情報セキュリティマネジメントの勉強方法｜科目A→科目Bの3段階と公開問題の使い方

情報セキュリティマネジメント試験の勉強方法は、①情報セキュリティの土台の言葉（機密性・完全性・可用性、脅威・脆弱性・リスク）を先にそろえ、②科目Aの重点4分野を「脅威と対策の対」で覚え、③科目Bの場面問題を本文の事実から判断する練習をする、の3つが要点です。合格は科目A・Bを合わせた総合評価点で決まり（1,000点満点で600点以上）、科目ごとの足切りはありません。だからこそ、出題の多い重点分野を確実にし、科目Bで崩れない読み方を作るのが近道です。

この記事は、情報セキュリティマネジメント講座を運営する資格のエアポート（株式会社KUBOYA）が、IPA（独立行政法人情報処理推進機構）の試験要綱・シラバス・公開問題の案内を確かめて書いています。

この記事で分かること

試験の採点の仕組み（IRT・総合評価点600点）から決まる、勉強の優先順位
インプット→問題演習→直前の仕上げの3段階で、それぞれ何をどこまでやるか
分野ごとの勉強のしかたと、科目Bの読み方の手順
公開されている問題（令和5〜8年度の公開問題と、平成28〜令和元年度の筆記試験）の使い分け
2026年12月28日からの試験休止と、2027年度の新しい試験制度への備え方

試験日程・申込・合格率をまとめて確かめたい方は、先に情報セキュリティマネジメント試験とは？（試験ガイド）をご覧ください。

情報セキュリティマネジメント試験は何を勉強すればいい？試験の仕組みから決まる優先順位

勉強の順番を決める前に、試験がどう採点されるかを押さえます。ここを知らずに参考書を最初から読むと、出題の少ない細部に時間を使いがちです。

項目	内容（IPAの公表）
試験時間	120分（科目Aと科目Bを1つの試験時間の中でまとめて実施）
出題数	60問（科目A 48問・科目B 12問）
出題形式	科目A：多肢選択式（四肢択一）／科目B：多肢選択式
採点方式	IRT（項目応答理論）で解答結果から評価点を出す
評価に使う問題	60問のうち54問。残り6問は今後出題する問題の評価に使う
合格基準	総合評価点が600点以上（1,000点満点）
実施方式	CBT方式（会場のパソコンで受験）。日時と会場は申込み時に自分で選ぶ
受験手数料	7,500円（税込）

（IPA「情報セキュリティマネジメント試験」「出題内容」、試験要綱Ver.5.6、CBTソリューションズの試験案内で2026年11月14日に確認）

この表から、勉強の方針が3つ読み取れます。

足切りが無いので、得意で取り切る作戦が使える。 合格は総合評価点だけで決まります。科目Aで取り切れれば、科目Bの1〜2問の取りこぼしは致命傷になりません。逆も同じです
「何問正解で合格」とは言えない。 IRTは問題ごとの難しさなどを踏まえて評価点を出す方式で、さらに60問のうち6問は採点に使われません。どの6問かは受験者には分かりません。「6割解ければ合格」と単純に考えず、練習では7割以上を安定して取ることを目標にすると余裕が持てます（この7割は、当社が勧める練習の目安で、IPAの基準ではありません）
科目Bは科目Aの知識を使う問題。 科目Bは情報資産管理・リスクアセスメント・委託先管理・教育などの場面を題材にしたケース問題です。科目Aで覚えた言葉の意味があいまいだと、科目Bの本文が読めません

科目Aの重点分野は「情報セキュリティ全般」「情報セキュリティ管理」「情報セキュリティ対策」「情報セキュリティ関連法規」の4つで、関連分野としてテクノロジ・マネジメント・ストラテジ（ネットワーク、システム監査、経営管理など）も出ます（IPA「出題内容」）。まず重点4分野、関連分野は後から、が基本の順番です。

公開問題の集計で見ても、セキュリティの3分野が中心

当社が平成28年春〜令和元年秋の筆記試験の公開問題400問を論点ごとに集計したところ、「情報セキュリティ対策」「情報セキュリティマネジメント」「情報セキュリティの脅威」の3分野で約62%を占めました（当社の独自の分類で、IPAの公式の出題比率ではありません）。くわしくは科目Aでよく出る分野ランキングにまとめています。

