セキュリティエンジニアとしてキャリアを本格化させたいのに、CISSPを目指したら「5年の実務経験が必要」という壁に直面した——そんな経験を持つエンジニアは少なくありません。
そこで注目してほしいのが、ISC2が認定するSSCP（Systems Security Certified Practitioner）です。実務経験1年から受験でき、CISSPと同じISC2ファミリーに属する中級セキュリティ資格として、国内外で着実に評価が高まっています。
この記事では、SSCPの概要・7つのドメイン・試験の詳細・難易度・勉強法・キャリアへの活かし方まで、現場で使えるレベルで解説します。
SSCPとは？概要と取得意義
SSCP（Systems Security Certified Practitioner）は、非営利国際団体ISC2（International Information System Security Certification Consortium）が認定する情報セキュリティ資格です。
CISSPが「セキュリティのマネジメント・設計・戦略」を問うのに対し、SSCPは「セキュリティの実務・運用」に焦点を当てており、現場のセキュリティ担当者にとって実践的な知識体系を学べる資格として設計されています。
SSCPを取得する主な意義として、一般的に次の点が挙げられます。
・ISC2ブランドは国際的に認知度が高く、外資系企業や海外案件でも説明しやすい
・実務経験1年から受験できるため、キャリアの比較的早い段階から挑戦しやすい
・CISSPへの足がかりとして、7つのドメインで知識を体系的に整理できる
・幅広いドメインをカバーするため、偏りのないセキュリティ基礎力が身につく
SSCPの7つのドメイン
SSCP試験は以下の7つのドメインから出題されます。各ドメインの出題比率はISC2が公開している試験概要（Exam Outline）に記載されており、定期的に改訂されます。受験前に最新版を公式サイトで確認することを推奨します。
| ドメイン | 主なテーマ |
|---|---|
| 1. Security Operations and Administration （セキュリティ運用と管理） |
コンプライアンス、セキュリティポリシー、資産管理、変更管理 |
| 2. Access Controls （アクセス制御） |
認証・認可の仕組み、MFA、最小権限の原則、IDの管理 |
| 3. Risk Identification, Monitoring and Analysis （リスクの識別・監視・分析） |
リスクアセスメント、脆弱性スキャン、ログ監視、SIEMの活用 |
| 4. Incident Response and Recovery （インシデント対応と復旧） |
インシデント対応プロセス、デジタルフォレンジック、BCP/DR |
| 5. Cryptography （暗号技術） |
対称・非対称暗号、PKI、ハッシュ関数、TLS/SSL |
| 6. Network and Communications Security （ネットワーク・通信セキュリティ） |
ファイアウォール、VPN、IDS/IPS、ネットワーク設計 |
| 7. Systems and Application Security （システム・アプリケーションセキュリティ） |
マルウェア対策、コンテナ・クラウドセキュリティ、セキュアコーディング |
7つのドメインはセキュリティ業務のほぼ全域をカバーしています。「知っているつもりでも体系的に整理できていなかった」知識を棚卸しするのに最適な構成です。
SSCP試験の詳細
1. 試験の基本情報
・出題数: 125問（すべて選択式）
・試験時間: 3時間（180分）
・合格基準: 1,000点満点中700点以上
・試験形式: Pearson VUE テストセンター、またはオンライン受験
・試験言語: 英語（日本語での受験は現時点で提供されていない）
・受験料: USD $249程度（変更される場合があるため、最新情報はISC2公式サイトで確認してください）
試験は英語のみです。CISSPと比べると文章の複雑さは抑えられていますが、シナリオベースの設問もあるため、セキュリティ英語への慣れは必須です。
2. 受験資格：実務経験の要件
SSCPを正式に取得するには、7つのドメインのうち1つ以上で1年間の有給フルタイム実務経験が必要です。
経験がない状態でも試験に合格することは可能です。その場合は「ISC2アソシエイト」として認定され、2年以内に経験要件を満たすことで正式なSSCPとして認定されます。
また、情報セキュリティ関連の学位やISC2が認定する教育プログラムの修了により、経験要件の一部が免除される場合があります（詳細はISC2公式サイトを確認してください）。
【注意】取得後の維持コストについて
ISC2の資格は取得後も3年ごとの更新が必要で、CPE（Continuing Professional Education）ポイントの取得と年会費（AMF）の支払いが義務付けられています。SSCPの年会費は2024年時点でUSD $125程度ですが、変更される可能性があるため最新情報をご確認ください。これは継続的な学習を促す仕組みであり、セキュリティ分野の変化の速さを考えると合理的な設計といえます。
ISC2資格ファミリーの中でのSSCPの位置づけ
ISC2はセキュリティ向けの認定資格を複数提供しており、SSCPはその中間に位置します。
| 資格名 | 対象者 | 実務経験要件 | 難易度 |
|---|---|---|---|
| ISC2 CC（Certified in Cybersecurity） | セキュリティ入門者 | 不要（無料受験可） | 入門 |
| SSCP（Systems Security Certified Practitioner） | セキュリティ実務者 | 1年以上（1ドメイン以上） | 中級 |
| CISSP | 上位管理・設計職 | 5年以上（2ドメイン以上） | 上級 |
