情報セキュリティマネジメント試験は新試験制度でどうなる｜シラバス案Ver.0.1と位置づけ

01現時点でわかっていること

2026年10月3日時点のIPA・経済産業省の公開情報をもとに作成

新試験制度での扱い

継続。IPAは見直しのポイントとして「科目Aの出題範囲体系の変更」「科目Bの出題範囲の一部変更」の2点を挙げ、注釈で「技術動向や環境変化等を踏まえて表記の変更等を行うもので、試験で問う知識・技能の範囲そのものに変更はありません」としている。

公表済み

試験時間・出題数

科目Aと科目Bを合わせて120分。科目Aは48問、科目Bは12問。新設のデータマネジメント試験（仮称）と同じ構成。

公表済み

開始時期

2027年度春頃。ITパスポート試験・基本情報技術者試験と同時で、データマネジメント試験・プロフェッショナルデジタルスキル試験・情報処理安全確保支援士試験（2027年度夏頃から秋頃）より先に移行する。経済産業省は「現時点の開始時期見込みであり、試験の準備状況によっては、遅れる可能性があります」としている。現行試験制度は2026年度の試験実施をもって終了する予定。

見込み

実施方式・実施回数

CBT方式。「これまでと同様に通年で試験を実施する予定」とされている。

公表済み

シラバス案

「情報セキュリティマネジメント試験シラバス（案）Ver.0.1」が2026年9月30日に公開。全25ページ。科目Aは重点分野5中分類・その他の分野10中分類、科目Bは12の大項目で構成されている。内容は公表時点の検討状況に基づくもので、変更する可能性があるとIPAが明記している。

公開済み

サンプル問題

IPAのサンプル問題掲載ページ（最終更新2026年8月31日）に、情報セキュリティマネジメント試験のサンプル問題は掲載されていない。

未掲載

シラバスの確定版

現時点で公開されているのは「案」のVer.0.1。確定版の公表時期は未発表。

検討中

02新試験制度のなかでの位置づけ

経済産業省「情報処理技術者試験における試験区分体系などの見直し（案）について」（2026年3月31日）と、IPA「出題範囲等の改定案 Ver.1.0」より

経済産業省は見直しの背景として、AI等のデジタル技術の急速な進化で必要なスキルの移り変わりが激しくなっていること、AIの登場でその前提となるデータの重要性が高まっていることを挙げています。そのうえで国家試験の体系を、「分業を前提とした開発体制に必要な特定の人材像を目指す」ものから、「『土台』としての幅広いスキルを身につけることでAIも活用して新たな価値創造を行う人の目標となる」ものへ見直すとしました。

この考え方のもとで、情報セキュリティマネジメント試験がどう置かれたかを、公表資料の記載から拾うと次のようになります。

公表資料の記載	そこから読み取れること
試験の概要（改定案 Ver.1.0）「データ及びデジタル技術の安全な利活用を推進する情報セキュリティマネジメントの基本的な知識及び技能」	現行の試験要綱は対象者像を「情報システムの利用部門にあって、情報セキュリティリーダーとして…」と書き出しています。新しい概要文では主語が「情報システム」から「データ及びデジタル技術」に替わり、守ること自体ではなく「安全な利活用を推進する」ことが目的として前に出ました。
出題範囲表の注記（改定案 Ver.1.0） ITパスポート試験・データマネジメント試験・情報セキュリティマネジメント試験は「データ及びデジタル技術を効果的、効率的及び安全に利活用する際に必要となる知識を主に出題する」	この3試験が「利活用する側」の試験としてひとまとめに説明されています。「効果的、効率的」がデータマネジメント試験の概要文（データ・AIを効果的・効率的に利活用する）に、「安全に」が情報セキュリティマネジメント試験の概要文に対応する、と読めます。作る側の基本を問う基本情報技術者試験とは、役割が書き分けられています。
目標とするスキル水準の9番目（改定案 Ver.1.0）「部門の業務及びデジタル環境の情報セキュリティ確保に関係する、組織活動、AI利活用、クラウド、ネットワークなどの基本的な知識」	周辺知識として名指しされているのがAI利活用とクラウドです。部門で生成AIサービスやクラウドサービスを使う場面を、セキュリティの担当者が判断できることが求められています。
上位区分の科目A-1（2026年9月30日公開のシラバス案）プロフェッショナルデジタルスキル試験（仮称）と情報処理安全確保支援士試験に共通の科目A-1は、重点分野が大分類6「セキュリティ」の4中分類	マネジメント／データ・AI／システムのどの領域に進んでも、共通知識の重点はセキュリティです。情報セキュリティマネジメント試験の重点分野（中分類23〜25）は、そのまま上位区分の共通知識の重点と重なります。
経済産業省の推奨「セキュリティの重要性から、情報処理安全確保支援士試験の合格も推奨します」	プロフェッショナルデジタルスキル試験の3試験すべての合格に加えて、セキュリティの専門区分の合格も推奨されています。セキュリティは特定の専門家だけのものではなく、「土台」の一部として扱われていると読めます。

