ISC2 CC試験が9月1日から改定｜新5ドメインと配点を解説

ISC2 CC試験は、2026年9月1日を境に問われる中身が変わります。ISC2 が2026年8月6日に公開した公式解説で、エントリーレベル資格 Certified in Cybersecurity（CC）の試験アウトラインが2026年9月1日から新版に切り替わることが示されました。2022年8月の開始以来、初めての本格的な内容改定です。

動くのはドメイン名だけではありません。配点も再配分され、Domain 2 は「事業継続・災害復旧・インシデント対応」から「セキュリティガバナンス」へ置き換わりました。クラウド、ゼロトラスト、脅威インテリジェンスといった領域が追加・拡充され、AIについては5つのドメイン全体に統合されます。

読み終えるころには、あなたが8月31日までに受験すべきか、9月以降に新しい範囲で学び直すべきかを、手元の教材と受験コードの状況から自分で決められます。無料プログラムの受験コードを持ったまま放置している人は、期限の話が特に効きます。

2026年9月1日から新アウトライン｜CC発足以来はじめての本格改定

切り替え日は2026年9月1日です。ISC2 の CC 試験アウトラインのページには「2026年9月1日より、CC試験は新しい試験アウトラインに基づく」という告知が掲載されています。逆に言えば、8月31日までに受験する人には現行版（2025年10月1日発効）がそのまま適用されます。

ISC2 はこの改定を、定期的な試験更新サイクルの一部である職務分析（Job Task Analysis）の結果だと説明しています。5ドメインという構造そのものは維持したまま、いくつかのドメインを改称・再編・拡張し、ガバナンス、アイデンティティ管理、クラウドセキュリティ、脅威インテリジェンス、インシデント対応により重点を置く構成にした——これが公式の説明です。ここで言う「重点」は扱う内容の話で、ドメインごとの配点は増えたものと減ったものの両方があります。

もう一つの軸がAIです。ISC2 は「基礎的なAIの概念を試験アウトライン全体に統合した」と明記しています。狙いは、キャリア初期の実務者でもAI資産を識別し、自動化された脅威に気づき、新しい技術のガバナンスを支えられる状態にすること。AI専用のドメインを新設するのではなく、5つ全てに溶かし込む設計です。

やっかいなのは、手元の教材がどちらの版に対応しているか分かりにくい点です。旧アウトライン準拠の教材だと、「Security Governance」やクラウドの責任共有モデルのように、新設・再編された項目の扱いが薄い可能性があります。9月以降に受験するなら、教材の目次と新しいドメイン構成を突き合わせて、抜けている領域を洗い出すところから始めてください。改定期に詰まりやすいのは、範囲の難しさより、どこが穴なのか自分で把握できないほうです。

(ISC)² CCの合格を、AIが最短ルートで。

(ISC)² CCの問題集①を無料体験・クレジットカード不要

無料で試す

新旧ドメイン対照｜配点はここまで動いた

結論から言うと、5つのうち4つのドメインが名前を変え、配点は全て動きます。ISC2 が公開した新旧の対照は次のとおりです。

2025年版ドメイン	配点	2026年版ドメイン	配点
Security Principles	26%	Security Principles	24%
Business Continuity (BC), Disaster Recovery (DR) & Incident Response Concepts	10%	Security Governance	17.3%
Access Controls Concepts	22%	Identity and Access Management (IAM) Concepts	20%
Network Security	24%	Networking and Cloud Security Concepts	21.3%
Security Operations	18%	Security Operations and Incident Response	17.3%

最大の変化は、ガバナンスとリスク関連の項目が専用ドメインとして独立し、17.3%を占めるようになったこと。そしてインシデント対応が Domain 2 の一項目から Domain 5 の主要構成要素へ移ったことです。ISC2 自身がこの2点を最も注目すべき変化として挙げています。旧Domain 2 の10%がそのまま新Domain 2 に引き継がれたわけではなく、項目ごとに再配置されている点には注意してください。

