CISM（公認情報セキュリティマネージャー）とは?
概要・難易度・CISOへの道のりを解説
CISM（公認情報セキュリティマネージャー）の概要
CISM（Certified Information Security Manager）は、情報システムの監査・統制に関する国際団体ISACAが認定する、情報セキュリティの「マネジメント」に特化した国際資格です。日本語では「公認情報セキュリティマネージャー」と訳されています。
※ ISACAとは、Information Systems Audit and Control Association（情報システムコントロール協会）の略称で、ITガバナンスやセキュリティ監査分野の国際的な非営利団体です。
技術者向けの資格が「どう守るか」という実装寄りの知識を問うのに対し、CISMは「組織としてどう情報セキュリティを統治・運用するか」という管理者目線の知識を問う点が最大の特徴です。情報セキュリティ管理職やCISO（最高情報セキュリティ責任者）候補向けの資格として、世界的に高い認知度を持っています。
試験の出題範囲と形式
CISM試験は150問・4択・4時間のCBT（Computer Based Testing）方式で実施されます。出題は次の4ドメインで構成されています。
- 情報セキュリティガバナンス（17%）
- 情報リスク管理（20%）
- 情報セキュリティプログラムの開発と管理（33%）
- 情報セキュリティインシデント管理（30%）
「情報セキュリティプログラムの開発と管理」と「情報セキュリティインシデント管理」の2分野だけで6割以上を占めており、技術的な脆弱性の知識よりも、組織全体のセキュリティ体制をどう設計し、インシデント発生時にどう指揮するかという実務判断力が重視されます。
※ CBT方式とは、紙の答案用紙ではなくパソコン画面上で解答する試験方式のことです。CISMではPSIの公式試験会場のほか、自宅からオンライン監督（リモート）で受験することも選べます。
受験資格・認定登録の条件
試験そのものは誰でも受験できますが、合格後に「CISM」の資格名を正式に名乗るための認定登録には、情報セキュリティ管理に関する実務経験が5年以上必要です。しかもそのうち3年間は管理業務に従事し、CISMが定める4ドメインのうち3分野以上での実務経験があることが条件になります。
ただし、CISA（公認情報システム監査人）などの関連資格保有や、情報セキュリティ関連の学位・実務経験によって、実務経験年数の一部を代替できる免除制度も用意されています。合格してすぐに資格を名乗れるわけではない点は、受験前に必ず押さえておきたいポイントです。
他の情報セキュリティ資格との違い
同じISACAが発行するCISA（公認情報システム監査人）とは親和性が高く、両方を取得して監査・統制と管理の両面をカバーするキャリアを描く人も少なくありません。一方、ISC2が発行するCISSPは技術とマネジメントの両方を広くカバーする設計になっており、CISMのように「マネジメント」へ振り切った構成とは棲み分けが異なります。どちらも情報セキュリティ分野の主要資格ですが、目指すキャリアの方向性によって選ぶべき資格が変わってきます。
難易度・学習時間の目安
CISMは知識問題というより「管理者としてどう判断するか」を問う設問が多く、実務経験があっても独学だけでは得点が伸びにくい試験です。目安としては150〜250時間程度の学習時間が必要とされ、ISACA公式のレビューマニュアルや問題集を使った反復学習が一般的な対策方法です。
※ スケールドスコアとは、素点をそのまま使わず200〜800点の範囲に換算した得点のことです。CISMの合格基準は450点以上とされており、単純な正答率とは異なる仕組みで合否が決まります。
取得後に活かせる仕事・関連する職種
CISO・情報セキュリティ管理職
CISMは組織全体の情報セキュリティ方針を統括する立場、いわゆるCISO（最高情報セキュリティ責任者）やセキュリティ部門の管理職を目指す人にとって、国際的に通用する裏付けとなる資格です。経営層に対してセキュリティリスクを説明する際にも、CISM保有者としての説得力が生きてきます。
ITリスクマネージャー・コンサルタント
企業の情報セキュリティリスクを評価し、対策の優先順位を助言する立場でもCISMの知識体系が役立ちます。特に「情報リスク管理」ドメインで培う視点は、コンサルティングファームや監査法人でのリスクアセスメント業務と直結しています。
インシデント対応・危機管理責任者
試験の3割を占める「情報セキュリティインシデント管理」は、サイバー攻撃や情報漏えいが発生した際の初動対応・組織内連携・再発防止策の立案に直結する分野です。CSIRT（インシデント対応チーム）の責任者やセキュリティ運用の統括者としてのキャリアにもつながります。
