認定ホワイトハッカー（CEH）とは?
概要・難易度・攻撃側視点で学ぶセキュリティ資格を解説
認定ホワイトハッカー（CEH）の概要
認定ホワイトハッカー（CEH：Certified Ethical Hacker）は、米国のEC-Council（International Council of E-Commerce Consultants）が認定する、攻撃者の視点からサイバーセキュリティを学ぶ民間資格です。近年はAI技術を活用した攻撃・防御手法まで出題範囲に組み込んだ最新版として「CEH AI」の名称でリブランドされています。
※ ホワイトハッカーとは、攻撃者と同じ知識・技術を使いながらも、企業や組織の許可を得たうえでシステムの弱点を見つけ、防御に役立てる技術者のことです。
試験の出題範囲と形式
CEHの中核となる知識試験は現行バージョンのv13（試験コード312-50）で、多肢選択式125問を4時間で解く形式です。合格基準は出題セットによって変動し、おおむね60〜85%の範囲で設定されます。会場・オンラインいずれもCBT（コンピューターを使った試験）方式で実施されます。
※ CBTとは、Computer Based Testingの略で、紙ではなくパソコン画面上で問題を読み、選択肢を選んで解答する試験方式のことです。
受験資格・対象者
CEHの受験資格には、大きく分けて2つの入口があります。ひとつは、EC-Council公認のトレーニングコースを受講するルートで、この場合は条件なしで知識試験を受験できます。もうひとつは、公認トレーニングを受講せずに独学などで知識を身につけた人向けのルートで、こちらは情報セキュリティ実務経験2年以上を証明したうえで、100米ドルの申請料を支払い、経歴審査（Eligibility Application）を通過する必要があります。
※ Eligibility Applicationとは、公認トレーニングを受けずに受験したい人が、自分の実務経験や学習履歴をEC-Councilに申請し、受験資格があるかどうかの審査を受ける手続きのことです。
知識試験と実技試験の二段構え
CEHには、多肢選択式の知識試験のほかに、任意で挑戦できる実技試験「CEH Practical」が用意されています。これは仮想ネットワーク環境を使い、実際の攻撃手法を模した20の実践課題を6時間かけて解く試験で、合格基準は70%です。知識試験と実技試験の両方に合格すると、上位認定である「CEH Master」の称号が与えられます。
難易度・学習時間の目安
CEHはネットワーク・OS・Webアプリケーション・マルウェア・暗号技術など非常に幅広い分野から出題されるため、未経験からいきなり合格を狙うのは簡単ではありません。ITインフラやセキュリティ業務の実務経験がある人であれば、公認トレーニング受講と合わせて数週間〜2、3か月程度の集中学習で合格ラインに届くケースが多いようです。
独学の場合は、公式の学習教材（iLearn/公式ラーニングキット）や過去問演習に加えて、実際に手を動かして仮想環境で攻撃・防御を試す実習が理解を大きく助けます。知識だけで丸暗記しようとすると、実技寄りの設問で苦戦しやすい点には注意が必要です。
※ マルウェアとは、コンピューターウイルスやランサムウェアなど、利用者に害を与える目的で作られた悪意のあるソフトウェアの総称です。
取得後に活かせる仕事・関連する職種
ペネトレーションテスター
企業から依頼を受け、実際にシステムやネットワークへ疑似的な攻撃を仕掛けて脆弱性を洗い出す専門職です。CEHで学ぶ攻撃手法の知識は、この仕事の土台となる考え方そのものです。
セキュリティアナリスト・SOCアナリスト
企業のネットワークやシステムを監視し、不審な通信や攻撃の兆候をいち早く検知・分析する仕事です。攻撃者の手口を知っていることは、異常の見極めや原因調査のスピードに直結します。
レッドチームエンジニア
組織の防御体制を試すために、攻撃者側の立場でシナリオを組み立てて模擬攻撃を仕掛ける専門職です。CEHが扱う攻撃側の視点と手法は、こうした役割に就く際の基礎教養として広く認識されています。
※ レッドチームとは、攻撃者の立場になって組織のセキュリティ対策の穴を探すチームのことです。対して守る側は「ブルーチーム」と呼ばれます。
誕生の背景・歴史
2003年：誕生の経緯
