結論から言うと、情報セキュリティマネジメント試験は、組織で情報を安全に扱うための知識を身につけたい社会人に向く国家試験です。

プログラミング能力を中心に測る試験ではなく、情報資産の管理、リスク評価、従業員教育、委託先管理、事故対応などを幅広く扱います。営業、総務、人事、経理、企画といった非エンジニアの職種にも関係する内容です。

近年の合格率は約7割ですが、合格率だけを見て「簡単な試験」と判断するのは適切ではありません。用語の暗記に加えて、業務上の事例を読み、原因や対策を判断する力が求められます。

1. 情報セキュリティマネジメント試験とは

情報セキュリティマネジメント試験は、IPA（独立行政法人情報処理推進機構）が実施する「情報処理技術者試験」の一区分です。略号はSGで、2016年度春期から実施されています。

目的は、情報セキュリティマネジメントの計画、運用、評価、改善を通じて、組織を脅威から継続的に守るための基本的な知識と技能を認定することです。

IPAの試験案内では、営業、企画、製造、総務、人事、経理など、業種や職種を問わず情報を扱う人が対象として示されています。

たとえば、次のような業務と関係します。

• 顧客情報を閲覧できる従業員を制限する
• 退職者のアカウントを速やかに停止する
• クラウドサービスの安全性を導入前に確認する
• 委託先が適切に情報を管理しているか確認する
• 情報漏えいが起きたときの報告手順を整備する
• 従業員向けのセキュリティ教育を実施する

サイバー攻撃を技術的に解析する専門家だけを対象とした試験ではありません。情報を扱う現場で、ルールと運用によって事故を防ぐ人に適した試験です。

2. 難易度はどのくらいか

難易度は、受験者のIT知識によって大きく変わります。

情報処理技術者試験の区分では、SGはレベル2相当です。ITパスポートはレベル1相当であるため、位置づけとしては一段上になります。

ただし、基本情報技術者試験もレベル2相当です。両者は上下関係というより、問われる能力の方向が異なります。

• SG：情報管理、リスク対応、規程、教育、事故対応
• 基本情報：アルゴリズム、プログラミング、コンピュータ科学、システム開発

SGでは高度な計算やプログラミング問題は中心ではありません。その代わり、似た用語を区別し、業務の状況に合った対応を選ぶ力が必要です。

難しさの中心は、専門的な計算ではなく、知識を業務事例に当てはめることです。

3. 合格率は約7割でも簡単とは限らない

2023年度から通年CBT方式へ移行した後の合格率は、次のように推移しています。

2026年度は、4～6月の累計で応募者10,821人、受験者9,702人、合格者7,058人となっており、途中経過の合格率は72.7％です。

最新の数値は、IPAの統計情報で確認できます。

約7割という数字だけを見ると、難しくないように感じるかもしれません。しかし、合格率は「知識がない人が無準備で受けた場合の成功確率」ではありません。

受験日を自分で選べるCBT方式では、準備が整ってから申し込む人もいます。また、会社や学校で情報セキュリティを学んだ人、ITパスポートなどの取得後に受験する人も含まれます。

そのため、合格率から読み取れるのは、適切に準備すれば十分に合格を狙える試験であることです。勉強をしなくても7割の確率で受かるという意味ではありません。

4. 試験時間・問題数・合格基準

2026年7月時点の主な試験概要は次のとおりです。

科目Aと科目Bを別々の試験時間で受けるのではなく、両方を合わせて120分で解答します。

採点にはIRT（項目応答理論）が使われます。単純な正答数ではなく、解答結果から1,000点満点の評価点が算出されるため、「60問中36問正解すれば必ず合格」とは限りません。

合格基準の注意点

科目Aと科目Bで、それぞれ600点を取る必要はありません。両科目を合わせた総合評価点が600点以上であれば合格です。

試験時間、問題数、採点方式の詳細は、IPAの出題内容に掲載されています。

5. 科目Aと科目Bの出題内容

科目Aでは、情報セキュリティ管理に必要な知識が問われます。

科目Bでは、業務上の事例を読み、適切な対応を判断します。

たとえば、共有フォルダから顧客名簿が漏えいしたケースでは、単に「アクセス制限を強化する」という知識だけでは不十分です。

• 誰が閲覧する必要があったのか
• 不要な権限が付与されていなかったか
• 権限の申請・承認手続があったか
• 定期的な権限の棚卸しをしていたか
• 操作ログを保存・確認していたか
• 発覚後に誰へ報告するべきか
• 再発防止策をどのように評価するか

問題文に書かれた役割、時系列、社内規程、制約条件を読み取り、原因と対策が対応している選択肢を選ぶ必要があります。

6. なぜ今セキュリティ管理を学ぶ必要があるのか

情報漏えいは、システムの高度な欠陥だけで発生するわけではありません。

• メールの宛先を間違えた
• パスワードを複数のサービスで使い回した
• 退職者のアカウントが残っていた
• クラウドの公開範囲を誤って設定した
• 委託先の管理状況を確認していなかった
• 不審なメールの添付ファイルを開いた
• 事故発生時の連絡先が決まっていなかった

