こんにちは。
デカチワです。
この記事は
私がCISA（公認情報システム監査人）独学で合格した実体験を元に
- CISAの独学を考えているけど
- 勉強方法が分からない。
- どういった戦略で対策してくべきなのかイメージが沸かない
こういった疑問に答えていこうと思います。
私はSlerで4年間ほどSEとして働き、システム監査人へ転職しました。
その後、約100時間、期間としては1ヶ月半の独学によりCISAに1発合格しました。
この記事を読めば、CISAの独学のポイントが理解できるだけでなく、勉強スケジュールと勉強方法をマネすることで、時短で合格に近づくことができます。
また、CISAに関する概要と疑問点をまとめた記事を下記に記載しています。
CISAの合格を目指すにおいて、まだ概要を把握していない方、取得する上での疑問点をお持ちの方は、一読した上で当記事を読み進めてください。
概要は頭に入っているよ～という方は、読み飛ばしていただければと思います。
以下、目次です。
順を追って解説します。
目次
【当時を振り返る】CISA勉強開始前の状況
CISA勉強開始前の私の状況は下記です。
- 4年間、SEとして働きシステム開発・運用・保守の知識がある程度ついている
- 転職してシステム監査の仕事を始めたばかり
- ネットや書籍でシステム監査について大枠を理解できた
といった感じで、ITの知識はある程度あるものの、システム監査については大枠を理解した程度でした。
システム監査人に転職したばかりの人と大きな相違はないのではないでしょうか。
CISAに独学で合格するための3つのポイント
CISAの独学のポイントは3つです。
この3つのポイントさえ抑えれば、短期間での合格も可能です。
また、独学のメリットはコスパです。
国家試験と異なりCISAの受験料は驚くほど高いです。専門学校に通うとしたら、20万程度の費用がかかってしまいます。受験料と合わせて総額26万～30万ほどです。
受験料は避けることができないので、独学ならば参考書選びが重要となります。
私はアビタスの教材を知人から譲り受けたため、参考書（テキスト＆問題集）代は0円でした。
参考書に関しては、
アビタスとISACA公式のものが主流です。
参考書の「分かりやすさ」や「使いやすさ」からすると、アビタスに軍配が上がります。
したがって、アビタスの参考書を入手し、講座を受講せず勉強することが、最もコスパが良く受かり勉強方法だと思います。
アビタスの参考書は、メルカリやヤフオクでも中古を購入することができるので、バージョンの比較的新しいものを購入できれば、コストを下げることができます。
前置きはこれくらいにして、CISA独学の3つのポイントに入っていきます。
出題割合の高いドメインを重点的に取り組む
CISAはドメイン毎に出題割合が開示されているので、割合の高いドメインを重点的に勉強することで、合格の確率が高まります。
どういうことかというと
まず、CISAの出題内容は、概要＆疑問編でもお伝えしたように６つのドメインに分かれています。
- 【ドメイン１】情報システム監査のプロセス
- 【ドメイン２】ITガバナンスとITマネジメント
- 【ドメイン３】情報システムの調達、開発、導入
- 【ドメイン４】情報システムの運用とビジネスレジリエンス
- 【ドメイン５】情報資産の保護
その上で、ドメイン毎の出題割合が公開されています。
それぞれ
- 21% → 31.5問
- 17% → 25.5問
- 12% → 18問
- 23% → 34.5問
- 27% → 40.5問
のような割合となっています。
割合の降順で並び替えると、下記のようになります。
- 【ドメイン５】情報資産の保護
- 【ドメイン４】情報システムの運用とビジネスレジリエンス
- 【ドメイン１】情報システム監査のプロセス
- 【ドメイン２】ITガバナンスとITマネジメント
- 【ドメイン３】情報システムの調達、開発、導入
短期間での合格を狙う場合、ドメイン５→４→１→２→３の優先順位で時間を割当てると効率的であると言えます。
