情報セキュリティマネジメント試験の勉強方法｜合格率70%・休止と新制度

情報セキュリティマネジメント試験（SG）の勉強を始めようとして、「過去問を回せばいい」「合格率は高いから簡単」という情報ばかりが目に入っていないでしょうか。2026年の秋は、それより先に知っておくべきことがあります。CBT の試験は 2026年12月28日から一時休止し、2027年1月下旬に再開する予定です。さらに 2027年度の春ごろには、新しい試験制度に移る予定です。

先に結論を書きます。

• 合格率は、IPA の公式統計で令和7年度（2025年4月〜2026年3月）が70.0%。易しい部類の国家試験ですが、10人に3人は落ちています
• 勉強は「科目A（48問）の重点分野＝セキュリティと法務を固める → 科目B（12問）の事例の読み方を練習する → 120分の時間配分を決める」の順が効率的です
• 年内に受けたい人は、12月27日までに受験を終える計画にしてください。12月に申し込んだ試験は、再開後の日に変えられません

この記事では、2026年11月6日に IPA の公式サイトで確かめた試験の形式・合格率・休止と新制度の予定、勉強の順番、naminori の無料講座で扱う中身と例題、naminori の求人データから見た「転職で資格がどう効くか」をまとめます。

情報セキュリティマネジメント試験とは：「使う側」のセキュリティリーダーの国家試験

情報セキュリティマネジメント試験は、IPA（情報処理推進機構）が行う国家試験（情報処理技術者試験の1つ）です。

IPA は対象者を、情報システムを使う部門で情報セキュリティのリーダーを務め、部門の対策や社内の規程を理解して、情報とシステムを安全に使える状態を保ち、良くしていく人と説明しています。仕組みを作るエンジニアの試験ではなく、仕組みを使う部門の側で安全を守る人の試験です。

だから問題にも、部門で起きる場面がたくさん出てきます。委託先の管理、退職する人のアカウント、事故が起きたときの報告、テレワークの決まり、といった話です。

向いているのは、次のような人です。

• 営業・事務・人事などの部署で、情報セキュリティの担当を任された人
• 社内SE・情報システム部門への転職を考えている人
• エンジニアではないが、セキュリティの基礎を体系的に押さえたい人

技術を深く問う試験ではないので、ネットワークの設計やセキュリティ製品の運用を仕事にしたい人には、範囲が足りないと感じるはずです。その場合は、後で書く関連資格との違いを見てください。

試験の形式と出題範囲（2026年11月時点・公式で確認）

2026年11月6日に、IPA の公式ページ（試験区分の説明・試験要綱 Ver.5.6・スケジュールと手数料）で確かめた内容です。

項目	内容
試験時間	120分（科目A・科目Bを1つの試験時間でまとめて行う）
問題数	60問（科目A 48問・科目B 12問）
出題形式	科目A は四肢択一、科目B は多肢選択式
評価に使う問題	60問のうち54問。残りの6問は今後の出題のための評価に使う（どれかは分からない）
点の出し方	IRT（項目応答理論）で評価点を出す
合格基準	総合評価点 600点以上（1,000点満点）
実施方式	CBT 方式で、年間を通じて随時
受験手数料	7,500円（消費税込み）
適用中の試験要綱	Ver.5.6（2026年10月の試験から適用）

合格基準でよくある誤解

合格は「総合評価点が600点以上」です。科目ごとに基準点があるわけではありません。基本情報技術者試験は科目A・科目Bのそれぞれに600点の基準がありますが、情報セキュリティマネジメント試験は違います。

もう1つ、点は IRT で出すので、「60問中36問正解なら6割で600点」とは言えません。問題ごとの難しさなどをもとに点を出すためです。評価に使わない6問も混ざっているので、全部の問題に本気で答えます。

出題範囲

科目A の重点分野は、情報セキュリティ全般と、法務（個人情報保護法・不正アクセス禁止法・営業秘密など）です。ほかに、テクノロジ系・マネジメント系・ストラテジ系の分野の一部からも出ます。試験要綱では、この試験は「IT を利活用する者」が主な対象なので、技術的な項目は除いていると説明されています。

