CompTIA Security+ は、セキュリティの基礎を特定の製品に依存しない形で体系的に問う国際資格です。国内では情報処理安全確保支援士や CISSP ほど名前が知られていませんが、実務で必要な範囲がバランスよく出題されるため、「セキュリティを一通り押さえたい」という段階の人に向いています。
そして日本の受験者にとって重要な変化があります。2024 年 4 月から日本語での受験が可能になりました。「Security+ は英語で受けるもの」という情報がまだ多く残っていますが、現在は当てはまりません。
試験の基本情報（SY0-701）
| 項目 | 内容 |
|---|---|
| 試験コード | SY0-701（V7） |
| 問題数 | 最大 90 問（単一/複数選択＋パフォーマンスベース問題） |
| 試験時間 | 90 分 |
| 合格点 | 100〜900 のスコア形式で 750 以上 |
| 言語 | 英語・日本語・ポルトガル語・スペイン語・タイ語 |
| 日本語試験の開始 | 2024 年 4 月 23 日 |
| 受験形式 | テストセンターまたはオンライン監督試験 |
| 有効期限 | 3 年（継続教育で更新） |
特徴的なのがパフォーマンスベース問題（PBQ）です。単純な選択式ではなく、設定画面やログを見て操作・判断する形式で、多くの場合は試験の冒頭に出ます。ここで時間を使いすぎると後半の選択問題が消化できません。PBQ は一旦フラグを付けて飛ばし、選択問題を終えてから戻るのが定石とされています。
なお受験料は改定されることがあるため、本記事では金額を記載しません。申し込み前に CompTIA 公式ストアまたはピアソン VUE で最新の価格を確認してください。バウチャーをまとめ買いする形態もあります。
5 つの出題ドメインと比率
SY0-701 は次の 5 ドメインで構成されます。比率を見ると「運用（Security operations）」が 28% で最大、次いで「脅威・脆弱性・緩和策」が 22% です。知識を暗記するだけでなく、運用の現場でどう判断するかが問われる試験だと分かります。
| ドメイン | 比率 | 問われる内容 |
|---|---|---|
| 1. General security concepts（一般的なセキュリティ概念） | 12% | CIA、認証・認可、暗号の基礎、ゼロトラスト、変更管理 |
| 2. Threats, vulnerabilities, and mitigations（脅威・脆弱性・緩和策） | 22% | 攻撃者の類型、マルウェア、Web の脆弱性、緩和策 |
| 3. Security architecture（セキュリティアーキテクチャ） | 18% | ネットワーク設計、クラウド、データ保護、レジリエンス |
| 4. Security operations（セキュリティ運用） | 28% | 監視、脆弱性管理、インシデント対応、資産管理、認証運用 |
| 5. Security program management and oversight（プログラム管理と監督） | 20% | ガバナンス、リスク管理、第三者リスク、コンプライアンス |
各ドメインは、この記事で補える
Security+ の出題範囲は広く、参考書だけでは具体像がつかみにくい項目があります。本サイトの解説記事とドメインの対応をまとめました。参考書で概念を押さえ、ピンとこない項目をここで掘るという使い方を想定しています。
ドメイン 1：一般的なセキュリティ概念（12%）
- 公開鍵暗号の基本 — RSA・ECDSA・署名・鍵交換
- 安全な乱数 — 暗号学的乱数がなぜ必要か
- ゼロトラストとは — 出題頻度が上がっている概念
- MFA / TOTP / FIDO2 の違い — 認証要素の分類
ドメイン 2：脅威・脆弱性・緩和策（22%）
- OWASP Top 10 入門 — Web の脆弱性の全体像
- 2026年のランサムウェア / サプライチェーン攻撃
- LOLBins・環境寄生型攻撃 — 検知が難しい手口
- 情報セキュリティ10大脅威 2026 — 脅威の全体像を日本の文脈で
ドメイン 3：セキュリティアーキテクチャ（18%）
- ファイアウォールの基本 / VPN の基礎
- HTTPS と TLS — 通信の保護
- CIDR 表記 — ネットワーク分割の前提（CIDR Calculator で手を動かせます）
- HTTPセキュリティヘッダー（Security Headers Analyzer で採点できます）
ドメイン 4：セキュリティ運用（28%・最重要）
- インシデント対応手順 — 検知から復旧までのフェーズ
- MITRE ATT&CK の読み方 — 攻撃者の戦術・技術の体系
- インフォスティーラーとセッション乗っ取り
- パスワードハッシュの選び方（Password Generator で強度の考え方を確認）
ドメイン 5：プログラム管理と監督（20%）
- 個人情報が漏えいしたときの報告義務 — 日本の法令要件
- 国内の主要セキュリティインシデント事例 — 第三者リスクの実例
- サプライチェーン攻撃 — ベンダー管理の観点
ドメイン 5 は試験では米国の規制（GDPR・PCI DSS 等）が前提になりますが、考え方は日本の制度にも共通します。実務で使うなら日本の要件と対応づけて理解しておくほうが役立ちます。
難易度：支援士・CISSP との位置関係
| CompTIA Security+ | 情報処理安全確保支援士 | CISSP | |
|---|---|---|---|
| 位置づけ | 入門〜中級 | 中級（国内の定番） | 上級（管理職・設計者） |
| 実務経験の要件 | 不要（推奨はあり） | 不要 | 5 年必要（免除条件あり） |
| 試験形式 | 選択＋PBQ・随時受験可 | 午前・午後の記述式・年 2 回 | 長時間の選択式 |
| 強み | 国際的な通用性・受験しやすさ | 国内での認知度・法制度への適合 | グローバルでの評価の高さ |
