【ITニュース解説】CISA: The Audit Certification That Turns IT People Into the Ones Who Ask the Questions

CISA（公認情報システム監査人）は、情報システムが適切に構築・運用されているかを「判断」する能力を証明する専門資格だ。多くのIT資格がシステムを「作る」能力を示すのに対し、CISAはシステムが「正しく作られているか」「安全に運用されているか」を評価し、監査する能力に焦点を当てている。特に銀行や大手コンサルティングファーム、規制の厳しい大企業などにおいて、IT監査、リスク管理、GRC（ガバナンス・リスク・コンプライアンス）といった重要な役割を担う専門家として高く評価されている資格だ。システム管理者やセキュリティアナリストとして働く中で、監査に関する議論に巻き込まれる経験があるなら、この資格はあなたのキャリアに大きな価値をもたらす可能性がある。

CISAの試験は、一般的な技術資格とは異なり、ファイアウォールの設定やコードの記述といった具体的な技術操作は問わない。代わりに、実際の業務シナリオに基づいた問題が出題され、与えられた状況において監査人として「最も適切」な行動を選択する判断力が試される。例えば、「監査人がある問題を発見した際、経営層から異論が出た場合、どのように対応すべきか」といった、倫理的かつ実務的な判断が求められる。ISACAという国際団体が定める基準に基づき、正しい判断とは何かを問う内容になっている。

試験は以下の5つの主要な領域（ドメイン）から構成されている。それぞれの領域が持つ意味を理解することが合格への第一歩となる。

まず、「情報システム監査プロセス」では、監査の基準やリスクベースの計画、様々な監査の種類、監査証拠の収集方法、報告、そして監査後のフォローアップといった、監査全体の流れと基本的な枠組みを学ぶ。これは監査人としての土台となる部分で、専門用語やプロセスの理解が求められる。

次に、「ITガバナンスとITマネジメント」では、組織におけるIT戦略、ITポリシーの策定、組織構造、IT資源の管理、そしてプロジェクトポートフォリオ管理といった、ITが企業の経営目標達成にどのように貢献し、管理されるべきかという視点が中心となる。

「情報システム調達、開発、導入」のドメインは、システムのライフサイクル（SDLC）、様々なシステム開発手法（アジャイルやウォーターフォールなど）、システムの導入、そして導入後の評価（ポストレビュー）に関する知識を問う。システムが企画され、開発され、稼働するまでの一連の流れにおける管理と監査のポイントを学ぶ。

「情報システム運用と事業継続性」は、IT運用全般、ハードウェアやソフトウェアの管理、ネットワーク、そして災害対策や事業継続計画（BCP/DRP）といった、システムが安定して稼働し続けるための運用と、緊急事態への対応能力に関する領域だ。インシデントハンドリングといった緊急時の対応も含まれる。

そして、「情報資産の保護」のドメインでは、セキュリティフレームワーク、アクセス制御、暗号技術、物理的セキュリティ、データプライバシーといった、企業の貴重な情報資産を様々な脅威から守るためのセキュリティ対策全般を扱う。

これら5つのドメインのうち、「情報システム運用と事業継続性」と「情報資産の保護」がそれぞれ26%と最も大きな比重を占め、合計で試験の52%を構成する。一方、「情報システム調達、開発、導入」は12%と最も小さい。この比重を理解し、学習の優先順位を適切に設定することが重要だ。

試験形式は、150問の多肢選択式で、制限時間は4時間。合格ラインは200〜800点のスコアで450点以上となっている。ISACAのウェブサイトから登録し、PSIテストセンターで年間を通して受験できる。受験費用はISACA会員の方が非会員よりも割引が適用されることが多いので、入会を検討する価値は十分にある。

CISAの学習において最も重要なのは、「エンジニアではなく監査人として考える」というマインドセットの転換だ。これは多くの技術者がCISA試験でつまずく原因にもなる。例えば、システムに問題を発見した場合、エンジニアであればすぐに解決策を考え、手を動かそうとするだろう。しかし、監査人としての正しい行動は、発見した問題を客観的に文書化し、適切なチャネルを通じて報告し、是正の責任はマネジメントに委ねることだ。監査の「独立性」を保つことが最優先される。

また、常に「リスクベース」で物事を考える姿勢も重要だ。何かの問題に直面したとき、最初に行うべきは、その問題がビジネスにどのようなリスクをもたらすかを評価し、ビジネスプロセス全体を理解することだ。いきなり技術的なテストに飛びつくのではなく、ビジネスにとって何が最も重要かを見極めることが求められる。

そして、技術的な欠陥そのものよりも、それが「ビジネスに与える影響」が最大の懸念事項となる。例えば、隔離されたテストサーバーのパッチ適用漏れは些細なことかもしれないが、決済処理システムでのパッチ適用漏れは重大な問題となる。質問ではしばしば「監査人が最も懸念すべきことは何か」と問われるため、常にビジネスへの影響という視点で回答を選ぶ必要がある。