科目B は「技能を問う」とされ、次のような部門の場面から出ます（試験要綱から主なものを抜き出しました）。

• 情報資産の管理の計画、リスクアセスメントとリスク対応
• 部門で情報システムを使うときの情報セキュリティの確保
• 業務を外部に委託するときの情報セキュリティの確保
• 情報セキュリティインシデントの管理
• 教育による意識の向上、コンプライアンスの運用、継続的な改善

合格率の実績（IPA の公式統計）

IPA の統計情報にある推移表（令和8年9月分、2026年10月21日現在）から、年度ごとの数字を抜き出しました。

年度	受験者数	合格者数	合格率
令和5年度（2023年4月〜2024年3月）	36,362人	26,398人	72.6%
令和6年度（2024年4月〜2025年3月）	41,657人	28,731人	69.0%
令和7年度（2025年4月〜2026年3月）	45,924人	32,141人	70.0%
令和8年度（2026年4月〜9月の6か月分）	22,166人	15,939人	71.9%

合格率はここ数年、7割前後で安定しています。受験者数は年々増えています。

7割という数字だけを見ると簡単そうですが、裏返せば受験者の約3割は不合格です。令和7年度なら約1万4千人（45,924人 − 32,141人）が落ちています。科目Bの読み方まで練習してから受けるのが安全です。

2026年〜2027年に変わること（受ける時期の決め方）

ここは、ほかの解説記事がまだ追いついていない部分です。

CBT の一時休止（2026年12月28日〜2027年1月下旬）

IPA は2026年11月5日に、CBT 方式の試験の2027年1月以降の予定を公開しました。要点は次のとおりです。

項目	内容
休止の理由	システムの入れ替え
対象	ITパスポート試験・情報セキュリティマネジメント試験・基本情報技術者試験
休止の開始	2026年12月28日
再開	2027年1月下旬の予定。申し込みは2027年1月中旬以降
12月に申し込んだ人	2026年12月27日までに受ける。再開後の日に変えることはできない
今年度のバウチャー	有効期限までに使う。再開後の試験には使えない
受けられなかったとき	会場に空きが無い場合も含め、手数料の返金や期限の延長はない

会場によっては、12月27日より前に試験を終えるところもあるとされています。年内に受けたい人は、早めに会場の空きを確かめてください。

2027年度春ごろの新制度

IPA の試験制度の見直しの検討状況（2026年3月31日公開、4月28日更新）では、情報セキュリティマネジメント試験は2027年度春ごろに新しい制度へ移る予定で、名前はそのまま続くとされています。

• 科目A は、出題範囲の体系が変わる
• 科目B は、出題範囲の一部が変わる
• ただし、技術や環境の動きを反映して書き方や構成を変えるもので、問う知識・技能の範囲そのものは変わらないとされている
• 120分で科目A 48問・科目B 12問、CBT で通年、という形は続く予定

新制度のシラバス案（Ver.0.1）は、2026年9月30日に IPA のシラバス案のページに載りました。どちらも「検討中で、変わることがある」と書かれています。

結局、いつ受ければいいか

• いまから2か月ほど勉強できる人: 12月27日までに受ける。範囲は今の試験要綱 Ver.5.6 のまま
• 年明けにずれ込む人: 2027年1月下旬の再開後に受ける。新制度に移る時期は IPA の発表を待って確かめる
• どちらでも、問う知識・技能の範囲は変わらないとされているので、今の範囲で勉強したことは無駄になりません

難易度と、関連資格との違い

難易度は、IT の国家試験の中では入口に近いほうです。ただし、ITパスポートより範囲はセキュリティに深く、科目Bでは事例を読んで判断する力が要ります。

資格	誰の試験か	セキュリティの深さ	形式
ITパスポート	IT を使うすべての社会人	浅く広く	CBT・100問
情報セキュリティマネジメント	部門のセキュリティリーダー	管理と運用が中心	CBT・60問
基本情報技術者	IT エンジニアの入口	技術の基礎の一部	CBT・科目A/B
CompTIA Security+の難易度は？V8切り替えと日本語試験	セキュリティの実務担当	技術と運用を広く	最大90問・PBQ あり
情報処理安全確保支援士	セキュリティの専門家	深い	IPA の案内で確認