CCで基礎を固め→SSCPで実務知識を証明し→CISSPで設計・戦略レベルへ進む、という流れがISC2資格のキャリアパスとして広く認識されています。SSCPを取得してから実務経験を積み上げ、CISSPへ挑戦するのが現実的なルートです。
他資格との比較では、CompTIA Security+と比べると、SSCPはより深いドメイン知識と実務経験が求められます。Security+は日本語受験も可能で国内での普及率が高いため、Security+で合格の手応えを確認してからSSCPに挑戦するという流れも自然です。セキュリティ資格の全体比較も参考にしながら、自分のキャリアステージに合った資格を選ぶことが重要です。
SSCPの難易度
SSCPの難易度について、一般的な傾向として次のことが言えます。
・難易度はCompTIA Security+より高く、CISSPより低いと評価されることが多い
・英語のみの試験のため、英語に不慣れな場合は体感難易度が上がる
・実務で携わっているドメインは解きやすく、未経験ドメインは概念理解が必要になる
よくあるつまずきとして、「担当業務のドメインは得意だが、触れたことのないドメイン（たとえば暗号技術の数学的な背景や、フォレンジックの手順）で得点が落ちる」というパターンがあります。7ドメインを均等に学習することが合格への近道です。
合格のための勉強法
1. 公式リソースをベースに学習計画を立てる
まず、ISC2公式サイトから最新の「SSCP Exam Outline」をダウンロードし、各ドメインの出題比率を確認します。これが学習の地図になります。ISC2公認の教材やCBK（Common Body of Knowledge）ガイドは体系的な構成になっており、ベーステキストとして有効です。
2. 模擬試験で弱点ドメインを洗い出す
SSCP向けの模擬試験問題集（practice questions）は複数の出版社から刊行されています。Official ISC2 Practice TestsやSybex（Wiley）シリーズが定評を持ちます（購入時に最新版であることを確認してください）。
模擬試験を繰り返し解き、間違えた問題のドメインを記録して重点的に補強するのが効率的です。
3. 実務経験と結びつけながら覚える
SSCPは実務者向けの資格なので、テキストの内容を「自分の職場ではどう実装しているか」に結びつけながら覚えると定着しやすくなります。現場でセキュリティ業務に携わっているエンジニアにとって、実務感覚で解ける問題も多く含まれています。
4. セキュリティ英語の読解力を鍛える
試験が英語のみであるため、セキュリティ英単語への慣れは必須です。NIST SP 800シリーズや各種セキュリティフレームワークの原文を日常的に読む習慣をつけておくと、本番での読解ストレスを大幅に減らせます。
SSCPキャリアへの活かし方
SSCP取得後に活かせるキャリアパスとして、一般的に次のようなシナリオが考えられます。
・セキュリティアナリスト・SOCアナリスト: ドメイン3（リスク識別・監視）とドメイン4（インシデント対応）の知識が直結する
・情シス・インフラエンジニア: アクセス制御・ネットワークセキュリティの実務知識を国際資格で証明できる
・クラウドエンジニア: ドメイン7（システム・アプリケーションセキュリティ）がクラウド設計に活かせる
・転職・昇格交渉: ISC2ブランドの国際資格として採用担当者に説明しやすく、給与交渉の材料になる
特に、インフラ・ネットワークエンジニアがセキュリティ専門職へキャリアチェンジする際の「橋渡し資格」として機能するケースが多く見られます。セキュリティ専門職への転換を考えているエンジニアにとって、SSCPはその第一歩として現実的な選択肢です。
よくある誤解と注意点
誤解1：「英語が読めればなんとかなる」
SSCPはシナリオベースの問題が多く、微妙なニュアンスの違いで正解が変わります。語彙と読解の精度を高めておかないと、英語力で失点するリスクがあります。
誤解2：「実務経験があれば無勉強でも通る」
特定のドメインに偏った実務経験しかない場合、カバーできていないドメインで大きく失点します。自分の実務で触れていないドメインほど、テキストと問題演習での補完が必要です。
誤解3：「SSCPを取ればCISSPは不要」
SSCPとCISSPでは対象とするレベルが異なります。セキュリティのマネジメント・設計・リーダーシップを担う立場を目指すなら、SSCPはあくまでCISSPへの通過点です。長期的なキャリア目標に応じて、次のステップも視野に入れておきましょう。
本記事のまとめ
| 項目 | 内容 |
|---|---|
| 認定機関 | ISC2 |
| 出題数・時間 | 125問・3時間 |
| 合格基準 | 1,000点中700点以上 |
| 実務経験要件 | 1ドメイン以上で1年以上（アソシエイト制度あり） |
| 難易度 | 中級（Security+より難しく、CISSPより取りやすい） |
| 向いている人 | CISSPを目指すがまだ経験年数が足りない実務者、実務知識を体系化したいエンジニア |
| 更新 | 3年ごと（CPEポイント取得＋年会費） |
SSCPは「CISSPほどのハードルはないが、しっかりとしたセキュリティ実務知識が求められる実務者のための資格」です。7つのドメインを横断的に学ぶことで、実務経験の偏りを補完しながら、より広い視野でセキュリティを捉えられるようになります。
資格取得の目的は点数を取ることではなく、セキュリティの視野を広げて実務に活かすことです。SSCPの学習プロセス自体が現場のセキュリティ力向上に直結するため、受験を考えているエンジニアは早めに取り組む価値があります。
PR
体系的に学ぶ 安全なWebアプリケーションの作り方 第2版（徳丸浩／SBクリエイティブ）
SSCPのアクセス制御・暗号技術・アプリケーションセキュリティの各ドメインに対応した知識を日本語で体系的に学べる定番書。セキュリティの基礎を現場レベルで固めたいエンジニアに長く支持されています。
