コトラ（広報チーム） 
CISAの概要と難易度を判断する前提
CISAが証明する情報システム監査の知識
CISAは、情報システムの監査、統制、保証、セキュリティに関する知識と実務能力を証明する国際資格です。発行団体であるISACAは、CISAを情報システムのリスクや統制を評価する専門家向けの資格として位置付けています。
試験では、システムが安全に運用されているかだけでなく、組織の目的に沿って管理されているか、障害や災害に備えられているか、必要な証拠に基づいて監査できるかを問われます。そのため、ネットワークやセキュリティの技術知識だけで合格できる試験ではありません。
CISAの難易度は、知識量そのものよりも、監査人の視点で優先順位を判断できるかどうかに左右されます。技術的には正しい選択肢でも、監査の立場として最初に取るべき行動ではない場合、不正解になることがあります。
CISAが向いている人と未経験者が確認したい適性
CISAが向いているのは、IT監査、内部統制、情報セキュリティ、ITリスク、コンプライアンス、ガバナンスなどに関わる人です。情報システム部門で、権限管理、変更管理、委託先管理、障害対応、事業継続計画などを担当している人にも関連性があります。
未経験者でも受験はできますが、システムを構築・運用する側ではなく、仕組みや統制が適切に機能しているかを確認する側の考え方を学ぶ必要があります。次のような業務に関心がある場合は、CISAとの相性を判断しやすいでしょう。
- システムや業務のリスクを整理し、改善点を提案する仕事
- アクセス権限、変更手続き、ログ管理などの統制を確認する仕事
- 監査、内部統制、ITリスク、セキュリティ統制に関わる仕事
- システム導入や委託先管理におけるリスク評価を行う仕事
- 事業継続計画や災害復旧の有効性を確認する仕事
一方で、プログラミングやインフラ構築といった技術の実装を中心に深めたい場合は、CISAよりも技術領域に特化した資格が優先されることがあります。
試験合格と資格認定の違い
CISAでは、試験に合格することと、正式にCISA認定を受けることは別です。試験は、情報システム監査・統制・セキュリティに関心があれば、実務経験がなくても受験できます。
ただし、CISAの認定を受けて資格名称を使用するには、試験合格に加えて、原則として5年以上の対象実務経験を証明しなければなりません。学歴や関連する経験による代替制度を使える場合もありますが、実務経験がまったく不要になるわけではありません。
未経験者は、受験できるかだけでなく、合格後5年以内に認定要件を満たせる見込みがあるかまで確認しておくことが重要です。
CISA試験の難易度を左右する試験概要
5つの出題分野と問われる知識
CISA試験は、次の5分野で構成されています。現在の試験内容では、第4分野と第5分野がそれぞれ26％を占め、合計で52％です。学習時間は5分野に均等に配分するのではなく、出題比率と苦手分野に応じて調整する必要があります。
- 第1分野：情報システム監査プロセス 18％
- 第2分野：ITのガバナンスと管理 18％
- 第3分野：情報システムの取得、開発、導入 12％
- 第4分野：情報システムの運用と事業継続性 26％
- 第5分野：情報資産の保護 26％
第1分野では、監査の計画、証拠の収集、テスト、報告、改善状況の確認といった監査の基本を学びます。第2分野では、IT戦略、方針、リスク管理、委託先管理、データ管理などを扱います。
第3分野では、システム開発や導入時の統制、テスト、移行、導入後の確認が出題範囲です。第4分野には、障害対応、変更管理、バックアップ、事業継続計画、災害復旧などが含まれます。第5分野は、アクセス管理、ネットワーク対策、暗号化、クラウド環境、監視、インシデント対応などが中心です。
150問・4時間の試験形式と合格基準
CISA試験は、150問の四肢択一式問題を4時間で解くコンピュータ試験です。1問あたりの平均時間は約1分36秒となります。時間が極端に短い試験ではありませんが、設問文が長く、複数の選択肢がもっともらしく見えるため、判断に迷う問題で時間を使いすぎない工夫が必要です。
合格基準は、200点から800点の尺度で450点です。この点数は単純な正答率45％や56.25％を意味するものではありません。ISACAは、何問正解すれば合格かという基準を公表していないため、模擬試験の正答率だけで合否を断定することはできません。