まとめると、情報セキュリティマネジメント試験は新試験制度で「データとデジタル技術を使う側が、安全に使い続けるための試験」として位置づけ直されたと読めます。ITパスポート試験で土台を作り、「効果的・効率的に使う」方向へ進むのがデータマネジメント試験、「安全に使う」方向へ進むのが情報セキュリティマネジメント試験、という並びです。

この節について：左列は公表資料からの引用・要約、右列は本サイトの読み取りです。経済産業省・IPAが「データマネジメント試験と情報セキュリティマネジメント試験は対になる」と説明しているわけではありません。また、経済産業省の資料には試験区分体系のイメージ図が掲載されていますが、本ページは図ではなく本文の記載だけをもとにしています。

03変わらないこと、変わること

現行シラバス Ver.4.1・試験要綱 Ver.5.6 と、シラバス案 Ver.0.1・改定案 Ver.1.0 を比較

項目	現行	新試験制度（案）
試験時間・出題数	科目A・B合わせて120分、科目A 48問・科目B 12問	同じ
実施方式	CBT方式・通年実施	同じ（通年で実施する予定）
科目Bの大項目	「計画・要求事項」と「運用・継続的改善」の2部、大項目12個	同じ2部・12個の構成。情報資産管理の計画、リスクアセスメント、外部委託、インシデント管理、意識向上、コンプライアンスなど
科目Aの体系	現行の出題範囲の大分類・中分類（技術要素、企業と法務など）	全試験区分共通の3分野・7大分類・30中分類に載せ替え。情報セキュリティマネジメント試験の範囲はそのうち15中分類
科目Aの重点分野	セキュリティ、法務	中分類23「情報セキュリティの脅威」、24「情報セキュリティマネジメント」、25「情報セキュリティ対策」、29「プライバシー関連法規」、30「セキュリティ関連法規」
科目Aのその他の分野	システム構成要素、データベース、ネットワーク、プロジェクトマネジメント、サービスマネジメント、システム監査、システム戦略、システム企画、企業活動	4 サービスマネジメント、9 データ分析・データ利活用、10 AI利活用、11 経営・組織論、12 ガバナンス・監査、15 クラウド、16 ネットワーク、26 セキュリティ実装技術・評価、27 情報倫理・AI倫理、28 ビジネス関連法規

「範囲に変更はない」と「体系が変わる」の関係：IPAは知識・技能の範囲そのものは変えないと説明しています。一方で、その他の分野の見出しを見比べると、新体系にはAI利活用・クラウド・情報倫理・AI倫理という中分類が立ち、現行にあったプロジェクトマネジメント・データベース・システム戦略・システム企画に対応する中分類（5・17・2・3）はシラバス案に見出しがありません。これは見出しのレベルで確認できる事実であって、個々の用語が出題されなくなるかどうかまでは分かりません。現行の教材が使えなくなるという話ではなく、IPAの説明どおり、学ぶ範囲の中心は変わらないと受け取るのが妥当です。