情報セキュリティマネジメントの勉強は3段階で進める

勉強は「インプット」「問題演習」「直前の仕上げ」の3段階に分けると、いま何をすべきかが迷いにくくなります。段階ごとの「終わりの目安」を決めておくのがコツです。

段階	やること	終わりの目安	使う教材
1. インプット	土台の言葉→重点4分野→法規→関連分野の順に、仕組みを理解する	主な用語を「何を防ぐためのものか」まで自分の言葉で説明できる	テキスト・授業動画、分野ごとの確認問題
2. 問題演習	科目Aの問題を分野ごとに解く。並行して科目Bの公開問題で読み方を練習する	科目Aの分野別演習で7割以上。科目Bの公開問題で、正解の根拠を本文から示せる	IPAの公開問題・筆記試験の問題、問題集
3. 直前の仕上げ	60問・120分の通し演習で時間配分を確かめ、間違えた論点だけ戻る	通しで7割以上を2回続けて取れる	模擬試験、間違えた問題のメモ

段階1：インプットは「土台の言葉」から始める

最初の数日は、次の言葉の関係だけに集中します。ここが通ると、後の分野がすべて「なぜその対策をとるのか」でつながります。

機密性・完全性・可用性（情報セキュリティの3要素）と、真正性・責任追跡性・否認防止・信頼性
情報資産・脅威・脆弱性・リスクの関係（脅威が脆弱性を突いたとき、資産に損害が出る可能性がリスク）
リスクアセスメント（特定・分析・評価）とリスク対応（回避・低減・移転・保有）

それぞれ機密性・完全性・可用性の違い、脅威・脆弱性・リスクの違い、リスク対応の4つの違いで、具体例つきで整理しています。

土台ができたら、重点4分野を進めます。インプットの段階では、1つの分野を見終えるたびに、その分野の確認問題を解いてから次へ進むのが大切です。全分野を読み終えてからまとめて解くと、最初の分野を忘れてしまいます。

段階2：問題演習は「間違えた理由」を分けて記録する

演習で間違えたときは、理由を次の3つに分けてメモします。理由によって、戻る場所が違うからです。

間違えた理由	戻る場所
用語を知らなかった・混同した	テキスト・授業のその論点。似た用語を表にして並べ直す
知っていたが、場面に当てはめられなかった	科目Bの読み方の手順（後述）。本文のどの文が根拠かを書き出す
読み違い・時間切れ	設問を先に読む練習。1問にかける時間の上限を決める

段階3：直前の仕上げは「通し演習」と「間違いノート」だけ

最後の1〜2週間は新しい教材に手を広げません。60問を120分で解く通し演習を1〜2回行い、時間配分を体で覚えます。あとは段階2で作ったメモを見返し、同じ論点を2回以上間違えたものだけ戻って確かめます。

CBT方式は申込み日から3日目以降の空席のある日が選べ、申込み内容の変更は試験日の3日前まで、という決まりです（CBTソリューションズの案内）。直前に日程を動かしたくなっても、変えられない期間があります。仕上げの計画は試験日から逆算して立ててください。

科目Aの分野ごとの勉強方法

科目Aの48問は知識を問う問題です。分野ごとに、点の取りやすさとつまずく所が違います。

情報セキュリティの脅威（攻撃の手口）

マルウェア、フィッシング、標的型攻撃、ランサムウェア、Webアプリケーションへの攻撃（SQLインジェクション・XSSなど）が中心です。手口の名前だけを覚えると、選択肢で似た名前が並んだときに迷います。「どこを狙う攻撃か（人・ネットワーク・Webアプリ・パスワード）」「効く対策は何か」の2つをセットで覚えると、科目Bにもそのまま使えます。

情報セキュリティ管理（ISMS・リスクマネジメント）

この試験の名前どおりの中心分野です。情報セキュリティポリシーの構成（基本方針・対策基準・実施手順）、リスクアセスメントの流れ、PDCAによる継続的改善、インシデント対応の流れが問われます。順番が問われやすいので、流れを図や表に書いて覚えます。ISMSとPDCAサイクル、インシデント対応の流れとCSIRTが参考になります。

情報セキュリティ対策（暗号・認証・ネットワーク）

IT部門以外の方がいちばんつまずく分野です。共通鍵暗号と公開鍵暗号、ハッシュ関数、デジタル署名、PKI（公開鍵基盤）、多要素認証、ファイアウォール・IDS/IPS・WAFなどが並びます。つまずく理由の多くは「誰の、どの鍵で、何をするか」が混ざることです。「暗号化は受け取る人の公開鍵、署名は送る人の秘密鍵」のように、鍵の持ち主と目的を表にして整理すると一気に解けるようになります。共通鍵暗号と公開鍵暗号の違いとデジタル署名の仕組みで手順を図の代わりに表で示しています。

