AWS Certified Security – Specialtyの資格取得攻略法を徹底解説！

AWS Certified Security – Specialty合格への近道と、試験勉強法について解説します！
サッとお読みいただけるよう、シンプルかつ要点をまとめて記載しています！

目次
  1. AWS Certified Security – Specialtyとは
    1. 1. 試験概要
    2. 2. 出題範囲・受験対象者
    3. 3. 受験申込方法
  2. 攻略法
    1. 1. まず伝えたいこと
    2. 2. 勉強方法
    3. 3. 当サイトの問題集


AWS Certified Security – Specialtyとは

1. 試験概要

◆誰でも受験可能（受験資格や前提認定なし。クラウドソリューションのセキュリティ保護について3～5年程度の経験がある方が主な対象です）
◆試験コードはSCS-C03
◆択一選択・複数選択・並べ替え・内容一致の全65問／170分（採点対象50問＋採点対象外15問。採点対象外の問題は試験中に区別されません）
◆合格スコアは750点（100～1,000点のスケールドスコア）
◆AWS上のワークロードとアーキテクチャを保護し、セキュリティソリューションを設計・実装・監視・改善する能力が問われるSpecialtyレベルの試験
◆脅威検出、インシデント対応、インフラストラクチャ保護、IAM、データ保護、マルチアカウントガバナンス、コンプライアンスなどの高度で実践的な知識が問われます
◆AWSの責任共有モデル、最小権限、ゼロトラスト、暗号化、ログ集約、脆弱性管理、セキュリティ自動化を組み合わせて、本番環境を継続的に保護する能力が重視されます
◆事前に読み込むケーススタディはなく、各設問内に提示される脅威、システム構成、セキュリティ要件、運用要件に対して最適なサービスや設定を選択する形式
◆受験料：300 USD（為替レートや税金により日本円価格は変動）
◆試験は日本語でも受験可能
◆Pearson VUEテストセンターもしくは、オンライン監督付き試験で受験可能
◆有効期限は3年間

2. 出題範囲・受験対象者

受験対象者

AWS Certified Security – Specialtyは、AWSの製品とサービスを安全に利用し、クラウド環境におけるセキュリティソリューションを設計・実装・運用する専門的な能力を証明する認定資格です。

主な対象者は、クラウドセキュリティエンジニア、セキュリティアーキテクト、セキュリティオペレーション担当者、インシデントレスポンダー、DevSecOpsエンジニア、クラウドエンジニア、ソリューションアーキテクト、ネットワークエンジニア、監査・コンプライアンス担当者などです。

AWS公式では、クラウドソリューションのセキュリティ保護について3～5年相当の経験がある方を受験対象者としています。また、セキュリティソリューションの設計・実装に関する5年程度のITセキュリティ経験と、AWSワークロードの保護に関する2年以上の実務経験があると、試験内容を理解しやすくなります。

試験では、単にセキュリティサービスの名称を知っているだけではなく、脅威、攻撃経路、ログ、ネットワーク構成、アクセス主体、データ分類、暗号化要件、マルチアカウント構成、監査要件、復旧要件などを分析し、適切なセキュリティコントロールを設計・実装する能力が問われます。

また、AWSの責任共有モデル、IDの大規模管理、ソフトウェアサプライチェーンリスク、脆弱性管理、レイヤー3～7のネットワーク保護、根本原因分析、ログ・モニタリング戦略、保存時と転送中の暗号化、バックアップや災害復旧など、AWS環境全体を継続的に保護するための幅広い実践知識が必要です。

なお、暗号アルゴリズムそのものの設計、パケット単位の高度なトラフィック解析、クラウド環境全体のアーキテクチャ設計、エンドユーザー端末の管理、機械学習モデルのトレーニングなどは、本試験の主な対象外です。