本試験では、「最も適切」「最初に行うべき」「最も重要」といった表現が判断の鍵になります。設問で求められているのが技術的な対処なのか、監査人としての確認・報告なのかを見極めることが重要です。
試験日程と受験方法
CISAは、特定の年1回試験ではなく、通年で申し込みと受験予約ができる形式です。受験者はISACAで登録し、指定された試験運営サービスを通じて、テストセンターまたはオンライン監督試験を予約します。
登録後には受験できる期間が設定されるため、申し込み前に学習計画を固めておくことが大切です。試験会場の空席状況やオンライン受験の環境要件も確認し、余裕を持って予約しましょう。
受験方法や予約可能日、本人確認書類、再受験に関する規定は変更されることがあるため、申し込み時にはISACAの最新の受験者向け案内を確認する必要があります。
合格率が公表されていない理由と見方
CISAは、現在の公式な合格率を継続的に公表していません。そのため、インターネット上で見かける推定の合格率だけを根拠に、難易度を判断することは避けるべきです。
難易度を判断する際は、合格率よりも次の要素を確認するほうが実用的です。
- 監査の考え方に慣れているか
- 5分野にまたがる幅広い知識があるか
- シナリオ形式の問題で優先順位を判断できるか
- 実務経験を通じて統制やリスクに触れているか
- 3〜6カ月程度の継続学習時間を確保できるか
特に未経験者にとっては、暗記量よりも監査用語や判断基準に慣れるまでの時間が、体感的な難易度を大きく左右します。
CISAが難しいといわれる4つの理由
監査の考え方に切り替える必要がある
CISAで最もつまずきやすい点は、技術者や運用担当者の考え方から、監査人の考え方へ切り替える必要があることです。
たとえば、脆弱性や設定不備を見つけたとき、運用担当者であればすぐに設定を修正することが適切な場合があります。しかし監査人には、事実を確認し、証拠を残し、リスクを評価し、適切な相手に報告・改善提案を行う役割があります。
CISAでは、監査人が自ら統制を運用するのではなく、統制の設計や運用が有効かを客観的に評価する立場が重視されます。この役割の違いを理解していないと、技術的に正しそうな選択肢を選んでも失点しやすくなります。
出題範囲が広く優先順位の判断が問われる
CISAは、監査だけでなく、ITガバナンス、システム開発、運用、事業継続、情報セキュリティまで幅広い範囲を扱います。特定の技術領域だけに詳しくても、全分野を安定して解けなければなりません。
また、単に用語を覚えるだけでは不十分です。複数のリスクや対応策が示された場面で、事業への影響、統制の重要性、監査の手順を踏まえて優先順位を判断する力が求められます。
第4分野と第5分野だけで出題比率の52％を占めますが、第1分野の監査プロセスに関する考え方は、ほかの分野の問題にも関係します。出題比率が低い第3分野を軽視しすぎず、全体を関連付けて学ぶ必要があります。
日本語訳に独特の表現がある
CISAは日本語でも受験できますが、監査・統制・ガバナンスに関する用語には、普段の業務で使わない表現が含まれることがあります。また、「最も適切」「最初」「主な目的」など、設問の限定条件によって正解が変わる場合があります。
日本語だけで問題文を読み進めると、用語の意味を曖昧に捉えたまま選択肢を選んでしまうことがあります。公式教材の用語集や問題解説を活用し、監査で使われる言葉の意味を自分の業務経験と結び付けて理解することが大切です。
英語力そのものが必須というわけではありませんが、英語の略語や国際的なフレームワークに触れる機会が少ない人は、用語の整理に時間を見込んでおくとよいでしょう。
実務経験者を前提とした問題が出題される
CISAの問題は、現場の状況を想定したシナリオ形式が中心です。監査計画、アクセス管理、変更管理、障害対応、委託先管理、事業継続など、実務で起こり得る場面を前提に判断を求められます。
そのため、実務経験者は、学習内容を業務の場面に置き換えながら理解しやすい傾向があります。一方で未経験者は、用語を暗記しても、どの統制がどのリスクに対応するのかをイメージしにくいことがあります。
ただし、未経験者が不利である一方、合格が不可能という意味ではありません。問題演習の解説を読み、なぜその対応が最優先なのか、なぜほかの選択肢では不十分なのかを繰り返し考えることで、実務経験を補うことはできます。
