資格道場
記事法人

CompTIA・Level 4

勉強法

サムネイルの Level は資格自体の難易度です（Level 1（やさしめ）〜Level 5（難関））。

CompTIA SecAI+（CY0-001）の勉強法と出題範囲【2026年版】

配点の4割が「AIシステムの安全確保」。ここから始める

CompTIA SecAI+（試験コード CY0-001）は、AIとサイバーセキュリティが重なる領域を対象にした、ベンダーに依存しない認定資格です。英語版は2026年2月17日、日本語版は2026年7月28日に提供が始まりました。

4つの出題ドメインのうち、「AIシステムの安全確保」が40%を占めます。他のどのドメインも、この4割には届きません。ここにはAI固有の攻撃と防御が集中しています。推論時のプロンプトインジェクション、学習データへのポイズニング、モデルやライブラリの調達経路を狙うサプライチェーン攻撃が代表例です。学習時間の配分も、素直にここから厚くするのが近道になります。

この試験の全体に効いてくる軸は、配点だけではありません。「AIを守る」のか、「AIで守る」のかという区別です。ドメイン2（AIシステムの安全確保・40%）は、守る対象がAIそのものです。ドメイン3（AI支援セキュリティ・24%）は、AIが検知や自動化の道具になる側です。同じ「AIとセキュリティ」でも、問われている中身は同じではありません。設問を読んだら、まずどちら側かを判定する癖をつけてください。

SecAI+の問題演習はこちら →(まず50問は、会員登録もログインもなしで解けます)

試験の基本情報

項目 内容
試験名 CompTIA SecAI+（試験コード CY0-001、試験バージョン V1）
運営 CompTIA
出題形式 多肢選択問題と、実際の操作や判断を模したパフォーマンスベース問題の組み合わせ
問題数 最大60問
試験時間 60分
合格ライン 600点（100〜900の換算スコア）
試験言語 英語・日本語（日本語版は2026年7月28日提供開始）
提供開始 2026年2月17日（英語版）／2026年7月28日（日本語版）
推奨経験 Security+、CySA+、PenTest+または同等のスキルと知識、IT実務3〜4年、サイバーセキュリティ実務2年以上
退役（予定） 提供開始からおよそ3年後と見込まれる、と公式に一般的な目安が示されています

受験料は掲載していません。CompTIA公式サイト上の実額を、この記事の確認時点では確認できなかったためです（価格が動的なストア画面で表示される形式のため、直接の確認ができませんでした）。認定の有効期間と更新（継続教育＝CEU）の要件についても、SecAI+のページ上に記載を確認できませんでした。お申し込み前に必ずCompTIA公式サイトで最新の情報をご確認ください。

日本語で受験できます（2026年7月28日開始）

SecAI+は英語版が先行し、日本語版は2026年7月28日に配信が始まりました。CompTIA公式の日本語ページも、対応言語を英語と日本語の2つと案内しています。日本語対応に至るまでの経緯と確認方法は、SecAI+は日本語で受けられる？で詳しく扱っています。

提供が始まったばかりの新しい試験のため、日本語の学習材料はまだ揃いきっていません。だからこそ、公式が公開している出題範囲（Exam Objectives）を学習の軸に据えるのが遠回りに見えて最短になります。ドメインごとの配点と、公式が挙げているサブ目標を先に頭へ入れてください。教材に入ったとき、どこを深追いすべきかで迷わなくなります。

なお、日本語版は英語試験から訳されました。英語の術語も一緒に押さえておくと、訳語のゆれに影響されにくくなります。prompt injection（プロンプトインジェクション）、inference layer（推論層）、data poisoning（データポイズニング）、adversarial example（敵対的サンプル）が代表例です。日英セットで覚えておくと安心できます。

4ドメインの配点

ドメイン 配点
AIシステムの安全確保（Securing AI systems） 40%
AI支援セキュリティ（AI-assisted security） 24%
AIガバナンス、リスク、コンプライアンス（AI governance, risk, and compliance） 19%
サイバーセキュリティに関連する基本的なAI概念（Basic AI concepts related to cybersecurity） 17%

