カテゴリー別アーカイブ: CCZT

CCZT合格体験記

コメントをどうぞ

2026年10月13日
キンドリルジャパン株式会社 河合 淳一

2026年3月12日に、Cloud Security Alliance（CSA）が提供するCertificate of Competence in Zero Trust（CCZT）に合格しました。

以前からZero Trustには関心があり、関連する業務や勉強会にも関わってきましたが、体系的に理解できているかというと、かなり不安がありました。

今回、資格取得を目標に学習を進めたことで、Zero Trustの考え方をかなり整理できたように思います。受験の経緯や学習方法、受験後の感想などをご紹介します。

■　CCZTとは

CCZTは、CSAが提供するZero Trustに関するベンダーニュートラルな資格です。特定の製品やサービスの知識ではなく、Zero Trustの基本原則、アーキテクチャ、導入戦略や計画などについての理解が問われます。

私が受験した2026年3月時点の試験概要は以下の通りです。

  • 試験時間：120分
  • 問題数：60問（選択式）
  • 合格基準：正答率80%以上
  • 受験料：175米ドル（2回まで受験可能）
  • 試験言語：英語
  • 試験方式：オンライン、オープンブック

私が受験した際には、試験会場へ出向く必要はなく、自分のPCから都合の良い時間に受験できました。

なお、2026年10月4日からは日本語での受験も可能になりました。試験制度は変更される可能性があるため、最新情報はCSA公式サイトをご確認ください。

■　これまでの経験と保有資格

私はIT業界で30年以上、主にサーバやネットワークなどのインフラ運用、セキュリティマネージャ、セキュリティ領域中心のアーキテクトなどの仕事に携わってきました。現在は主としてセキュリティ関連のプリセールスやコンサルティングを担当しており、アーキテクト研修の講師や、社内のセキュリティ技術コミュニティの運営なども行っています。

保有資格にはCISSP、CCSP、AWS Solutions Architect – Associate、AWS Security Specialty、G検定などがあり、資格取得にあたっては、個別製品の操作や設定方法よりも、長く使えて陳腐化しにくい知識を身に付けることを重視しています。例えば、2014年に取得したCISSPでは「リスクの考え方」を、2020年に取得したCCSPでは「クラウドの責任共有モデル」を叩き込まれたと感じています。今回のCCZTにも、同じような効果を期待していました。

■　CCZT受験のきっかけ

Zero Trustについて最初に本格的に勉強したのは、2022年頃に実施したNIST SP 800-207の社内勉強会でした。当時すでにCISSPとCCSPを取得していましたが、それでもNISTの文書を理解するのはなかなか大変でした。Zero Trustの本質を理解できていたかというと、残念ながらそうではなかったように思います。2023年6月には、Palo Alto NetworksのPSE-SASEという資格も取得しました。ただし、こちらは製品知識を中心とした学習で、私の場合は短期間の試験対策で合格できたものの、実案件で利用する機会がなかったこともあり、知識がほとんど定着せず、結局、資格も更新せず失効しました。そんな中、2024年7月にCSAジャパンのFacebookグループでCCZTの存在を知りました。特定のベンダーに依存せずZero Trustを体系的に学べる資格ということで、興味を持ちました。

2025年4月には、年度内（2026年3月まで）のCCZT取得を個人目標に設定しました。目標に入れておけば、さすがに勉強するだろう、という自分へのプレッシャーです。さらに2026年1月、Zero Trustに関連する提案案件に参画することになりました。提案に関わる中で、やはりZero Trustについてきちんと説明できるレベルになっておく必要があると感じました。

もう一つ、2026年4月から社内で「セキュリティ×アーキテクチャ」をテーマとするワーキンググループ（WG）を開始する計画がありました。NIST SP 800-207を主要教材として利用する予定だったため、メンバー募集を始める3月中旬までには合格しておきたいと考えました。

こうして、いくつかの事情が重なり、ようやく本格的な受験準備を始めることになりました。

■　使用した教材

CCZT Prep Kit

学習の中心は、CSA公式サイトから入手できるCCZT Prep Kitです。

今回、知識習得のための教材は基本的にこのPrep Kitに含まれる文献だけを使用しました。ほかにUdemyの模擬試験を利用しましたが、別の参考書や有料講座などは使用していません。Prep Kitには複数の文献が含まれています。私が特に重要と感じたものを以下に挙げます。

資料重要度主な学習ポイント
NIST SP 800-207 – Zero Trust Architecture最重要Zero Trustの7 Tenets、PE/PA/PEP、アーキテクチャと実装アプローチ
CISA Zero Trust Maturity Model v2.0最重要5 Pillars、成熟度4段階、横断的なCapabilities
NSTAC REPORT TO THE PRESIDENT最重要Five-Step Process、導入戦略、ガバナンス
Introduction to SDP Study Guide重要SPA、mTLS、IH/AH、Controller、Deployment Modelsなど
Mapping ZTA components to SDP重要上記コンポーネントとPE/PA/PEPとのマッピング
Zero Trust Planning Study Guide重要計画策定、リスク評価、責任分担、移行計画
Sample Questions（50問）重要CSA公式の設問形式、用語、出題観点