資料の間に食い違いがあります：2026年3月の「出題範囲等の改定案 Ver.1.0」の表では、情報セキュリティマネジメント試験の重点分野（◎）は中分類23・24・25の3つで、29・30は通常の出題範囲（○）です。ところが9月のシラバス案 Ver.0.1 では、29・30も【目標とする知識（重点分野）】の章に入っています。どちらが最終的な扱いになるかは、現時点の公表資料からは判断できません。

04用語例から見える社会変化

シラバス案 Ver.0.1 の用語例と、ここ数年の社会の動きの対応関係

範囲そのものは変わらないとされていますが、用語例には新しい語が入っています。下の表の右列で太字にした語は、現行シラバス Ver.4.1 のPDFに文字列として見当たらなかったものです。

社会の変化	シラバス案 Ver.0.1 での現れ方
生成AIが業務に入り、攻撃する側もAIを使うようになった	中分類23に「AIを悪用した攻撃」（マルウェア亜種の自動生成、フィッシング文面の巧妙化、ディープフェイク・音声クローンによるなりすまし）と「AIシステムに対する攻撃」（プロンプトインジェクション、ジェイルブレイク、データポイズニング）の2項目が立つ。中分類27にシャドーAI、ハルシネーション、AI利用ポリシー
AIが「相談相手」から「自分で動くもの」になりつつある	その他の分野に中分類10「AI利活用」が入り、AIエージェント、自律性と人間の関与（最終承認、例外処理）、ガードレール、RAGによる知識連携が用語例に。中分類26に「AIシステムを守るための対策（Security for AI）」としてRAG用のデータ及びデータストアへのアクセス制御
ランサムウェアが分業化された事業になった	RaaS（Ransomware as a Service）、二重恐喝（多重恐喝）、リークサイト。対策側に3-2-1ルール、イミュータブルバックアップ、EDR、サイバー保険
自社だけ守っても足りなくなった	ソフトウェアサプライチェーン攻撃、サプライチェーンリスク、供給者関係における情報セキュリティ。科目Bには現行と同じく「業務の外部委託における情報セキュリティの確保」が大項目として立つ
業務の基盤がクラウドと外部サービスに移った	その他の分野に中分類15「クラウド」。クラウドサービスの責任共有モデル、「外部委託やクラウドサービス・生成AIサービスの利用時における情報セキュリティ」、ゼロトラスト、ISMAP、ソブリンクラウド、JIS Q 27017
パスワードに頼らない認証が普及し始めた	項目として「パスワードレス認証」が立ち、パスキー、ワンタイムコード。あわせて多要素認証、リスクベース認証、eKYC
国のサイバーセキュリティ体制と法制度が動いた	国家サイバー統括室（NCO）、サイバー対処能力強化法（能動的サイバー防御）、重要経済安保情報保護法、AI基本法、中小受託取引適正化法（取適法）、JC-STAR
偽情報が組織のリスクになった	中分類27「情報倫理・AI倫理」に偽情報（ディスインフォメーション）・誤情報・悪意ある情報、エコーチェンバー、フィルターバブル、ファクトチェック

この対応表について：左列の「社会の変化」は本サイトの解釈で、IPAが因果を明示しているわけではありません。右列の用語・分類名はすべてシラバス案 Ver.0.1 に実在します。太字の判定は、現行 Ver.4.1 と新シラバス案のPDFからテキストを抽出し、語の文字列が含まれるかどうかを機械的に調べたものです。調べたのは文字列であって概念ではありません。別の言い方で現行シラバスに載っている可能性があるため、「現行では出題されない」という意味ではありません。

05科目A：重点分野の中身

シラバス案 Ver.0.1【目標とする知識（重点分野）】より、用語例のうち特徴的なものを本サイトが抜粋・整理

中分類23：情報セキュリティの脅威重点

【内容】日々の業務で起こり得る情報セキュリティの脅威や攻撃の内容を把握し、部門のメンバーからマルウェア感染などの疑いが報告された際に適切に判断して対応するために必要な、情報セキュリティの脅威に関する基本的な知識を問う。