出題範囲（全6セクション）

  1. 検出（Detection：16%） — AWSアカウントやAWS Organizations全体のセキュリティイベントを検出するために、モニタリング、アラート、ログ収集、ログ分析を設計・実装する能力が問われます。Amazon GuardDuty、AWS Security Hub、Amazon Security Lake、Amazon Macie、Amazon CloudWatch、AWS CloudTrail、AWS Configなどを利用して、異常な操作、脅威、設定不備、機密データへのアクセスを検出する方法が重要です。また、組織全体のCloudTrail、CloudWatch Logs、VPC Flow Logs、Transit Gateway Flow Logs、Route 53 Resolverクエリログ、AWS WAFログなどを適切に集約・保管する構成も出題範囲です。CloudWatch Logs Insights、Amazon Athena、Amazon OpenSearch Serviceなどによるログ分析、OCSF形式によるログの正規化、第三者製SIEMとの連携、ログが出力されない場合のIAM権限や設定のトラブルシューティングについても理解しておく必要があります。
  2. インシデント対応（Incident Response：14%） — セキュリティインシデントへ備えるための対応計画、ランブック、権限、フォレンジック環境を設計し、実際のイベント発生時に封じ込め、根絶、復旧、根本原因分析を行う能力が問われます。AWS Systems Manager、AWS Lambda、AWS Step Functions、Amazon EventBridgeなどを利用した自動修復や、Amazon Detectiveを利用した根本原因分析が重要です。また、侵害されたEC2インスタンスのネットワーク隔離、IAM認証情報の無効化、証拠保全用スナップショットの作成、関連ログの安全な保存、バックアップからの復元なども出題範囲です。Amazon GuardDutyやSecurity Hubの検出結果をそのまま受け入れるのではなく、ログや構成情報と相関させて、インシデントの範囲と影響を検証する能力も必要です。
  3. インフラストラクチャのセキュリティ（Infrastructure Security：18%） — ネットワークエッジ、コンピューティングワークロード、ハイブリッド接続、AWS内のネットワークを保護する能力が問われます。Amazon CloudFront、AWS WAF、AWS Shield Advanced、AWS Firewall Manager、Route 53 Resolver DNS Firewallなどによるエッジ保護や、レート制限、地理的制限、OWASP Top 10への対策が重要です。また、セキュリティグループ、ネットワークACL、AWS Network Firewall、VPCエンドポイント、AWS PrivateLink、AWS Verified Access、AWS Site-to-Site VPN、AWS Direct Connectなどを利用したネットワーク制御とセグメンテーションも出題範囲です。Amazon InspectorによるEC2、コンテナイメージ、Lambda関数の脆弱性スキャン、Systems Manager Patch Managerによるパッチ管理、Session Managerによる安全な管理アクセス、EC2 Image Builderによる強化済みAMIの作成も理解しておく必要があります。さらに、SCS-C03では、生成AIアプリケーションに対してGenAI OWASP Top 10などを考慮した保護とガードレールを実装する知識も求められます。
  4. Identity and Access Management（20%） — 人、アプリケーション、AWSサービスに対する認証と認可を、安全かつ大規模に設計・実装・トラブルシューティングする能力が問われます。AWS IAM Identity Center、IAM、AWS STS、Amazon Cognito、AWS Directory Service、外部IDプロバイダー、MFAを利用した認証戦略が重要です。また、IAMロール、信頼ポリシー、リソースベースポリシー、アクセス許可境界、セッションポリシー、サービスコントロールポリシー、リソースコントロールポリシー、クロスアカウントアクセスなどの評価ロジックも出題範囲です。タグや属性を利用したABAC、役割に基づくRBAC、Amazon Verified Permissionsを利用したアプリケーション認可についても理解しておく必要があります。IAM Access Analyzer、IAM Policy Simulator、CloudTrailなどを利用して、アクセス拒否や意図しない権限付与の原因を特定し、最小権限へ修正する能力が重要です。
  5. データ保護（Data Protection：18%） — 転送中と保存時のデータを暗号化し、機密情報、認証情報、シークレット、暗号鍵、証明書を安全に管理する能力が問われます。TLS、Elastic Load Balancingのセキュリティポリシー、AWS PrivateLink、VPCエンドポイント、AWS Client VPNなどを利用した安全な通信が重要です。また、AWS KMS、AWS CloudHSM、クライアント側暗号化、サーバー側暗号化、マルチリージョンキー、外部キーストア、インポートされたキーマテリアルなどの使い分けも出題範囲です。Amazon S3 Object Lock、S3 Glacier Vault Lock、バージョニング、コード署名などによるデータ完全性と改ざん防止、AWS BackupやAmazon Data Lifecycle Managerによるバックアップ・ランサムウェア対策も理解しておく必要があります。AWS Secrets Managerによるシークレットの保存とローテーション、AWS Private CAやACMによる証明書管理、CloudWatch LogsやAmazon SNSにおける機密データのマスキングについても問われます。
  6. セキュリティ基盤とガバナンス（Security Foundations and Governance：14%） — AWS OrganizationsとAWS Control Towerを利用して、複数のAWSアカウントを一元的かつ安全に管理する能力が問われます。組織単位、委任管理者、サービスコントロールポリシー、リソースコントロールポリシー、AIサービスのオプトアウトポリシー、宣言型ポリシーなどを利用した組織全体のガードレールが重要です。また、メンバーアカウントのルートアクセスの一元管理、MFA、緊急時用のブレークグラス手順についても理解しておく必要があります。AWS CloudFormation StackSets、CloudFormation Guard、cfn-lint、AWS Service Catalog、AWS Resource Access Manager、AWS Firewall Managerなどを利用して、安全な構成を複数アカウントへ一貫して展開する方法も出題範囲です。AWS Config、Security Hub、AWS Audit Manager、AWS Artifact、AWS Well-Architected Toolを利用したコンプライアンス評価、証跡収集、自動修復も重要です。

