ホワイトハッカーの資格はどれを取るべき？【2026年比較】国家資格・国際資格の一覧と、CEH・OSCP+・Security+・PenTest+・登録セキスペの選び方

最初に結論から述べます。ホワイトハッカーの資格は「実力の証明」ではありません。「実力を、他人に最短で伝えるための共通言語」です。

採用担当者も、案件を発注する企業も、あなたのGitHubやCTFのwriteupを一つずつ精読する時間はありません。資格は、その信用のショートカットとして機能します。だから資格選びの問いは「どれが一番すごいか」ではなく、「誰に・何を伝えたいか」です。本記事は、各資格を公式ドキュメントの最新仕様に忠実に比較し、あなたの目的に合う1枚を選べるようにします。

この記事はホワイトハッカーになるには【完全ロードマップ】の資格パートを単独で深掘りするスポークです。全体像はピラー記事を、法律の前提はホワイトハッカーと法律を先にご覧ください。

ホワイトハッカーに国家資格はある？ — 先に結論

「ホワイトハッカー」という名前の国家資格はありません。 日本で国家資格と呼べるのは、IPA の試験区分一覧で『国家資格』に分類されている情報処理安全確保支援士（登録セキスペ）だけです。情報処理安全確保支援士試験に合格し、所定の登録手続きを行うと資格保持者になれます。

ここでよく混同されるのが「国家試験」と「国家資格」です。

• 国家試験：IPA が「情報処理の促進に関する法律」に基づいて実施する試験。基本情報技術者試験、情報セキュリティマネジメント試験、応用情報技術者試験など。合格すると経済産業大臣の合格証書が交付されますが、登録して名乗る資格ではありません。
• 国家資格：情報処理安全確保支援士（登録セキスペ）。試験合格に加えて登録が必要で、登録しないと「情報処理安全確保支援士」の名称は使えません（名称独占資格。資格者でない人が名称を使うと30万円以下の罰金）。
• 国際資格（民間）：CEH（EC-Council）、OSCP+（OffSec）、Security+／PenTest+（CompTIA）、CC／CISSP（ISC2）など。国の資格ではありませんが、世界の求人で通用します。

ホワイトハッカーとエシカルハッカーの違い

実質的に同じ意味です。「ホワイトハッカー」は日本で広く使われる呼び名、「エシカルハッカー（倫理的ハッカー）」は英語の ethical hacker の訳で、EC-Council の CEH（Certified Ethical Hacker）の名前にも使われています。どちらも、許可を得た範囲で攻撃者と同じ手法を使って脆弱性を見つけ、防御に役立てる人を指します。違いは呼び方だけで、どちらの名前の国家資格もありません。

国家資格・国家試験・国際資格の一覧

難易度の目安として公式に使える物差しは、IPA 自身の区分（「基本的知識・技能」→「応用的知識・技能」→「高度な知識・技能」）だけです。国際資格どうしの難易度に公的な共通尺度はないため、本記事では「入口か実戦か」で整理します（次章）。

受験料は、IPA の SG・FE・AP・情報処理安全確保支援士試験が7,500円（情報処理技術者試験は消費税込み、情報処理安全確保支援士試験は非課税）です（IPA「スケジュール、手数料など」）。国際資格の受験料は為替や改定で変わるため、各公式サイトで確認してください。

2027年度から試験制度が変わる予定です。 経済産業省と IPA は試験区分体系の見直し（案）を公表しており、応用情報技術者試験と高度試験を3つの試験に再編する案が示されています。情報処理安全確保支援士試験も2027年度（夏頃から秋頃の見込み）に新制度へ移り、記述式は CBT に適した出題形式へ見直される予定ですが、「レベル感に変更はありません」とされています。開始時期は準備状況により遅れる可能性があるため、IPA「試験制度の見直しについて」で最新情報を確認してください。

