情報セキュリティの資格は何を取る？兼任担当者に合う順番と費用の目線

兼任の担当者に会社として取らせる情報セキュリティの資格は、ITパスポート、情報セキュリティマネジメント試験の順です。情報処理安全確保支援士は必要になってから考えます。受験料はどれも7,500円なので、費用の差は登録後の維持費と、学習に使う業務時間に出ます。

今日やることは、担当者を1人決めて、IPAの「⁠5分⁠でできる！情報セキュリティ自社診断⁠」⁠を解いてもらうことです。答えられない項目の多さで、ITパスポートから入るか、情報セキュリティマネジメント試験から入るかを判断できます。

この記事は公開情報を整理したものです。セキュリティの基本のカテゴリから全体を見られます。

転職向けの資格選びと何が違うのか？

個人の転職なら、市場で評価される資格を選びます。会社が社員に取らせる場合、目的は別で、次の3つ⁠の場面で社内の判断が止まらないようにすることです。

• 取引先からセキュリティのチェックシートが届いたときに、自社の状況で答えられる
• 製品の提案や外部の見積もりを、内容で比べられる
• 怪しいメールや機器の通知について、社員からの相談に最初の判断ができる

IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版（2026年3月公開）⁠も⁠、この考え方に近い整理です。対策を4つ⁠のSTEPに分け、STEP1と2は企業内部の人材の育成で取り組むことが望ましいとしています。STEP3と4は、社内だけで難しければ外部専門家の活用も有用という整理です。

中小企業の兼任担当者に必要なのは、全部を自分でやる力より、自社で判断して外部に正しく頼む力です。資格の順番もここから決まります。

どの順番で取らせるか？

費用は2026年11月時点でIPAとISC2の公式ページから確かめたものです。

国の試験の金額はIPAのスケジュール、手数料のページ⁠、ISC2の金額はISC2の受験料のページ⁠で確認できます。

1番目：ITパスポート

ITの基礎に不安がある人の入口です。総務や経理から兼任になった人は、ネットワークやクラウドの用語でつまずくと、セキュリティの話に入れません。基礎がある人は飛ばして構いません。

2番目：情報セキュリティマネジメント試験

兼任の担当者に最も近い試験です。IPAの試験の説明では、対象者を「情報システムの利用部門」⁠の情報セキュリティリーダーとしています。求められる役割には、次のようなものがあります。

• 部門の情報資産を特定し、リスク対応策をまとめる
• 業務の外部委託で、セキュリティの要求事項を契約で明確にする
• 部門のメンバーの意識を高め、内部不正などの発生を防ぐ
• 事故が起きたとき、規程や法令に基づいて対処する

技術者を育てる内容ではないので、本業を持つ社員の業務に重なります。CBT方式で随時実施されており、繁忙期を避けて受験日を選べます。

3番目：情報処理安全確保支援士試験

IPAの説明では、安全な情報システムの企画、設計、開発、運用を支援し、調査や分析の結果に基づいて指導や助言を行う人が対象です。兼任の担当者に最初から求める水準ではありません。

検討するのは、取引先から厳しい基準を求められる、社内にシステム部門を置くといった段階です。経済産業省のSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）のように、対策の状況を取引先に示す場面も増えていきます。そうなると、社内に詳しい人がいる価値は上がります。この制度は★3と★4について2026年度末頃の開始を目指しており、時期は変更の可能性があるとされています。ただし、取得に支援士が必要かどうかは、基準の原文で確かめてください。

別枠：ISC2のCCとCISSP

海外の親会社や取引先に、担当者の水準を国際資格で説明したい場合の選択肢です。価格は米ドル建てで、CCの案内は日本語でも読めます。国内の取引が中心の会社なら急ぐ理由は少ないです。

