情報処理安全確保支援士試験（SC）は、サイバーセキュリティリスクを分析・評価し、組織や情報システムを守るための対策を設計・実施・助言できる専門人材を対象とした国家試験です。単なるセキュリティ技術の知識だけでなく、リスク管理、インシデント対応、組織管理、法務、監査、開発・運用時のセキュリティまで幅広く問われます。
情報処理安全確保支援士試験を30秒で確認
- IPAのレベル4に位置するセキュリティ専門の国家試験
- 2026年度はCBT方式で前期・後期に実施
- 科目A-1：50分30問、科目A-2：40分25問、科目B：150分・4問中2問
- 科目Bは長文事例を読み、対策・理由・判断を記述する
- 一定条件を満たすと科目A-1を2年間免除できる
- 試験合格と「情報処理安全確保支援士としての登録」は別
- 登録後は3年ごとの更新、毎年オンライン講習、3年に1回の実践講習が必要
- 2027年度夏〜秋頃から新試験制度へ移行予定
| 資格名 | 情報処理安全確保支援士試験 |
|---|---|
| 略号 | SC |
| 英語名称 | Registered Information Security Specialist Examination |
| 資格種別 | 国家試験 |
| 実施団体 | 独立行政法人 情報処理推進機構（IPA） |
| レベル | レベル4 |
| 2026年度方式 | CBT方式・前期／後期 |
| 科目A-1 | 50分・30問・四肢択一 |
| 科目A-2 | 40分・25問・四肢択一 |
| 科目B | 150分・記述式・4問中2問解答 |
| 受験資格 | 制限なし |
| 受験手数料 | 7,500円（非課税） |
| 主な対象 | セキュリティエンジニア、SOC/CSIRT、セキュリティコンサルタント、情報セキュリティ責任者 |
情報処理安全確保支援士試験とは
情報処理安全確保支援士試験は、情報セキュリティ分野の専門知識と、現場で対策を設計・評価・助言する能力を問う国家試験です。暗号や認証、ネットワーク、OS、ログ分析といった技術分野だけでなく、情報セキュリティマネジメント、リスクアセスメント、内部不正対策、法的要求事項、インシデント対応、監査なども扱います。
IPAは、サイバーセキュリティリスクを分析・評価し、組織の事業、サービス、情報システムの安全を確保するセキュリティエンジニアや、技術・管理の両面から有効な対策を助言・提案するセキュリティコンサルタントを目指す人に適した試験と位置づけています。
「攻撃手法を知っている」だけでは足りない
SCで重要なのは、技術的な対策だけでなく、組織の事情・業務・リスク・法令・運用まで踏まえて「なぜその対策を選ぶのか」を説明できることです。
試験概要
| 科目 | 時間 | 問題数 | 形式 | 主な目的 |
|---|---|---|---|---|
| 科目A-1 | 50分 | 30問 | 四肢択一 | 高度試験共通の基礎知識 |
| 科目A-2 | 40分 | 25問 | 四肢択一 | セキュリティ専門知識 |
| 科目B | 150分 | 4問中2問 | 記述式 | 実務事例の分析・判断・対策 |
2026年度は、従来の「午前Ⅰ」「午前Ⅱ」「午後」という名称から、「科目A-1」「科目A-2」「科目B」へ変更されています。試験時間は従来から変更されていません。
2026年度の実施イメージ
科目A群と科目B群は別の実施期間に行われます。申込み時には、科目A群と科目B群を同時に予約します。
| 科目A-1／A-2 実施期間 | 2026年10月17日〜10月27日 |
|---|---|
| 科目B 実施期間 | 2026年11月11日〜11月23日 |
| 申込受付 | 2026年10月6日10時〜10月24日17時 |
科目A群と科目B群は別日に受ける可能性がある
CBT化により、科目A群と科目B群は実施期間が分かれています。受験計画を立てる際は、学習だけでなく会場予約・日程管理も必要です。
科目A-1の出題範囲
科目A-1は、高度試験やSCで共通して求められるIT全般の知識を問う科目です。セキュリティだけでなく、ネットワーク、データベース、システム開発、マネジメント、経営戦略など幅広い範囲が対象です。
| 分野 | 主な内容 | 対策 |
|---|---|---|
| 基礎理論 | アルゴリズム、数学、論理 | 頻出計算を反復 |
| コンピュータ | CPU、OS、仮想化 | 性能・構成を整理 |
| ネットワーク | TCP/IP、ルーティング、通信 | 通信の流れで理解 |
| データベース | SQL、正規化、トランザクション | 基礎を落とさない |
| 開発技術 | 設計、テスト、品質 | 工程と目的を対応 |
