CISSP合格後、知り合いにCISSPホルダーがいない人へ — ISC2エンドースメントの実践記録

TL;DR

• CISSPの試験合格後9ヶ月以内にエンドースメント(認定申請)を完了する必要があります。エンドーサーは通常「ISC2認定資格保持者(good standing)」ですが、知り合いがいなければISC2自身がエンドーサーになってくれます(組織エンドースメント)
• ISC2エンドースメントの場合はproof of employment(在職証明)の提出が必須です。
• 審査は標準で最大6週間程度です。私の場合は申請提出から申請承認の連絡が来るまで3週間ちょっとでした。

はじめに

CISSPの受験記は数多くありますが、そのほとんどが試験対策(OSG、問題集、CAT形式の攻略)で終わっており、合格後の認定プロセス、特に周囲にCISSPホルダーがいない場合のISC2エンドースメントに踏み込んだ日本語記事はほとんど存在しません。

外資系や大手SIerにお勤めであれば社内にエンドーサー候補が見つかりますが、所属組織にCISSPホルダーがいない、地方拠点、フリーランスなどでは「エンドーサーを頼める相手がいない」というケースは珍しくありません。本記事は、その状況でISC2自身にエンドースメントを依頼した記録として書いています。

私は長年アプリケーション開発を専門としてやってきていますが、ここ最近、セキュリティ関連の技術相談や全社のリード役を担当することとなった関係で、自身の知識体系を整理すべくCISSPを取得することにしました。
ただ残念なことに所属組織でCISSPホルダーがおらず、私が合格第一号となってしまいました。そのため、エンドースメントをどうするのかが問題となりました。ISC2のサイトを確認したところ、幸いにも身近にエンドーサーがいない場合はISC2への依頼が可能という記載があり、この制度を利用することとした次第です。

試験自体の話(簡潔に)

• 受験日:今年の2月中旬に受験し無事試験合格しました。
• 形式:CAT(Computerized Adaptive Testing)形式で、3時間の試験時間内で100〜150問の設問に回答します。
• 学習期間・教材:以下を利用しました。
  ・CISSP Official Practice Tests 4th Edition
  　公式問題集（英語版）です。Wiley & SonsのサイトでE-BOOK版を購入しました。Sybex Test Banks Siteで問題演習ができるので、Chromeの翻訳機能を使いつつひたすら解いた感じです。2026/6に日本語版が発売されたようなので、このやり方は今後不要になるかもしれません。
• Udemyで役に立った問題集です
  ・ISC2 CISSP 6 Practice Exams-Jason Dion
  ・Latest CISSP Practice Tests 700 In-Depth Q/As & Explanations-Cristina Mehra
• 以下のYoutube動画を視聴しました
  　redditでもよく目にしていた動画は一通り把握しました。NotebookLM（Gemini Notebook）が最高すぎます。
  　・50 CISSP Practice Questions. Master the CISSP Mindset
  　・CISSP EXAM PREP: Ultimate Guide to Answering Difficult Questions
  　・How to Pass the CISSP Exam Like a Pro: Your Complete Strategy Guide | Destination Certification

試験対策の詳細については良記事が多数ありますので割愛し、本題に入ります。

合格 ≠ 認定:エンドースメントの位置づけ

Pearson VUEで "Congratulations" の紙を受け取った時点では、まだCISSPではありません。ステータスとしては認定申請の途中であり、ISC2からの正式な合格通知メールを受領した後に、認定申請(Certification Application)を提出できるようになります。

押さえておくべき制度上のポイントは以下のとおりです。

• 9ヶ月ルール:試験合格日から9ヶ月以内に認定申請プロセスを完了する必要があります。期限を過ぎると合格が失効し、再受験となります
• 経験要件:CISSP 8ドメインのうち2ドメイン以上にまたがる5年のフルタイム実務経験が必要です。関連分野の学位またはISC2承認リストの資格で最大1年分をwaiver可能
• エンドースメント:申請をエンドーサーに承認してもらう必要があります
• ランダム監査:申請者の一定割合が無作為に監査対象となり、追加資料の提出を求められます。