配点はCompTIA公式の出題範囲の要約によります。日本語のドメイン名は公式日本語ページの表記に合わせました。

公式が各ドメインに挙げているサブ目標を並べると、試験の狙いがはっきりします。

  • AIシステムの安全確保（40%）
    • 技術的な対策でAIシステム・データ・モデルを保護する
    • オンプレミス・クラウド・ハイブリッドそれぞれの展開環境にベストプラクティスを適用する
    • AIモデル・データパイプライン・推論層を狙う攻撃から防御する
  • AI支援セキュリティ（24%）
    • AI駆動ツールで異常を特定し、脅威を検知し、インシデント修復を速める
    • イベントトリアージ・アラート相関・レスポンスオーケストレーションを自動化する
    • 脅威モデリング・行動分析・継続的監視にAIを取り入れる
  • AIガバナンス、リスク、コンプライアンス（19%）
    • グローバルなガバナンス要件とAI導入への影響を理解する
    • AIライフサイクル全体にGRCを統合する
    • 倫理指針・法的基準と、GDPRやNIST AI RMFといったフレームワークを適用する
  • 基本的なAI概念（17%）
    • 機械学習・深層学習・自然言語処理・自動化といった基本原則と用語
    • 脅威検知・防御・セキュリティ運用でのAIのユースケース
    • AI駆動の脅威（自動化されたフィッシング、ポリモーフィック型マルウェア、敵対的機械学習、生成AIの悪用）

配点最大のドメインで、公式が攻撃面を「モデル・データパイプライン・推論層」と3つに分けて名指ししている点は見逃せません。この3分類が、そのまま学習の整理棚になります。

対象読者と前提

CompTIA公式が示す推奨経験は、Security+・CySA+・PenTest+または同等のスキルと知識です。加えて、IT分野で3〜4年、サイバーセキュリティの実務で2年以上を挙げています。これは受験の条件ではありません。ただしセキュリティ運用の土台がある前提で出題が組まれていることは読み取れます。

裏を返すと、AIに詳しくてもセキュリティの基礎がないと苦しい試験です。Security+相当の知識がある方なら、新しく入れるべきものは「AI側の用語」と「AI固有の攻撃・防御の型」に絞られます。Security+の次の一歩として位置づけると、学習計画が立てやすくなります。

勉強法：配点順に、攻撃面で整理する

第1段：基本的なAI概念（17%）で土台をつくる

配点は最小でも、後回しにはできません。機械学習と深層学習の関係、学習（training）と推論（inference）の区別、大規模言語モデルの仕組み、RAG（検索拡張生成）の構成、ハルシネーションが並びます。こうした用語は、以降の3ドメインの説明で前提になります。ここを飛ばすと、配点40%のドメインで説明の半分が素通りしてしまいます。

第2段：AIシステムの安全確保（40%）が最大配点

3つの攻撃面で棚を作るのが一番の近道です。

  1. 推論層への攻撃。プロンプトインジェクション（直接／間接）、システムプロンプトの漏えい、機密情報の漏えい、モデルの窃取、敵対的サンプルが並びます。LLMの出力をそのまま実行してしまう「安全でない出力処理」も含みます
  2. データパイプラインへの攻撃。学習データのポイズニング、特定のトリガーでだけ誤動作するバックドア、RAGの参照コーパスの汚染、データの来歴（provenance）管理が対象です
  3. モデルとサプライチェーンへの攻撃。公開モデルの改ざん、読み込むだけでコードが動いてしまうシリアライズ形式が典型です。依存ライブラリやコンテナイメージまで含めた供給網、SBOM／AI-BOMも見落とせません

そのうえで、展開環境（オンプレミス・クラウド・ハイブリッド）ごとに何が変わるかを押さえます。クラウドなら共有責任モデルとマネージドサービスの設定不備、オンプレなら物理とモデル重みの保護、といった具合です。

第3段：AI支援セキュリティ（24%）で立場が入れ替わる

ここからはAIが道具になります。異常検知やUEBA、SIEMへのAI組み込み、イベントトリアージやアラート相関の自動化、レスポンスオーケストレーションが対象です。限界を問う設問も少なくありません。ハルシネーション、判断根拠を説明できないこと、データドリフトによる劣化、訓練データのバイアスが挙がります。人間の関与（Human-in-the-loop）をどこに挟むかも見逃せません。「AIに任せきりにしない理由」を言葉にできる状態が目標です。

