SSCP（Systems Security Certified Practitioner）について

SSCPの概要

SSCP（Systems Security Certified Practitioner）は、情報セキュリティの国際的な非営利団体であるISC2（旧(ISC)²）が認定する民間資格です。ネットワークやシステムの運用・監視・防御といった、現場のセキュリティ実務を担う人材向けに設計されています。

ISC2というと、セキュリティ資格の最高峰として知られるCISSPを思い浮かべる方も多いかもしれません。SSCPはそのCISSPと同じ団体が運営する資格でありながら、対象とする層がはっきり異なります。CISSPがセキュリティの設計・管理を担う上級管理職やアーキテクト向けであるのに対し、SSCPは日々の運用・実装を担うシステム管理者やネットワーク管理者といった、いわば「現場のオペレーター」向けの実践資格です。

※ ISC2とは、世界最大級の会員数を持つ情報セキュリティ専門家のための非営利団体で、CISSPやSSCPなど複数の国際資格を認定・運営しています。

試験の出題範囲と形式

SSCPの試験は、ISC2が定める7つの知識領域（CBK：Common Body of Knowledge）から出題されます。アクセス制御、セキュリティ運用と管理、リスク特定・監視・分析、インシデント対応と復旧、暗号技術、ネットワークとシステムのセキュリティ、そしてソフトウェアとアプリケーションのセキュリティという、幅広い実務領域をカバーしています。

試験は125問の四者択一形式（日本語と英語の併記）で、制限時間は3時間、コンピューターを使ったCBT方式で実施されます。ただし2025年10月からは、出題数100〜125問・試験時間2時間のCAT（コンピュータ適応型テスト）方式へ移行する見込みという情報もあります。CAT方式では受験者の解答状況に応じて次の問題の難易度が変わるため、対策の仕方も変化する可能性があります。受験を検討する際は、必ず受験時点の最新の試験要項を公式サイトで確認してください。

※ CAT（Computerized Adaptive Testing）とは、受験者の解答の正誤に応じて次に出題する問題の難易度をリアルタイムで調整する試験方式のことです。少ない問題数で実力を測定できるのが特徴とされています。

受験資格・対象者

SSCPを受験するには、原則としてCBKの7ドメインのうち少なくとも1分野で1年以上の実務経験が必要とされています。ただし、この資格には他の資格にはあまり見られないユニークな救済制度が用意されています。

実務経験が要件に達していない場合でも、そのまま試験を受けて合格することが可能です。この場合、合格者は正式な「SSCP」ではなく、「ISC2準会員（アソシエイト）」として登録されます。その後、必要な実務経験を積んで要件を満たした段階で申請すれば、正式にSSCP認定へ移行できる仕組みになっています。つまり、経験がまだ浅い段階でも先に知識を証明し、キャリアを歩みながら正式な資格取得を目指せるという、学習と実務経験を両立させたい人にとって心強い制度です。

※ ISC2準会員（アソシエイト・オブ・ISC2）とは、試験には合格したものの実務経験要件を満たしていない人に与えられるステータスです。一定期間内に必要な実務経験を積んで申請することで、正式なSSCP認定者へと昇格できます。

CISSPとの違い・立ち位置

CISSPは5年以上の実務経験が必要な上位資格で、セキュリティ全体の設計・統括・意思決定を担うマネジメント寄りのポジションを想定しています。一方のSSCPは実務経験1年からとハードルが低く設定されており、日々の監視・運用・設定変更といった現場の実装業務にフォーカスしています。そのため、SSCPは「CISSPへの登竜門」「CISSPの下位版」として語られることも多く、キャリアの入り口としてSSCPを取得し、経験を積んでからCISSPを目指すというステップアップの道筋がよく紹介されています。

難易度・学習時間の目安

SSCPはCISSPほどの広範な経験は求められませんが、7つのドメインをバランスよく理解している必要があるため、独学の場合はある程度まとまった学習時間が必要です。ネットワークやOSの基礎知識がある人であれば、公式テキストや問題集を中心に100時間前後の学習で合格ラインに届くケースが多いとされています。逆に実務経験がほとんどない状態から挑戦する場合は、暗号技術やリスク管理など耳慣れない領域でつまずきやすいため、200時間程度を見込んでおくと安心です。

※ ドメイン（CBK）とは、ISC2が定義する知識領域の区分のことです。SSCPでは7つのドメインすべてから満遍なく出題されるため、得意分野に偏った学習では対応しきれません。

合格基準は1000点満点中700点以上とされています。100点満点のテストの感覚で「7割取れば安心」と捉えると危険で、ドメインごとの得点配分が非公開であるため、苦手分野を作らない満遍ない学習が合格への近道です。

取得後に活かせる仕事・関連する職種

セキュリティオペレーター・SOCアナリスト

SOC（セキュリティオペレーションセンター）で不正アクセスの監視やアラート対応にあたる職種では、SSCPで学ぶインシデント対応・監視の知識がそのまま実務に直結します。日々発生するログやアラートの中から本当に危険な兆候を見極める判断力を裏付ける資格として評価されます。

ネットワーク管理者・インフラエンジニア

ファイアウォールやVPN、アクセス制御の設定・運用を担当するインフラエンジニアにとって、SSCPはネットワークセキュリティの知識を体系的に持っていることの証明になります。すでに現場で経験を積んでいる人が、その知識を棚卸しして資格化する目的で取得するケースもよく見られます。