未経験者・職種別に見るCISAの難易度
システム監査の未経験者が感じやすい難しさ
システム監査が未経験の場合、最初の壁は監査の流れです。監査の計画、リスク評価、証拠収集、テスト、報告、改善確認という一連の流れを理解しなければ、個別の技術問題でも正しい判断が難しくなります。
未経験者は、まず第1分野の監査プロセスと、第2分野のガバナンス・リスク管理を重点的に学ぶとよいでしょう。そのうえで、アクセス権限、ログ、バックアップ、変更管理といった具体的な統制を学ぶと、知識がつながりやすくなります。
難易度は高めに感じやすいものの、ITやセキュリティの基礎知識があり、計画的に問題演習を進められる人であれば、3〜6カ月程度の準備で十分に合格を目指せます。
情報システム部門・セキュリティ担当者の場合
情報システム部門やセキュリティ担当者は、アクセス管理、ネットワーク、端末管理、障害対応、バックアップ、委託先管理など、第4分野と第5分野に関連する実務知識を持っている場合が多いでしょう。
一方で、技術的な対策を実行する立場に慣れているため、監査人としての独立性や、証拠に基づく評価・報告の考え方に戸惑うことがあります。特に、技術的に最善の対処と、監査上最初に取るべき行動が一致しない問題には注意が必要です。
この職種では、監査プロセス、リスクベース監査、監査証拠、ガバナンス、報告の学習に時間を多めに配分することで、強みを生かしやすくなります。
IT実務経験がある人の場合
開発、インフラ、運用、プロジェクト管理などのIT実務経験がある人は、システム開発、変更管理、運用、可用性、障害対応などを理解しやすい傾向があります。特に第3分野と第4分野では、実務経験が知識の定着に役立ちます。
ただし、純粋に技術業務だけを担当してきた場合は、監査、内部統制、リスク評価、経営層への報告といった領域が弱点になりやすいです。技術の細部を深掘りするよりも、組織全体のリスクや統制目的を意識して学ぶ必要があります。
IT経験者は、実務上の「あるべき運用」とCISAで問われる「監査人としての確認方法」を区別して問題を解くことが、難易度を下げるポイントです。
監査・内部統制の実務経験がある人の場合
監査や内部統制の経験がある人は、監査計画、リスク評価、証拠、報告、フォローアップといった第1分野の内容を理解しやすいでしょう。統制の目的や、独立した立場で評価する重要性も把握しているため、CISAの出題意図をつかみやすい傾向があります。
一方で、ネットワーク、暗号化、クラウド、アクセス管理、データベース、災害復旧などの技術領域に苦手意識を持つことがあります。この場合は、技術を実装できるレベルまで深掘りする必要はありません。何を守るための統制か、どのようなリスクを減らすのか、監査ではどのような証拠を確認するのかに焦点を当てると効率的です。
CISAの受験条件と資格認定に必要な実務経験
試験は実務経験がなくても受験できる
CISA試験は、情報システムの監査、統制、セキュリティに関心があれば受験できます。受験時点で、学歴、職種、年齢、実務経験年数に関する必須条件はありません。
そのため、監査未経験の情報システム担当者、セキュリティ担当者、学生、キャリアチェンジを検討している人でも、試験への挑戦は可能です。ただし、試験合格後に正式認定を得るには実務経験が必要なため、受験前に認定までの道筋を確認しておくことをおすすめします。
資格認定に必要な5年以上の実務経験
CISA認定には、原則として5年以上の情報システム監査、統制、保証、セキュリティに関する専門的な実務経験が必要です。この経験は、認定申請日から遡って10年以内に得たものでなければなりません。
重要なのは、役職名ではなく実際の業務内容です。職種名に「監査」が含まれていなくても、IT統制の評価、アクセス権限のレビュー、リスク評価、セキュリティ方針の確認、委託先リスクの評価、監査対応、改善状況の確認などに携わっていれば、対象となる可能性があります。
一方で、開発、保守、ネットワーク運用、ヘルプデスクなどの経験は、それだけでは認定対象として認められない場合があります。実務経験が要件を満たすかは、実際の職務内容とISACAの審査によって判断されます。
学歴や他資格で実務経験を代替できる範囲
CISAでは、一定の学歴、一般監査経験、情報システムに関する経験などを、実務経験の一部として代替できる場合があります。ただし、代替できる期間には上限があり、最大で3年までです。