向いている人	向いていない人
部署のセキュリティ担当を任された	セキュリティ製品の設計・運用を仕事にしたい（技術寄りの資格が合う）
社内SE・情シスへの転職を目指している	IT の用語がまだほとんど分からない（先にITパスポート）
規程・委託先・教育など「管理」を学びたい	試験の名前だけで年収が上がることを期待している

組織の管理の仕組みをもっと深めたい人は、ISMS内部監査員の資格とは？ISO27001研修の受け方と修了の違い も合わせて読んでください。

勉強の進め方（順番）

ここに書く順番は、naminori の講座の構成に沿ったもので、IPA が決めた勉強法ではありません。

1. 試験の形を知る。 120分・60問・総合評価600点、IRT で点を出すこと、評価しない6問があること
2. 科目A の土台：要素・脅威・攻撃。 機密性・完全性・可用性、脅威と脆弱性とリスクの区別、フィッシング・ランサムウェア・Web の攻撃を「手口と対策の組」で覚える
3. 科目A の山場：暗号・リスク・法律。 共通鍵と公開鍵とデジタル署名、リスク値の計算とリスク対応の4つ、個人情報保護法・不正アクセス禁止法・営業秘密
4. 科目A の仕上げ。 似た用語の見分け（IDS と IPS など）、選択肢を根拠で消して1問1分で解く
5. 科目B の読み方。 設問を先に読み、場面の中の「本来あるべき状態とのずれ」を探す。社内の規程が示されたら、それが判断の基準
6. 科目B の場面別の練習。 資産管理、インシデント対応、アクセス管理、委託先、テレワークとクラウド、教育と内部不正
7. 時間配分を決める。 この講座の目安は、科目A 約50分・科目B 約60分・見直し 約10分（IPA の決まりではありません）

IPA は過去の公開問題やサンプル問題を公開しています。講座で考え方を押さえたあと、実際の問題の形に慣れるために解いてください。

naminori の講座でできること（全16回の中身と主人公）

naminori では、情報セキュリティマネジメント試験の対策講座を2本、無料で公開しています。各講座は全8回で、スライド・読み上げ音声・解説PDF・小テストがあり、最後に修了テスト（10問）があります。講座ページは無料・ログイン不要で見られます。修了テストを受けるには会員登録（ログイン）が要ります。

• 情報セキュリティマネジメント試験対策 パート1（科目A）（全8回。各回の目安時間の合計は約185分）
• 情報セキュリティマネジメント試験対策 パート2（科目B）（全8回。同じく約190分。パート1を受けてから）

講座に出てくるのは、架空の主人公「ミズキ」です。30歳で、食品メーカーの営業部で営業事務をしています。半年前に部署の情報セキュリティの担当を任されましたが、引き継ぎの資料にはパスワードの決まりと連絡先しか書いてありませんでした。ある日、取引先を名乗る「振込先が変わりました」というメールを見抜いたことをきっかけに、「たまたま気づけただけで、仕組みとしては何も守れていない」と感じ、AI を使う会社の情報システム部門への転職を考え始めます。相談相手は、大学の先輩でセキュリティを担当している「トモヤ」です（人物と会社は講座のための架空の話です）。

回	パート1（科目A）	パート2（科目B）
1	試験の全体像と学び方	科目Bの全体像と事例の読み方
2	情報セキュリティの要素と脅威	情報資産の管理とリスク評価の事例
3	攻撃手法（フィッシング・ランサムウェア・Web の攻撃）	インシデント対応（発見・初動・報告・復旧・再発防止）
4	暗号と認証（共通鍵・公開鍵・デジタル署名・多要素認証）	アクセス管理とシステム利用の事例
5	リスクマネジメントと ISMS	委託先管理（選ぶ・契約・確かめる・返却と消去）
6	組織の対策と法律	テレワークとクラウド利用の管理
7	技術的対策（ファイアウォール・WAF・IDS/IPS・DLP・バックアップ）	教育と内部不正（内部不正防止の5つの基本原則）
8	科目Aの仕上げ	本番の時間配分