AWS Certified Security – Specialtyでは、Identity and Access Managementが20%で最も高く、インフラストラクチャのセキュリティとデータ保護がそれぞれ18%を占めます。

そのため、IAM、IAM Identity Center、AWS Organizations、AWS KMS、AWS CloudHSM、AWS WAF、AWS Shield、AWS Network Firewall、Amazon GuardDuty、AWS Security Hub、AWS CloudTrail、Amazon CloudWatch、AWS Config、Amazon Inspector、Amazon Macie、Amazon Detective、Amazon Security Lake、AWS Secrets Managerなどを優先して学習することが重要です。

ただし、本試験ではサービスの概要を知っているだけではなく、攻撃経路、アクセス許可の評価順序、暗号鍵の所有要件、ログの改ざん防止、複数アカウントへの展開、フォレンジック証拠の保全、復旧時間、運用負荷、コストなどの条件を総合的に判断する必要があります。

例えば、「複数アカウントのCloudTrailログを改ざんできない専用アカウントへ集約する」「侵害されたEC2インスタンスを証拠を保全しながら隔離する」「外部IdPとIAM Identity Centerを連携する」「クロスアカウントアクセスを最小権限で実装する」「顧客が暗号鍵を完全に管理する」「組織全体へWAFルールとConfigルールを展開する」など、実際のセキュリティ運用を想定した問題が出題されます。

そのため、単なる用語暗記ではなく、「どのログから攻撃を検出するか」「インシデント発生時にどの順序で封じ込めと証拠保全を行うか」「IAMポリシー、SCP、リソースベースポリシーがどのように評価されるか」「KMS、CloudHSM、外部キーストアをどのように使い分けるか」「どのサービスで組織全体のセキュリティを一元管理するか」という観点で理解しておくと、本番問題に対応しやすくなります。


3. 受験申込方法

◆AWS Certified Security – Specialtyページより受験申し込みが可能です。

　認定試験を申し込む

攻略法

1. まず伝えたいこと

AWSのセキュリティサービス、IAM機能、組織管理機能、脅威検出機能は継続的にアップデートされています。そのため、古い試験対策教材だけで勉強していると、現在のSCS-C03の出題範囲、問題形式、サービス名、推奨されるセキュリティアーキテクチャに対応できない可能性があります。

SCS-C03は2025年12月2日から使用されている試験バージョンです。従来の択一・複数選択に加えて、並べ替え問題と内容一致問題が含まれるため、サービス名を覚えるだけではなく、インシデント対応の手順や要件とサービスの対応関係を正確に理解する必要があります。

本試験はSpecialtyレベルの試験であり、AWSセキュリティサービスの概要だけでなく、複数アカウントを含む本番環境で、脅威を検出し、インシデントへ対応し、アクセスとデータを保護し、組織全体へガードレールを適用するための高度で実践的な知識が問われます。

特に重要なのは、IAM、IAM Identity Center、AWS Organizations、AWS Control Tower、AWS KMS、AWS CloudHSM、AWS Secrets Manager、Amazon GuardDuty、AWS Security Hub、Amazon Detective、Amazon Inspector、Amazon Macie、Amazon Security Lake、AWS CloudTrail、Amazon CloudWatch、AWS Config、AWS WAF、AWS Shield Advanced、AWS Network Firewall、AWS Firewall Manager、Amazon VPCです。

これらのサービスは単独で出題されるだけでなく、検出、調査、封じ込め、復旧、認証・認可、暗号化、ネットワーク保護、組織統制、監査というセキュリティライフサイクルの中で相互に連携して登場します。

また、本試験では問題文に、アカウント数、ログの保管先、攻撃の種類、データ分類、鍵の所有者、アクセス元、ネットワーク経路、規制要件、復旧方法、運用負荷などの条件が記載されます。その状況に対して、最も安全で管理しやすい構成を選択します。

そのため、問題文に記載された「組織全体に適用する」「ログを改ざんできないようにする」「長期認証情報を使用しない」「最小権限」「秘密鍵をAWSへ渡さない」「証拠を保全する」「自動的に隔離する」「外部からインターネットを経由せずに接続する」といった条件を見落とさないことが重要です。

例えば、GuardDuty、Security Hub、Detectiveの役割の違い、セキュリティグループとネットワークACLの違い、AWS WAFとAWS Network Firewallの使い分け、IAMポリシーとSCPの評価関係、IAM Identity CenterとAmazon Cognitoの違い、AWS KMSとAWS CloudHSMの使い分け、AWS ConfigとCloudTrailの違いなどを比較しながら覚えると理解しやすくなります。

