CISSPとは？通信とネットワークセキュリティの設計をわかりやすく解説

CISSPとは？資格の基本を解説

CISSP（Certified Information Systems Security Professional／認定情報システムセキュリティ・プロフェッショナル）は、国際情報システムセキュリティ認証コンソーシアム「(ISC)²」が実施する、世界規模で高い信頼性を誇る情報セキュリティ資格です。高度なITセキュリティの脅威、統制（コントロール）、最新技術に関する専門知識と実務経験が問われます。

CISSP保有者に求められる役割

CISSPの対象範囲は非常に広く、セキュリティとリスク管理にとどまらず、通信・ネットワークセキュリティ、事業継続計画・災害復旧（BCP／DR）といった緊急時対応、セキュリティテストやセキュリティ運用まで含まれます。そのため、組織のセキュリティ戦略全体を設計・管理できるリーダー級の人材として高く評価されています。

CISSPの8つのドメイン

CISSPの試験範囲（CBK：共通知識体系）は、以下の8つのドメインで構成されています。

1. セキュリティとリスク管理 — 組織のリスクとセキュリティガバナンスの管理
2. アセットセキュリティ — 情報資産の保護
3. セキュリティアーキテクチャとエンジニアリング — セキュリティシステムの設計・構築
4. 通信とネットワークセキュリティ — ネットワーク経由の通信の保護
5. アイデンティティおよびアクセス管理（IAM）
6. セキュリティ評価とテスト
7. セキュリティオペレーション
8. ソフトウェア開発セキュリティ

なお、旧版の試験では10ドメイン構成でしたが、現在は上記の8ドメインに再編されています。

ドメイン4「通信とネットワークセキュリティ」とは

通信とネットワークセキュリティは、CISSP試験の第4ドメインに位置づけられる重要分野です。クライアントPCと、SAPソリューションなどの基幹システムが稼働するホストOSとの間の通信において、認証、完全性、機密性の保護を実現することを目的とします。CISSP保有者は、この分野における公認のエキスパートとして認められています。

ネットワークセキュリティ設計のポイント

ネットワークセキュリティを確保するには、想定される問題を未然に防げるようなネットワーク設計が不可欠です。設計時には、次のような要素を考慮する必要があります。

• 多層防御（ディフェンス・イン・デプス）：単一の対策に頼らず、複数の防御層を重ねる
• 区分化（コンパートメント化）：ネットワークを分割し、被害の拡大を防ぐ
• 最小権限の原則：必要最小限のアクセス権のみを付与する
• 最弱リンクへの配慮：システム全体の中で最も脆弱な部分を特定し補強する

ネットワーク通信プロトコルとは

ネットワーク通信プロトコルとは、ハードウェアやOSの違いに関係なく、アプリケーションプログラム同士が相互に通信できるようにするための、確立されたルールと標準の集合です。各種のサービス要求も、このネットワークを通じて行われます。

ネットワークセキュリティの主な種類

ネットワークセキュリティには、さまざまな技術・手法があります。代表的なものは以下の通りです。

• アクセス制御（システムへのアクセス権限の管理）
• マルウェア対策（アンチウイルス・アンチスパイウェアなどの検出・防止ソフトウェア）
• アプリケーションセキュリティ（アプリケーションコードの安全性確保）
• 行動分析（ビヘイビアアナリティクス）
• データ損失防止（DLP）
• DDoS（分散型サービス拒否）攻撃対策
• メールセキュリティ
• ファイアウォール

なぜネットワークセキュリティが必要なのか

ネットワークを保護するということは、悪意のあるユーザーやデバイスによる不正利用、情報の誤用、そして偶発的な破壊から守ることを意味します。ネットワークを安定して稼働させ、すべての正規ユーザーを安全に保つために、ネットワークセキュリティは不可欠です。適切な対策により、許可されていないユーザーがネットワークへアクセスすることを防ぐことができます。

CISSP試験の形式と内容

現在、英語版のCISSP試験はCAT（Computerized Adaptive Testing：コンピュータ適応型テスト）方式で実施されており、出題数は100〜150問、試験時間は最大3時間です。CAT方式では、直前の回答の正誤に応じて次の問題の難易度が変化します。一方、英語以外の言語版では、250問・6時間の線形（固定式）試験が引き続き採用されています。

試験では、セキュリティとリスク管理、アセットセキュリティ、セキュリティエンジニアリングなどを含む(ISC)²のCBKに対する理解度を測るため、選択式問題と先進的な革新的問題が出題されます。ドメイン別の出題比率は、たとえばソフトウェア開発セキュリティが10%など、合計100%となるよう配分されています。

CISSPの受験要件

CISSPの認定を受けるには、8つのCBKドメインのうち少なくとも2つにおいて、通算5年以上の常勤かつ有給の実務経験が必要です。実務経験がない状態で試験に合格した場合は「Associate of ISC2」として認められ、必要な経験を積んだ後に正式な認定となります。

CISSPは今も価値があるのか

答えは「はい」です。(ISC)²のCISSP認定は、約9万人が参加するLinkedInのサイバーセキュリティコミュニティによって高く評価され、業界をカバーする50の資格・コースの中から「最も価値のある資格」として選ばれました。

セキュリティ関連の職位に就く方にとって、CISSPの取得は事実上必須といえます。また、専任のセキュリティ担当者を置かず、IT汎用職員がセキュリティ業務を兼務することが多い中小企業のITプロフェッショナルにとっても、大きなメリットがあります。

誰がCISSPを受験すべきか

セキュリティ分野で通算5年以上の経験をお持ちの方は、CISSP受験を検討する絶好のタイミングです。資格取得後は、転職活動での競争力向上、現職での給与交渉、履歴書の価値向上など、キャリア面で多くの利点が期待できます。