CISMの手引き｜4ドメインと配点・2026年11月の改定・経験要件と教科書の対応
公開：2026年10月16日／最終更新：同／Moshiru 岡﨑 悠太
こんなときに役立ちます
- 経営者や管理職と、セキュリティの方針や予算を話す立場になったとき
- 受験を考えていて、11月の改定の前と後、どちらの範囲で準備するか決めたいとき
- 取引先に、自社のセキュリティの管理の仕組みを説明したいとき
読み終えたあと、社内でこう言えます
「CISMの範囲と11月の改定を確かめ、教科書で勉強の順番を決めました」
結論：CISMは、ISACAが認定する、情報セキュリティの管理を問う資格です。4つのドメインから150問が出ます。2026年11月3日から出題範囲が改定され、アーキテクチャの内容が加わります。受験料は会員575米ドル、非会員760米ドルです（ISACA公式、2026年10月16日確認）。
CISMの主な数字150問問題数4ドメイン
575米ドル受験料ISACA会員
760米ドル受験料非会員
担当者のあなたにとって、この手引きで楽になること
CISMは、改定の直前で情報が入れ替わる時期です。古い記事と新しい発表が混ざりやすく、一人で調べると判断に迷います。
| 困ること | この手引きで |
|---|
| 改定の前と後、どちらの範囲で準備すべきか迷う | 受験日で分かれる範囲を、図と表にした |
| 経営者や管理職と、どんな言葉で話せばよいか分からない | 4ドメインを、教科書の上級編（12-4〜12-6）までつないだ |
| 経験の要件が自分に当てはまるか分からない | 5年・3ドメイン・10年以内の条件を整理した |
| 上司に費用と効果を説明しにくい | 社内での使い道を、誇張せずに書いた |
Moshiruの教科書と確認テストは、範囲の入口です。合格には、ISACAの公式の教材と組み合わせて使ってください。
この試験は何を証明するか・誰向けか
主催はISACAです。4つのドメインは、ガバナンス、リスクマネジメント、プログラム、インシデント管理です。細かい設定より、方針・リスク・体制をどう決めて回すかが中心です。
CISMの4ドメイン1ガバナンス方針と体制
2リスク管理評価と対応
3プログラム計画を回す
4インシデント管理備えと対応
公式の業務一覧には、経営層の継続的な関与を得る、投資の根拠を作る、関係者に報告する、といった仕事が並びます。経営者や管理職と話す立場の人に向いた範囲です。
認定には、4ドメインのうち3つ以上にわたる、5年以上の実務経験が要ります。経験は、申請日の前10年以内のものに限られます。
認定までの条件- 4ドメイン中3つ以上の経験
- 5年以上の実務経験
- 申請日の前10年以内
- 合格から5年以内に申請
- 申請料50米ドル
合格してから5年以内に、認定を申請します。申請料は50米ドルです。申請書には日本語の様式も用意されています。
2026年11月3日の改定（確認できた範囲）
ISACAは2026年9月10日に、出題範囲の改定を発表しました。11月3日からの試験は、新しい範囲で出ます。4ドメインはそのままで、比率が少し動きます。
| ドメイン | 11月2日まで | 11月3日から |
|---|
| 1 情報セキュリティガバナンス | 17% | 18% |
| 2 情報セキュリティリスクマネジメント | 20% | 20% |
| 3 情報セキュリティプログラム | 33% | 33% |
| 4 インシデント管理 | 30% | 29% |
新しい内容として、enterprise architecture（企業全体のアーキテクチャ）が加わります。information security architecture（情報セキュリティのアーキテクチャ）も加わります。
あわせて、戦略とプログラムの開発の比重が上がります。新しい範囲の細かい項目の一覧は、この記事の時点で確かめられていません。
どちらの範囲で準備するか受験日は2026年11月3日以降？
はい新しい範囲と新しい教材で
いいえいまの範囲で準備する
ISACAは、11月3日以降に受ける人に、新しい教材を使うよう強く勧めています。新しい教材は9月1日に出ています。
改定までの流れ- 9月1日新しい教材の公開
- 9月10日改定の発表
- 11月2日までいまの範囲
- 11月3日から新しい範囲アーキテクチャが加わる
ISACAの公式ページで確かめられたのは、下の表の項目です。試験時間と受験できる言語は、今回の確認では公式ページに記載を見つけられませんでした。申し込みの画面で確かめてください。
| 項目 | 内容 |
|---|
| 問題数 | 150問（4ドメイン） |
| 受験料 | ISACA会員575米ドル、非会員760米ドル |