費用はどこで差がつくのか？

受験料はほぼ同じです。差がつくのは、登録を維持する費用と学習の時間です。

支援士は登録すると維持費がかかる

支援士試験に合格して登録すると、次の費用がかかります。出典はIPAのよくある質問、講習の概要、IPAが行う実践講習です。

これを足すと、受験から最初の3年間で167,200円です。その後も3年ごとに講習だけで14万円かかります。民間の実践講習は実施機関ごとに料金が異なり、2026年4月からは実務経験者向けの講習制度もできています。

FAQによると、登録には期限がなく、登録しなくても試験の合格は無効になりません。登録しないと「情報処理安全確保支援士」⁠の名称は使えません。社外に名称を示す必要がなければ、合格までにとどめる判断もあります。

本当の費用は学習時間

兼任の担当者は、本業の空いた時間で勉強します。受験料だけ会社が出して学習は自宅で、という形だと、本業が忙しい時期に止まります。予算を決めるときは、次の式で考えてください。

学習費用 ＝ 就業時間内に認める学習時間 × その人の時間単価 ＋ 受験料 ＋ 教材費

合格までの時間は本人の経験で変わるので、最初に上限を決めて、途中で見直すのが現実的です。不合格のときの再受験を会社が持つかどうかも、先に決めておくと本人が受けやすくなります。

助成金は条件を確かめる

厚生労働省の人材開発支援助成金（人への投資促進コース）⁠の支給要領には、資格の受験料を経費に含められる規定があります。ただし、支給対象の訓練で取得目標にしていること、訓練の終了日の翌日から6か月以内⁠に受験することなどの条件があります。受験だけを単独で助成するものではないので、計画を立てる前に労働局へ確認してください。

製造業ではどう割り振るか？

たとえば、総務の社員が情シスを兼任している、工場を持つ部品メーカーの場合を考えます。現場のパソコンの使い方は総務からは見えにくく、図面を預かる取引先からはチェックシートが届きます。

この場合は、総務の担当者が情報セキュリティマネジメント試験を受け、製造の係長クラスがITパスポートを受ける組み合わせが考えられます。外部委託の要求事項やチェックシートへの回答は総務が受け持ち、現場のパソコンや持ち込み機器の相談は係長が最初に受ける形です。

1人だけに資格を集めると、その人が異動や退職をしたときに判断が止まります。IPAの第4.0版の公表資料でも、中小企業の内部で対策を進める人材の著しい不足を改訂の背景に挙げています。付録には人材の確保と育成の実践ガイドブックが加わりました。2人目を決めるときは、この付録が使えます。

資格だけでは足りない部分はどうするか？

資格は判断の基礎で、社内の実務を自動で回すものではありません。次の3つ⁠は別に手当てします。

• 社員全体の教育：担当者が1人⁠で説明して回るのは続きません。セキュリティ教育と標的型メール訓練の比較で、教材や訓練を外から買う方法を見られます
• 監視と事故対応：夜間や休日の監視は兼任では担えません。セキュリティコンサルティングの比較を見るか、IPAのサイバーセキュリティお助け隊サービス基準⁠に沿ったサービスを検討します
• 規程と認証：認証の取得まで考えるなら、ISMS運用ツールの比較も候補に入ります

何を優先するかは、情報セキュリティ10大脅威2026を中小企業向けに読み直した記事⁠で順番を整理しています。担当者が学び始める前に手を打つなら、ウイルス対策ソフトの次に足す4つ⁠のマルウェア対策が先です。

2027年度の試験の変更は待つべきか？

IPAの2026年3月の発表⁠によると、試験制度は2027年度から新しい形に移る予定です。検討状況のページでは、情報セキュリティマネジメント試験は継続で2027年度春頃の開始です。支援士試験は一部変更で、2027年⁠度夏頃から秋頃の開始とされています。ITパスポートはセキュリティと倫理の出題を強化する案です。いずれも検討中の内容で、変わる場合があります。

試験がなくなるわけではないので、変更を待って担当者の学習を遅らせる理由は薄いです。受験の時期が変更の前後にかかるときだけ、最新の案内を見て教材の版を確かめてください。