つまり、学歴や関連経験による代替を最大限に利用できた場合でも、少なくとも2年分の対象実務経験は必要です。学士号や修士号を持っているだけで、実務経験なしにCISA認定を受けられるわけではありません。
どの学歴・経験が何年分に相当するかは、申請時点のISACAの規定に従います。自身の学位、監査経験、教育経験、関連資格などを確認し、申請前に最新の認定要件を必ず確認しましょう。
合格後の認定申請と継続教育の要件
試験に合格した後は、5年以内に認定申請を行う必要があります。申請時には、対象となる実務経験を記載し、上司、管理者などの確認を受けます。申請手数料も別途必要です。
認定後は、資格を維持するために継続教育が求められます。CISA保有者は、原則として毎年20時間以上、3年間で合計120時間以上の継続専門教育を取得・報告しなければなりません。
また、ISACAの職業倫理規程と情報システム監査基準を守ることも必要です。CISAは一度取得して終わる資格ではなく、知識と専門性を継続的に維持する資格だと理解しておきましょう。
CISA合格に必要な勉強時間と学習計画
勉強時間の目安と経験別の学習期間
CISAの勉強時間は、監査経験、IT経験、セキュリティ知識、英語用語への慣れによって異なります。一般的には、150〜200時間程度をひとつの目安として考えるとよいでしょう。
監査・内部統制の経験があり、ITの基礎知識もある場合は、80〜150時間程度で学習計画を立てやすいでしょう。ITやセキュリティの実務経験はあるものの監査未経験の場合は、120〜200時間程度が目安です。IT・監査ともに未経験に近い場合は、200時間以上を見込み、3〜6カ月かけて学ぶのが現実的です。
ただし、学習時間を短縮することだけを目的にするのはおすすめできません。問題の正解を覚えるのではなく、監査上の判断理由を説明できる状態を目指すことが重要です。
未経験者向けの3〜6カ月学習スケジュール
未経験者は、知識のインプットと問題演習を同時に進めると、理解が定着しやすくなります。3〜6カ月で進める場合の一例は次のとおりです。
- 1カ月目：第1分野と第2分野を学び、監査・統制・リスクの基本用語を整理する
- 2カ月目：第3分野を学び、システム開発、テスト、移行、変更管理の流れを理解する
- 3カ月目：第4分野を重点的に学び、運用、障害、バックアップ、事業継続、災害復旧を整理する
- 4カ月目：第5分野を重点的に学び、アクセス管理、ネットワーク対策、暗号化、監視、インシデント対応を確認する
- 5カ月目：分野別問題を解き、誤答の原因を記録して苦手分野を補強する
- 6カ月目：本試験と同じ150問・4時間を意識した模擬試験を行い、時間配分と弱点を調整する
3カ月で受験する場合は、平日と休日を合わせて週10〜15時間程度の学習時間を確保する必要があります。働きながら学ぶ場合は、4〜6カ月の計画にして、復習と問題演習の時間を確保するほうが無理なく進められます。
公式教材と問題演習の進め方
CISA対策では、ISACAが提供する公式の学習教材や問題集を中心に進める方法が有効です。公式教材は情報量が多いため、最初からすべてを完璧に覚えようとする必要はありません。試験範囲を把握し、理解が浅い項目を見つけるために使うとよいでしょう。
問題演習では、正解・不正解だけを確認するのではなく、解説まで読むことが重要です。特に不正解の選択肢について、なぜ優先度が低いのか、監査人の役割から外れるのかを理解してください。
誤答した問題は、分野ごとに記録すると復習しやすくなります。たとえば、「監査証拠」「変更管理」「事業継続計画」「アクセス権限」「委託先管理」といった項目ごとに整理すると、苦手の傾向を把握できます。
独学と講座を選ぶ判断基準
独学に向いているのは、IT監査、内部統制、ITリスク、セキュリティ統制などの実務経験があり、計画的に学習を続けられる人です。公式教材や問題集を使い、学習時間を確保できるなら、独学でも合格を目指せます。
一方、監査未経験者、学習の進め方に迷いやすい人、短期間で受験したい人は、講座の利用を検討する価値があります。講座を選ぶ際は、単に問題数が多いかではなく、監査の考え方、選択肢の優先順位、誤答の理由まで説明されるかを確認しましょう。