情報セキュリティ関連法規

不正アクセス禁止法、個人情報保護法、刑法のコンピュータ犯罪、著作権法・不正競争防止法、労働者派遣・請負などの契約が出ます。法規は暗記で点が取りやすい分野です。「何をしたら違反か」「誰が対象か」を短い文で言えるようにします。

法令名は改正で変わることがあります。IPAのシラバスVer.4.1では「プロバイダ責任制限法」が削除され「情報流通プラットフォーム対処法」が追加されました（IPA「試験要綱・シラバスについて」）。古いテキストを使うときは、法令名が現行のものか確かめてください。

科目Bの勉強方法：本文の事実から答えを出す

科目Bの12問は、情報資産管理・リスクアセスメント・IT利用の安全確保・委託先管理・教育や訓練などの場面を題材にしたケース問題です（IPA「出題内容」）。初めて見る会社の場面でも、答えの材料は本文の中にそろっています。外から特別な知識を持ち込む問題ではありません。

当社が令和5〜8年度の公開問題の科目B 12問を集計すると、バックアップ・復旧、リスクの評価、マルウェアへの対応、クラウドとアクセス管理といった場面が繰り返し出ていました（科目Bで問われる場面の型）。

読み方は、次の4つの手順を毎回同じ順で行うと安定します。

手順	やること	よくある失敗
1. 設問を先に読む	何を選ぶ問題か（規程違反の行動・足りない対策・正しい手順など）を先に知る	本文を最初から全部読んで時間が足りなくなる
2. 基準を取り出す	社内規程・ルール・点検の基準など、判断のものさしになる文に印をつける	自分の会社の常識で判断してしまう
3. 事実を当てはめる	登場人物の行動や記録を、基準と1つずつ照らし合わせる	「一般的に良い対策」を選んで、本文の条件に合わない
4. 決まる所から絞る	空欄や選択肢が複数なら、確実に決まる所から選択肢を消す	最初の空欄で迷い続ける

科目Bで点が伸びない人の多くは、知識不足より「本文に無い前提を足してしまう」ことが原因です。答えを選んだら、その根拠になる本文の1文を指させるかを確かめる習慣をつけてください。

科目Bの練習を始める時期は、重点4分野のインプットが半分ほど進んだころが目安です。全部終わってからでは、読み方の練習に使える時間が足りなくなりがちです。

過去問・公開問題はどう使う？何年分を何周やればいい？

IPAは、この試験の問題を次のように公開しています（IPA「過去問題」）。

公開されている問題	内容	使い方
令和5年度以降の公開問題	現在のCBT方式で実際に出題した問題の一部（令和5・6・7・8年度。令和8年度分は2026年7月1日公開）	現行の形式の練習。特に科目Bの読み方の練習に使う
平成28年度〜令和元年度の筆記試験の問題	CBT化の前の、午前・午後の形式の問題冊子と解答例	午前の問題は科目Aの知識の確認に使える。午後は形式が今と違うので、場面の読み方の練習として使う
令和2〜4年度	非公開	—

使い方の目安は次のとおりです（当社の勧める進め方で、IPAが示す基準ではありません）。

令和5〜8年度の公開問題は全部、2周以上。 1周目は時間を気にせず根拠を確かめ、2周目は時間を計って解きます。分量が多くないので、答えの番号を覚えてしまったら、「なぜ他の選択肢が違うか」を説明する練習に切り替えます
筆記試験の午前の問題は、分野別に解く。 年度ごとに通して解くより、暗号なら暗号の問題だけを数年分まとめて解くほうが、似た論点の違いがはっきりします
シラバスと照らし合わせる。 古い問題には、今の出題範囲から外れた分野（開発やプロジェクトマネジメントの細かい論点など）が含まれます。シラバスVer.4.1にない論点は深追いしません

古い問題の答えは、法改正や用語の変更で今の正解と変わっていることがあります。とくに法規の問題は、現行の法令名・内容で確かめ直してください。この記事では問題文は載せていません。問題はIPAの公式サイトから入手できます。