このような人や組織の運用に関する問題は、セキュリティ製品を導入するだけでは防げません。

IPAの情報セキュリティ10大脅威 2026でも、ランサム攻撃、サプライチェーンや委託先を狙った攻撃、システムの脆弱性を悪用した攻撃、標的型攻撃、内部不正などが組織向けの脅威として挙げられています。

対策には、次のような継続的な管理が必要です。

情報資産を把握する
    ↓
脅威と脆弱性を洗い出す
    ↓
発生可能性と影響を評価する
    ↓
リスクへの対応方法を決める
    ↓
管理策を実施する
    ↓
結果を評価し、改善する

SGで扱うのは、特定のソフトウェアを操作する技術ではなく、このような管理の基本です。使用するサービスや攻撃手法が変化しても応用しやすい考え方といえます。

7. ITパスポートとの違い

ITパスポートとSGは、どちらもIPAが実施する国家試験ですが、対象とする範囲が異なります。

ITパスポートは、経営戦略、マーケティング、会計、システム開発、ネットワーク、データベースなどを広く扱います。SGでは、その中から情報セキュリティに関係する領域を深く学びます。

ITパスポートの試験内容では、総合評価点だけでなく、ストラテジ、マネジメント、テクノロジの各分野にも基準点が設定されています。

IT用語をほとんど知らない人は、ITパスポートから始めると学習しやすくなります。一方、仕事でITを利用しており、個人情報や機密情報を扱っている人は、最初からSGに挑戦しても問題ありません。

ITパスポートへの合格は、SGの受験条件ではありません。

8. 基本情報・応用情報・登録セキスペとの違い

関連する情報処理技術者試験との違いは、次のように整理できます。

「ITパスポートより上、基本情報より下」と説明されることがありますが、SGと基本情報はどちらもレベル2相当です。

SGは利用部門や管理部門からセキュリティを支える試験、基本情報はシステムの開発や運用に携わる人の基礎試験と考えると分かりやすいでしょう。

情報処理安全確保支援士試験は、より高度なセキュリティ専門知識を問う試験です。試験合格後、所定の登録手続を行った人が「情報処理安全確保支援士」または「登録セキスペ」を名乗れます。

SGに合格しただけで、登録セキスペになれるわけではありません。

9. 取得する価値が高い人・低い人

資格の価値は、現在の仕事や将来の目標によって変わります。

受験する価値が高い人

• 顧客情報や従業員情報を扱っている
• 総務、人事、経理、営業、企画部門で働いている
• 社内の情報管理担当やセキュリティ担当になった
• クラウドサービスや外部委託先の選定に関わる
• ITパスポートの次に学ぶ資格を探している
• プログラミングより管理・運用を重点的に学びたい
• 基本情報や応用情報へ進む前にセキュリティを固めたい

優先度が低い可能性がある人

• プログラミング能力を証明することが主目的
• 高度な侵入テストやマルウェア解析を学びたい
• 資格だけでセキュリティ専門職へ転職したい
• すでに応用情報や支援士相当の知識がある
• 現在の仕事でも将来の進路でも情報管理に関わらない

SGは幅広い社会人に役立つ一方で、全ての人が最優先で取るべき資格ではありません。目指す職種に必要な知識と一致しているかを確認することが大切です。

10. 役に立つ？意味がないと言われる理由

SGは、情報セキュリティ管理の基礎を体系化する目的では役立ちます。

業務上の問題を「気をつける」「注意する」といった曖昧な言葉で終わらせず、次のように具体化できるためです。

• 情報資産を重要度によって分類する
• 必要な人だけに権限を与える
• 委託先とセキュリティ要件を契約で定める
• インシデントの報告経路を決める
• 定期的にログや権限を確認する
• 教育後の理解度や管理策の効果を評価する

一方で、「意味がない」と言われる主な理由は、資格だけで実務経験を証明できないからです。

SGに合格しても、ネットワークの構築、サーバーの設定、脆弱性診断、インシデント調査を直ちに一人で担当できるわけではありません。転職や昇進、年収アップが自動的に決まる資格でもありません。

役立つ範囲

基礎知識の整理、社内教育、情報管理業務への理解、次の資格への足掛かり

資格だけでは不足する範囲

高度な技術力、業界固有の実務経験、事故対応の経験、専門職としての即戦力

資格の価値を最大限に生かすには、学んだ内容を現在の業務へ当てはめることが重要です。

11. 合格に必要な勉強時間

IPAは、合格に必要な標準学習時間を公表していません。必要時間は、IT用語への慣れ、実務経験、学習方法によって大きく変わります。

計画を立てるための目安は次のとおりです。

これらは合格を保証する時間ではありません。最初に公開問題を解き、結果に合わせて調整する必要があります。

たとえば、80時間を確保する場合の期間は次のようになります。

一度に長時間勉強するより、毎日または週に数回、継続的に用語と問題へ触れる方が知識を定着させやすくなります。

12. 独学で合格するための勉強法

1．公開問題で現在地を確認する

最初から参考書を読み込む前に、一度問題を解きます。点数が低くても問題ありません。知らない用語と、科目Bの文章量を把握することが目的です。

IPAは2026年度の公開問題と解答例を掲載しています。

2．参考書は一冊を軸にする

複数の教材を少しずつ読むより、一冊を最後まで進める方が全体像をつかみやすくなります。

教材を選ぶときは、次の点を確認します。

• 現行のCBT方式に対応している
• 科目Aと科目Bの両方を扱っている
• 発行時期が古すぎない
• 法改正やシラバス変更に対応している
• 解説が用語の暗記だけで終わっていない