| マネジメント | PM、サービス管理 | 用語の役割を区別 |
| ストラテジ | 経営、会計、法務 | 技術者でも軽視しない |
科目A-2の出題範囲
科目A-2は、SCの専門性が最も明確に出る選択式科目です。情報セキュリティ技術、リスク、暗号、認証、ネットワークセキュリティ、攻撃、ログ、マルウェア、インシデント対応などを深く問います。
| テーマ | 主な内容 | 重要ポイント |
|---|---|---|
| 暗号技術 | 共通鍵、公開鍵、ハッシュ、電子署名 | 目的と利用場面を理解 |
| 認証 | パスワード、MFA、証明書、PKI | 認証・認可を分ける |
| ネットワーク防御 | FW、WAF、IDS/IPS、VPN | どこで何を防ぐか整理 |
| 攻撃手法 | SQLi、XSS、CSRF、DoS等 | 攻撃条件と対策を対応 |
| マルウェア | ランサムウェア、ボット等 | 感染経路と初動を理解 |
| ログ・監視 | イベント、相関分析、SIEM | 何を検知するか意識 |
| クラウド | 責任分界、IAM、設定不備 | 利用者側責任を理解 |
| 脆弱性管理 | CVE、パッチ、診断 | 優先順位の考え方を整理 |
科目A-2で苦戦しやすい分野
| 分野 | 難しい理由 | 対策 |
|---|---|---|
| 暗号 | 方式・用途が多い | 秘匿・完全性・認証で分類 |
| Web攻撃 | 攻撃条件が似ている | 入力→処理→被害で整理 |
| 認証 | 証明書・鍵管理が複雑 | 登場人物と鍵の所有者を書く |
| ログ分析 | 時系列理解が必要 | 送信元・宛先・時刻を表にする |
| クラウド | オンプレとの責任範囲が異なる | 責任共有モデルを理解 |
科目Bは何を問う？
科目Bは150分で4問中2問を解答する記述式です。長い事例を読み、組織・システム・利用者・攻撃者の関係を整理しながら、原因、リスク、対策、改善方法などを記述します。
問題は単なる知識確認ではなく、システム構成図、ログ、通信、認証方式、運用ルール、組織体制など複数の情報を組み合わせて判断する形式です。
| 科目Bで出やすいテーマ | 問われること |
|---|---|
| Webアプリケーション | 脆弱性、攻撃、認証、セッション管理 |
| ネットワーク | 通信経路、FW、VPN、アクセス制御 |
| クラウド | IAM、設定ミス、責任分界、ログ |
| インシデント対応 | 初動、隔離、調査、復旧、再発防止 |
| 認証基盤 | 証明書、MFA、SSO、権限管理 |
| サプライチェーン | 委託先、開発会社、外部サービス |
| 内部不正 | 権限濫用、ログ、職務分離 |
| 開発セキュリティ | 設計、実装、テスト、脆弱性修正 |
科目Bの解き方
- 最初に設問をざっと確認する
- 登場人物・システム・通信経路を整理する
- 「誰が」「何に」「どうアクセスするか」を追う
- 問題文中の根拠となる記述を探す
- 一般論ではなく、そのケースに合う回答を書く
- 指定文字数に合わせて不要な説明を削る
科目Bは「本文から根拠を拾う試験」
セキュリティ知識が豊富でも、問題文を無視して一般論を書くと得点になりません。設問要求と本文の条件を結び付ける練習が重要です。
科目Bの時間配分
| 問題選択 | 5〜10分 |
|---|---|
| 1問目 | 60〜65分 |
| 2問目 | 60〜65分 |
| 見直し | 10〜20分 |
1問に70分以上使うと、もう1問の時間が厳しくなります。途中で詰まった設問があっても、後回しにして最後まで進む判断が重要です。
科目A-1免除制度
一定の条件を満たした場合、以後2年間、科目A-1試験を免除できます。免除申請を行えば科目A-2から受験できます。
| 代表的な免除条件 | 内容 |
|---|---|
| 高度試験に合格 | 合格後の一定期間、A-1免除対象 |
| 情報処理安全確保支援士試験に合格 | 再受験時のA-1免除対象 |
| A-1で基準点到達 | 一定条件を満たした場合、以後2年間免除 |
A-1免除は学習負担を大きく減らせる
AP合格だけではなく、高度試験等の条件を満たしている場合は、必ず自分が免除対象か確認してください。A-2とBに集中できるメリットがあります。
難易度と学習時間
SCは、情報処理技術者試験・情報処理安全確保支援士試験の中でも難易度の高いレベル4試験です。A-2の専門知識と、Bの長文記述の両方が必要です。
| 受験者タイプ | 学習時間の目安 | 重点 |
|---|---|---|
| AP合格直後 | 250〜450時間 | A-2＋B記述 |
| セキュリティ実務1〜3年 | 180〜350時間 | 試験範囲の穴埋め |