特にCISAでは、知識の暗記よりも判断の質が問われます。質問への対応、模擬試験の解説、弱点の分析といった支援が自分に必要かどうかで判断することが大切です。
試験直前に取り組むべき問題演習と時間配分
試験直前は、新しい教材に広く手を出すよりも、誤答問題と苦手分野の復習を優先しましょう。本試験は150問を4時間で解くため、少なくとも数回は時間を測って模擬試験に取り組むことをおすすめします。
時間配分の一例として、最初の2時間45分から3時間程度で全問に一度回答し、迷った問題に印を付けます。その後、残りの時間で印を付けた問題を見直し、最後に未回答がないか確認します。
1問に2分以上かけても判断できない場合は、いったん印を付けて先に進むことが重要です。難問に時間を使いすぎると、解ける問題を急いで処理することになり、全体の得点が不安定になります。
見直しでは、設問の「最初」「最も重要」「最も適切」といった条件を再確認してください。選択肢を比較する際は、技術的な正しさだけでなく、リスク、監査の独立性、証拠、報告の順序を意識すると判断しやすくなります。
関連資格と比較してCISAを受験すべきか判断する
システム監査技術者との違いと選び方
システム監査技術者は、日本の国家試験であり、情報システム監査に必要な知識や監査の実践能力を問う資格です。日本の法制度、企業環境、情報処理技術者試験の体系に沿って学びたい人に向いています。
CISAは国際的な資格であり、IT監査、統制、セキュリティ、ガバナンスに関する共通の考え方を幅広く扱います。海外拠点を持つ組織、グローバルな監査・リスク業務、国際的なフレームワークを意識したキャリアを目指す場合に活用しやすい資格です。
国内の情報処理技術者試験に慣れており、日本語の記述式試験にも対応できる人はシステム監査技術者を検討しやすいでしょう。一方、四肢択一のシナリオ問題を通じて国際的な監査・統制の考え方を身に付けたい人は、CISAが適しています。
CISM・CISSPとの違いと活用分野
CISMは、情報セキュリティの管理、ガバナンス、リスク管理、セキュリティプログラムの運営に重点を置く資格です。セキュリティ組織の方針づくりや管理職、責任者を目指す場合に関連性があります。
CISSPは、情報セキュリティ全般を幅広く扱う資格です。セキュリティの設計、運用、リスク、法令、ソフトウェア、ネットワークなど、より広いセキュリティ領域を対象とします。
CISAは、これらと比べて監査・統制の評価に重点があります。セキュリティ対策を導入・運用するよりも、その対策が適切に設計・運用され、リスクに対応できているかを評価する仕事に関心がある場合は、CISAが有力な選択肢です。
CIAとの違いと監査資格としての位置付け
CIAは、内部監査全般を対象とする資格です。財務、業務、法令順守、リスク管理、ガバナンスなどを含め、組織全体の内部監査に関する知識を扱います。
CISAは、情報システムやIT統制に特化した監査資格です。システム、情報資産、セキュリティ、IT運用、システム開発などに監査対象を絞って専門性を高めたい場合に向いています。
内部監査部門で、IT以外も含めた監査業務を幅広く担当する場合はCIAとの相性がよく、IT監査やデジタル領域の統制評価を専門にしたい場合はCISAが適しています。両方の領域に関わる場合は、キャリアの軸に応じて取得順を検討するとよいでしょう。
CISAの難易度を踏まえた受験判断
CISAは、監査未経験者でも受験できる一方、監査の考え方、幅広いIT統制の知識、シナリオ問題での判断力が求められるため、簡単な資格ではありません。特に、技術知識だけで合格しようとすると難しく感じやすい試験です。
受験を判断する際は、現在の経験年数だけでなく、次の点を確認しましょう。
- IT監査、ITリスク、内部統制、セキュリティ統制の仕事に関心があるか
- 合格後5年以内に認定の実務経験要件を満たせる見込みがあるか
- 150〜200時間程度の学習時間を確保できるか
- 監査人の立場でリスクと統制を考える学習に取り組めるか
- システム監査技術者、CISM、CISSP、CIAのうち、自身の目標に最も近い資格はどれか
情報システム部門、セキュリティ、ITリスク、内部統制、監査の仕事をつなぐ資格としてCISAを活用したい場合は、未経験者でも挑戦する価値があります。まずは試験範囲と認定要件を確認し、自身の経験を5分野に照らして整理したうえで、3〜6カ月の具体的な学習計画を作成しましょう。