脅威と脆弱性：ビジネスメール詐欺（BEC）、アクセス権の誤設定、内部不正、情報セキュリティ10大脅威、ランサムウェア、ファイルレスマルウェア、シャドーIT、不正のトライアングル、RaaS、二重恐喝（多重恐喝）
攻撃手法：サイバーキルチェーン、ラテラルムーブメント、クレデンシャルスタッフィング、SQLインジェクション、クロスサイトスクリプティング、フィッシング、標的型攻撃、DDoS攻撃、ソフトウェアサプライチェーン攻撃、ゼロデイ攻撃
AIを悪用した攻撃／AIシステムに対する攻撃：ディープフェイク・音声クローンによるなりすまし、プロンプトインジェクション（直接、間接）、ジェイルブレイク、データポイズニング

内容の説明が「部門のメンバーから報告された際に適切に判断して対応する」となっている点が、この試験の立ち位置をよく表しています。攻撃の仕組みを実装レベルで知ることではなく、報告を受けた担当者として何が起きているかを見立てられることが求められています。

中分類24：情報セキュリティマネジメント重点

情報セキュリティの考え方：機密性、完全性、可用性、多層防御、ゼロトラスト、セキュリティバイデザイン、プライバシーバイデザイン、クラウドサービスの責任共有モデル、外部委託やクラウドサービス・生成AIサービスの利用時における情報セキュリティ
リスクマネジメント：情報資産台帳、リスク基準、リスクマトリックス、リスク所有者、リスクアセスメントのプロセス（リスク特定、リスク分析、リスク評価）、リスク対応の選択肢（リスク回避、リスク低減、リスク移転、リスク保有）、残留リスク
情報セキュリティ諸規程：情報セキュリティ方針、情報セキュリティ対策基準、情報セキュリティインシデント対応規程、ソーシャルメディアガイドライン
関連組織・関連制度：CSIRT、PSIRT、SOC、サイバーセキュリティ戦略本部、国家サイバー統括室（NCO）、JPCERTコーディネーションセンター、ISMAP、SECURITY ACTION、サイバーセキュリティ経営ガイドライン、NISTサイバーセキュリティフレームワーク（CSF）
情報セキュリティマネジメントシステム：ISMS適用範囲、内部監査、マネジメントレビュー、JIS Q 27001、JIS Q 27002、JIS Q 27014、JIS Q 27017
情報セキュリティ管理策：組織的管理策／人的管理策／物理的管理策／技術的管理策の4区分

データを扱う側から見ると、ここはデータガバナンスと地続きです。「情報の分類」「情報のラベル付け」「情報及びその他の関連資産の目録」は、データマネジメント試験でいうデータの分類やデータカタログと同じ対象を、守る側から見たものです。

中分類25：情報セキュリティ対策重点

組織的・人的・物理的管理策：OSINT（公開情報）の利用、インシデントハンドリング、トリアージ、法令に基づく報告及び本人への通知、サイバー保険、情報セキュリティ訓練（標的型メールに関する訓練、机上演習）、MDM
情報アクセスの管理：最小特権、多要素認証、リスクベース認証、シングルサインオン、eKYC、生体認証、パスキー
情報資産運用に関する管理：マルウェア検出手法、3-2-1ルール、イミュータブルバックアップ、脆弱性修正プログラム（セキュリティパッチ）の適用、SIEM、EDR
情報システムの適正利用の管理：ファイアウォール、IDS／IPS、VPN、TLS、WPA3、送信ドメイン認証（SPF、DKIM）、WAF
暗号技術：共通鍵暗号方式、公開鍵暗号方式、ハイブリッド暗号、SHA-2、MD5及びSHA-1の危殆化、AES

小分類が「組織的／人的／物理的／技術的」という管理策の4区分に沿って並んでいます。これは JIS Q 27002 の管理策の区分と同じ切り方で、中分類24の管理策と対になっています。

