フリーランスにCISSPは役立つ？評価される場面と準備

CISSPは、フリーランスのセキュリティ案件のうち、組織全体の対策を見渡して方針や体制を考える役割で、知識と経験の両方の裏付けとして役立ちます。一方で、資格がないと入れない案件は多くなく、面談では実際に担ってきた役割と判断の場面が先に見られます。

ほかの資格と違うのは、試験に合格するだけでは認定されず、5年分の実務経験の要件と、ほかの認定者による推薦の手続きがあることです。この記事では、試験の範囲と認定の流れ、効く場面と効かない場面、実務経験との組み合わせ方、スキルシートでの書き方を整理します（2026年10月時点のISC2の案内による）。

試験の範囲と認定の流れ

8つのドメイン

CISSPは、国際的な団体であるISC2が認定する資格です。試験は次の8つのドメイン（分野）から出題されます。

試験はCAT（受験者の解答に応じて出題が変わる方式）で、100〜150問・3時間、1,000点中700点で合格です。日本語でも受験できます。現在の出題範囲は2024年4月15日から適用されていて、2027年4月15日からは新しい出題範囲に変わる予定です。受験の時期によって学ぶ範囲が変わるため、申し込む前にISC2の案内をご確認ください。

認定に必要な実務経験

認定を受けるには、8つのドメインのうち2つ以上にまたがる、通算5年以上のフルタイムの実務経験が必要です。経験は月単位で数え、週35時間以上を4週間続けて1か月とされています。週20〜34時間のパートタイムの経験も、時間数に応じて数えられます。

情報系の学位や、ISC2が認める資格を持っている場合は、5年のうち最大1年分を満たせるとされています。経験が足りない場合は、試験に合格して「Associate of ISC2」になり、合格から6年以内に経験を積むという道もあります。

エンドースメントと維持の条件

試験に合格したあとは、9か月以内にエンドースメント（推薦）の手続きを終える必要があります。申請は、資格を有効に保っているISC2の会員が内容を確かめて推薦する形です。

認定のあとは、3年ごとのサイクルで継続教育（CPE）を積みます。CISSPでは3年間で120単位が必要で、そのうち90単位はドメインに直接関わる活動であることが求められます。あわせて年会費（AMF）の支払いも必要です。CPEや年会費が期限から90日の猶予を過ぎても満たされないと、資格は停止の状態になります。

フリーランスの案件で効く場面

全体を見渡す立場の案件

8つのドメインは、リスク管理から運用、開発までセキュリティの全体にわたります。そのため、方針や規程の整備、リスクの評価、セキュリティの体制づくりの支援など、特定の技術ではなく全体を見渡す立場の案件で評価されやすい資格です。こうした案件で求められる経験はセキュリティコンサルタントのスキルの記事で解説しています。

外資系の企業や海外の拠点が関わる案件

国際的に知られた資格のため、外資系の企業や、海外の拠点・グループ会社と方針をそろえる案件では、知識の水準を説明しやすくなります。英語の資料を読み書きする場面も多いため、英語を使う案件の考え方は英語を使うフリーランス案件の記事で整理しています。

取引先の評価制度に関わる仕事

IPAが案内するSCS評価制度では、★3の確認を担う「SCSセキュリティ専門家」の要件となる資格の一つにCISSPが挙げられています。専門家として登録するには、資格に加えて研修の受講と、制度の運営機関への登録が必要です。制度の動きはセキュリティコンサルタントの将来性の記事で扱っています。

効きにくい場面

• 特定の製品やクラウドの構築が中心の案件：その製品での実務の経験や、製品ごとの認定のほうが直接見られる
• 診断の実施が中心の案件：手作業で何を確かめてきたかが問われ、全体を問う資格の効きは限られる
• 国内向けの体制説明が中心の案件：国家資格である登録セキスペの名前が求められることがある

国家資格との比べ方は情報処理安全確保支援士の記事、クラウドに絞った資格はCCSPの記事をご覧ください。

実務経験との組み合わせ方

CISSPは、経験の要件があるぶん、経験をドメインの言葉で整理し直す作業と相性がよい資格です。

1. これまでの案件をドメインに当てはめる：たとえば、ID管理の基盤づくりは「アイデンティティとアクセスの管理」、脆弱性の対応の仕組みづくりは「セキュリティの運用」のように分ける
2. 経験の厚いドメインと薄いドメインを見る：薄いドメインを学習で補い、厚いドメインを案件での強みとして示す
3. 全体を見渡す役割へ広げる：技術の作業から、方針や体制づくりの支援へ、役割を一段広げる材料にする

フリーランスとしての経験も、経験の要件の対象になるかどうかを判断するため、契約の期間や担当した業務を後から説明できるように記録を残しておくと、申請のときに整理しやすくなります。数え方の細かい条件はISC2の案内でご確認ください。

スキルシートでの書き方

資格欄には、正式名称・認定の年月・認定団体を書きます。

• 認定済みの場合：「CISSP（Certified Information Systems Security Professional、ISC2、20XX年X月認定）」
• 試験に合格し、経験を積んでいる途中の場合：「Associate of ISC2（CISSP試験合格、20XX年X月）」

経歴欄では、経験の中心となるドメインと、関わった案件を結びつけます。資格欄に並べるだけより、どの範囲を任せられる人かが伝わります。全体の書き方はセキュリティコンサルタントのスキルシートの記事で紹介しています。

準備の進め方

フリーランスの場合、CPEの単位を積む時間や、年会費の支払いも自分で管理します。受験を考えるときは、次の順で考えると無理がありません。

1. 経験の要件を満たしているか確かめる：満たしていない場合は、Associate of ISC2から始めるかを考える
2. 出題範囲の切り替えを見る：2027年4月15日の前後どちらで受けるかで、学ぶ範囲が変わる
3. 推薦の手続きを見込む：合格から9か月以内に手続きを終える必要がある
4. CPEを積む手段を決める：研修、勉強会、執筆など、案件と並行できる方法を選ぶ

学習と案件を並行するときの時間の作り方は学習時間の作り方の記事、資格全般の考え方は資格はフリーランスの案件獲得に役立つかの記事で整理しています。

よくある質問

経験が5年に満たなくても受験できますか？

受験はできます。試験に合格すると「Associate of ISC2」となり、合格から6年以内に必要な経験を積めば認定を受けられます。スキルシートには、認定済みのCISSPと区別して書きます。

CISSPと情報処理安全確保支援士は、どちらを優先すべきですか？

国内の取引先に体制を説明する案件では国家資格が分かりやすく、外資系や海外の拠点と関わる案件ではCISSPの名前が通じやすいことがあります。狙う案件票に、どちらの名前が出てくるかから考えます。

監査の案件を狙う場合も、CISSPでよいですか？

監査を行う側の案件では、監査の資格のほうが直接評価されることがあります。監査に特化した国際的な資格はCISAの記事で扱っています。