最終更新日：2026年11月7日

CISM®（公認情報セキュリティマネージャー）は、ISACA®が認定する情報セキュリティマネジメントの国際資格です。情報セキュリティ戦略の策定、リスク管理、組織体制の整備、インシデント管理など、組織全体の情報を守るための知識と実務経験を認定します。

CISM®の取得を検討するときは、試験の難易度や費用に加え、資格認定に必要な実務経験も確認することが大切です。試験は実務経験の要件を満たす前でも受験できますが、合格しただけでCISM®として認定されるわけではありません。

この記事では、CISM®の試験概要、難易度、勉強方法・勉強時間、費用、認定要件を解説します。2026年11月3日から適用された試験範囲の改訂内容や、CISA®・CISSPとの違いも紹介します。

CISM®は、Certified Information Security Managerの略称で、日本語では「公認情報セキュリティマネージャー」と呼ばれます。

特徴は、情報セキュリティを経営目標と結びつけ、組織として管理・運営する力を重視していることです。技術的な対策への理解に加え、対策の優先順位、予算や人員の配分、経営層への報告など、マネジメントの視点が求められます。

学習領域は、情報セキュリティガバナンス、情報セキュリティリスクマネジメント、情報セキュリティプログラム、インシデント管理の4つです。

CISM®は、情報セキュリティ部門の管理職や責任者、CISO（最高情報セキュリティ責任者）を目指す人に加え、技術・監査・IT企画などの専門性を、組織全体のセキュリティ管理へと広げたい人にも適した資格です。

例えば、次のような業務に携わる人にとっても、CISM®の学習は自身の専門性を広げる選択肢になります。

管理職に就いているかどうかにかかわらず、担当領域の知識を経営や組織運営につなげたい人にとって、学ぶ意義のある資格といえるでしょう。

出典：アビタス「CISM®試験対策講座」、アビタス「試験概要・認定制度」、アビタス「講座・教材」

CISM®試験は、150問を4時間で解答するコンピューター試験です。日本語でも受験できます。

試験結果には、正答数を共通の尺度に換算した「スケールドスコア」が用いられます。合格基準の450点は、単純な正答率を示す数字ではありません。「450÷800の正答率で合格できる」とは判断しないようにしましょう。

オンライン受験を選ぶ場合は、使用するパソコンや通信環境などが受験要件に適合するか、事前に確認してください。

出典：アビタス「試験概要・認定制度」、ISACA「CISM Certification」、ISACA「Exam Candidate Guide」

CISM®は、ISACA会員かどうかによって受験料と資格維持費用が異なります。

ISACAへの入会は任意です。会員として受験する場合は、受験料に加えてISACAの会費や支部会費も考慮し、総額で比較しましょう。ISACA会費とCISM®の資格維持費用は別の費用です。

上記には、教材費や講座受講料、継続教育の活動費などは含まれません。また、複数のISACA認定資格を保有する場合、資格維持費用が異なることがあります。日本円の支払額は為替レートや決済条件によって変わるため、申し込み時に確認してください。

出典：アビタス「試験概要・認定制度」、ISACA「資格取得・維持にかかる費用」

CISM®試験は、2026年11月3日から改訂後の出題範囲が適用されています。4つのドメインは維持されていますが、一部の出題比率と内容が変更されました。

今回の改訂では、情報セキュリティ戦略とプログラム開発がより重視されています。また、企業全体の仕組みや構造を扱う「エンタープライズアーキテクチャ」と、セキュリティの設計を扱う「情報セキュリティアーキテクチャ」が新たな出題テーマに加わりました。