内部不正防止の5つの基本原則は、IPA「組織における内部不正防止ガイドライン」第5版の本文で確かめて書いています。法律やガイドラインは要旨を講座の言葉で書いていて、条文を写してはいません。

情報セキュリティマネジメント試験対策 パート1を受ける（無料・全8回）

講座の例題を解いてみる

講座の中から3問選びました。どれも講座のために作った問題で、IPA の過去問・公開問題・サンプル問題の文章ではありません。

例題1：リスク値を計算する（パート1 第5回）

ある会社の基準では、リスク値を「資産価値 × 脅威 × 脆弱性」で出し、10以上なら対応します。資産価値2、脅威3、脆弱性3の資産は、対応が要るでしょうか。

答えは「リスク値18で、対応が要る」です。2 × 3 × 3 = 18 で、基準の10以上だからです。

間違えやすいのは、足し算をしてしまうことです。2 + 3 + 3 = 8 とすると基準より小さくなり、「対応は要らない」と判断を誤ります。計算のしかたは問題文に書かれるので、掛けるのか足すのかを必ず確かめます。

例題2：デジタル署名を確かめる鍵（パート1 第4回）

デジタル署名を確かめるときに、受け取る人が使う鍵はどれでしょう。

• ア 受け取る人の秘密鍵
• イ 送る人の秘密鍵
• ウ 受け取る人の公開鍵
• エ 送る人の公開鍵

正解はエ です。署名は送る人が自分の秘密鍵で作り、受け取る人は送る人の公開鍵で確かめます。

イの送る人の秘密鍵は、署名を作るときに使う鍵で、受け取る人は持っていません。アとウは受け取る人の鍵で、「受け取る人あてにデータを暗号化して送る」ときの組です。署名とは関係がありません。暗号化と署名で、鍵の使い方が逆になることを押さえると、似た問題で迷わなくなります。

例題3：退職者の ID が残っていた（パート2 第4回）

ある会社の経理部で、退職した社員の ID が3か月残っていて、その ID で支払いのデータが見られていました。この会社では、退職者の ID は各システムの管理者が止めることになっていましたが、人事部から管理者への連絡の手順はありませんでした。最も有効な再発防止策はどれでしょう。

• ア 全社員のパスワードを90日ごとに変えさせる
• イ 退職の手続きで、人事部から各システムの管理者へ知らせる手順を作り、定期的に権限の一覧を在籍者と照らし合わせる
• ウ 支払いのデータを紙に印刷して保管する
• エ 経理部のパソコンのウイルス対策ソフトを最新にする

正解はイ です。原因は「管理者に退職が伝わる手順がなかった」ことで、イはそれを直接なくします。

アは、退職者の ID そのものが残るので防げません。ウは、紙にしても見られる問題は残り、別の管理の問題が増えます。エは、正しい ID でのログインなので、マルウェアの対策では防げません。

科目B では、このようにまず原因を1行で言ってから、その原因を直接なくす選択肢を選ぶのが基本です。パスワードやウイルス対策のような「一般によい対策」は、原因に効かなければ正解になりません。

転職で資格はどう効くか（naminori の求人データ）

naminori に掲載した求人で確かめました。2026年11月6日に、過去に掲載していたものを含む84件（掲載終了78件・掲載中6件）の本文（タイトル・募集内容・必須スキル・応募資格・ポジション・募集背景）を数えた結果です。

見たこと	件数
84件のうち、本文でセキュリティに触れた求人	29件
掲載中の6件のうち、セキュリティに触れた求人	3件
84件のうち、ISMS・ISO に触れた求人	0件
情報セキュリティマネジメント試験の名前が出てくる求人	0件
特定の資格を応募の条件にした求人	0件
福利厚生などを含めて「資格取得支援」に触れた求人	84件中40件

