DOMAIN 1
情報セキュリティガバナンス
INFORMATION SECURITY GOVERNANCE
組織の方針・責任体制と経営目標を結びつけ、情報セキュリティ戦略を策定・推進する領域です。
ガバナンスの基盤
- 組織文化と法令・規制・契約上の要求
- 組織体制、役割と責任、経営層との連携
情報セキュリティ戦略
- 経営目標に沿った戦略、方針、フレームワーク
- 予算・人員・投資効果を踏まえた計画とビジネスケース
EXAM & CERTIFICATION
試験概要・認定制度
FOUR DOMAINS
CISM試験の4つのドメイン（出題領域）
CISM試験は4つのドメインで構成されています。各領域の出題比率と主な出題内容をご紹介します。
2026年11月3日以降の試験に対応
| ドメイン | 出題比率 | 主な内容 |
|---|---|---|
| ドメイン1情報セキュリティガバナンス | 18% | 組織体制、法令・規制、セキュリティ戦略、予算・投資判断 |
| ドメイン2情報セキュリティリスクマネジメント | 20% | リスクの識別・分析・評価、対応方針、責任分担、監視・報告 |
| ドメイン3情報セキュリティプログラム | 33% | 体制・資源の整備、統制の設計・評価、教育、外部委託管理 |
| ドメイン4インシデント管理 | 29% | 対応体制・計画、調査・封じ込め、復旧、事後レビュー・改善 |
※ 出題比率は各ドメインの出題割合を示します。
2026年改定で重視される内容
情報セキュリティ戦略とプログラム開発をより重視するとともに、エンタープライズアーキテクチャ（企業全体の仕組み・構造）と情報セキュリティアーキテクチャ（セキュリティの設計・構造）が新たな出題テーマに加わりました
各ドメインの主な出題テーマ
以下は、ISACAの公開情報をもとに主な出題内容を要約・整理したものです。
出題比率 18%
DOMAIN 2
情報セキュリティリスクマネジメント
INFORMATION SECURITY RISK MANAGEMENT
脅威・脆弱性と事業への影響を把握し、リスクを評価して対応方針を決め、継続的に監視・報告する領域です。
リスクの評価
- 新たな脅威、脆弱性、統制上の不備の把握
- リスクの識別・分析・評価と優先順位の検討
リスクへの対応
- リスクの受容・低減・回避・移転などの対応方針
- リスクと統制の責任分担、継続的な監視と経営への報告
DOMAIN 3
情報セキュリティプログラム
INFORMATION SECURITY PROGRAM
セキュリティ戦略を実行するための体制・資源・ルールを整備し、統制や教育、外部委託管理を運営・改善する領域です。
プログラムの設計・整備
- 人員・ツール・技術など、必要なリソースの整備
- 情報資産の把握・分類、方針・手順・評価指標の策定
統制と日々の運営
- セキュリティ統制の設計・導入・統合とテスト・評価
- 教育・意識向上、外部委託先の管理、関係者への報告
DOMAIN 4
インシデント管理
INCIDENT MANAGEMENT
インシデントへの備えから、発生時の調査・対応、復旧、再発防止まで、組織としての対応能力を高める領域です。
対応への備え
- 事業影響度分析（BIA）と、対応・事業継続・災害復旧の計画
- インシデントの分類基準、訓練・演習と対応能力の評価
対応・復旧と改善
- インシデントの調査・評価、封じ込め、根絶・復旧
- 報告・通知・エスカレーション、事後レビューと改善
出典：ISACA「CISM Exam Content Outline」および2026年改定の公開資料（2026年10月31日確認）。
EXAM & CERTIFICATION
試験合格と、認定取得は異なります。
試験について
| 問題数 | 150問 |
|---|---|
| 試験時間 | 4時間 |
| 受験可能言語 | 日本語 |
| 試験形式 | CBT |
| 合格基準 | 800点満点で450点 |
※ 試験結果は、正答数を200～800点の共通尺度に換算したスケールドスコアで表示されます。450点は単純な正答率を示すものではありません。
認定について