1. 資格は2軸で選ぶ — 「入口 / 実戦」×「国内 / グローバル」

数ある資格を、たった2つの軸でマッピングすると一気に見通せます。

                  グローバルで効く
                        ▲
          ISC2 CC ●     │     ● OSCP+（実戦の証明・最難関級）
       Security+ ●      │     ● CEH / PenTest+
   （基礎・入口）        │       （攻撃手法・診断実務）
   ───────────────●─────┼─────●───────────────▶ 実戦（攻撃の証明）
   入口（基礎）          │
            登録セキスペ ●（国内の公的証明・国家資格）
                        │     ● 情報処理安全確保支援士＋実務
                  国内で効く

• 横軸（入口⇄実戦）：基礎知識を体系化する“入口資格”か、実際に攻撃・診断できることを示す“実戦資格”か。
• 縦軸（国内⇄グローバル）：日本の就職・入札・社内評価で効くか、世界中の求人で通用するか。

あなたの目的をこの平面に置けば、取るべき資格は自ずと絞れます。以下、各資格を公式仕様で正確に見ていきます。

2. 入口資格 — 基礎を体系化し、土俵に上がる

2-1. ISC2 CC（Certified in Cybersecurity）

ISC2 の CC は、実務経験ゼロでも受けられる世界共通の入門資格です。セキュリティの5領域を広く浅く体系化でき、「これからセキュリティを始める」最初の1枚に向きます。

• 位置づけ：入口（基礎）／グローバル
• 実務経験：不要
• 形式：CAT（コンピュータ適応型テスト）方式・2時間・100〜125問、1000点中700点で合格。日本語でも受験可（CC Exam Outline）
• 更新：年会費（AMF。CCのみの保有者は US$50）＋継続教育（CPE）で3年サイクル

補足：ISC2 の「One Million Certified in Cybersecurity」（無料の講座・受験プログラム）は2026年5月20日で新規受付を終了しました。このプログラムで発行され、まだ失効していない受験コードを持っている人は、2026年12月31日までに予約・受験できます（ISC2 公式）。コードを持っている人は早めに。

2-2. CompTIA Security+（SY0-701 / SY0-801）

CompTIA Security+ は、世界の求人票で最も名指しされる“実務基礎の標準”です。攻撃・防御の両方の土台を、特定ベンダーに依存せず学べます。

• 位置づけ：入口（基礎・実務寄り）／グローバル
• 現行版：SY0-701（V7。2023年11月7日開始）。配信終了は英語版が2027年6月11日、日本語版が2027年8月13日の予定
• 新版：SY0-801（V8）が2026年11月17日頃に開始予定。開始時の言語は英語で、AI に関わるリスクなどの出題範囲が広がります（Security+ V8）
• 形式：最大90問・90分（多肢選択＋実技形式の混在）、100〜900のスケールで750点合格（V7・V8 とも）
• 更新：継続教育（CE）で3年サイクル

「グローバルで通じる土台を1枚だけ」なら、コスパ・知名度の両面で Security+ が最有力です。日本語で受けたいなら、当面の対象は SY0-701 です。

3. 国内で最も効く国家資格 — 情報処理安全確保支援士（登録セキスペ）

日本国内で働くなら、情報処理安全確保支援士（登録セキスペ）は別格です。IPA の情報処理系の試験のうち、登録して名乗る国家資格はこれだけで、入札要件・社内評価・転職で“効き”ます。公式情報を正確に整理します（出典：IPA・試験区分ページ）。

日程はいずれも IPA が公表している予定です（令和8年度の申込受付期間・試験実施期間）。

登録後の「学び続ける義務」（他資格との決定的な違い）

登録セキスペは“取って終わり”ではありません。登録後、以下の講習が義務付けられます（IPA よくあるご質問）。

登録の有効期限は3年で、更新申請は期限の60日前まで、所定の講習をすべて修了していることが条件です。更新手数料はかかりません。更新しなかった場合は資格が失効しますが、試験の合格そのものは有効なままです（IPA「講習」・更新）。

国の本気度：経済産業省は2025年5月の「サイバーセキュリティ人材の育成促進に向けた検討会 最終取りまとめ」で、登録セキスペを2030年までに5万人（2025年4月時点で約2.4万人）へ増やす目標を掲げました。国内志向なら、追い風が吹いている資格です。