これから学習する場合は、教材が改訂後の試験範囲に対応しているか確認しましょう。出題比率の高い領域に学習時間を配分しつつ、4領域を横断して理解することが大切です。

出典：ISACA「CISM Exam Content Outline」、ISACA「2026年のCISM試験範囲改訂について」

CISM®の難易度は、情報セキュリティの知識に加え、マネジメントの考え方をどの程度理解しているかによって変わります。

CISM®試験の合格率は公表されていません。そのため、合格率の推測から難易度を断定することは避け、出題範囲と自身の経験を照らし合わせて判断するとよいでしょう。

CISM®では、セキュリティ対策を組織の目標やリスクと結びつけて考える必要があります。

学習では、「どの対策が技術的に有効か」に加え、「事業への影響を踏まえて何を優先するか」「誰が判断し、責任を持つか」といった視点を意識しましょう。

技術分野に強みがある人も、ガバナンスや投資判断、経営報告の考え方を補うことが重要です。

試験はガバナンスからインシデント管理までを扱うため、日常業務で担当していない領域も学習する必要があります。

また、150問を4時間で解答するため、知識の習得とあわせて時間配分の練習も欠かせません。問題演習では、正解したかどうかに加え、選択肢を選んだ理由まで確認すると理解を深めやすくなります。

出典：アビタス「試験概要・認定制度」

CISM®として認定されるには、試験合格に加えて、実務経験などの要件を満たして認定申請を行う必要があります。

所定の資格や学位、職務経験などによって、最大2年間の実務経験が免除される制度もあります。ただし、4ドメイン中3ドメインにおける最低3年間の情報セキュリティマネジメント経験は必要です。免除の適用条件や必要書類は、申請時の規定を確認してください。

実務経験が不足していても、先に試験を受けることは可能です。試験合格日から5年以内に認定申請できるよう、受験前に自身の経験を整理しておきましょう。

出典：アビタス「試験概要・認定制度」、ISACA「How to get CISM certified」

CISM®の学習では、試験範囲に対応した教材を使い、知識の理解と問題演習を組み合わせることが基本です。

CISM®合格に必要な総勉強時間を、一律に示すことはできません。情報セキュリティやリスク管理の実務経験、関連資格の学習経験などによって、準備に必要な時間は変わります。

まずは4つの出題領域を確認し、問題演習を通じて苦手分野を把握しましょう。そのうえで、教材を読む時間、問題を解く時間、間違えた内容を復習する時間を確保します。

なお、アビタスのCISM講座は、全9回・計22.5時間の講義を約3カ月で行うプログラムと案内されています。これは講義の時間・期間であり、予習や復習、問題演習を含む総勉強時間とは異なります。

出典：アビタス「講座・教材」

ISACAは、CISM®のレビューマニュアルやQAE（問題集・解説）などの学習教材を提供しています。

教材を選ぶ際は、対応する試験範囲、言語、利用形式を確認してください。特に2026年11月以降の受験では、改訂後の内容に対応した教材を選ぶことが重要です。

出典：ISACA「CISM Certification」

問題演習では、解答を暗記するだけでなく、正解の理由と、ほかの選択肢が適切でない理由を確認しましょう。

理解が曖昧な論点は教材に戻って整理し、別の問題でも同じ考え方を使えるか確かめます。試験が近づいたら、時間を計って演習し、最後まで解答できるペースも確認してください。

独学は、自分のペースで学習を進めたい人の選択肢になります。教材の理解や学習計画の管理に不安がある場合は、試験対策講座の活用も検討するとよいでしょう。

アビタスのCISM講座では、ISACA公式の日本語教材に加え、情報セキュリティマネジメント基礎講座、各ドメインの講義、直前対策講座、質問教室を組み合わせた学習プログラムが案内されています。

出典：アビタス「講座・教材」

生成AIの業務利用やクラウドサービスの活用が広がるなか、企業には、利便性と情報保護を両立する仕組みづくりが求められています。IPAの「情報セキュリティ10大脅威 2026」組織編でも、ランサム攻撃、サプライチェーンや委託先を狙った攻撃、AIの利用をめぐるサイバーリスクが上位に挙げられています。

サイバー攻撃や不適切な情報の取り扱いによって個人情報・機密情報が流出すると、事業の停止や顧客対応、取引先との信頼関係など、影響が組織全体に及ぶおそれがあります。被害を防ぎ、発生時の影響を抑えるためには、技術的な対策とあわせて、情報の取り扱いルール、責任分担、従業員教育、委託先の管理、インシデント対応体制を整えることが重要です。

