フリーランスにAWS認定セキュリティ–専門知識は役立つ？評価される場面と準備

AWS認定セキュリティ–専門知識（AWS Certified Security - Specialty、以下、セキュリティ専門知識）は、持っていなくても参画できる案件が多い一方で、複数のアカウントの統制、ログの検知と対応の仕組みづくり、監査への対応といった、AWSのセキュリティを専門に担う案件では裏付けとして効きます。ただし試験ガイドには「クラウド全体の構成の設計」や「パケット単位の通信の分析」は対象外と明記されており、何を示せて何を示せない認定かを知っておくことが大切です。

この記事では、2026年10月時点のAWSの公式ページと試験ガイドをもとに、範囲・対象外の業務・有効期間を確かめ、効く場面と効きにくい場面、実務経験との組み合わせ方を整理します。クラウドのセキュリティの案件で求められるスキル全体はクラウドセキュリティのスキルの記事、職種として取る資格の選び方はクラウドセキュリティの資格の記事で扱っています。

セキュリティ専門知識の試験の範囲

セキュリティ専門知識は、Amazon Web Services（AWS）が実施する専門分野（Specialty）の認定です。クラウドのソリューションを安全に保つ責任を持つ人を対象にしています。

出題分野と比率は次のとおりです。

想定される知識として、複数アカウントのガバナンス、ソフトウェアのサプライチェーンのリスク管理、レイヤー3〜7のファイアウォールのルールづくり、インシデントの根本原因の分析、監査への対応の経験などが挙げられています。

試験の対象外とされている業務

試験ガイドには、受験者に求めない業務として、暗号のアルゴリズムの設計、パケット単位の通信の分析、クラウド全体の構成の設計、利用者の端末の管理、機械学習モデルの学習が挙げられています。この認定はAWSの上でセキュリティの仕組みを組み立てて運用する力を問うもので、全体の構成を決める力や、ネットワークを深く解析する力を示すものではありません。

有効期間と更新

有効期間は3年間で、期限が切れる前に最新版の試験に合格すると更新されます。AWS Skill Builderの有料プランに加入していて、有効期限の90日前以内であれば、所定の学習を終えて1年延長する「維持」の方法も対象になっています。ソリューションアーキテクトの認定と違い、上位の認定に合格して更新される仕組みはありません。

認定がなくても入れる案件が多い理由

セキュリティの案件では、資格よりも「どの環境で、何を検知し、どう対応したか」が先に見られます。GuardDutyなどの検知の結果をだれが、どの手順で調べたか、権限の見直しをどう進めたかを具体的に話せれば、認定がなくても参画が決まることは珍しくありません。

また、AWSのセキュリティの案件には、オンプレミスのセキュリティ運用や、監査対応の経験からクラウドに広げた人も多く入っています。その場合は、元の分野の経験が先に評価されます。

認定が効きやすい場面

複数アカウントの統制を担う案件

組織全体で多くのAWSアカウントを使う企業では、権限の境界、ログの集約、ガードレールの設計が課題になります。試験の範囲のうち「IDとアクセスの管理」と「セキュリティの基盤とガバナンス」が重なるため、こうした案件では知識の裏付けとして読まれやすくなります。

検知と対応の仕組みを作る案件

検知とインシデント対応の分野は、合わせて試験の3割を占めます。アラートが出たときの調査と封じ込めの手順を作る案件や、運用チームに対応の流れを渡す案件では、学んだ範囲と業務が直接つながります。

インフラからセキュリティの役割に広げるとき

AWSの構築や運用の経験がある人が、セキュリティ寄りの役割に広げたいとき、この認定は「セキュリティの観点を体系的に学んだ」ことを示す材料になります。インフラの経験と組み合わせると、設計の段階からセキュリティを組み込める人として説明しやすくなります。

認定だけでは効きにくい場面

• 全体の構成を決める案件：試験の対象外とされているとおり、全体設計の力はソリューションアーキテクトの認定や設計の経験で示します。AWS認定ソリューションアーキテクトの記事をご覧ください
• 脆弱性診断やペネトレーションテスト：攻撃の手法や診断の経験が問われ、この認定の範囲とは重なりが小さくなります
• ガバナンスや規程づくりが中心の案件：クラウドに限らないセキュリティの管理の知識が見られることがあります。情報処理安全確保支援士の記事やCCSPの記事もあわせてご覧ください

実務経験との組み合わせ方

6つの分野を自分の経験に当てはめると、面談で何を話すかが決まります。

経験が薄い分野は、検証用のアカウントで設定を作って確かめておくと、面談で具体的に話せます。ただし、検証で扱った内容は実務と分けて書きます。

スキルシートでの書き方

資格欄には、正式名称、取得年月、有効期限を書きます。

例：AWS Certified Security - Specialty（20XX年X月取得、有効期限20XX年X月）

セキュリティの案件では、守秘義務の範囲で書ける内容が限られます。経歴欄には、企業名やインシデントの中身を伏せたうえで、「複数アカウントのログ集約と検知の通知の仕組みを設計」のように、担った仕組みと役割を書きます。AWSのスキルシート全体はAWSのスキルシートの記事、セキュリティの経歴の伝え方はセキュリティエンジニアのスキルの記事で紹介しています。

案件と並行して準備するときの進め方

1. 試験ガイドで対象のサービスと対象外の業務を確かめる：範囲を決めてから学習を始めます
2. 想定される知識の一覧と自分の経験を照らし合わせる：監査対応やサプライチェーンのリスク管理など、経験のない項目を先に洗い出します
3. 検証用のアカウントで検知と対応を試す：検知、通知、調査、封じ込めの流れを一通り動かすと、試験と面談の両方に生きます

よくある質問

ソリューションアーキテクトの認定を先に取るべきですか？

受験の条件ではありませんが、セキュリティ専門知識は全体設計を対象外としているため、構成全体の知識はソリューションアーキテクトの範囲で補うことになります。AWSの構成に慣れていない場合は、先にソリューションアーキテクト–アソシエイトで全体を押さえておくと、セキュリティの学習が進めやすくなります。

国家資格の情報処理安全確保支援士とどちらを優先すべきですか？

狙う案件によります。AWSの環境でセキュリティの仕組みを作る案件ではこの認定が、組織のセキュリティ管理や規程づくりに関わる案件では情報処理安全確保支援士が、それぞれ範囲と重なりやすくなります。支援士は合格後の登録と講習が必要な点も含めて、情報処理安全確保支援士の記事で確かめてください。

想定される経験に届いていなくても受験できますか？

公式ページと試験ガイドでは、経験の年数は対象となる人の目安として示されています。ただ、試験は実務での判断を前提にした問題が中心のため、経験が短い場合は、検証環境で検知から対応までの流れを動かしておくと、問題の意図をつかみやすくなります。