第4段：AIガバナンス、リスク、コンプライアンス（19%）

条文の暗記ではなく、規制の要求が設計や運用をどう縛るかという視点で押さえます。公式に名前が挙がっているのはGDPRとNIST AI RMFの2つです。GDPRは個人データの扱いを定めます（目的の限定、データ最小化、自動化された意思決定に関する規定、データ主体の権利）。NIST AI RMFはGOVERN・MAP・MEASURE・MANAGEの4機能です。それぞれの役割分担を言えるようにしておくと、ガバナンス系の設問で迷いません。

60問60分：1問あたり約1分の時間圧

見落としやすいのが時間配分です。最大60問を60分ですから、単純計算で1問あたりおよそ1分になります。Security+（最大90問・90分）と比率は変わりません。ただしパフォーマンスベース問題が混ざると、その分だけ選択式に使える時間が削られます。

対策はシンプルです。時間がかかりそうなパフォーマンスベース問題は一旦飛ばし、選択式を先に固めてから戻ります。合格ラインは600点（100〜900の換算スコア）で、満点は必要ありません。配点の大きいドメインを確実に取り、迷った問題に時間を溶かさないことが得点につながります。未回答は不正解と同じ扱いなので、最後は必ず全問埋めてください。

よくある質問

Q. CompTIA SecAI+は日本語で受験できますか？

できます。対応言語は英語と日本語で、日本語版は2026年7月28日に提供が始まりました。

Q. 合格ラインは何点ですか？

600点です（100〜900の換算スコア）。問題数は最大60問、試験時間は60分です。

Q. Security+を先に取る必要がありますか？

必須ではありません。ただしCompTIA公式は、推奨経験として「Security+、CySA+、PenTest+または同等のスキルと知識」を挙げています。セキュリティ運用の基礎がある前提の試験です。セキュリティがまったく初めての方は、先にSecurity+で土台を作るほうが結果的に早くなります。

Q. 受験料はいくらですか？

この記事の確認時点で、CompTIA公式サイト上の実額を確認できませんでした（価格が動的なストア画面で表示される形式のためです）。お申し込み前に公式サイトでご確認ください。

Q. 認定に有効期限はありますか？

この記事の確認時点で、SecAI+の公式ページ上に有効期間や更新（CEU）に関する記載を確認できませんでした。CompTIAの他の認定と同じ扱いになるかどうかも含め、公式サイトでご確認ください。なお試験そのものについては「提供開始からおよそ3年後に退役する見込み」という一般的な目安が示されています。

Q. 勉強時間はどれくらい必要ですか？

CompTIAは公式には目安を示していません。SecAI+は提供が始まったばかりで、受験者の体験談も多くはありません。ただし最大60問・60分と試験の枠は小さく、範囲も4ドメインに絞られています。推奨経験を満たしている方であれば、負担が大きいのはセキュリティの知識そのものではありません。AI固有の用語と攻撃・防御の型を新しく入れる部分になります。

この試験の全体像

  • 最大60問・60分、合格ラインは600点（100〜900の換算スコア）
  • 日本語で受験できます（日本語版は2026年7月28日提供開始）
  • 配点は「AIシステムの安全確保」が40%で突出。ここから厚く始める
  • 公式が攻撃面をモデル・データパイプライン・推論層の3つに分けている。この分類で整理する
  • 「AIを守る」（40%）と「AIで守る」（24%）の区別が全体を貫く判断軸
  • ガバナンス分野では公式にGDPRとNIST AI RMFが名指しされている
  • 受験料・認定の有効期間・更新要件は公式ページで確認できなかったため、申し込み前に公式サイトで確認を

資格道場の使い方

SecAI+は新しい試験で、日本語の学習材料はまだ多くありません。出題範囲を読んだだけでは「どう問われるか」の手触りがつかみにくいので、演習で問われ方に慣れておくことがそのまま得点になります。

資格道場ではCompTIA SecAI+のオリジナル問題集を、本番CBT準拠の形式で用意しています。

次のステップ

SecAI+の推奨経験は「Security+相当の知識＋セキュリティ実務」です。土台がまだの方、あるいはAI領域の次に進みたい方には、次の2つが自然な前後関係になります。

あわせて読みたい

参考（一次情報）

※ この記事は2026年8月6日時点でCompTIA公式ページを直接確認して作成しました。試験仕様・出題範囲・受験料は改定されることがあります。お申し込みの前に、必ず公式サイトで最新情報をご確認ください。

← ブログ一覧へ