CISSP体験記

# はじめに
昨年、2022年6月にCISSPに合格しました。
この記事ではその際取り組んだ内容を共有します。

# CISSPとは？
公式より抜粋
>CISSP(Certified Information Systems Security Professional)とは、(ISC)² （International Information Systems Security Certification Consortium）が認定を行っている国際的に認められた情報セキュリティ・プロフェッショナル認定資格です。

>CISSP CBKは、以下の8ドメインから構成されています。
・セキュリティとリスクマネジメント
・資産のセキュリティ
・セキュリティアーキテクチャとエンジニアリング
・通信とネットワークのセキュリティ
・アイデンティティおよびアクセス管理
・セキュリティの評価とテスト
・セキュリティの運用
・ソフトウェア開発セキュリティ
CISSP CBK 8ドメインはそれぞれが独立した知識として提供されているのではなく、それぞれのドメインで提示された知識やスキルを組み合わせることで、セキュリティ計画や具体的な対策に役立てることができるようになっています。
これはCISSP の認定試験においても同様で、単一のドメインの知識を有していることを判断するのではなく、複数のドメインの知識を活用して、課題に対応していくことが求められています。*

基本4択なのですが、単純な知識問題はほぼ無く、より実務寄りの複雑かつ抽象的な問題が出題されます。
セキュリティスペシャリストとして最善の選択肢は何かを考え、答えを選択する必要があります。

# 私について
大学卒業後、4年ほどデベロッパー及びアーキテクトとしてWebアプリケーション関連のシステム開発に携り転職、2023年現在はアプリケーション・セキュリティ関連のツールベンダーでセールスエンジニアとして活動してます。

CISSPを取得するまでセキュリティ系の資格は何一つ持っていませんでした、TOEICは700くらいです。

# なぜCISSPなのか？
当時セキュリティ関連のツールベンダーに転職したものの、正直セキュリティの知識は不足しており、基本的な内容から理解する必要がありました。
どうせ頑張るなら網羅的な知識を得ることのできる資格が良いなと考え、先輩にCISSP保持者も何人かいらっしゃったこともあり、じゃあ頑張ってみよう、といった流れで挑戦を決意しました。

# 合格までの流れ

### 2021/3
勉強を始めるにあたり、まずは全体像を掴みたかったので、以下の本から始めました。
[Eleventh Hour CISSP®: Study Guide (English Edition)](https://www.amazon.co.jp/Eleventh-Hour-CISSP%C2%AE-Study-English-ebook/dp/B01LNFMIU0)

内容的にはかなり薄く後半全く使いませんでしたが、情報は網羅しており読みやすいです。
今考えるとセキュリティとは？を知る一歩目としても良かったかなと思います。


### 2021/8
11hourを読み終えたので、UdemyでThor Pedersenさんが提供している以下のコースをセールで買いました。
- [CISSP Certification: CISSP Domain 1 & 2 Boot Camp UPDATED 23](https://www.udemy.com/course/cissp-domain-1-2/)
- [CISSP Certification: CISSP Domain 3 & 4 Boot Camp UPDATED 23](https://www.udemy.com/course/cissp-domain-3-4/)
- [CISSP Certification: CISSP Domain 5 & 6 Boot Camp UPDATED 23](https://www.udemy.com/course/cissp-domain-5-6/)
- [CISSP Certification: CISSP Domain 7 & 8 Boot Camp UPDATED 23](https://www.udemy.com/course/cissp-domain-7-8/)

これらのコースについてくるPDFが非常によくまとまっており、最後まで重宝しました。
この段階では深く取り組まず、ざっくりと全体感を掴むために一巡しました。

### 2022/3
試験日を5/30に設定し、ここから本腰を入れて勉強を開始しました。

#### 学習資料について
以下の公式Study Guideをメインに使用しました。
[(ISC)2 CISSP Certified Information Systems Security Professional Official Study Guide (English Edition) Kindle版](https://www.amazon.co.jp/Certified-Information-Security-Professional-Official-ebook/dp/B097NHJK9Q/ref=sr_1_3?__mk_ja_JP=%E3%82%AB%E3%82%BF%E3%82%AB%E3%83%8A&crid=174A9S7FXIT8B&keywords=cissp&qid=1683692177&s=digital-text&sprefix=cissp%2Cdigital-text%2C277&sr=1-3)
11hourに比べ量が膨大で、問題集と並行しながら何度も読み返しました。

#### 問題集について
合格して重要だったなと感じたのは、Thor Pedersenさんの以下ページでした。
https://thorteaches.com/cissp/
特に強調したいのは、
>Start on practice tests; it is normal for students who pass the CISSP to have completed 3,000 – >5,000 unique practice questions.

