新版 CISSP CBK 公式ガイドブック

セキュリティ専門家の国際的認証基準として需要が高まっている CISSP (Certified Information Systems Security Professional)。2005 年既刊の邦訳版から 12 年が経ち、CISSP のドメインが変更され内容・訳語が古くなったため、最新の第 4 版の邦訳版を日本語公式ガイドブックとして出版。技術知識はもちろん、経営・法律知識まで完全に網羅し、セキュリティの設計・運用・実装を理解するための最高のテキスト。

※CISSP 取得者数: 世界 160 か国以上で約 12 万人、日本で約 1900 名 (2018 年 1 月時点)
【1 巻】
第 1 章 セキュリティとリスクマネジメント
第 2 章 資産のセキュリティ
第 3 章 セキュリティエンジニアリング
【2 巻】
第 4 章 通信とネットワークセキュリティ
第 5 章 アイデンティティとアクセスの管理
第 6 章 セキュリティ評価とテスト
【3 巻】
第 7 章 セキュリティ運用
第 8 章 ソフトウェア開発のセキュリティ
4 巻】
付録 A 章末レビュー問題の解答
付録 B 第 1 章 資料 付録 C 第 2 章 資料
付録 D 第 3 章 資料 付録 E 第 4 章 資料
付録 F 第 5 章 資料 付録 G 第 6 章 資料
付録 H 第 7 章 資料 付録 I 第 8 章 資料
付録 J 索引

CISSP (Certified Information Systems Security Professional) の出題範囲を体系化した CBK (Common Body of Knowledge) を、運営団体の公式ガイドとして日本語で通読できるのが『新版 CISSP CBK 公式ガイドブック』 (アダム・ゴードン 編、笠原久嗣 / 井上吉隆 / 桑名栄二 監訳、NTT 出版、2018 年 7 月刊) です。原著は Official (ISC)² Guide to the CISSP CBK の第 4 版で、B5 変型判の全 4 巻に分かれています。版元の紹介によれば、2005 年に刊行された邦訳版から 12 年が経ち、CISSP のドメインが変更されて内容と訳語が古くなったため、第 4 版の邦訳を日本語公式ガイドブックとして出し直したのがこの新版で、旧版の書名は『CISSP 認定試験公式ガイドブック』でした。情報セキュリティ の管理職や、英語の原著に入る前に日本語で全体像を押さえたい受験予定者が主な読者です。

全 4 巻 8 章の構成、リスクマネジメントから開発セキュリティまで

8 つの章がそれぞれ CISSP の 8 ドメインに対応し、3 章ずつ、3 章、2 章の順で 3 巻に分冊されています。1 巻は第 1 章「セキュリティとリスクマネジメント」、第 2 章「資産のセキュリティ」、第 3 章「セキュリティエンジニアリング」、2 巻は第 4 章「通信とネットワークセキュリティ」、第 5 章「アイデンティティとアクセスの管理」、第 6 章「セキュリティ評価とテスト」、3 巻は第 7 章「セキュリティ運用」と第 8 章「ソフトウェア開発のセキュリティ」です。4 巻は付録のみで、章末レビュー問題の解答 (付録 A)、第 1 章から第 8 章それぞれの資料 (付録 B〜I)、索引 (付録 J) を収めます。問題の解答と参考資料を別巻に切り出しているため、本文の巻を読みながら 4 巻を横に置く使い方になります。

CBK が技術書と違う理由、経営と法律まで含む知識体系

版元は本書の守備範囲を、技術知識はもちろん、経営 / 法律知識まで含むものと説明しています。これは CISSP という資格の性格そのもので、ISC2 が公開している 2024 年 4 月 15 日有効の試験概要でも、8 ドメインの先頭に置かれた Security and Risk Management の比重が 16% と最も大きくなっています。個別の脆弱性や攻撃手法を深く追う技術書と異なり、CBK は機密性 / 完全性 / 可用性という目標に対して、資産を洗い出し、脅威と脆弱性からリスクを見積もり、法規制と契約上の義務を踏まえて統制を選び、運用と監査で有効性を確かめるという、組織全体の判断の流れを一つの体系にまとめたものです。アイデンティティとアクセスの管理 や暗号技術のような技術ドメインも、実装手順ではなく「どの状況でどの方式を選び、何を根拠に説明するか」という判断の観点から記述されるのが CBK の読み方で、そこが 4 巻に及ぶ分量の理由でもあります。

原著第 4 版と 2024 年有効の試験概要の差、受験者が押さえる注意点

本書は 2018 年刊で、底本は原著第 4 版です。ISC2 の試験概要は改定を重ねており、2026 年 9 月時点で公開されているものは 2024 年 4 月 15 日有効の版で、ドメイン数は 8 のまま名称と細目が更新されています。たとえば本書の第 3 章に当たるドメインは、公開中の概要では Security Architecture and Engineering という名称になっており、本書の章題「セキュリティエンジニアリング」とは範囲の切り方が異なります。受験目的で使うなら、本書は概念の日本語での理解と体系の把握に使い、出題の細目と比重は必ず公式の試験概要で確認する二段構えが前提です。受験資格についても、ISC2 の公開要件では 8 ドメインのうち 2 つ以上で累計 5 年以上の実務経験が必要で、学位や承認済みの資格で最長 1 年分を充当でき、経験が不足する人は Associate of ISC2 として合格後 6 年以内に経験を満たす道が用意されています (2026 年 9 月時点)。

日本語で体系を通読したい管理者に向く読者と、向かない人

向いているのは、情報セキュリティ部門の管理職やコンサルタント、監査担当のように、技術 / 経営 / 法律をまたぐ判断を日本語の用語で整理したい人です。社内のセキュリティ教育の基準書として、監訳された訳語で 8 ドメインを揃える用途にも合います。一方で、Web アプリケーションの脆弱性対策や攻撃手法をコードと手順で身につけたい人には目的が違う本で、その場合は セキュリティ本ガイド で扱う実装寄りの技術書の方が早く効きます。試験直前に出題細目だけを詰めたい人にも、2018 年刊の本書だけでは足りず、公式の試験概要と問題集を主軸にした方が合理的です。資格書を技術書とどう使い分けるかは IT 資格の参考書と技術書の使い分けガイド の考え方が参考になります。

版元が記す 2018 年 1 月時点の取得者数は世界 160 か国以上で約 12 万人、日本で約 1900 名で、日本語で読める公式ガイドの存在自体が学習の入口を広げてきました。英語の原著や公式の試験概要と行き来しながら、日本語で 8 ドメインの地図を手元に置きたい人にとって、4 巻に分かれた本書は長く机上に残る一冊です。