Domain 1：情報保証からサイバーセキュリティ概念へ

Domain 1 は土台としての役割を保ちつつ、用語が現代化されました。「information assurance（情報保証）」が「cybersecurity concepts」に置き換わり、AAA（認証・認可・アカウンティング）が中核概念として登場します。リスク管理は「プロセスの理解」から「ライフサイクルを含む概念の理解」へ広がり、ガバナンスの節には規制・法令・ポリシー・標準・手順に加えてフレームワークとガイドラインが加わりました。倫理の節には due care と due diligence が追加されています。

Domain 2：事業継続がセキュリティガバナンスに置き換わる

今回いちばん大きく動いたのがここです。BC・DR・インシデント対応のドメインが Security Governance に差し替わり、GRC（ガバナンス・リスク・コンプライアンス）、組織のセキュリティ意識、セキュリティ文化、そしてKRI（重要リスク指標）やダッシュボード・レポートによる有効性の測定が中心に据えられました。事業継続と災害復旧が消えたわけではありません。冗長性の概念の下で扱われる位置づけに変わりました。

Domain 3：アクセス制御からIAMへ

Access Controls Concepts は Identity and Access Management（IAM）Concepts に生まれ変わります。最小権限や職務分掌といった原則は残りますが、アイデンティティのライフサイクル管理、プロビジョニングとデプロビジョニング、ロール定義、IAMのフレームワークとツールまで守備範囲が広がりました。境界がネットワークからアイデンティティへ移った実務を、そのまま反映した形です。

Domain 4：クラウドとゼロトラストが正面に

Network Security は Networking and Cloud Security Concepts へ拡張されます。従来のネットワーク領域は残したうえで、クラウドの特性・デプロイモデル・サービスモデル・責任共有モデルが独立した扱いになりました。さらにゼロトラストと新しいセグメンテーション手法が加わり、無線技術やIoT・産業制御システムといった組込みシステムの扱いも広がりました。

Domain 5：脅威インテリジェンスとインシデント対応を取り込む

ISC2 が「おそらく最も内容が拡張された」と表現するのが Domain 5 です。配点は18%から17.3%へわずかに下がる一方、扱う項目は増えます。データセキュリティ、システム堅牢化、ポリシー、意識向上教育が中心だった章に、次の項目が加わりました。

セキュリティイベントのトリアージと優先度付け
脅威アクターと動機、サイバー脅威インテリジェンス、脅威フレームワーク
インシデント対応計画と演習
資産のライフサイクル管理
レッド／ブルー／パープルチームによるセキュリティ即応性テスト
アプリケーションセキュリティテストと脅威モデリング、物理侵入テストの概念

データセキュリティ側も、データマスキング、サニタイズ、耐量子暗号が追加されて現代化されました。エントリーレベルの資格としては踏み込んだ領域です。

誰に影響するのか｜3つの立場で結論が変わる

影響の受け方は、あなたが今どの立場にいるかで変わります。

1. これから受験する人——最も直接的に影響します。9月1日以降に受験するなら、新しいドメイン構成で出題されます。学習中の教材が2025年版準拠なら、Security Governance の GRC・KRI、クラウドの責任共有モデル、ゼロトラスト、脅威インテリジェンスあたりを追加学習で補う必要が出てきます。

2. 無料プログラムの受験コードを持っている人——期限が二重にかかります。ISC2 は2026年4月22日、100万人に無料の講座と試験を提供してきた「One Million Certified in Cybersecurity」プログラムを2026年5月20日で終了すると発表しました。同日以降、新規参加の受付は停止。ただし未失効の受験コードを持つ参加者は、2026年12月31日までに受験を予約し、受験を終えることができます。つまり、コードを寝かせたまま9月をまたぐと、旧アウトラインで学んだ内容のまま新アウトラインの試験を受けることになります。

3. すでにCCを取得している人——今回の公式解説に、既存の認定保有者への影響や再受験の要否についての記述はありません。現時点でISC2から再受験を求める発表は出ていない、というのが確認できる事実です。