働きながら・短期間で合格をめざす人の工夫

受験者の多くは社会人です。IPAの統計では、令和7年度の受験者45,924人のうち社会人が40,860人でした（統計資料令和8年3月分）。限られた時間で進めるための工夫をまとめます。

時間帯	向いている勉強
通勤・休憩などのすき間時間（10〜15分）	授業動画を1本見る、確認問題を数問解く、用語の見直し
平日の夜（30〜60分）	科目Aの分野別演習、間違いメモの整理
休日（まとまった時間）	科目Bの公開問題をじっくり、通し演習

試験日を先に決める。 CBT方式は空席があればいつでも選べるため、日付を決めないと勉強が伸び続けます。申込み手順は申込み方法と受験の流れにまとめています
勉強時間は「量」から逆算する。 出典の無い「◯時間」に合わせるより、手元の教材の量で計算するほうが確実です。たとえば当社の講座は授業動画が53本（1本10分前後）なので、動画を見るだけなら合計9時間前後です。これに確認問題・公開問題の演習・通し演習の時間を足して、1日に使える時間で割ると、必要な週数の目安が出ます（あくまで計算の例です）
期間別の計画は別記事で。 2か月で合格をめざす学習スケジュールと、時間が無い人向けの1か月の短期集中プランで、週ごとの例を示しています

2026年12月〜2027年度の試験はどうなる？今から勉強する人の注意

いま勉強を始める方は、試験の予定に2つの変化があります。

時期	内容（IPAの公表）	勉強への影響
2026年12月28日〜2027年1月下旬	システムの入れ替えのため、CBT方式の試験を一時休止。再開は2027年1月下旬、申込み受付は1月中旬以降の予定	年内に受けるなら12月27日までに受験が必要。休止後の日程へは変更できない
2027年度から	新しい試験制度へ移行する予定。情報セキュリティマネジメント試験のシラバス案Ver.0.1が2026年9月30日に公表	新制度の内容は検討中で変わる可能性あり。最新の発表を確かめる

（IPA「2027年1月以降の実施予定について」〔2026年11月5日〕、「試験制度の見直しについて」「新試験制度のシラバス案について」で2026年11月14日に確認）

シラバス案Ver.0.1を見ると、科目Aの出題範囲は全試験区分に共通の新しい体系（「セキュリティ」「倫理・コンプライアンス」「組織活動」「デジタル技術」などの大分類）に組み替えられています。一方で、セキュリティの中分類（情報セキュリティの脅威・情報セキュリティマネジメント・情報セキュリティ対策）や、科目Bで求める技能（情報資産管理の計画、リスクアセスメントとリスク対応など）は、今の試験と同じ考え方が中心に残っています。

シラバス案は「公表時点の検討状況に基づくもので、変更する可能性がある」とIPAが明記しています。新制度の試験時間・出題数・開始時期の細部はまだ確定していません。この記事の勉強方法（土台の言葉→重点分野→科目Bの読み方）は、どちらの制度でも中心になる部分です。

もう1つ、不合格だったときの再受験にも決まりがあります。同じ試験区分を受け直す場合、選べる受験日は前回の受験日の翌日から数えて30日を超えた日以降です（CBTソリューションズの再受験規定）。休止期間と重なると次の受験がさらに先になるので、年内の受験を考えている方は早めに日程を決めてください。

よくある失敗と対策

よくある失敗	対策
参考書を最初から順に読み、科目Bの練習に入るのが試験直前になった	重点4分野のインプットが半分進んだ時点で、科目Bの公開問題を1問解いてみる
用語の名前は言えるが、何を防ぐ対策か説明できない	「脅威→対策」の対の表を自分で作る。確認問題で選択肢の誤りの理由まで説明する
暗号・認証で鍵の使い方が混ざる	「誰の鍵で・何をするか」を1枚の表にまとめ、毎回それを見ながら解く
古い問題集の答えを、今の正解だと思い込む	法規と用語はシラバスVer.4.1と現行の法令で確かめる
「6割で合格」と考えて、練習の点が6割ちょうどで受けた	IRTと採点外の6問があるので、練習では7割以上を安定させてから受ける
試験日を決めずに勉強を続け、間延びした	勉強を始めて最初の週に受験日を仮で決める（休止期間に注意）

独学と通信講座、どちらで勉強する？

情報セキュリティマネジメント試験は、令和5〜7年度の合格率（合格者÷受験者）が72.6%・69.0%・70.0%で（IPA統計資料）、受験資格もありません。市販のテキストと公開問題で独学する方も多い試験です。独学で迷いやすいのは「どの順番で、どこまで覚えるか」と「科目Bの読み方を誰に聞くか」の2点です。