国内就職・SIer・官公庁案件を狙うなら、基本情報 → 応用情報 → 登録セキスペの王道ルートに、グローバル共通語として Security+ を添えるのが鉄板です。ただし前述のとおり、応用情報と高度試験は2027年度に再編される予定なので、受験時期の試験区分を IPA で確認してから計画を立ててください。

スポンサーリンク

最近、「仕事が楽しい」って思えるようになった【社内SE転職ナビ】

4. 実戦資格 — 「攻撃できること」を証明する

基礎を固めたら、攻撃の実力を示す資格へ。重みは概ね CEH ＜ PenTest+ ＜ OSCP+ の順です。

4-1. CEH v13（EC-Council）— 攻撃手法の“網羅”

CEH（Certified Ethical Hacker） は、攻撃手法を体系的・網羅的に学ぶ資格です。知名度が高く、求人で名指しされることも多い。2026年11月時点の公式ページは「Currently on Version 13」としており、AI を組み込んだ内容を「CEH AI」とも呼んでいます。

• 知識試験：125問・4時間
• CEH Practical（任意）：実技20課題・6時間。知識試験と両方合格で CEH Master
• 受験資格：公式トレーニングを受講するか、IT セキュリティの実務経験2年を前提に受験資格の申請（Eligibility application）をして承認を受ける
• 更新：継続教育（ECE／CPE）で3年間に120クレジット

「広く知っている」ことの証明には強い一方、“実際に侵入できる”ことの証明としては OSCP+ に一歩譲ります。

4-2. CompTIA PenTest+（PT0-003）— 診断実務のバランス型

PenTest+ は、ペネトレーションテストの一連の工程（計画・偵察・攻撃・報告）を実務目線で問う資格です。日本語でも受験できるのが効きます。

• 現行版：PT0-003（英語版は2024年12月17日開始、日本語版は2025年8月20日開始）。配信終了は2027年の予定
• 形式：最大90問・165分、合格 750/900
• 推奨経験：ペネトレーションテスター職3〜4年、Network+／Security+ 相当の知識
• 更新：CEで3年サイクル

4-3. OSCP+（OffSec PEN-200）— 実戦力の“証明書”

OSCP+ は、ホワイトハッカーの“登竜門”として最も重みのある実戦資格です。机上ではなく、23時間45分の監視付き実技で「実際に侵入できる」ことを証明し、終了後24時間以内にペネトレーションテストのレポートを提出します（OffSec公式の試験ガイド）。

• 2026年12月1日から「等化スケールスコア」に変わります。 試験セットごとの難易度の差を統計的に補正する方式で、合格に必要な素点はセットによって70点より多いことも少ないこともあります。OffSec は、試験形式・監視・ルールと合格水準そのものは変わらないとしています（Equated Scaled Scoring FAQ）。
• ボーナス点は現在の OSCP+ 試験にはなく、試験そのものの成績だけで判定されます。
• OSCP+ は発行から3年で失効（同時に付与される OSCP は無期限のまま）。「+」を維持するには、期限日の6か月以内に再認定試験に合格する、期限前に対象の上位試験（OSEP など）に合格する、OffSec の CPE プログラムを修了する、のいずれかが必要です。

未経験から最短で“実戦力”を市場に示すなら、Security+ → PenTest+ → OSCP+ がコストと難度のバランスで王道です。さらにその先、管理職・コンサル層には5年の実務経験を要する ISC2 CISSP が“天井”として控えます（学位や承認資格で最大1年の経験を免除可）。

5. 一覧で俯瞰する

国際資格の受験料は改定されます。金額は必ず各公式サイトで最新を確認してください。本記事では国際資格の固定額を意図的に書きません（古い金額は誤解を生むため）。

6. 「目的別」最短ルート

完全未経験・国内就職重視     基本情報 → 応用情報 → 登録セキスペ（＋ Security+ で世界共通語）
攻め（ペンテスト）に進む     ISC2 CC / Security+ → CEH（知識） → PenTest+ → OSCP+（実戦）
守り（防御・監査）に進む     Security+ → 登録セキスペ →（将来）CISSP
学生・若手で“まず1枚”        Security+（世界で通じる・コスパ最良の土台）