※重要度は私自身の学習における評価です。試験の出題比率を表したものではありません。中でもAuthoritative Sourcesフォルダに含まれるNIST SP 800-207、CISA Zero Trust Maturity Model、NSTAC REPORTの3つは、Zero Trustをアーキテクチャ、成熟度、導入戦略という異なる視点から理解するうえで重要だったと思います。

Udemyの模擬試験

Prep Kit以外には、Udemyで以下の2つの模擬試験を購入しました。

  • CCZT 2026 Practice Tests and Questions（6回分）
  • Certificate of Competence in Zero Trust (CCZT) – Exam Tests（5回分、現在は利用できないようです）

いずれも英語の問題集で、ディスカウント時にそれぞれ1,500円程度で購入しました。

■　学習方法

AIをフル活用

2026年1月末頃から3月初旬にかけて、Prep Kitの学習を進めました。これまで資格試験の勉強では、文献を自力で読み、重要なポイントをExcelやOneNoteに整理する方法を取ることが多かったのですが、今回はAI（ChatGPT Enterprise）をフル活用しました。

具体的には、以下のような方法です。

  1. Prep Kitの重要文献をAIに要約してもらう
  2. 要約結果をOneNoteにコピーし、重要なポイントを赤字などで整理する
  3. その他の文献もAIで要約し、全体を把握したうえで流し読みする
  4. 理解できない箇所はAIと繰り返し議論する

特に意識したのは、AIにZero Trustの一般論を説明してもらうのではなく、指定した原文に沿って要約してもらうことです。一般的な解説としては正しくても、試験教材に書かれていることと微妙に異なっていては困ります。また、AIの説明で納得できない場合には、原文に戻って確認することも重要だと思います。

AIとの壁打ちも役に立ちました。例えば、NIST SP 800-207に登場するPolicy Engine（PE）、Policy Administrator（PA）、Policy Enforcement Point（PEP）について、何となく分かったつもりでも、それぞれの責務を明確に説明しようとすると、意外と難しいものです。AIに質問するだけでなく、自分なりの理解を説明し、その解釈が妥当かを議論することで、理解を深めました。

■　暗記よりも構造の理解を重視

CCZTはオープンブック試験ですので、文献に書かれている細かい内容をすべて暗記することには、あまり意味がないと考えました。むしろ、Zero Trustを構成する要素の役割や相互関係を理解することを重視しました。

特に意識したのは、次のようなポイントです。

NIST SP 800-207

  • Zero Trustの7 Tenets
  • PE、PA、PEPの責務の違い
  • アクセス判断に利用されるData Sources
  • ZTAの各種アプローチやDeployment Variations

Zero Trustは単一の製品や技術を導入すれば完成するものではありません。組織の環境や要件に応じて、複数の技術やアプローチを組み合わせる必要があると理解しました。

Software Defined Perimeter（SDP）

  • Single Packet Authorization（SPA）
  • Mutual TLS（mTLS）
  • Controller
  • Initiating Host（IH）とAccepting Host（AH）
  • 各種Deployment Models

SDPについても、個々の用語を覚えるだけではなく、それぞれが何の役割を担い、どのように連携するのかを理解するようにしました。また、以前IBMからKyndrylへの分社独立を経験した際、利用者として社内IT環境の変化を体験しています。そうした実体験も思い出しながら学習することで、抽象的な概念を具体的にイメージしやすくなりました。

■　模擬試験への取り組み

3月上旬、4日間程度でUdemyの模擬試験11回分を受験しました。模擬試験では、本番とは異なり、あえて何も参照せずに解答しました。また、時間をかけて調べたり、何度も見直したりすることはせず、できるだけ短時間で気楽に解答する方針にしました。かなりリラックスして取り組んでいたと思います（笑）。

結果は以下の通りでした。

模擬試験各回の正答率
CCZT 2026 Practice Tests and Questions85%、85%、83%、86%、81%、81%
Certificate of Competence in Zero Trust (CCZT) – Exam Tests78%、86%、74%、82%、80%

一部で80%を下回りましたが、想定していたよりも良い結果でした。なお、Udemyの模擬試験には、問題文や正答、解説に疑問を感じるものもありました。そうした問題についてはAIと議論し、必要に応じて原文を確認して理解を深めました。また、上記の正答率には、疑問を感じた問題もそのまま含めています。