システム管理者・クラウド運用担当者

サーバーやクラウド環境のアカウント管理、パッチ適用、脆弱性対応などを担う立場でも、SSCPが扱うアクセス制御やリスク管理の知識は役立ちます。クラウド移行が進む企業では、運用担当者にセキュリティの基礎知識を求める場面が増えており、SSCPはその裏付けとして活用しやすい資格です。

誕生の背景・歴史

2001年：CISSPの下に生まれた実務者向け資格

ISC2は1990年代からCISSPを運営していましたが、CISSPは実務経験5年以上という高いハードルがあり、現場でセキュリティ業務に携わる若手・中堅の実務者を評価する資格が不足していました。そこでISC2は2001年、より現場寄りの知識を測るSSCPを創設しました。管理職やアーキテクトではなく、日々システムを守る「実行部隊」にスポットを当てた資格として誕生した点が、SSCPの成り立ちの大きな特徴です。

ISO/IEC 17024認証と国際的な地位の確立

SSCPはその後、資格認証プログラムの国際規格であるISO/IEC 17024の認証を取得し、資格としての信頼性・国際的な通用性を高めていきました。単なる民間ベンダー資格にとどまらず、第三者機関による品質保証を受けた資格であることが、企業や政府機関からの評価につながっています。

※ ISO/IEC 17024とは、人材の能力評価を行う資格認証機関に対する国際規格です。この認証を受けている資格は、審査プロセスの公正性や透明性が一定の基準を満たしていると評価されます。

どんな人が、どんな目的で取得しているのか

インフラ・ネットワーク職からセキュリティ専門職へ移りたい人

ネットワークやサーバー運用の経験を積んできたエンジニアが、次のキャリアとしてセキュリティ専門職を目指す際にSSCPを選ぶケースが多く見られます。実務で培った知識を体系立てて整理し直すことで、転職や社内異動の際にセキュリティ分野への適性を客観的にアピールできます。

実務経験がまだ浅い若手のIT担当者

実務経験1年に満たない若手であっても、前述のISC2準会員制度を使えば先に試験合格だけを済ませておくことができます。「経験を積んでから資格を取る」のではなく「知識を先に証明し、経験は追って積む」という順番を選べるため、キャリアの早い段階から自分の市場価値を示したい人に向いています。

将来的にCISSPを目指すセキュリティ担当者

いずれはCISSPのようなマネジメント寄りの上位資格を目指したいが、まずは実務レベルの知識を固めたいという人にもSSCPは選ばれています。同じISC2の体系の中でステップアップできるため、学習した知識やCPE（継続教育クレジット）の一部が今後のキャリア形成に活きやすいという安心感があります。

豆知識:国防総省のキャリアパスにも認められた実務資格

米国防総省のDoDM 8140.03に承認された資格の一つ

SSCPは、米国防総省（DoD）が定めるサイバーセキュリティ人材の職務要件規程「DoDM 8140.03」において、特定の職務に就くために承認された資格の一つに位置づけられています。国家の安全保障に関わる組織が、民間資格をキャリアパスの公式な指標として採用しているという事実は、SSCPが単なる「入門資格」にとどまらない実務的な信頼性を持っていることを物語っています。

2025年、試験方式が大きく変わる過渡期

SSCPは長年、125問・3時間の固定形式の試験として実施されてきましたが、2025年10月からはCAT方式への移行が予定されているとの情報があります。同じISC2が運営するCISSPはすでにCAT方式を採用しており、SSCPもこの流れに追随する形です。試験問題数や時間が変わることで、これまでの「じっくり全問見直す」対策から、「序盤の正答率を重視する」対策へと戦略のシフトが必要になる可能性があります。受験を予定している方は、申込み時点での最新の試験要項を必ず公式サイトで確認することをおすすめします。

資格を維持するための年会費と継続教育

SSCPの認定期間は3年で、資格を維持するには年次のAMF（Annual Maintenance Fee、年間維持費）として135米ドルの支払いに加え、3年サイクルで60CPE（継続教育クレジット）を取得する必要があります。取って終わりの資格ではなく、継続的に学び続けることが前提の資格である点は、セキュリティという変化の速い分野らしい制度設計といえます。

まとめ ― 「現場で守る人」の実力を証明する一枚の証明書

こんな方にとくにおすすめ

• ネットワークやシステム運用の実務経験を、セキュリティ分野のキャリアに転換したい人
• 実務経験がまだ浅いが、先に知識を証明してキャリアの土台を作りたい若手IT担当者
• 将来的にCISSPなど上位資格を目指すための足がかりを探している人
• SOCやインフラの現場で、監視・運用・インシデント対応の知識を体系的に整理したい人

取得に向けた第一歩

まずはISC2公式サイトでCBKの7ドメインの範囲を確認し、自分がすでに強い分野・弱い分野を洗い出すところから始めましょう。実務経験が1年に満たない場合でも、ISC2準会員制度を使えば先に受験できるため、「経験が足りないから」とためらう必要はありません。学習は公式テキストや問題集を軸に据え、暗号技術やリスク管理など苦手になりやすい領域を重点的に補強するのがおすすめです。ゆくゆくはCISSPへのステップアップも視野に入れながら、まずはSSCPで実務者としての土台を固めてみてはいかがでしょうか。

公式サイト：SSCP認定資格について（ISC2 Japan）