出題割合の高いドメインから、手をつけていく。尚且つ、勉強時間も優先的に割り当てることで全てのドメインの問題を網羅しなくても十分合格が可能です。
「最も適切な選択肢はどれか？」を考える訓練をする
CISAの試験で出題される問題には特徴があります。
それは、状況に合わせて最も適切（優先度の高い）な選択肢を選ばせるという特徴です。
全てではないですが、この問題構成が大半となっています。
つまり、ただ単純に知識をつけるのではなく、実践に近い状況で、知識を使って思考できるかを問うています。
この点において、一般的な選択肢問題のように、明かな解答が１つしかないという問題が少ないです。
簡単な具体例を挙げてみましょう。
あたなは外部監査の一環で、企業のデータを利用した手続の妥当性をテストしています。
テスト中に、不審に思う箇所を一部見つけました。
あなたが次にとる行動として、最も適切な選択肢を選んでください。
- クライアントへ指摘箇所を共有し、改善を促す
- 妥当性を判断するための追加監査証拠を依頼し、検証をおこなう
- 一人で判断せずに不審に思う箇所を上司に報告し、相談する
- 不審な箇所を発見したので、監査範囲を広げる
最も適切な選択肢は2番です。
一見どれも正解だと錯覚しますよね。
まず、4番は明らかに不正解だと分かると思います。不審な箇所の妥当性を確認できていない状況で、監査範囲を広げてしまうのは誤りですね。
次に、1番ですが、これも問題文をよく読めば誤りと気づきます。
不審に思う箇所の妥当性を確認できていない状況で、クライアントへ指摘して改善を促してしまった場合、誤った判断（監査リスク）を伝えてしまいます。
上記の問題の場合、、2番と3番で悩んでしまう方がほとんどだと思います。
「報・連・相」を何かと叩き込まれている社会人だと、3番を選んでしまいますし、監査チームの方針として存在するかもしれません。
ですが、システム監査人(IT Auditer)として、妥当性の確認を目的とした手続きをおこなっていますよね。
なので、不審に思う箇所があったとしても、まずは、その妥当性を確認した上で上司や同僚に相談するべきです。
ということで最も適切な選択肢は2番となります。
いかがでしょうか。
なんとなく、問題のクセはつかめたでしょうか。
問題と選択肢をよく読み、状況に合わせて優先度の高い選択肢を選ぶことがとても重要になります。
これをきちんと認識した上で、問題集を解くことで、徐々に慣れていき、合格に近づくことができます。
先にスケジュールを決める
独学では、勉強のスケジュールは先に決めることが重要です。
そうすることで、計画と実績のGAPを把握できます。
GAPが発生するということは、必ず原因があるので、１週間毎に振り返りましょう。
原因に対して対策を打ち、次の週には必ずGAPを回収する習慣をつけることで、確実にレベルアップしていきます。
CISAに100時間で合格する
私は、上記で紹介した独学の3つのポイントを抑え、約100時間の勉強でCISAに合格しました。
勉強時間は
- 平日：2時間 × 32日間 = 64時間
- 休日：3時間 × 12日間 = 36時間
こんな感じです。
平日2時間の内訳は、通勤電車が1時間、帰宅後寝るまでに1時間の計2時間です。
社会人でも割と無理なく確保できる勉強時間だと思います。
このセクションでは、私の実体験に基づいた勉強スケジュールを公開いたします。
スケジュール通りに、きちんと勉強すれば合格に近づくことができると思います。
勉強スケジュールを公開 ← マネするだけでOK
＜＜ Day1 ～ Day7 ＞＞
・テキストを2周する
初めの1週間は、テキストの読込みをおこないます。
ここでの目的は、「分からない概念」と「分からない用語」を炙り出すことです。
アビタスのテキストの場合、そこまでの文量はないので、1週間で上下巻を2周できます。
1周目はかっちりと理解しようとしなくて構いません。目次を眺めて、どういった構成で何を学ぶのか軽く把握し、スピードを上げて読込んで全体像を掴みます。
その際、分からない概念・用語はスマホやノートに記録し、ネットで検索し理解しましょう。