CEHは2003年、EC-Councilによって創設されました。当時のセキュリティ教育は「どう防ぐか」に偏りがちでしたが、EC-Councilは「攻撃者の思考法・手口を知らなければ本当の意味で守ることはできない」という発想から、攻撃側の視点そのものを体系化して学ばせる資格をつくりました。この考え方は当時としては新しく、「Ethical Hacking（倫理的ハッキング）」という言葉を業界標準の用語として広めた先駆けとされています。
2000年代以降：現在への変遷
その後、CEHはバージョンを重ねるごとに出題範囲を更新し続け、クラウド、IoT、モバイルなど時代ごとの技術トレンドを取り込んできました。現行のv13では生成AIを悪用した攻撃手法や、AIを活用した防御アプローチまで扱う「CEH AI」としてリブランドされ、常に最新の脅威動向を反映する資格として位置づけられています。
※ IoTとは、Internet of Thingsの略で、家電や産業機器など様々な「モノ」がインターネットにつながる仕組みのことです。
どんな人が、どんな目的で取得しているのか
インフラ・ネットワークエンジニアからのキャリアチェンジ志望者
サーバーやネットワークの運用保守を担当してきたエンジニアが、セキュリティ分野への転身を目指してCEHを取得するケースは多く見られます。既存の技術知識に「攻撃者視点」を上乗せすることで、専門性の幅を広げる狙いがあります。
社内セキュリティ担当者・情報システム部門の社員
自社のシステムをどう守るかを考える立場の社員が、攻撃側の手口を体系的に理解する目的で受験することもあります。攻撃のパターンを知ることで、自社の脆弱性診断や社内教育に説得力を持たせられるようになります。
セキュリティコンサルタント・診断業務の従事者
すでに脆弱性診断やコンサルティング業務に携わっている人が、自分の実務知識を客観的な国際資格として証明するために取得するパターンです。海外案件や外資系企業とのやり取りで、CEHの知名度は説得材料として機能しやすいとされています。
豆知識：攻撃側視点を学ぶ資格というポジション
CompTIA PenTest+との違いがよく比較される
セキュリティ資格を検討する人がよく比較するのがCompTIAの「PenTest+」です。PenTest+は実務のペネトレーションテストの手順や、診断結果をどうレポートにまとめるかといった実務プロセスに寄せた出題傾向があるのに対し、CEHは攻撃手法そのものの網羅性と座学色の強さが特徴とされます。どちらが優れているというより、学びたい範囲の違いで選ばれる傾向があります。
知識試験だけでなく実技版も用意する二段構え設計
多くの知識偏重型資格が選択式試験だけで完結するのに対し、CEHは仮想環境で実際に手を動かす実技試験「CEH Practical」を用意し、両方に合格すると「CEH Master」の称号が得られる二段構えの設計になっています。知識と実技を両立させるこの構造は、資格が「本当に手を動かせるかどうか」まで証明しようとする姿勢の表れといえます。
資格の維持にも継続学習が求められる
CEHは合格すれば終わりではなく、資格の有効期間は合格から3年間です。更新するにはEC-Councilへの年会費80米ドルに加え、3年間で120ECE（継続教育クレジット）の取得が必要です。セキュリティの世界は技術の移り変わりが早いため、資格を維持すること自体が「学び続ける姿勢」の証明になっている点が特徴的です。
※ ECEクレジットとは、Continuing Education（継続教育）の実績を数値化したもので、セミナー参加や学習活動などを通じて積み上げていく仕組みです。
まとめ ― 攻撃を知ることが、最強の防御になる
こんな方にとくにおすすめ
- ネットワークやインフラの実務経験を、セキュリティ分野でのキャリアに広げたい方
- 攻撃者の手口を体系的に学び、自社の防御力向上に活かしたい情報システム担当者
- 国際的に通用するセキュリティ資格を足がかりに、コンサルティングや診断業務に進みたい方
- 知識だけでなく実技力も証明できる資格を目指したい方
取得に向けた第一歩
まずは、EC-Council公認トレーニングを受講して受験資格を得るか、実務経験2年以上を証明してEligibility Applicationに申請するか、自分がどちらのルートを取れるかを確認するところから始めましょう。トレーニング受講は費用がかかる分、体系的に学べて受験資格も同時に得られるため、初学者にはこちらのルートが取り組みやすいとされています。すでに実務経験がある方は、経歴審査ルートで受験料を抑えつつ独学で挑む選択肢も現実的です。