中分類29・30：プライバシー関連法規／セキュリティ関連法規重点の章に記載

29 プライバシー関連法規：個人情報保護法、要配慮個人情報、匿名加工情報、仮名加工情報、マイナンバー法、個人情報保護委員会、JIS Q 15001、GDPR、オプトイン／オプトアウト、第三者提供、プライバシー影響評価（PIA）、データマスキング、k-匿名化
30 セキュリティ関連法規：不正指令電磁的記録に関する罪（ウイルス作成罪）、不正アクセス禁止法、サイバーセキュリティ基本法、特定電子メール法、サイバー対処能力強化法（能動的サイバー防御）、重要経済安保情報保護法

現行でも法務は重点分野でしたが、新体系では法規が4つの中分類に分かれ、そのうちプライバシーとセキュリティの2つが重点分野の章に置かれています（改定案の表との食い違いはセクション03を参照）。

06科目A：その他の分野の中身

シラバス案 Ver.0.1【目標とする知識（その他の分野）】より抜粋・整理

その他の分野は10中分類です。それぞれの【内容】の書き出しを読むと、セキュリティの担当者が、誰と何をするために知っておくのかが書き分けられています。

中分類	シラバス案が示す「何のために」
4 サービスマネジメント	サービスに関するインシデントや問合せが発生したときに、サービス提供者と適切に連携するため
9 データ分析・データ利活用	データサイエンティストなど高度なデータ分析を行う担当者からの要請や分析結果を正しく理解し、実務の観点から連携・協力するため
10 AI利活用	AIの活用領域・活用目的と、AIの信頼性を保って利用する方法（自律性と人間の関与、ガードレールなど）を知るため
11 経営・組織論	担当業務と事業・組織全体の関係性、人や金の動きを理解し、広い視野で業務を遂行するため（CISO、CDO、BCP、BIA、損益分岐点、財務諸表）
12 ガバナンス・監査	監査対象部門の立場として監査時に関係者と連携し、情報セキュリティに関する指摘事項・改善提案に対応するため
15 クラウド／16 ネットワーク	部門でクラウドサービスやインターネットサービス利用の要望があった際に、組織の情報セキュリティのルールに照らして意見や問題点を提起するため
26 セキュリティ実装技術・評価	業務の外部委託に際して、情報セキュリティ対策の要求事項を契約で明確化し、その実施状況を確認するため（JVN、CVSS、CVE、脆弱性診断、JC-STAR）
27 情報倫理・AI倫理	業務でデータやAI（生成AIなど）を利用する際に、社会や組織に及ぼす影響を考慮し、実務担当者として適切に振る舞うため
28 ビジネス関連法規	他者の権利の侵害、契約・取引上のトラブルが起きないように留意しながら業務を遂行するため（不正競争防止法の営業秘密・限定提供データ、準委任契約・請負契約、NDA）

中分類9「データ分析・データ利活用」が範囲に入っている点は、本サイトの文脈では見逃せません。この中分類はデータマネジメント試験の重点分野でもあります。ただし情報セキュリティマネジメント試験で示されている用語例は、データの種類と特徴（オープンデータ、パーソナルデータ）、データマイニング、統計的バイアス、QC七つ道具などに絞られており、データ基盤やメタデータ管理までは踏み込んでいません。