こうした背景から、情報セキュリティを経営課題として捉え、関係部門と連携して対策を進める人材の役割が重要になっています。CISM®の学習・取得は、そのための知識を体系的に身につけ、専門性を示す手段の一つになります。

出典：IPA「情報セキュリティ10大脅威 2026」、IPA「AI利用者のためのセキュリティ豆知識」

CISM®は、試験で問われる知識と所定の実務経験を備えていることを示す資格です。情報セキュリティの管理・運営に関する専門性を、社内外に伝える手段になります。

ただし、資格取得によって採用や昇進、昇給が保証されるわけではありません。自身の実務経験や成果とあわせて説明することが大切です。

CISM®の学習を通じて、セキュリティ戦略、リスクへの対応、組織体制の整備、インシデント管理を体系的に整理できます。

これらは、対策の優先順位を検討したり、経営層や関連部門と認識を合わせたりする際に役立つ知識です。学習内容を担当業務に結びつけることで、実務への応用を図れます。

出典：アビタス「CISM®試験対策講座」

経済産業省およびIPAの公開情報では、CISM®は、サプライチェーンのセキュリティ対策を評価する「SCS評価制度」における、SCSセキュリティ専門家の資格要件の一つに挙げられています。

専門家として活動するには、資格の保有に加えて、所定の研修受講と制度運営機関への登録が必要です。CISM®を取得するだけで、自動的に専門家として登録されるわけではありません。

出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」、IPA「SCS評価制度の詳細情報」

情報セキュリティに関係する資格には、CISM®のほかにも、監査、技術、マネジメントシステムの審査など、それぞれの専門領域に重点を置いた資格があります。

CISM®を含む次の資格は、SCS評価制度におけるSCSセキュリティ専門家の資格要件にも挙げられています。ただし、専門家として活動するには、資格の保有に加えて所定の研修受講と制度運営機関への登録が必要です。

出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」、IPA「SCS評価制度の詳細情報」

比較表は横にスクロールしてご覧いただけます。

※学習時間の数値は、提供された比較資料に基づく参考目安であり、各資格の認定団体が定めた標準時間ではありません。前提知識・実務経験・学習方法によって異なり、資格認定に必要な実務経験の期間は含みません。

※CAISの監査人と主任監査人は異なる資格区分です。試験・審査の一部に免除や代替制度が適用される場合があります。

学習時間の数値の出典：比較資料「SCS資格比較」（参考資料）。

出典：ISACA「CISA Exam Content Outline」、ISACA「CISM Exam Content Outline」、ISACA「Exam Candidate Guide」、JASA「監査人資格の取得について」、JASA「監査経験確認試験」、IPA「情報処理安全確保支援士試験」、ISC2「CISSP認定試験」、JRCA「ISMS審査員」、IRCA「ISMS審査員スキーム」

組織のセキュリティ戦略や管理体制を構築・運営する力を高めたい場合は、CISM®が選択肢になります。IT監査を軸に専門性を深めるならCISA®、情報セキュリティ監査の実践力を高めるならCAISが候補になります。

情報処理安全確保支援士は、技術面と管理面から企業のセキュリティ対策を支援する国家資格です。CISSPは、セキュリティの技術とマネジメントを幅広く扱います。ISO/IEC 27001主任審査員は、規格に基づいてISMSを審査する専門性に重点があります。

これらの資格には重なる領域もあります。例えば、CISA®保有者やIT監査従事者がCISM®を学ぶことで、監査で評価する管理体制について、運営側の意思決定への理解を深めることも考えられます。資格の知名度や難易度だけでなく、現在の担当業務と今後担いたい役割を踏まえて選びましょう。

CISM®の認定後は、資格維持費用の支払いに加え、CPE（継続専門教育）の取得・報告などが必要です。

CPEは、毎年20時間以上、3年間の報告期間で合計120時間以上が求められます。毎年の最低時間と、3年間の合計時間の両方を満たす必要があります。

また、2027年1月1日から適用されるCPE方針では、3年間で必要な120CPEのうち、少なくとも90CPEを資格の出題領域に関連する活動で取得することが求められます。残りの最大30CPEは、リーダーシップなどの専門能力開発活動にも充当できます。