誕生の背景・歴史
2002年：誕生の経緯
CISMは2002年にISACAによって創設され、2003年度から試験が開始されました。2000年代初頭は企業のIT依存が急速に高まる一方で、情報セキュリティ事故やコンプライアンス違反が経営リスクとして認識され始めた時期でした。それまでの資格は技術者向けのものが中心で、「経営とセキュリティをつなぐ管理者」を認定する国際資格が存在していなかったことが、CISM創設の背景にあります。
2000年代以降：現在への変遷
ISACAはすでにCISA（公認情報システム監査人）を1978年から運営しており、監査の知見を土台にCISMを設計しました。その後、クラウド化やサイバー攻撃の高度化、GDPRをはじめとする各国のデータ保護規制の強化を背景に、技術知識だけでなく組織統治の視点を持つセキュリティ管理者への需要はますます高まっています。現在ではCISMは世界数十万人規模の取得者を持つ資格に成長し、日本国内でもISACA東京支部が試験運営や普及活動を担っています。
※ GDPRとは、EU（欧州連合）が定める個人データ保護に関する規則で、違反すると高額な制裁金が科される可能性があることから、企業の情報セキュリティ管理体制強化を後押しした規制の一つです。
どんな人が、どんな目的で取得しているのか
セキュリティエンジニアから管理職へキャリアアップしたい人
現場で技術的な対策を担ってきたエンジニアが、次のキャリアとしてマネジメント側に進みたいときにCISMを選ぶケースは多く見られます。技術知識に加えて組織運営・リスク管理の視点を体系的に学べるため、プレイヤーからマネージャーへの橋渡しとして機能します。
すでにCISAを持つ監査・コンプライアンス担当者
CISAで培った監査・統制の知識をベースに、より実務的なセキュリティマネジメントの領域までカバーしたいという理由でCISMに挑戦する人も少なくありません。ISACAの資格同士は出題傾向や思想の共通点が多く、ダブルライセンスとして相性が良いとされています。
経営層への説明責任を求められる立場の人
情報システム部門の責任者やリスク管理部門の担当者など、経営会議でセキュリティ投資の必要性を説明する機会が多い立場の人にとって、CISMは「国際的に認められた根拠」として活用できます。社内での発言力を補強する目的で取得を目指すケースもあります。
豆知識:合格しても「まだ名乗れない」資格
試験合格と資格認定は別物という珍しい制度
CISMには他の多くの資格試験にはない大きな特徴があります。それは「試験に合格しただけではCISMを名乗れない」という点です。認定登録には情報セキュリティ管理の実務経験5年以上、うち3年は管理業務、さらにCISMの4ドメインのうち3分野での経験が必要とされており、試験自体は誰でも受けられる一方で、正式な資格保有者になるには高いハードルが待ち構えています。合格から数年遅れて認定登録するケースも珍しくなく、「試験合格」と「資格取得」の間にタイムラグが生じる二段階構造の資格といえます。
登録後12か月で最大4回受験できるユニークな仕組み
CISM試験はCBT方式のため、受験の申し込みをすると12か月間の受験可能期間が与えられ、その間であれば最大4回まで受験できる仕組みになっています。1回の受験で結果が出なくても、期間内であれば再挑戦のハードルが比較的低く設計されている点は、年1〜2回しか実施されない紙の試験に慣れている人にとっては新鮮に映るかもしれません。試験言語も英語・日本語・韓国語・スペイン語など複数から選択でき、グローバルに展開されている資格ならではの柔軟さがあります。
まとめ ― マネジメントで戦う情報セキュリティのプロへ
こんな方にとくにおすすめ
- セキュリティエンジニアから管理職へキャリアアップしたい方
- CISOやセキュリティ部門責任者を目指している方
- すでにCISAを保有し、監査だけでなくマネジメント領域も強化したい方
- 経営層にセキュリティリスクを説明する機会が多い方
取得に向けた第一歩
まずはISACA公式のレビューマニュアルで4ドメインの全体像をつかみ、過去問形式の問題集で「管理者としての判断」を問う出題形式に慣れることから始めるのがおすすめです。あわせて、自分の実務経験が認定登録の要件（5年以上、うち3年は管理業務）を満たせそうかを早めに確認しておくと、試験合格後の手続きがスムーズに進みます。関連資格としてはCISA、上位資格としてはCGEIT（ガバナンス）やCRISC（リスク）もISACAが発行しており、キャリアの方向性に応じて段階的に取得を検討するのも一つの道です。
公式サイト：CISM｜ISACA東京支部