模擬試験を通じて、問題文や選択肢の表現に慣れることもできました。実際の試験でも解釈に迷う問題はあり得るため、そうした問題への対応を経験できたことにも意味があったと思います。模擬試験ではおおむね合格ラインに達していたので、これ以上勉強を続けるよりも、そろそろ本番を受けてみようと判断しました。

■　受験当日

2026年3月12日（木）の朝、仕事を始める前に受験しました。

事前にCSAの試験サイトで登録を済ませ、試験開始までの流れを確認しておきました。CCZTは試験会場の予約が不要で、自分の都合の良いタイミングで受験できるのが便利です。

結果は、1回目の受験で正答率90%、無事合格でした。ただし、決して楽な試験だったわけではありません。オープンブックとはいえ、合格ラインが80%で比較的高く、かつ、判断に迷う問題がかなりありました。Prep Kitを毎回参照していたのでは時間が足りなくなると思います。私自身、すべての問題を解答した後に見直しを行いましたが、試験終了まで数分しか残りませんでした。オープンブックだから簡単、という試験ではないと感じました。

■　受験を終えて

今回のCCZT取得は、期待していた以上に有意義だったと思います。以前取得したベンダー資格では、製品固有の機能や設定を覚えることが中心になり、実案件で使わないと知識が定着しにくいと感じることがありました。一方、CCZTでは、Zero Trustを構成する要素やその役割、相互関係を理解することが重要でした。

特に印象に残っているのは、PE、PA、PEPの責務の違いです。以前取得したCISSPではリスクの考え方を、CCSPでは責任共有モデルを叩き込まれたと感じていますが、CCZTではPE/PA/PEPの責務を叩き込まれたという感覚があります。

もちろん、資格を取得しただけでZero Trustのすべてを理解できたわけではありません。しかし、個々の製品やサービスに依存せず、Zero Trustをアーキテクチャとして考えるための土台を得られたことは大きな収穫でした。こうした知識は比較的陳腐化しにくく、さまざまな業務に応用できると考えています。

■　取得した知識の活用

実案件での活用

現在の業務では、Zero Trustに直接・間接的に関係する案件に携わることが少なくありません。その中では、Zero Trust製品やサービスを導入すれば短期間でZero Trust化が完了するかのような認識に接することもあります。

また、Zero Trustを議論する以前に、セキュリティ資産管理、IDとアクセス制御など、従来から重要とされてきたセキュリティの基本に課題が残っているケースもあります。CCZTの学習を通じてZero Trustの全体像を整理できたことで、そうした問題に比較的早い段階で気付き、何を優先して検討すべきかを考えやすくなったと感じています。

社内WGでの活用

合格翌日の2026年3月13日、社内で「セキュリティ×アーキテクチャ」をテーマとするWGのメンバー募集を開始しました。WGは4月から活動を開始し、NIST SP 800-207を主要教材として、Zero Trustの基本原則や論理コンポーネントについて学習・ディスカッションを進めています。

私自身、CCZTの学習では理解に苦労した部分も多かったため、その経験を踏まえて、メンバーが段階的に理解を深められるように学習の進め方を考えました。例えば、NISTのPE/PA/PEPやData Sourcesを学んだ後、具体的な製品・サービスがどのような機能を持ち、論理コンポーネントにどう対応するのかを考える、といった進め方です。

WGにはさまざまな専門分野のメンバーが参加しており、私自身が知らない製品やサービスについては、メンバーから教えてもらうことも多くあります。資格取得で得た知識をWGで活用し、ディスカッションを通じてさらに理解を深めるという良い循環ができているように思います。

また、2026年7月にはCSAジャパンのWGセミナーで「企業内技術コミュニティ活動のすすめ」というタイトルで登壇し、これまでのWG活動や運営上の工夫などをご紹介する機会もいただきました（講演資料・録画）。

■　これから受験される方へ

CCZTは、Zero Trustを製品の観点だけでなく、アーキテクチャとして体系的に理解したい方におすすめできる資格だと思います。特に、セキュリティアーキテクト、コンサルタント、Zero Trust関連の提案・設計に携わる方には、学ぶ価値があると感じています。

受験にあたっては、まずCSA公式のPrep Kitを十分に活用することをおすすめします。オープンブック試験ですが、試験中に文献を調べれば何とかなると考えるのではなく、重要な概念や構成要素の役割を事前に理解しておくことが大切です。

また、今回の私のようにAIを学習補助として活用するのも一つの方法だと思います。単に要約を作らせるだけでなく、分からないことを質問したり、自分の理解が正しいか議論したりすることで、学習効率を高められます。

私は、資格取得の価値は合格証そのものよりも、そこに至るまでの学習で何を身に付けられたかにあると考えています。今回のCCZTでは、Zero Trustを理解するための考え方や構造を整理できたことが、何よりの収穫でした。今後も実案件やWG活動を通じて、さらに理解を深めていきたいと思います。

以上