7. 資格を「型で」考える — エンジニアらしい比較の型

最後に、エンジニアらしい小話を。私はこのサイトの記事クラスタやCTA導線を、すべて型で縛った単一の真実源として管理しています。資格比較も同じ発想でモデル化すると、抜け漏れなく・機械的に扱えます。下は、その考え方を示す最小の型安全モデルです（TypeScript）。

// certifications.ts — 資格データを“型で”モデル化し、比較の単一の真実源にする。
// as const satisfies で「データの形」をコンパイル時に保証する（型の逃げ道を作らない）。
type Track = "foundation" | "offensive" | "defensive";
type Provider = "EC-Council" | "OffSec" | "CompTIA" | "ISC2" | "IPA";

interface Certification {
  readonly id: string;
  readonly name: string;
  readonly provider: Provider;
  readonly track: Track;
  readonly handsOn: boolean; // 実技試験を含むか
  readonly experienceRequired: boolean; // 受験に実務経験が要るか（代替ルートがあれば false）
  readonly validityYears: number | null; // null = 無期限
}

const CERTIFICATIONS = [
  { id: "cc", name: "ISC2 CC", provider: "ISC2", track: "foundation", handsOn: false, experienceRequired: false, validityYears: 3 },
  { id: "security-plus", name: "Security+ (SY0-701 / SY0-801)", provider: "CompTIA", track: "foundation", handsOn: false, experienceRequired: false, validityYears: 3 },
  { id: "toroku-sec", name: "登録セキスペ", provider: "IPA", track: "defensive", handsOn: false, experienceRequired: false, validityYears: 3 },
  { id: "ceh", name: "CEH v13", provider: "EC-Council", track: "offensive", handsOn: true, experienceRequired: false, validityYears: 3 },
  { id: "pentest-plus", name: "PenTest+ (PT0-003)", provider: "CompTIA", track: "offensive", handsOn: true, experienceRequired: false, validityYears: 3 },
  { id: "oscp-plus", name: "OSCP+", provider: "OffSec", track: "offensive", handsOn: true, experienceRequired: false, validityYears: 3 },
] as const satisfies readonly Certification[];

// 目的（トラック）から候補を引く純粋関数。該当なしでも空配列を返し、決して落ちない（総関数）。
export const certificationsByTrack = (track: Track): readonly Certification[] =>
  CERTIFICATIONS.filter((cert) => cert.track === track);

この姿勢——「データの形を型で固定し、判断を純粋関数に閉じ込める」——は、資格選びにも、セキュアなアプリ設計にも、同じく効きます。

8. 資格は出発点であって、到達点ではない

最後に、最も大切なことを。資格は実力そのものではありません。 OSCP+を持っていても、実際の現場で手が動かなければ意味がなく、無資格でもバグバウンティで実績を出している人は山ほどいます。

評価される人は、例外なく資格 ×「手を動かした実績」の掛け算です。

• CTFの常設プラットフォーム（picoCTF / Hack The Box / TryHackMe）のランクや writeup
• バグバウンティ（HackerOne / Bugcrowd）の確定報告（→ バグバウンティの始め方）
• 自作ツールや脆弱性検証の GitHub
• 勉強会・登壇・ブログでの発信

その“手を動かす場”の作り方は、独学ロードマップ：自宅に合法ラボを作るで具体的に解説しています。資格で土俵に上がり、実績で勝つ——この順番を間違えないでください。

企業の方へ： 「自社でこの人材を育てるか、外部の専門家に診てもらうか」で迷っているなら、ホワイトハッカーの仕事・年収・キャリアで“雇う vs 任せる”の判断軸を整理しています。リリース前の脆弱性診断・監査だけが必要なら、人材を育てるより外部に任せる方が速く・確実です。