| 認定の申請料 | 50米ドル（1回） |
| 申請の期限 | 合格から5年以内 |
| 経験 | 3ドメイン以上・5年以上・申請日の前10年以内 |
| 日本語の資料 | 用語集（CISM Terminology List）に日本語訳あり。申請書に日本語の様式あり |
| 試験時間・受験の言語 | 公式ページで確かめられず（申し込みの画面で確認） |
出題範囲と教科書の対応
11月3日からの配点は下の図のとおりです。一番大きいのは「情報セキュリティプログラム」の33%です。
新しい配点（11月3日から）プログラム33%
インシデント管理29%
リスク管理20%
ガバナンス18%
対応する教科書の節は次の表です。上級編の12-4〜12-6は、CISMの範囲に合わせて用意した節です。
同じ対応を、CISMのスキルツリーで、読んだ節に印を付けながらたどれます。
勉強の順番
CISMの軸は、経営とセキュリティをつなぐことです。上級編の12-4から読み始め、各ドメインの節に降りると、話の向きがそろいます。
読む順番- 1経営とつなぐ12-4
- 2リスクを決める第5部
- 3プログラムを回す12-5
- 4事故に備える第9部
- 5設計を見直す12-6
- 12-4・6-1・6-9で、方針と体制の作り方をつかむ
- 5-3・5-4・5-6で、リスクを経営者に判断してもらう流れを押さえる
- 12-5・5-7で、予算・人・指標で回す考え方を押さえる
後半で読む節- 9-1 対応の流れ
- 9-9 BCPとBIA
- 9-6 社外への説明
- 12-6 アーキテクチャ
- 9-1・9-9・9-6で、事故への備えと社外への説明を押さえる
- 11月3日以降に受けるなら、12-6で新しい範囲の入口をつかむ
- 確認テストtest-cismを解き、間違えたドメインの節を読み直す
確認テストの使い方- ドメインごとに解く
- 間違えた節を読み直す
- 受講記録を印刷する
- 結果はどこにも送られない
確認テストは、教科書の確認問題から出す、すべてオリジナルの問題です。本番の試験問題や過去問は載せていません。ISACAの試験には守秘の約束があるためです。
仕上げは、ISACAの公式の教材で行います。11月3日以降なら新しい版です。
資格が社内でどう効くか
資格だけで会社が安全になるわけではありません。ただ、CISMの範囲は、経営者や管理職と話す場面でそのまま使えます。
| 場面 | 使い方 |
|---|
| 社長・役員への報告 | 対策を「リスク」と「予算」の言葉で説明できる |
| 対策しないと決めるとき | 残るリスクを、経営者に判断してもらう文書を書ける |
| 取引先のチェックシート | 体制・規程・委託先の管理の設問に、仕組みとして答えられる |
| 自分の評価 | 学んだ範囲と受講記録を、面談の材料にできる |
「取れば昇給する」「取れば取引が決まる」とは言えません。5年の経験が要る資格なので、まずは範囲を、経営者と話すときの型として使うのも一つの方法です。設問の読み方は8-6 チェックシートの答え方にまとめています。
よくある質問
11月2日までに受けるのと3日以降とでは、何が違いますか？
出題範囲が違います。11月3日からは比率が少し変わり、アーキテクチャの内容が加わります。ISACAは、3日以降に受ける人に新しい教材を強く勧めています。
日本語で受けられますか？
今回確認したISACAの公式ページでは、受験できる言語の記載を見つけられませんでした。用語集の日本語訳と、日本語の申請書の様式はあります。申し込みの画面で確かめてください。
Moshiruの教科書だけで合格できますか？
教科書は範囲の入口で、それだけで合格できるとは言えません。ISACAの公式の教材と組み合わせてください。
この記事のまとめ
- CISMは情報セキュリティの管理を問う資格。4ドメイン・150問、受験料は会員575米ドル・非会員760米ドル（2026年10月16日確認）
- 2026年11月3日から範囲が改定され、アーキテクチャが加わる。受験日で準備する範囲と教材が分かれる
- 教科書は12-4から読み、上級編12-6で新しい範囲の入口をつかむ。経営者と話すときの型にも使える
参考にした資料
- ISACA「CISM Certification」（2026年10月16日確認）
- ISACA「CISM Exam Content Outline」（2026年11月3日改定の告知つき。2026年10月16日確認）
- ISACA「Earn a CISM Certification」（2026年10月16日確認）
- ISACA プレスリリース「ISACA Updates CISM Exam Content Outline」（2026年9月10日）