さらに、「代替コントロール（補完的コントロール）」の概念も理解しておくべきだ。理想的なコントロールが存在しない場合でも、手動レビューや監視、発見的コントロールといった代替手段が機能していれば、それが許容されるケースがある。「コントロールがないから不合格」と即断するのではなく、代替手段の有効性を評価する視点が求められる。

監査は問題を発見して報告するだけでなく、「フォローアップ」までがそのプロセスの一部だ。報告された是正措置が実際に実施され、その効果が検証されるまでを見届けることが監査人の重要な責任となる。

効果的な学習計画としては、まず最初の1〜2週間でドメイン1（監査プロセス）とドメイン2（ガバナンス）に取り組み、専門用語や監査の基本を徹底的に学ぶ。特にISACAが定める監査基準は多くの問題の基礎となるため、しっかりと理解する必要がある。

続く3〜4週間で、ドメイン5（情報資産の保護）に焦点を当てる。セキュリティに関する知識がある人にとっては比較的容易な領域かもしれないが、ISACAが定める監査の視点で捉え直すことが重要だ。

その後、5〜6週間で最も比重の大きいドメイン4（運用と事業継続性）を深く学習する。事業継続計画や災害復旧計画に関する質問は非常に多く、RTO（目標復旧時間）やRPO（目標復旧時点）といった重要な指標、バックアップ戦略、代替サイトの種類、そして様々な復旧テスト手法をしっかりと区別できるようになることが肝心だ。

7〜8週間目には、比重の小さいドメイン3（システム調達、開発、導入）を学び、それまでの学習で苦手と感じた領域を重点的に復習する。模擬試験の結果を活用し、弱点を克服していくと良い。

最後の2週間は、新しい知識のインプットを完全にやめ、ひたすら時間を測って模擬試験に取り組む。150問を4時間で解く練習を繰り返し行い、間違えた問題については、その背景にある原則やISACAの考え方を徹底的に理解することが重要だ。CISAの試験は表面的な知識だけでなく、深い理解を要求するため、一つ一つの問題文を丁寧に読み解く習慣をつける必要がある。

学習期間を通じて、CISAのシナリオ形式の問題に特化した練習問題を解き続けることが不可欠だ。単に事実を暗記するだけでは不十分で、監査人として「最も適切な行動」を見抜く力を養うことが合格の鍵となる。

試験で多くの受験者が陥る落とし穴もいくつか存在する。最も典型的なのは、「エンジニアとして回答してしまう」ことだ。監査人としての視点を見失い、技術的な解決策を提示してしまうと誤った選択をしてしまう。また、「最も徹底的なオプションを選んでしまう」傾向もある。例えば「完全なフォレンジック調査を実施する」といった選択肢は一見すると非常に丁寧に見えるが、監査人は経済的なアプローチを重視するため、最初に行うべきはリスク評価と的を絞ったテストであることが多い。

さらに、「MOST（最も）」「BEST（最良）」「FIRST（最初）」といったキーワードを見落とさないよう注意が必要だ。複数の選択肢が合理的に見えても、ISACAの基準において最も優先されるべき行動を選ぶことが求められる。暗号技術についても、詳細なアルゴリズムの知識よりも、対称鍵と非対称鍵、ハッシュ、PKI（公開鍵基盤）、デジタル署名といった基本的な概念の理解が重要だ。

CISAの認定には、試験合格だけでなく、5年間の情報システム監査、コントロール、セキュリティに関する実務経験が必要となる。学歴によっては一部代替が可能だが、この実務経験要件は計画的に準備する必要があるため、試験の合格前から意識しておくことが望ましい。

CISAの資格を取得することで、情報システム監査人、リスクマネージャー、コンプライアンスマネージャー、GRCコンサルタントといった多様なキャリアパスが開ける。CISSP（公認情報システムセキュリティプロフェッショナル）と組み合わせれば監査とセキュリティの両面から強固な専門性を持つことができ、CISM（公認情報セキュリティマネージャー）と組み合わせれば、ガバナンスからマネジメントまでをカバーするキャリアを築ける。給与調査でも、CISAは常に高収入なIT資格の一つとしてランクインしており、それは規制産業のあらゆる企業が、困難な質問を投げかけ、その回答を文書化できる人材を求めているからだ。

システムを構築するのではなく、システムを評価する、という思考の転換こそがCISA試験の核心であり、ひいてはCISAが拓くキャリアそのものだ。監査人としてのマインドセットを身につけ、シナリオ問題の練習を重ねることで、「最良の選択」が直感的にわかるようになれば、あなたはCISA認定への道を切り開けるだろう。