8月31日までに受けるか、9月以降にするか｜判断の分かれ目

切り分けの軸は3つです。「未失効の無料受験コードを持っているか」「8月中に受験枠を確保できるか」「学習済みの教材が2025年版アウトライン準拠か」。この3点に答えたうえで、次の表で自分に近い状況を探してください。

あなたの状況	おすすめの受験時期	理由
2025年版の教材で学習がほぼ終わっており、かつ8月31日までの受験枠を確保できる	8月31日までに受験	新旧差分の追加学習を避けやすく、現行アウトラインのまま受けられる
未失効の無料受験コードがあるが、学習はこれから	9月以降・12月31日までに受験	コードの受験期限は12月31日。準備不足のまま受験するより新範囲で仕上げられる
学習をこれから始める／教材も未購入	9月以降に受験	最初から2026年版アウトラインで学べば手戻りが出ない
クラウドやゼロトラストの実務経験がある	9月以降でも不利になりにくい	Domain 4 の拡張部分を実務知識で埋めやすい（時期は他ドメインの仕上がりで判断）

迷ったときは、Pearson VUE の予約可能日と手元の仕上がりを突き合わせて決めてください。切り替え日まで残りわずかです。8月中の枠が取れない、あるいは旧版教材との差分がまだ埋まっていないなら、9月以降に新しい範囲で仕上げる前提へ切り替えたほうが計画は組みやすくなります。セキュリティ分野の学習順序に迷っているなら、国内資格との組み合わせも視野に入ります。国家資格側の位置づけは情報処理安全確保支援士の難易度と登録制度にまとめてあります。

受験の基本情報｜形式・言語・費用

試験形式そのものは、今回のアウトライン改定とは別に運用されています。ISC2 の公式ページに掲載されている現行の条件は次のとおりです。

項目	内容
出題方式	CAT（コンピュータ適応型テスト）
試験時間	2時間
問題数	100〜125問（多肢選択および advanced item types）
合格ライン	1000点満点中700点
試験言語	英語・中国語・日本語・ドイツ語・スペイン語
受験場所	Pearson VUE テストセンター
受験料	199米ドル（2回受験できる Peace of Mind Protection 付きは299米ドル）

日本語で受験できる点は、エントリーレベルの国際資格としては大きな利点です。実務経験は不要で、2026年8月14日時点の公式ページによれば ANAB による ISO/IEC 17024 認定と U.S. DoDM 8140.03 の承認を受けています。今回の発表では、これらの位置づけの変更は示されていません。他の資格と比較して選びたい場合は目的別のIT資格ランキングも参考になります。

よくある質問

8月31日までに受験すれば、これまでどおりの範囲ですか？

そうなります。ISC2 は「2026年9月1日より、CC試験は新しい試験アウトラインに基づく」と告知しており、それ以前の受験には2025年10月1日発効の現行アウトラインが適用されます。ただし受験枠はPearson VUEテストセンターの空き状況次第です。日程を先に押さえてください。

すでにCCを持っています。取り直しは必要ですか？

ISC2 の今回の公式解説には、既存の認定保有者への影響についての記述がありません。再受験を求める発表も現時点では出ていません。年次のCPE要件や年会費といった維持条件は、これまでどおりISC2の案内に従うことになります。

無料でCCを受験できる制度はまだ使えますか？

新規の申し込みはできません。ISC2 は「One Million Certified in Cybersecurity」プログラムを2026年5月20日で終了し、同日以降は新規参加の受付を停止しました。未失効の受験コードを持っている人に限り、2026年12月31日までに予約して受験を終えることができます。プログラム終了後のCC試験と教材は、他のISC2試験と同様に購入する形になるとISC2は案内しています。

AIの知識がないと受からなくなりますか？

AI専用のドメインが新設されたわけではありません。ISC2 は基礎的なAI概念を5つのドメイン全体に統合したと説明しています。公式が挙げているのは、AI資産を識別し、自動化された脅威に気づき、新しい技術のガバナンスを支えられる水準の理解です。CIAの三要素をAIシステムに当てはめる観点にも触れられています。実際の学習項目は、公開される新しいアウトラインで確認してください。