2週目はよく読込んで理解しましょう。その際に、1週目で記録した分からない概念・用語について、テキストの文脈の中できちんと読める状態であればOKです。
もちろん、2週目で終わったタイミングでも、いまいちよく理解できていない概念・用語があると思います。
それは記録として残し、次へ進みます。
＜＜ Day8 ～ Day15 ＞＞
・優先度の高いドメインの問題集を1周する
勉強開始2週目でさっそく問題集に入っていきます。
勉強開始早々に問題集へ取り掛かる目的は、クセのある選択問題に慣れるためです。
また、上述した優先度の高いドメインから解いていきます。
- 【ドメイン５】情報資産の保護
- 【ドメイン４】情報システムの運用とビジネスレジリエンス
- 【ドメイン１】情報システム監査のプロセス
このドメインだけで、出題問題数の7割（150問中105問）を占めています。
なので、優先度の高い3つのドメインに時間を費やします。
解いた問題はその時点で、正解できたか不正解だったか記録しておきましょう。
問題集にフリクションなどの後から文字を消せるペンで、記録しておくのがおすすめです。
メルカリで中古として出品する場合に、記録を消すだけで済みます。
もし上記3つのドメインの問題の内、3つとも80%以上の正解率であれば残りのドメインの問題集に進んでOKです。
逆にそれに満たない場合は、3週目もこのドメインの問題に取組みます。
＜＜ Day16 ～ Day23 ＞＞
・優先度の高いドメインの問題集の2周目をおこなう
【Day8 ～ Day15】で解説した3つのドメインについて、それぞれ正答率が80%未満の場合は、同じドメインの問題集の2周目をおこないます。
＜＜ Day24 ～ Day38 ＞＞
・優先度の低いドメインの問題集を解く
・正答率が80%未満の優先度の高いドメインを平行して解く
ここまで来ると、だいぶ問題にも慣れてきて、こういう風に考えて解けば良いのねっていう感覚が実感できると思います。
勉強開始から3～4週目は、優先度の低いドメインの問題集に入っていきます。
- 【ドメイン２】ITガバナンスとITマネジメント
- 【ドメイン３】情報システムの調達、開発、導入
それと同時に、優先度の高いドメインに関しても正答率が80%未満となっている場合は、平行して解いていきます。
このフェーズで、可能な限り全てのドメインの問題集について、正答率を80%以上に持っていきます。
その上で、苦手な分野のまとめノートをDay36～38で作成します。
まとめノートについては、不要という方もいますが、私は必要派です。
試験まで約1週間というタイミングでまとめノートを作成することで、本当に苦手である論点や伸びしろのある論点を抽出できます。
さらに、そこを重点的に取り組むことで、全体の正答率を高くしていきます。
優先度の高いドメインを最優先で正答率80%までもっていき、心理的に落ち着かせた状態で、残りのドメインを底上げしていくやり方です。
＜＜ Day39 ～ Day44 ＞＞
・まとめノートの復習
・優先度の高いドメインの問題集を通しで解く
ついに試験まで1週間を切りました。
最終週は、まとめノートの復習がメインです。
それと同時に、優先度の高いドメインの問題集を通しで解いてみましょう。
本試験と同じ条件で、シミュレーションします。
- 制限時間：4時間
- 問題数 ：150問
最低でも優先度の高い3つのドメインは2回、時間が余れば優先度の低いドメインを1回解きましょう。
本試験は150問を4時間以内で解く必要があります。
一見、「4時間で150問なんだから楽そう」と印象を持つ方もいる思いますが、実際に本試験を経験すると結構疲れていることに気づきます。
つまり、合格するためにはある程度の集中力が必要になるのです。
結果論ですが、私は本試験のシミュレーションをやっておいて良かったと感じました。
また、このシミュレーションで全ドメインで80%以上の正答率を取れていれば、自信にもつながり良いコンディションに仕上がります。
後は体調管理を徹底して、万全な状態で試験に挑むだけ。
健闘を祈ってます。
79件のコメント
ただいまコメントは受け付けていません。