| インフラ経験者 | 200〜400時間 | アプリ・法務・管理 |
| 開発経験者 | 200〜400時間 | ネットワーク・運用・暗号 |
| セキュリティ未経験 | 400〜600時間以上 | 基礎から体系化 |
5か月学習プラン
| 期間 | 科目A | 科目B |
|---|---|---|
| 1か月目 | A-2基礎、暗号・認証 | 過去問を読んで形式把握 |
| 2か月目 | NW・Web・クラウド | 1週間1問ペース |
| 3か月目 | 脆弱性・ログ・運用 | 年度別に解く |
| 4か月目 | A-1含む弱点補強 | 150分の通し演習 |
| 5か月目 | 選択問題総仕上げ | 答案表現と時間配分を固定 |
勉強方法
1. ネットワーク基礎を固める
SCではHTTP/HTTPS、DNS、TLS、VPN、FW、プロキシ、ルーティング、メールなど、ネットワークの仕組みを理解していることが前提になります。通信の流れを図で説明できる状態を目指します。
2. 暗号・認証を仕組みから理解する
公開鍵暗号、共通鍵暗号、ハッシュ、電子署名、証明書、PKI、MFAなどは頻出です。「用語の意味」だけでなく、誰がどの鍵を持ち、何を検証しているかまで説明できるようにします。
3. 攻撃と対策をセットで覚える
SQLインジェクション、XSS、CSRF、セッションハイジャック、パスワード攻撃、マルウェアなどは、攻撃成立条件と防御策をセットで整理します。
4. ログを読む
Webアクセスログ、認証ログ、FWログなどを見て、送信元、宛先、時刻、操作の流れを追う練習をします。
5. 科目Bは採点講評まで読む
正解を見るだけでなく、IPAの採点講評を読み、受験者がどこで誤解しやすかったかを確認します。これにより、試験が期待する回答の粒度を理解できます。
不合格になりやすいパターン
| 失敗 | 原因 | 改善 |
|---|---|---|
| A-2用語の丸暗記 | 仕組みを理解していない | 通信・攻撃の流れを図示 |
| Bで一般論を書く | 本文条件を無視 | 根拠箇所を探してから書く |
| 1問に時間を使いすぎる | 完答へのこだわり | 時間上限を決める |
| ネットワークを避ける | 苦手意識 | 基礎から通信経路を理解 |
| 過去問を読むだけ | 答案作成練習不足 | 必ず自分で文章を書く |
試験合格と「登録セキスペ」は別
非常に重要なのが、SC試験に合格しただけでは「情報処理安全確保支援士（登録セキスペ）」の資格名称を使用できない点です。名称を使用するには、所定の登録手続きを行う必要があります。
| 状態 | できること | 更新 |
|---|---|---|
| SC試験合格 | 試験合格者として履歴書等に記載 | 試験合格自体に更新なし |
| 登録セキスペ | 「情報処理安全確保支援士」の資格名称を使用 | 3年ごとの登録更新が必要 |
「試験合格者」と「登録支援士」を混同しない
登録をしていない人が、登録資格者であるかのように「情報処理安全確保支援士」という名称を使用することはできません。
登録後の更新・講習制度
登録セキスペの登録有効期限は、登録日または更新日から3年です。更新申請は更新期限の60日前までに行う必要があります。
| 項目 | 必要事項 |
|---|---|
| 登録有効期限 | 3年 |
| オンライン講習 | 3年間で3回（原則1年に1回） |
| 実践講習 | 3年間で1回 |
| 更新申請 | 更新期限の60日前まで |
| 更新手数料 | 登録更新申請自体の更新手数料はなし |
オンライン講習では最新のサイバーセキュリティ知識や倫理等を学び、実践講習では演習・実技・グループワークなどを通して実務能力の維持・向上を図ります。
資格を取って終わりではない
登録セキスペは、サイバー脅威や法制度が変化することを前提に、継続学習が制度に組み込まれています。更新負担も含めて登録するか判断することが重要です。
取得・登録するメリット
| メリット | 内容 |
|---|---|
| 専門性の証明 | 国家試験レベル4相当のセキュリティ知識を示しやすい |
| 登録資格名称 | 登録後は「情報処理安全確保支援士」を名乗れる |
| 継続学習 | 講習制度で最新知識を継続的に学べる |
| 業務活用 | セキュリティ設計、監査、助言、事故対応に活かせる |
| キャリア | SOC、CSIRT、コンサル、社内セキュリティ責任者等と相性がよい |
活かせる仕事
| 職種 | 関連する業務 |
|---|---|
| セキュリティエンジニア | 設計、脆弱性対策、ログ監視、製品導入 |
| SOCアナリスト | 監視、分析、インシデント検知 |