本サイトでは、AWS Certified Security – Specialtyの出題範囲に沿って、検出、インシデント対応、インフラストラクチャ保護、IAM、データ保護、セキュリティ基盤、ガバナンスを理解しやすい解説付きの問題集を用意しておりますので、気になった方はぜひチェックしてみてください！（ページの一番下にもリンクがあります！）


2. 勉強方法

①AWS Skill Builder（公式学習）
↓
②AWS公式練習問題・模擬試験
↓
③試験対策問題集

私は上記の順番で勉強することをおすすめします！
各勉強方法の意図は、下記の通りです。

①AWS Skill Builder（AWS Certified Security – Specialty Exam Prep）で、検出、インシデント対応、インフラストラクチャ保護、IAM、データ保護、ガバナンスの全体像を学びます。
②AWS公式練習問題や公式模擬試験で、択一・複数選択・並べ替え・内容一致の出題形式と問われ方を確認します。
③AWS Certified Security – Specialty試験対策問題集で、実試験で出題される問題の感覚や、要件に適した検出サービス、アクセス制御、暗号化方式、インシデント対応方法を選定する考え方に慣れます。

AWS Skill Builderでは、試験範囲に沿ってAWSセキュリティを体系的に学べるため、最初のインプット教材としておすすめです。Specialtyレベルの試験であるため、個別サービスだけでなく、AWS Organizationsを利用したマルチアカウント構成、責任共有モデル、IAMポリシーの評価ロジック、暗号鍵の管理方式、ログの一元管理も整理しておきましょう。

可能であれば、組織用CloudTrailを作成してログ専用アカウントのAmazon S3へ保存し、Amazon GuardDuty、AWS Security Hub、AWS Configを有効化して検出結果や設定不備を確認する環境を実際に構築してみることをおすすめします。

さらに、IAMロールを利用したクロスアカウントアクセス、AWS KMSのキーポリシーとIAMポリシー、AWS WAFのマネージドルール、Systems Manager Session ManagerによるEC2への接続、Amazon Inspectorによる脆弱性スキャン、EventBridgeとLambdaによる自動修復などを試すと、各サービスの役割や連携方法を理解しやすくなります。

AWS公式練習問題・模擬試験は、本番に近い文章量や出題形式を確認できる公式教材です。SCS-C03では、複数アカウント構成、インシデント発生時の対応、IAMの評価ロジック、暗号化要件などが記載された長めのシナリオ問題が多いため、問題文から重要な条件を読み取る練習として、一度は取り組んでおきましょう。

そのうえで、試験対策問題集を使って、IAM、Organizations、KMS、CloudHSM、GuardDuty、Security Hub、Detective、Inspector、Macie、CloudTrail、Config、WAF、Shield、Network Firewall、Security Lakeを反復練習することが重要です。

AWS Certified Security – Specialtyでは、選択肢の中に技術的には実現可能な構成が複数含まれることがあります。そのため、間違えた問題は単に正解だけを覚えるのではなく、「なぜこのサービスや設定が要件に最も適しているのか」「他の選択肢ではセキュリティ、運用負荷、証拠保全、組織管理のどの要件を満たせないのか」「アカウント数、データ分類、鍵の所有要件が変わった場合はどの構成が適切になるのか」まで確認すると、得点が安定しやすくなります。

3. 当サイトの問題集

AWS Certified Security – Specialtyは、セキュリティサービスの設定だけでなく、ログの設計、脅威検出、インシデント対応、フォレンジック、ネットワーク保護、IAM、暗号鍵管理、マルチアカウントガバナンス、コンプライアンスまで幅広く問われる試験です。そのため、実試験形式で多くのシナリオ問題を解きながら、各選択肢が正解・不正解となる理由まで確認できる日本語の問題集を探すと、意外と時間がかかります。

当サイトの問題集には、以下4つの強みがあり、効率的に勉強を進めることが可能です。

①SCS-C03の出題範囲と新しい問題形式に対応
②検出・インシデント対応・IAM・暗号化・ガバナンスの考え方を解説（解説には一次ソースを記載）
③10問単位でページがシンプルかつ広告が一切ない
④実際の試験問題の出題方式が分かるよう問題を作成（ラジオボタン方式、チェックボタン方式など）

まずは、はじめの10問を解いてみましょう！

AWS Certified Security – Specialty 1-10
Q1. あるオンラインショップ運営会社で、クラウド担当者が新規のAWSアカウントを構築しています。担当者は、Amazon S3バケットに格納する顧客データを保護したいと考えています。加えて、意図しないデータ公開のリスクとS3バケット内オブジ…
japanitstudy.com