資格取得時には、受験までの計画に加え、認定後も学びを続けるための時間と費用を見込んでおきましょう。

出典：ISACA「Maintain CISM Certification」、ISACA「CPE Policy Changes for 2027」

はい、日本語で受験できます。申し込み時に、受験言語と最新の試験条件を確認してください。

はい、認定に必要な実務経験を満たす前でも受験できます。ただし、CISM®の認定には所定の実務経験と認定申請が必要です。申請期限は試験合格日から5年以内です。

出典：アビタス「試験概要・認定制度」、ISACA「How to get CISM certified」

CISM®試験の合格率は公表されていません。出題領域と自身の知識・経験を照らし合わせ、必要な学習を検討しましょう。

公式教材などを用いて、独学で合格を目指すことは可能です。学習計画の管理やマネジメントの考え方の理解に不安がある場合は、講座の利用も選択肢になります。

講義時間と総勉強時間は異なります。アビタスが案内する計22.5時間は講義の時間です。理解を定着させるために、予習・復習や問題演習の時間も確保しましょう。

出典：アビタス「講座・教材」

CISM®は、情報セキュリティを経営や組織運営の視点で捉え、専門性を高めたい人に適した国際資格です。取得を目指す際は、改訂後の試験範囲、認定に必要な実務経験、費用を確認し、自分に合った学習方法を選びましょう。

アビタスのCISM試験対策講座は、2026年12月開講予定です。ISACA公式の日本語レビューマニュアル・日本語QAEのオンライン版と、Zoomライブ講義を組み合わせたプログラムが案内されています。

全9回のプログラムには、基礎講座、各ドメインの講義、直前対策講座、質問教室が含まれます。独学での学習に不安がある人や、講師の解説を通じて理解を深めたい人は、講座内容を確認してみてください。

学習の進め方や講座の詳細を知りたい方は、無料説明会や資料請求をご活用ください。

出典：アビタス「CISM®試験対策講座」、アビタス「講座・教材」

1. アビタス「CISM®試験対策講座」情報確認日：2026年11月06日
2. アビタス「試験概要・認定制度」情報確認日：2026年11月06日
3. アビタス「講座・教材」情報確認日：2026年11月06日
4. ISACA「CISM Certification」情報確認日：2026年11月06日
5. ISACA「Exam Candidate Guide」情報確認日：2026年11月07日
6. ISACA「資格取得・維持にかかる費用」情報確認日：2026年11月06日
7. ISACA「CISM Exam Content Outline」情報確認日：2026年11月07日
8. ISACA「2026年のCISM試験範囲改訂について」情報確認日：2026年11月06日
9. ISACA「How to get CISM certified」情報確認日：2026年11月06日
10. IPA「情報セキュリティ10大脅威 2026」情報確認日：2026年11月07日
11. IPA「AI利用者のためのセキュリティ豆知識」情報確認日：2026年11月07日
12. 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」情報確認日：2026年11月07日
13. IPA「SCS評価制度の詳細情報」情報確認日：2026年11月07日
14. ISACA「CISA Exam Content Outline」情報確認日：2026年11月07日
15. JASA「監査人資格の取得について」情報確認日：2026年11月07日
16. JASA「監査経験確認試験」情報確認日：2026年11月07日
17. IPA「情報処理安全確保支援士試験」情報確認日：2026年11月07日
18. ISC2「CISSP認定試験」情報確認日：2026年11月07日
19. JRCA「ISMS審査員」情報確認日：2026年11月07日
20. IRCA「ISMS審査員スキーム」情報確認日：2026年11月07日
21. ISACA「Maintain CISM Certification」情報確認日：2026年11月06日
22. ISACA「CPE Policy Changes for 2027」情報確認日：2026年11月06日
23. 比較資料「SCS資格比較」（学習時間の参考資料）数値は認定団体の公式標準時間ではありません。

更新履歴：2026年11月7日、2026年11月改訂の試験範囲、受験・認定費用、認定・維持要件を反映。対象職種、社会的背景、関連資格の比較、目次・出典を整備しました。