07科目B：12の大項目

シラバス案 Ver.0.1【目標とする技能】より

科目Bは技能を問う科目です。シラバス案では、12の大項目ごとに「〜するスキル」という形で目標が示されています。

大項目	小項目
Ⅰ 情報セキュリティマネジメントの計画、情報セキュリティ要求事項に関すること
1 情報資産管理の計画	情報資産の特定及び価値の明確化／管理責任及び利用の許容範囲の明確化／情報資産台帳の作成
2 情報セキュリティリスクアセスメント及びリスク対応	リスクの特定・分析・評価／リスク対応策の検討／リスク対応計画の策定
3 情報資産に関する情報セキュリティ要求事項の提示	部門の情報システムの調達・利用に関する組織的・人的・物理的・技術的な要求事項の提示
4 情報セキュリティを継続的に確保するための情報セキュリティ要求事項の提示	障害・災害時にも情報セキュリティを確保するための要求事項が事業継続計画に盛り込まれていることの確認
Ⅱ 情報セキュリティマネジメントの運用・継続的改善に関すること
5 情報資産の管理	情報資産台帳の維持管理／媒体の管理／利用状況の記録
6 部門の情報システム利用時の情報セキュリティの確保	マルウェアからの保護／バックアップ／ログ取得及び監視／情報の転送における情報セキュリティの維持／脆弱性管理／利用者アクセスの管理／運用状況の点検
7 業務の外部委託における情報セキュリティの確保	外部委託先の情報セキュリティの調査／外部委託先の管理／外部委託の終了
8 情報セキュリティインシデントの管理	発見／初動処理／分析及び復旧／再発防止策の提案・実施／証拠の収集
9 情報セキュリティの意識向上	情報セキュリティの教育・訓練／情報セキュリティに関するアドバイス／内部不正による情報漏えいの防止
10 コンプライアンスの運用	順守指導／順守状況の評価と改善
11 情報セキュリティマネジメントの継続的改善	問題点整理と分析／情報セキュリティ諸規程の見直し
12 情報セキュリティに関する動向・事例情報の収集と評価	動向・事例情報の収集と評価

技能の書き方に共通しているのは、「部門のメンバーの理解を深める」「情報システム部門の技術的支援を受けながら」「契約担当者と協力しながら」「上位者に報告・相談し」といった言い回しです。自分で技術的な対策を組み上げる人ではなく、部門の中で他の人や他部門と連携しながら情報セキュリティを回す人が想定されています。これはデータスチュワードが、データの管理主体者と現場の間に立つのと同じ構図です。

08セキュリティ分野の扱いを、区分どうしで比べる

各試験区分のシラバス案における、大分類6「セキュリティ」・大分類7「倫理・コンプライアンス」の位置づけ

新試験制度では、すべての区分が同じ30中分類の表を共有します。セキュリティと倫理・法規の8中分類について、どの区分で重点分野になっているかを並べました。

中分類	ITパスポート	情報セキュリティマネジメント	基本情報	PD・支援士科目A-1
23 情報セキュリティの脅威	範囲	重点	範囲	重点
24 情報セキュリティマネジメント	範囲	重点	範囲	重点
25 情報セキュリティ対策	範囲	重点	範囲	重点
26 セキュリティ実装技術・評価	範囲外	範囲	範囲	重点
27 情報倫理・AI倫理	範囲	範囲	範囲	範囲
28 ビジネス関連法規	範囲	範囲	範囲	範囲
29 プライバシー関連法規	範囲	重点の章	範囲	範囲
30 セキュリティ関連法規	範囲	重点の章	範囲	範囲

同じ中分類でも、区分によって問われる深さは違います。たとえば中分類23の【内容】は、情報セキュリティマネジメント試験では「日々の業務で起こり得る脅威や攻撃の内容を把握し…基本的な知識を問う」ですが、科目A-1では「情報システムを取り巻くセキュリティの脅威や攻撃の特徴・動向を理解し…共通的知識を問う」と書かれ、用語例にも MITRE ATT&CK、サーバサイドリクエストフォージェリ（SSRF）、OWASP Top 10 などが加わります。情報セキュリティマネジメント試験で身につけた枠組みの上に、上位区分で技術的な厚みが足される設計です。

新試験制度の全体像や、ほかの区分の変更点もあわせてどうぞ。

ITパスポート試験はこう変わる基本情報技術者試験のページへオリジナル問題15問を解くデータマネジメント試験（仮称）のページへ

オリジナル問題は、シラバス案 Ver.0.1 で新しく用語例に入った語（AI、ランサムウェアなど）を中心に本サイトが作成したものです（IPA公式ではありません）。公式サンプル問題は未掲載です。

09出典・参考リンク

※ 本ページの位置づけの読み取り、現行シラバスとの比較、および「社会変化との対応関係」は本サイト独自のものです。シラバス案はVer.0.1であり、確定版で内容が変わる可能性があります。