こんな人は	向いている進め方
ITの基礎があり、自分で計画を立てて進められる	テキスト1冊＋公開問題の独学
ITの用語に慣れていない・どこから始めるか迷う	順番が決まっている授業動画や通信講座
紙の教材に書き込んで勉強したい	市販のテキスト・問題集が中心（動画中心の講座は合わない）
分からない所をその場で聞きたい	質問できる講座

くわしい比べ方は独学と通信講座どちらがいいか、各社の料金・内容は情報セキュリティマネジメントの通信講座の比較、合格率の推移は合格率の記事にまとめています。

資格のエアポートの講座でできること

資格のエアポートの情報セキュリティマネジメント講座は、出題範囲を53本の授業動画（1本10分前後）に分け、この記事の3段階に沿って進められるようにしています。

段階1：分野ごとの授業動画と確認問題（脅威・ISMS・対策・法規・関連分野・科目Bの解き方）
段階2：科目Bの解き方の授業で、上の4つの手順を練習
段階3：本試験と同じ科目A 48問・科目B 12問・120分の模擬試験2回分
分からない所は、AI講師トーレスにその場で質問できます

料金は月額817円〜（年額プラン9,800円・一括払いの月あたり。月額プランは2,980円。いずれも税込）です。一方で、紙のテキストに書き込んで勉強したい方や、人の講師に直接質問したい方には合いません。その場合は市販のテキストや、ほかの講座も比べてみてください。

よくある質問

Q. 情報セキュリティマネジメント試験はITの知識が無くても合格できますか？

受験資格はなく、実務経験も問われません。ネットワークや暗号などのITの用語は出ますが、問われるのは「仕組みと目的」の理解が中心です。土台の言葉から順に進め、ITの基礎（関連分野）は重点分野の後に必要な範囲だけ学べば十分に対応できます。

Q. 科目Aと科目Bはどちらから勉強すればいいですか？

科目Aの知識が先です。科目Bは科目Aで覚えた言葉を場面に当てはめる問題なので、言葉があいまいなままでは本文が読めません。ただし、科目Aを全部終えてからではなく、重点分野のインプットが半分ほど進んだら科目Bの公開問題にも手をつけるのがおすすめです。

Q. 過去問だけで合格できますか？

現行の形式の公開問題は、令和5〜8年度の一部の問題だけで、量は多くありません。CBT化の前（平成28〜令和元年度）の筆記試験の問題も知識の確認には使えますが、範囲や法令が今と違う部分があります。過去問だけに頼らず、テキストや授業で範囲を一通り押さえてから演習に使うのが確実です。

Q. 何点取れば合格ですか？

総合評価点が600点以上（1,000点満点）で合格です。IRTで評価点を出し、60問のうち6問は採点に使われないため、「何問正解で合格」とは決まっていません。試験が終わると画面で総合評価点が分かり、合格発表は受験した月の翌月の後半にIPAのサイトで行われます。

Q. 2027年度に試験制度が変わると、今の勉強はむだになりますか？

むだにはなりません。IPAが公表したシラバス案Ver.0.1でも、情報セキュリティの脅威・マネジメント・対策や、リスクアセスメントなどの科目Bの技能は中心に残っています。ただし案の段階で変わる可能性があるため、受験の前にIPAの最新の発表を確かめてください。

まとめ

合格は総合評価点600点以上（1,000点満点）。足切りが無いので、重点分野で確実に取るのが基本
勉強は「土台の言葉→重点4分野（脅威・管理・対策・法規）→関連分野」の順。科目Bは重点分野が半分進んだら並行して始める
科目Bは「設問を先に読む→基準を取り出す→事実を当てはめる→決まる所から絞る」の4手順
練習は令和5〜8年度の公開問題を2周以上。古い筆記試験の問題は分野別に、シラバスと照らして使う
2026年12月28日〜2027年1月下旬は試験が休止。年内に受けるなら12月27日までに受験

まずは今日、機密性・完全性・可用性と、脅威・脆弱性・リスクの関係を自分の言葉で説明できるか試してみてください。そこが最初の一歩です。

情報セキュリティマネジメントの勉強方法｜科目A→科目Bの3段階と公開問題の使い方

月額¥817〜で授業動画が見放題。