3．用語を関係で覚える

単語と意味を一対一で暗記するだけでは、科目Bに対応しにくくなります。

脅威
  ＋
脆弱性
  ↓
情報資産へのリスク
  ↓
管理策で低減する

マルウェアなら、定義だけでなく、侵入経路、被害、予防、検知、隔離、復旧まで関連づけます。

4．科目Bでは選択肢の根拠を説明する

正解した問題でも、根拠を説明できなければ理解が不十分な可能性があります。

• なぜこの対策が必要なのか
• なぜ他の選択肢では不十分なのか
• 問題文のどの記述が根拠なのか
• 予防策なのか、検知策なのか、事後対応なのか

これらを短く言葉にすると、初見の事例にも対応しやすくなります。

5．間違いを原因別に記録する

• 用語を知らなかった
• 似た概念を混同した
• 問題文の条件を読み落とした
• 法律や規格の知識が古かった
• 時間配分に失敗した

間違えた問題を繰り返すだけでなく、失点原因を修正することが重要です。

最新の学習範囲は、IPAの試験要綱・シラバスで確認できます。2026年7月時点では、SGのシラバスVer.4.1が掲載されています。

13. よくある質問

Q. 文系や非エンジニアでも合格できますか？

可能です。プログラミングが中心の試験ではなく、情報管理やリスク対応を重点的に扱います。ただし、ネットワーク、認証、暗号、データベースなどの基礎用語は学ぶ必要があります。

Q. ITパスポートを先に取るべきですか？

必須ではありません。IT用語をほとんど知らない場合は、ITパスポートから始めると理解しやすくなります。仕事でITサービスを使い、情報管理の経験がある人は、SGから挑戦しても構いません。

Q. 過去問だけで合格できますか？

問題演習は重要ですが、答えの丸暗記だけでは科目Bの初見事例に対応しにくくなります。用語の意味と、業務でどのように使うかを結びつけて理解する必要があります。

Q. 合格に有効期限はありますか？

合格そのものに更新制度や有効期限はありません。ただし、攻撃手法、法令、規格、クラウドサービスは変化します。合格後も知識を更新する必要があります。

Q. 就職や転職に役立ちますか？

情報管理の基礎知識を示す材料にはなります。ただし、求人で求められる実務経験や専門技術を資格だけで代替することはできません。

Q. 基本情報とどちらを受けるべきですか？

開発者やITエンジニアを目指すなら基本情報、管理部門や利用部門からセキュリティを支えたいならSGが適しています。両方を取得する場合、受験順に決まりはありません。

14. 2026年以降に受験する場合の注意点

2026年7月時点では、SGはCBT方式で随時実施されています。ただし、IPAは2026年12月28日以降に試験を休止する予定と案内しています。

また、情報処理技術者試験全体について、2027年度から新しい試験制度へ移行する方針が示されています。SG自体は新制度でも継続予定ですが、対象者像や出題範囲などが改定される可能性があります。

2026年中に受験する場合は、会場の空席や申込期限を考え、早めに日程を確認した方がよいでしょう。2027年度以降に受験する場合は、古い参考書だけで判断せず、新しいシラバスを確認する必要があります。

試験休止に関する最新情報はCBT方式の案内、制度変更の検討状況はIPAの新試験制度案内で確認できます。

制度変更は予定であり、今後内容が更新される可能性があります。申込み前には必ず公式情報を確認してください。

15. まとめ

SGは、情報資産、リスク評価、アクセス権限、従業員教育、委託先管理、インシデント対応などを体系的に学べる国家試験です。

重要なポイントを整理すると、次のようになります。

• ITパスポートよりセキュリティ管理を深く扱う
• 基本情報とは同じレベル2相当だが、対象とする能力が異なる
• 試験は120分・60問
• 合格基準は、科目別ではなく総合評価点600点以上
• 近年の合格率は約69～73％
• 合格率は高めでも、科目Bでは事例を読む判断力が必要
• 初学者の勉強時間は100～200時間程度が一つの目安
• 非エンジニアや管理部門の人にも学ぶ価値がある
• 資格だけで専門職への転職や高年収が保証されるわけではない
• 2027年度には新試験制度への移行が予定されている

最初に公開問題を解けば、現在の知識と不足している分野を確認できます。正答率が低くても、弱点が分かれば学習計画を具体化できます。

用語を単独で暗記するのではなく、実際の業務で「何を守るのか」「何が危険なのか」「どの対策が必要なのか」を考えながら学ぶことが、合格と実務への活用の両方につながります。