| CSIRT担当 | 事故対応、調査、復旧、再発防止 |
| セキュリティコンサルタント | リスク評価、ポリシー策定、改善提案 |
| 社内セキュリティ担当 | 規程、教育、委託先、インシデント管理 |
| インフラエンジニア | ネットワーク・クラウドの安全設計 |
| 開発エンジニア | セキュア開発、脆弱性対策、認証設計 |
どんな人に向いている？
| タイプ | おすすめ度 | 理由 |
|---|---|---|
| セキュリティ実務者 | 非常に高い | 実務と試験内容が直結 |
| AP合格者 | 高い | 次の専門資格として自然 |
| インフラエンジニア | 高い | NW知識をセキュリティへ発展 |
| 開発エンジニア | 高い | セキュア開発を深められる |
| IT初心者 | 低い | FE/APやSGからの方が進めやすい |
SG・AP・SCの違い
| 資格 | 対象 | 重点 | レベル |
|---|---|---|---|
| 情報セキュリティマネジメント | 利用部門・管理担当 | セキュリティ管理の基礎 | 2 |
| 応用情報技術者 | 中堅IT人材 | 技術・管理・戦略全般 | 3 |
| 情報処理安全確保支援士 | 専門人材 | 高度なセキュリティ技術・管理・助言 | 4 |
どの順番で取る？
非IT職でセキュリティ管理を学ぶならSG、ITエンジニアとして総合力を上げるならAP、その後にセキュリティ専門性を高めるならSCという流れが分かりやすいです。
2026〜2027年度の制度変更
| 時期 | 変更 |
|---|---|
| 2025年度まで | 午前Ⅰ・午前Ⅱ・午後 |
| 2026年度 | CBT化、科目A-1・A-2・Bへ名称変更 |
| 2026年度 | 前期・後期に実施 |
| 2027年度夏〜秋頃 | 新試験制度へ移行予定 |
| 新制度 | SCは継続予定 |
2027年度から情報処理技術者試験全体が新制度へ移行予定です。SCも継続しますが、出題範囲・形式等は新制度向けに見直されます。
2027年度受験者は新制度用資料を確認
IPAは新制度のシラバスとサンプル問題を公開しています。2026年度用教材をそのまま使う場合は差分確認が必要です。
よくある質問
応用情報に合格していないと受験できませんか？
受験資格の制限はありません。APに合格していなくても受験できます。ただし、AP相当の基礎知識があると学習しやすくなります。
セキュリティ実務経験がなくても合格できますか？
可能ですが、ネットワーク、OS、Web、暗号、ログなどを実際に触った経験がある方が理解しやすい試験です。仮想環境やクラウドで手を動かす学習を取り入れると効果的です。
科目A-1は誰でも免除できますか？
いいえ。高度試験等の合格や、A-1で基準点を満たすなど、IPAが定める条件を満たした人が対象です。
試験に合格したら自動的に登録セキスペになりますか？
なりません。合格後に登録手続きが必要です。
登録しなくても試験合格は有効ですか？
試験合格自体は有効です。ただし「情報処理安全確保支援士」という登録資格名称を使用するには登録が必要です。
登録後は毎年更新ですか？
登録更新は3年ごとですが、オンライン講習は毎年1回、実践講習は3年に1回受講する必要があります。
独学で合格できますか？
独学でも可能です。ただし科目Bの記述対策は、自分で答案を書く練習と、IPAの解答例・採点講評の確認が重要です。
科目Bはどの問題を選ぶべきですか？
年度によってテーマと難易度が変わるため、問題文をざっと見て、自分の得意分野・経験に近い2問を選びます。最初から1分野だけに依存するより、複数テーマを学んでおく方が安全です。
合格後すぐ登録した方がいいですか？
名称利用や登録者としての活動が必要なら登録する価値があります。一方、登録後は講習・更新義務があるため、費用・時間も含めて判断してください。
2027年度に試験はなくなりますか？
なくなる予定ではありません。新試験制度でもSCは継続予定です。
情報処理安全確保支援士試験のまとめ
SCは、技術・管理・法務・インシデント対応を横断して、セキュリティ専門家としての判断力を評価するレベル4の国家試験です。科目A-2で専門知識を固め、科目Bでは問題文の条件を根拠にして短く正確に記述する力を身につけることが合格のポイントです。さらに、試験合格後に登録する場合は、3年ごとの更新と継続的な講習受講まで含めて制度を理解しておく必要があります。
情報確認：2026年10月
主な確認先：IPA「情報処理安全確保支援士試験」「科目A-1試験免除」「2026年度試験実施期間」「試験制度の見直し」「登録セキスペ 更新について」「情報処理安全確保支援士に関するFAQ」「講習の目的と概要」。
