CISA(公認情報システム監査人)について

CISA(公認情報システム監査人)の概要

CISA（Certified Information Systems Auditor／公認情報システム監査人）は、情報システムの監査・コントロール・セキュリティに関する専門資格で、IT監査分野の世界標準とされる国際資格です。米国のISACAが認定し、日本ではISACA東京支部が情報提供などを行っています。企業の情報システムが、適切に管理・運用され、リスクに対応できているかを評価・保証する「IT監査」の専門家であることを証明します。CISSP・CISMと並ぶ、最難関クラスの国際IT資格の一つです。

※ IT監査（情報システム監査）とは、企業の情報システムやその管理体制が、適切で安全か、リスクに備えられているかを、独立した立場で評価・検証することです。経営の信頼性を支える重要な役割です。

「監査人」の視点を持つ資格

CISAの特徴は、「システムをどう作るか・守るか」ではなく、「システムや管理体制が適切かを評価・保証する」という監査人の視点に立つことです。情報システムの企画から運用、セキュリティまでを、第三者の目でチェックする能力が問われます。企業のガバナンスやリスク管理が重視される中、こうした監査の専門家の価値はますます高まっています。

認定には5年の実務経験が必要

CISA試験そのものは、前提条件なく誰でも受験できます。ただし「認定」を受けるには、情報システムの監査・コントロール・セキュリティの分野で、最低5年の実務経験が必要です（学歴や他の経験で、最大3年まで代替できます）。試験合格と実務経験の両方を満たすことで、CISAとして正式に認定されます。知識と経験を兼ね備えた専門家であることの証です。

基本情報の早見表

試験内容を詳しく ― 5ドメイン

CISAは、IT監査に必要な知識を5つのドメイン（分野）から出題します。2024年8月の改定後の構成は、次のとおりです。

監査プロセスとガバナンス

「情報システム監査のプロセス」（約18%）と「ITのガバナンスとマネジメント」（約18%）では、監査をどう計画・実施するか、ITが組織の戦略に沿って適切に管理されているかを評価する知識を扱います。監査の進め方と、組織のIT統制の土台となる、重要な分野です。

システムの調達・開発・運用

「情報システムの調達・開発・導入」（約12%）と「情報システムの運用とビジネスレジリエンス」（約26%）では、システムが適切に開発・導入されているか、安定して運用され、障害や災害から復旧できる備えがあるかを評価します。システムのライフサイクル全体を監査する視点が問われます。

情報資産の保護

「情報資産の保護」（約26%）は、情報セキュリティに関わる分野で、配点も大きい重要パートです。情報がきちんと守られているか、アクセス管理や対策が適切かを監査の視点で評価します。この5ドメインをバランスよく理解することが、CISA合格の鍵となります。

難易度・学習時間の目安

CISAは、IT監査分野の最難関クラスとされる国際資格です。技術そのものより、「適切に管理・統制されているか」を評価する監査人の視点が求められ、独特の考え方に慣れる必要があります。日本語で受験できますが、用語や概念は専門的です。学習時間の目安は、最短でも250時間程度、学習期間は6か月〜1年とされます（非公式）。実務経験があると、理解が進みやすい試験です。

取得後に活かせる仕事・関連する職種

IT監査人・内部監査

企業の内部監査部門で、情報システムの監査を担当するIT監査人として活躍できます。システムやIT統制が適切かを評価し、経営に報告する重要な役割です。CISAは、その専門性を国際水準で証明する資格として、監査部門で高く評価されます。

外部監査・コンサルティング

監査法人やコンサルティング会社で、クライアントの情報システム監査や保証業務、ITガバナンスの支援に携わる際にも役立ちます。国際的に認知された資格のため、信頼性の証として、専門家としての価値を高めます。ITコンサルタントのキャリアにも活きます。

ITガバナンス・GRC

ITガバナンスや、GRC（ガバナンス・リスク・コンプライアンス）の分野でも、CISAの知識が活きます。企業がITを適切に管理し、リスクに備える体制づくりを担う立場として、監査の視点を持つ人材は重宝されます。経営とITをつなぐ、上流の仕事に関われます。