CISMとして認定されるには、試験合格に加え、所定の実務経験要件を満たし、認定申請を行う必要があります。実務経験要件を満たす前に、試験を受けることも可能です。
| 試験合格 | CISM試験に合格していること |
|---|---|
| 実務経験 | 申請日から過去10年以内に、情報セキュリティマネジメントの実務経験が5年以上必要（4ドメイ ン中3ドメイン以上）。 |
| 実務経験の免除 | 有効なCISA・CISSP認定の保有や、所定の学位・職務経験などにより、最大2年間の実務経験が免除される。 ただし、4ドメイン中3ドメインにおける最低3年間の情報セキュリティマネジメント経験は必要。 適用には証明書類の提出とISACAの審査が必要。 |
| 経験の証明 | 上司・管理者等による実務経験の確認が必要 |
| 申請期限 | 試験合格日から5年以内 |
| その他の要件 | ISACAの職業倫理規定・継続教育方針への同意 |
認定を維持する継続教育制度（CPE）
CISM認定を維持するには、情報セキュリティマネジメントに関する知識・専門能力を継続して高め、所定の継続教育（CPE）を取得・報告する必要があります。
CPEの取得要件
毎年20CPE以上1年間の最低取得数
3年間で合計120CPE以上3年間の合計取得数
毎年の最低取得数と3年間の合計取得数の、両方を満たす必要があります。
| 開始時期 | 認定された翌年の1月1日から |
|---|---|
| 時間の換算 | 対象となる講義・研修等への参加は、休憩を除く50分で1CPE |
| 対象活動 | 要件を満たすセミナー、ウェビナー、社内研修、講演・執筆等 |
| 報告・証明 | MyISACAから年次で報告します。証明資料を保管し、CPE監査の対象となった場合に提出 |
2027年1月からのCPE要件
2027年1月1日から、3年間で必要な120CPEのうち、少なくとも90CPEはCISMの出題領域に関連する活動で取得する必要があります。残りの最大30CPEは、リーダーシップやビジネススキルなど、その他の専門能力開発活動にも充当できます。
毎年20CPE・3年間120CPEという必要数は変わりません。120CPEすべてをCISMの出題領域に関連する活動で取得することも可能です。
他資格との重複計上について
CISAなど、複数のISACA認定資格を保有している場合、各資格の要件を満たす活動は、それぞれの資格のCPEとして重複して計上できます。活動内容が各資格の対象領域・要件に適合している必要があります。
非実務・引退ステータスについて
職務から離れる場合には、非実務・引退ステータスの申請制度があります。適用条件や資格名称の使用には制限があります。2027年版のCPE方針では、非実務ステータスはCPEの報告義務が免除されますが、CPEの取得継続と年間維持手数料の納入が必要です。
EXAM & CERTIFICATION FEES
受験・認定費用
ISACAへの入会、CISMの受験・認定申請・資格維持にかかる主な費用をご案内します。
| 項目 | ISACA会員 | 非会員 |
|---|---|---|
| ISACA入会（一般会員） | US$145＋支部会費 | 不要 |
| CISM受験料（1回） | US$575 | US$760 |
| 認定申請手数料（初回） | US$50 | US$50 |
| CISM資格維持費用（毎年） | US$45／年 | US$85／年 |
※ 金額は米ドル、2026年10月31日確認時点のものです。料金・規定は変更される場合があります。
※ ISACA入会は任意です。会員価格の受験料は、受験申し込み時にISACA会員である場合に適用されます。
※ ISACA入会欄は、一般会員の新規入会時の会費です。支部会費は所属支部により異なり、会員資格の継続には別途会費が必要です。
※ ISACA会費とCISM資格維持費用は別の費用です。表の維持費用はCISM資格1件の標準額で、複数資格の保有状況によって異なる場合があります。
※ アビタスの講座受講料、教材費、CPE取得のための活動費等は、この表に含まれていません。
出典：ISACAの受験・認定費用、CISM認定申請・認定維持に関する公開情報（2026年10月31日確認）。