数字から言えることは2つです。

1つ目に、この試験は応募の入場券ではありません。 naminori の求人で試験の名前を出したものは0件で、資格を条件にした求人もありません。国家試験で名前が出てくるのは、基本情報技術者が2件、応用情報技術者が1件だけでした。

2つ目に、それでもセキュリティは、過去の求人84件のうち29件、掲載中の6件のうち3件が触れている分野です。AI を使う会社では、社員が生成AIやクラウドのサービスを使う場面が増えるぶん、「部門の側で安全に使う決まりを作り、守らせる」役目が要ります。この試験の範囲（委託先の管理、クラウドの共有設定、教育、インシデントの報告）は、その役目にそのまま重なります。面接で「部署で何をしたか、なぜそうしたか」を、試験で学んだ言葉で筋道立てて説明できることが、資格の名前以上の根拠になります。

また、84件中40件が資格取得支援に触れています（費用の負担、取得後の手当など、中身は会社ごとに違います）。入社してから、会社の支援を使って上の資格に進む選択肢もあります。

情報システム部門への転職の道筋は社内SEになるにはにまとめています。

よくある質問

情報セキュリティマネジメント試験の合格率は何%ですか？

IPA の公式統計では、令和7年度（2025年4月〜2026年3月）は受験者45,924人に対して合格者32,141人で、合格率70.0%でした。令和8年度は2026年9月までの6か月分で71.9%です（2026年10月21日現在の推移表）。

受験料はいくらですか？

7,500円（消費税込み）です（2026年11月6日に IPA のスケジュールと手数料のページで確認）。

2026年12月から受けられないのは本当ですか？

IPA の2026年11月5日の案内では、システムの入れ替えのため2026年12月28日から試験を一時休止し、2027年1月下旬に再開する予定です。12月に申し込んだ試験は12月27日までに受ける必要があり、再開後の日には変えられません。

2027年度の新制度で、今の勉強は無駄になりますか？

IPA の検討状況では、科目A は出題範囲の体系、科目B は出題範囲の一部が変わる予定ですが、問う知識・技能の範囲そのものは変わらないとされています。今の範囲で学んだことは、新制度でも土台になります。ただし予定は変わることがあるので、受ける前に IPA の発表で確かめてください。

科目Aと科目Bのどちらかが悪いと不合格になりますか？

なりません。合格は総合評価点600点以上（1,000点満点）で判定し、科目ごとの基準点はありません。ただし点は IRT で出すので、正解の数の割合がそのまま点になるわけではありません。

文系・非エンジニアでも合格できますか？

対象者が「情報システムを使う部門のリーダー」なので、エンジニアでなくても狙える試験です。合格率も7割前後あります。暗号や攻撃手法など技術寄りの用語は、仕組みを図や例で押さえてから問題を解くと覚えやすくなります。

まとめ・次の行動

• 情報セキュリティマネジメント試験は、部門の側で安全を守るリーダーの国家試験。120分・60問・総合評価600点以上、受験手数料7,500円（税込）（2026年11月6日に IPA で確認）
• 合格率は令和7年度で70.0%（IPA の公式統計）。易しい部類だが、3割は落ちる
• CBT は2026年12月28日から休止し、2027年1月下旬に再開予定。2027年度春ごろに新制度へ移る予定だが、問う範囲そのものは変わらないとされている
• 勉強は、科目A の重点分野（セキュリティと法務）→ 科目B の事例の読み方 → 時間配分の順
• naminori の求人で、この試験を条件にしたものは0件。一方、セキュリティに触れた求人は84件中29件あり、部門の安全を「どう守ったか」を説明できることが面接の根拠になる

まずは、試験の全体像と科目A を扱うパート1から始めてください。講座ページは無料・ログイン不要で見られます。

情報セキュリティマネジメント試験対策 パート1（科目A）を受ける（無料・全8回）
情報セキュリティマネジメント試験対策 パート2（科目B）を受ける（無料・全8回）

修了テストまで受けて記録を残したい方は、会員登録をしてから受講してください。セキュリティに関わる求人は求人一覧で探せます。ほかの資格との順番を考えたい方は、エンジニアにおすすめの資格7選も参考にしてください。