他の資格との違い・位置づけ

CISSPとの違い

同じ国際資格のCISSPと比較されることが多くあります。CISSPが「セキュリティを実装・運用・管理する（どう守るか）」を広く扱うのに対し、CISAは「情報システムが適切かを監査・保証する（適切か）」に特化しています。守る側がCISSP、評価・監査する側がCISA、という違いです。両方を持つことで、セキュリティと監査の両視点を備えた、希少な人材になれます。

システム監査技術者（国家資格）との違い

日本には、国家資格の「システム監査技術者」（IPA）もあります。こちらは論述式を含み、合格率15%前後と低い難関国家資格です。CISAは国際資格で、選択式・国際的な通用性が特徴です。国内で権威ある国家資格を求めるならシステム監査技術者、グローバルに通用する資格を求めるならCISA、という棲み分けになります。両者は、IT監査の専門性を異なる角度から証明します。

※ CISAも取得後は、継続教育（CPE）による資格維持が必要です。IT監査の知識を常に最新に保つことで、資格の信頼性が担保されています。

誕生の背景・関連知識

企業統治とIT監査の重要性

企業活動が情報システムに大きく依存する中、そのシステムが適切に管理され、リスクに備えられているかを客観的に評価する「IT監査」の重要性が高まりました。CISAは、こうしたIT監査の専門家を、国際的に共通の基準で認定する資格として確立されました。企業のガバナンスを支える、信頼の国際資格です。

「評価する」専門性の価値

システムを作る・守る人材は多くいても、それを第三者の目で「評価・監査する」専門家は限られています。CISAは、その希少な専門性を証明する資格です。不正やリスクを未然に防ぎ、システムの信頼性を保証する——縁の下から企業の健全性を支える、重要な役割を担います。

どんな人が、どんな目的で取得しているのか

監査部門で働く人

内部監査や、監査法人で情報システム監査に携わる人が、専門性を国際資格で証明するために取得します。実務経験を前提とするため、監査の現場で経験を積んだ人が目指すことの多い資格です。

IT・セキュリティ部門の人

IT部門やセキュリティ部門の人が、監査・ガバナンスの視点を身につけ、キャリアを広げるために取得します。守る立場に監査の視点が加わることで、より上流の管理業務に対応できるようになります。

グローバルに活躍したい人

外資系企業や、国際的な業務に携わる人が、世界で通用する資格として取得します。国際標準のIT監査資格は、グローバルなキャリアにおいて確かな強みになります。

豆知識：「守る」より一歩引いて「見極める」

監査人は「第三者の目」

システムを作る人や守る人は、どうしても当事者の視点になりがちです。CISAが体現するのは、一歩引いて「本当に適切か」を見極める第三者の目です。この客観的な視点があるからこそ、組織は自らの弱点に気づき、改善できます。縁の下で組織の健全性を支える、知的でやりがいのある専門性です。

世界15万人超の監査ネットワーク

CISAの認定保持者は、世界で15万人を超えるとされます。IT監査というニッチながら重要な分野で、世界中の専門家とつながれるのも、この国際資格の魅力です。グローバルな知見やネットワークを得られることは、キャリアにおいて大きな財産になります。

まとめ ― IT監査の世界標準資格へ

こんな方にとくにおすすめ

• 内部監査・監査法人で情報システム監査に携わる方
• IT・セキュリティ部門から監査・ガバナンスへ広げたい方
• ITコンサルタント・GRC分野で活躍したい方
• 外資系・グローバルなキャリアを目指す方

取得に向けた第一歩

まずはISACA（東京支部）の公式情報で、5ドメインの出題範囲や、認定に必要な実務経験の要件を確認しましょう。試験は通年CBTで、日本語で受験できます。監査人の視点に慣れることが重要なので、公式の教材や問題集で、用語と考え方を体系的に身につけるのが王道です。実務経験は試験合格後に申請するため、まず試験合格を目指す道もあります。

公式サイト：CISA（ISACA東京支部）