という部分で、必要な知識は幅広く、CISSP的な考え方を持たなければ合格は難しいため、数をこなして問題になれることが重要かと思います。
私は以下の問題集を使用しました。

- [CISSP公式問題集 Kindle版](https://www.amazon.co.jp/CISSP%E5%85%AC%E5%BC%8F%E5%95%8F%E9%A1%8C%E9%9B%86-%E3%83%9E%E3%82%A4%E3%82%AF%E3%83%BB%E3%83%81%E3%83%A3%E3%83%83%E3%83%97%E3%83%AB-ebook/dp/B08C7J6SR5/ref=d_reads_cwrtbar_sccl_1_1/358-5491149-3044722?pd_rd_w=b6hvn&content-id=amzn1.sym.337d2f80-9540-40ce-bfd5-1d1e89aa413b&pf_rd_p=337d2f80-9540-40ce-bfd5-1d1e89aa413b&pf_rd_r=CTE8D9SBM42MJZZV12KX&pd_rd_wg=U6gHq&pd_rd_r=2d072cc3-178b-4aac-bb40-add166eec079&pd_rd_i=B08C7J6SR5&psc=1)
- [CISSP Official Study Guide](https://www.amazon.co.jp/Certified-Information-Security-Professional-Official-ebook/dp/B097NHJK9Q/ref=sr_1_3?)に付属の問題
- [CISSP EASY/MID questions #1 - ALL CISSP domains 250 Q - 2023](https://www.udemy.com/course/cissp-certification-practice-exam-1/)

これら問題集に取り組みつつ、Study GuideとUdemyのPDFを読み返し復習する、を繰り返しました。
間違ったものやわからない単語はquizletで単語帳を作り、移動中等の隙間時間にやってました。

### 2022/5
着々と問題集を進めていたのですが、なかなか正答率が伸びずこの時点で受けても受からないと判断し、試験日を6/21に移しました。

結果的にはそれでよかったと思います、というのも上記の問題集の正答率が80%を超え始めた辺りで、以下のUdemyコースに取り組んだのですが非常に難しく、最初解いた時はこれまで解いた問題がいかに知識レベルで簡単な問題だったかを思い知りました。
- [HARD CISSP practice questions #1: All CISSP domains - 125Q](https://www.udemy.com/course/hardcisspquestions1/)
- [HARD CISSP practice questions #2: All CISSP domains - 125Q](https://www.udemy.com/course/hardcisspquestions2/)
- [HARD CISSP practice questions #3: All CISSP domains - 125Q](https://www.udemy.com/course/hardcisspquestions3/)
- [HARD CISSP practice questions #4: All CISSP domains - 125Q](https://www.udemy.com/course/hardcisspquestions4/)

一方で本番の難易度はこれらに近く、**正直これらのコースをやらずに合格するのは難しかっただろうと思います**。
 
### 2022/6~試験当日
一日100問ほど解くをノルマにしながら、何とか各問題集の正答率が80%になるくらいまでやりこみました。

私は神奈川に住んでいるのですが、試験会場は東京駅近くでかつ朝8時開始なため、ホテルを取り前日入りしました。
試験時間は6時間で以前は見直しが出来たようですが今はできず、一度解答を入れると戻れません。
問題を解きながら、HARDをやっておいてよかったと思いつつも、全く自信が持てないまま進んでました。
めげずに途中2回ほど休憩をはさみ、約5時間くらいで解き終わりました。その場で結果を渡されるのですが、合格の文字を見たときはどっと疲れがきて涙が出そうでした。

### 合格後
CISSPでは試験による合格に加えて、Endorsementという手続きを行う必要があります。([認定手続き](https://japan.isc2.org/csslp_regist.html))
私の場合上司がCISSP保持者でしたので推薦状を書いてもらい、自分の経歴を出来るだけ詳細に書いて提出したところ、1週間程で完了しました。

# その他、やってよかったと思うこと
### 解いた問題の管理
解いた問題を把握するために、以下のようなスプレッドシートを作成し、解いた問題と正誤の履歴を付けていきました。
![cissp_sheet.PNG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/205041/37c073f6-c257-84f8-d71b-6398c58dc0de.png)
問題数を把握できるので目標感が出て良かったかなと思います。
最終的には各問題集を80%以上回答できるようにし、全部で6000問以上解いたことになりました。(復習を含む)

### 知識を得るために使用したもの
問題の解説やStudy Guideを見ても正直よくわからない、と言ったことが頻発するため、情報のソースを多いほうが良いと思います、有用だったものをリストします。

- [CISSP 勉強ノート](https://tex2e.github.io/blog/security/cissp-notes)
よく情報がまとめられており、あれこの単語どういうことだろう、というときに検索すると引っかかりとても助かりました。
- NIST SP 800-37, 800-171, 800-53
これは5月の後半から読み始めたのですが、もう少し早めに見ておけばよかったかなと思ってます。
資産やリスクマネジメントについて記載されており、Study Guideよりも日本語でまとめられているからか頭の整理に非常に役に立ちました。
- [ネットワークエンジニアとして](https://www.infraexpert.com/)
こちらはセキュリティというよりネットワークに関するページなのですが、恥ずかしいことに私のネットワークの知識レベルが低く、ドメインの中でもネットワークセキュリティはかなりハードルが高かったです。
ネットワークについて学びなおしたいときによくこのページを使用するのですが、分かりやすく良い復習となりました。
### Quizletの活用
覚えることが非常に多いため、単語カードを用いた暗記はほぼ必須だと思います。
私は[Quizlet](https://quizlet.com/ja)を用いて進めました、自分で作成する以外にも有志の方が作成した単語カードを公開してますので、検索すると色々でてきます。かなり重宝しました。


# さいごに
今まで受けた資格や試験の中で一番きつかったんじゃないかと思います、受験料も高く、絶対に落ちたくないという気持ちでした。
本腰を入れて勉強始めたのは3月くらいから3か月でしたが、普段の業務をしながらはかなりハードで正直これ以上長くは集中力が続かなかっただろうと思います。

ただこのCISSPを乗り越えることでセキュリティに関する知識と考え方を網羅的に学べたため、大体のセキュリティに関する話についていけるようになりました。この業界にいる人であれば取って損なしと思います。