エンドーサーの2つの選択肢

選択肢A:知人のISC2認定者に依頼する

エンドーサーの要件は「ISC2認定資格をgood standingで保持している者」です。エンドーサーは申請者の経験申告内容を確認し、電子的に署名します。

真っ当なエンドーサーほど、たとえ同僚であっても職務経歴書の提出や経験の詳細なヒアリングを求めてきます(認定の信頼性を守る責任があるためです)。「サインするだけ」と軽く考えて依頼すると断られることもあります。

選択肢B:ISC2にエンドースメントを依頼する(本記事の主題)

ISC2の公式方針として、認定者の知り合いがいない場合はISC2自身がエンドーサーとして機能します。ただし条件があります。

ISC2エンドースメントを選ぶ場合、proof of employment(在職証明)の提出が必須です

知人エンドーサーの場合はその人の裁量で確認方法が決まるのに対し、ISC2エンドースメントでは書類ベースで経験を立証する必要があります。審査も相対的に慎重になり、時間がかかる傾向があります。
さらに、ISC2へエンドースメントを依頼すると、監査の可能性が上がるという話を目にしてしまい、若干及び腰になりかけました。それを考えてもエンドーサーが現れるわけでもないので腹をくくって依頼することにしました。

ISC2エンドースメント申請の実際

申請フロー

1. ISC2からの合格通知メールを受領します
2. ISC2ポータルからオンラインの認定申請(endorsement application)を開始します
3. エンドーサー選択画面で「ISC2による組織エンドースメント（Request ISC2 to endorse you.）」を選択します
4. 職務経歴を入力します:各職歴について、会社名、期間、フルタイム/パートタイム、有給/無給、対応するCISSPドメイン、職務内容の記述が求められます。
5. 自分の勤務先などから在職証明（proof of employment）の発行を依頼します。
6. 入手した在職証明をアップロードします
7. Code of Ethicsへの同意、犯罪歴等に関する設問に回答します
8. 提出し、審査を待ちます

入力フォームの罠

在職証明はPDFにしてアップロードするのですが、なぜかアップロードしたPDFを削除する操作ができず、一度内容の誤りに気付いて再アップロードができなかったため、申請書自体を削除する必要があった点はハマるポイントかとおもいます。

proof of employmentとして何を出すか

公式に示されている例は「雇用契約書、レター、その他会社レターヘッド上の書類で在籍期間が分かるもの」です。
私の場合は、所属会社所定の様式があり（発行日付、氏名、入社年月日、会社名、人事の偉い人の署名）という構成の書面を一枚アップロードしただけで問題なく受理、審査されました。

日本の申請者特有の課題:

• 書類はすべて英文である必要があります。日本企業の在職証明書は和文が標準ですので、英文での発行を人事に依頼するか、和文+翻訳の構成にします。私の場合は所属会社所定の様式での発行依頼が可能であり、さらに和文、英文を選択することができました。みなさんの所属先では異なるかと思いますので、確認されたほうが良いかと思います。

• 職務内容の記述は、CISSPのどのドメインに対応する業務かをISC2側がマッピングできる粒度で書きます。「セキュリティ運用に従事」ではなく「EDRアラートのトリアージとインシデント対応(Domain 7)、IAMポリシー設計(Domain 5)」のような具体性が求められます

• 私の場合は、このフォーマットで職務内容を6件ほど記載しました。（1件あたり400文字程度）
  Experience n | Period:従事期間（YYYY/MM-YYYY/MM） | Domains: 対応するドメイン | Job:経験内容

審査期間と結果

• 標準的な審査期間は提出から最大6週間程度です。早い例では2週間、混雑期や書類不備があればそれ以上かかります。私の場合は申請提出から申請承認の連絡が来るまで3週間ちょっとでした。
• 監査対象に選ばれた場合は追加書類の要求メールが届くそうです。私は幸いにも選ばれませんでしたが、もし選ばれてしまった場合は迅速に応答するほどトータルの遅延を小さくできます

【筆者のタイムライン実録】

日付	イベント
【2月中旬】	試験合格（ISC2から合格通知メール）
【2月下旬】	認定申請提出(ISC2エンドースメント選択)
【3月中旬】	承認通知
【3月中旬】	AMF支払い・認定完了

まとめ

• エンドーサー探しに消耗する必要はありません。ISC2エンドースメントは公式に用意された正規ルートです
• proof of employmentの英文レターの準備は合格前から始めておくとスムーズです
• 申請書の内容とproof of employmentがちゃんとしていれば普通に承認されます。
• 制度の利用に及び腰になる必要はありません