国内で働くなら支援士のほうが認知度は高いのが実情です。一方 Security+ には、随時受験できる・実務経験が不要・出題範囲が実務の全体像に沿っているという利点があります。年 2 回の試験日程を待たずに学習の区切りを付けられるのは、働きながら学ぶ人にとって大きな違いです。
資格全体の比較は セキュリティ資格 比較・一覧 に、それぞれの詳細は 情報処理安全確保支援士の勉強方法 と CISSP の難易度・勉強時間 にまとめています。
学習ロードマップ（平日 30 分から）
まとまった時間が取れない前提で、区切りやすい進め方を示します。IT の基礎知識がある人で、合計 60〜100 時間程度が一つの目安です。
- 第 1〜2 週：出題範囲の地図を作る
CompTIA 公式が配布する試験目標（Exam Objectives）の PDF に一度目を通し、知らない用語に印を付けるだけで構いません。ここで全体量を把握しておくと、以降の学習が迷子になりません。 - 第 3〜6 週：ドメイン 4 と 2 から着手する
比率が高い運用（28%）と脅威（22%）で全体の半分を占めます。配点の大きいところから固めるのが効率的です。 - 第 7〜9 週：残るドメインと、手を動かす学習
アーキテクチャと概念は、読むだけだと定着しにくい領域です。サブネットを実際に計算する、セキュリティヘッダーを採点してみるなど、入力と出力を伴う学習に置き換えると記憶に残ります。 - 第 10 週〜：模擬試験で時間配分を作る
90 分で最大 90 問という配分は、1 問あたり 1 分です。PBQ に時間を取られる前提で、選択問題を素早く処理する感覚を作っておきます。
学習中に手を動かす道具として、本サイトのツールも使えます。CIDR Calculator（サブネット計算）、Security Headers Analyzer（ヘッダーの採点）、Port Number Reference（ポート番号の確認）、Hash Generator（ハッシュの体感）あたりは、出題範囲と直接重なります。すべてブラウザ内で完結し、入力内容はサーバーに送信されません。
取得後：3 年ごとの更新
Security+ は取りっぱなしにできない資格です。認定は 3 年間有効で、期限内に更新しないと失効します。
- 3 年間で 50 CEU（継続教育単位）を取得し、年会費を支払う
- CEU は、実務経験・研修受講・上位資格の取得・関連活動などで積み上げる
- CertMaster CE という更新専用コースを修了すれば、50 CEU をまとめて満たせる
- 上位資格（CySA+ など）を取得すると、Security+ も自動的に更新される
- 期限を過ぎても 90 日間の猶予期間が設けられている
更新要件や費用は変更されることがあるため、実際の手続きの際は CompTIA の公式情報を確認してください。
受験時期の注意：バージョン移行が近い
CompTIA の試験はおおむね 3 年周期で改訂されます。現行の SY0-701 は 2023 年 11 月（日本語版は 2024 年 4 月）に始まったもので、CompTIA の日本語版ページでは提供終了が「通常、配信開始から 3 年（2027 年を予定）」と案内されています。
次期バージョンの開始時期については、トレーニング事業者や講師コミュニティ発の観測が出ていますが、本記事執筆時点で CompTIA からの正式発表は確認できていません。ここは推測を書かず、公式のアナウンスを確認してください。
実務上の判断としては、今から数ヶ月で受験するなら現行の SY0-701 で問題ありません。旧バージョンは新バージョン開始後もしばらく併存するのが通例で、取得した認定自体は 3 年間有効です。逆に、学習開始が半年以上先になりそうなら、その時点の最新バージョンを確認してから教材を買うほうが無駄がありません。教材を先に買い込まないのが、この手の資格での鉄則です。
実体験：ツールを作る過程が、そのまま出題範囲だった
本サイトのツールを作る中で、Security+ の出題範囲とほぼ同じ内容を、実装する側から通ってきたと感じています。たとえば Password Generator では、乱数を Math.random() ではなく crypto.getRandomValues で生成し、文字種を選んだときに特定の文字が出やすくならないよう rejection sampling で偏りを排除しました。これはドメイン 1 の暗号の基礎そのものです。
Security Headers Analyzer を作ったときは、CSP や HSTS を採点する基準を決める必要があり、各ヘッダーが何を防ぐのかを整理し直しました。ドメイン 3 の内容ですが、「採点基準を自分で決める」という作業をすると、暗記とは違う定着の仕方をします。自サイトのヘッダー設定も、この過程で見直しています。
資格の学習として振り返ると、効いたのは「読む」より「作る・試す」に寄せたことでした。サブネットは計算機を作ってみると桁の意味が腹落ちしますし、ハッシュは実際に文字列を変えて出力の変化を見るほうが早いです。参考書だけで進めて手応えが薄いと感じたら、対象を一つ選んで手を動かしてみることをおすすめします。
参考にした一次情報
- CompTIA 公式「Security+」— 試験コード・問題数・試験時間・合格点・出題ドメインと比率・対応言語
- CompTIA 公式（日本語）— 日本語試験の配信開始日（2024 年 4 月 23 日）・提供終了予定
- CompTIA 公式「Continuing Education / Certification Renewal Policy」— 3 年の有効期限・50 CEU・猶予期間
試験の内容・料金・更新要件は改定されます。申し込み前に必ず CompTIA の公式情報で最新の内容をご確認ください。
おわりに
Security+ は、「セキュリティ全体を、実務で使える粒度で一周する」のに向いた資格です。国内での知名度では支援士に譲りますが、随時受験できて実務経験も要らないため、学習の区切りとして使いやすいという実用的な利点があります。
そして日本語で受験できるようになった今、「英語だから」という理由で候補から外す必要はもうありません。上のドメイン別リンクから、気になる項目を 1 つ読むところから始めてみてください。