |
| セキュリティだけ勉強 | ガバナンス・開発・運用を落とす | 5ドメインを均衡して学ぶ |
| 実務経験だけで解く | 自社ルールとISACA原則が違う | 公式教材・問題で基準を合わせる |
CISAを取得するメリット
| メリット | 内容 |
|---|---|
| IT監査専門性を証明 | 監査・統制・保証の知識を体系化できる |
| 内部監査で活用 | システム監査やIT統制評価に直結 |
| セキュリティ分野と親和性 | アクセス、監視、インシデント、BCPを監査視点で学べる |
| グローバル資格 | 海外・外資系企業でも説明しやすい |
| ガバナンス視点 | 技術だけでなく経営・リスク・統制まで理解できる |
CISAを活かせる仕事
| 仕事 | 活かせる内容 |
|---|---|
| IT監査 | 監査計画、統制評価、証拠収集、報告 |
| 内部監査 | ITGC、システムリスク、業務統制 |
| 監査法人・アドバイザリー | IT監査、SOC、システム統制評価 |
| 情報セキュリティ | 統制、リスク、監査対応 |
| システムリスク | 金融・大企業のITリスク管理 |
| ITガバナンス | 方針、リスク、委託先、データガバナンス |
CISAと関連資格の違い
| 資格 | 中心分野 | 特徴 |
|---|---|---|
| CISA | IT監査・統制 | 情報システムを監査・保証する立場 |
| CISM | 情報セキュリティ管理 | セキュリティプログラム・マネジメント中心 |
| CRISC | ITリスク | リスク識別・評価・対応・統制 |
| CISSP | 情報セキュリティ全般 | セキュリティ専門知識を広く扱う |
| 公認内部監査人（CIA） | 内部監査全般 | ITに限らず組織全体の内部監査 |
ITを「守る・運用する」より「監査・評価する」役割ならCISAが直接的です。
セキュリティ管理ならCISM、ITリスクならCRISC、内部監査全般ならCIAなど、担当領域に応じて選ぶとよいでしょう。
CISA取得後の更新
CISA認定者は、3年間の報告期間で合計120CPEを取得し、毎年最低20CPEを報告する必要があります。
| 項目 | 要件 |
|---|---|
| 3年間のCPE | 120時間以上 |
| 毎年最低CPE | 20時間以上 |
| 年次維持費 | ISACA会員45米ドル／非会員85米ドル |
| その他 | 職業倫理規定・IT監査基準への遵守 |
2026年の重要ポイント
2024年改訂の5ドメインが現行
2026年試験でも、18％・18％・12％・26％・26％の現行ドメイン配分が続いています。
オンライン監督受験に対応
PSI試験会場だけでなく、所定環境を満たせばオンライン監督方式でも受験できます。
日本語受験者向けレビューコースも継続
ISACA東京支部では2026年にも日本語受験者向けCISAレビューコースを開催しています。
CISAに関するFAQ
実務経験がなくても試験を受けられますか？
はい。試験受験自体は可能です。ただしCISA認定には原則5年以上の関連実務経験が必要です。
日本語で受験できますか？
はい。CISAは日本語受験に対応しています。
試験は何問ですか？
150問です。試験時間は240分です。
受験料はいくらですか？
2026年時点でISACA会員575米ドル、非会員760米ドルです。
合格率は何％ですか？
ISACAは一般向けの公式合格率を常時公表していません。
試験合格後すぐCISAを名乗れますか？
いいえ。実務経験等の認定要件を満たし、認定申請が承認される必要があります。
試験合格は何年間有効ですか？
合格後5年以内にCISA認定を申請する必要があります。
資格取得後に更新は必要ですか？
はい。3年間で120CPE、毎年最低20CPEなどの維持要件があります。
CISAとCISMはどちらがおすすめですか？
IT監査・統制が中心ならCISA、セキュリティ組織・プログラム管理が中心ならCISMがより直接的です。
自宅で受験できますか？
オンライン監督方式に対応しています。ただしシステム要件、部屋のスキャン、本人確認などのルールがあります。
CISAのまとめ
CISAは、ISACAが認定する情報システム監査・IT統制・ガバナンス分野の国際資格です。2026年現在の試験は150問・240分、日本語対応で、5ドメインから出題されます。受験料は会員575米ドル、非会員760米ドルです。試験受験自体には実務経験がなくても挑戦できますが、正式な認定には原則5年以上の関連実務経験が必要です。取得後も3年間で120CPE、毎年最低20CPEを取得して継続更新する必要があります。IT監査、内部監査、IT統制、システムリスク、セキュリティガバナンスに携わる人に適した資格です。
情報確認：2026年10月
主な確認先：ISACA「CISA Certification」「CISA Exam Content Outline」「How to get CISA certified」「Maintain CISA Certification」「Certification Exam Candidate Guide」「CISA Associate」、ISACA東京支部「CISA委員会」。
公式情報：ISACA CISA Certification
