USCPA ISC頻出論点|3領域の配点と最初に固める論点

この記事でわかること

• ISC(情報システムと統制)の3つのArea(情報システムとデータ管理/セキュリティ・機密性・プライバシー/SOC業務)の配点と、スキルレベル別の出題比率
• Area別の頻出論点を「出題頻度」「暗記か理解か」「AUDとの重なり」で整理した一覧表と、押さえる順番
• SOC 1・SOC 2・SOC 3とType 1・Type
  2の違い、CUEC・カーブアウト法など、ISCで最も落としやすい用語の整理表
• COSO・COBIT・NIST・PCI
  DSS・HIPAA・GDPRなど、フレームワーク・法規制を「誰が・何を・どう」で覚える方法
• 筆者が監査法人でSOC
  1レポートを使った経験と、SIer出身の同僚がISCに約120時間で合格した学習の中身

著者情報:しわすゆう|USCPA(米国公認会計士)。大学在学時にアビタスのUSCPA講座を受講しUSCPAを取得。新卒でBIG4監査法人に就職し会計監査を3年経験。現在はコンサル会社に勤務。

最終更新日:2026年8月29日

「ISCの論点は横文字ばかりで、どこから覚えればいいのか分からない」「SOC
1とSOC 2、Type 1とType
2の違いがいつまでも曖昧」という方に向けて、ISCの頻出論点を配点順に整理した記事です。

結論から言うと、ISCの論点は「Area
I(情報システムとデータ管理)35〜45%」「Area
II(セキュリティ・機密性・プライバシー)35〜45%」「Area
III(SOC業務)15〜25%」の3領域で、スキルレベルは想起・理解が55〜65%を占めるため、①IT全般統制と業務処理統制
②SOCレポートの種類と用語
③フレームワークと法規制の3つを「定義で覚える」ことが得点の土台になります。

筆者は旧制度のBEC受験でISCは未受験ですが、監査法人時代に外部委託先のSOC
1レポートを監査で使い、現在のコンサル業務ではSOC 2やISO
27001の対応支援に関わっています。

この記事では、AICPA(米国公認会計士協会)が公表するISCブループリント(2026年1月1日適用版)を一次情報に、Area別の頻出論点、落としやすい用語の整理、フレームワークの覚え方、同僚の合格例を解説します。

ISCの科目全体の概要と選び方は「USCPAのISCとは|出題範囲・難易度・勉強法を実例つきで解説」と「選択科目はどれ?BAR・ISC・TCPの選び方」で扱っているので、本記事は「頻出論点の中身と優先順位」に絞ります。

ISCの論点は何で構成されている?3つのAreaと配点・スキルレベル

ISCの論点は、Area
I「情報システムとデータ管理」(35〜45%)、Area
II「セキュリティ・機密性・プライバシー」(35〜45%)、Area
III「SOC業務に関する考慮事項」(15〜25%)の3領域で構成される。スキルレベルは想起・理解55〜65%、適用20〜30%、分析10〜20%で、評価レベルの出題はなく、6科目で最も「知っているか」を問う科目である。

まず、ISCの出題構造を一次情報で確認します。

項目	内容
正式名称	Information Systems and Controls(情報システムと統制)
位置づけ	AUD(監査)の発展形の選択科目。IT監査・SOC業務・内部統制を扱う
出題形式	MC(四択)82問+TBS(シミュレーション)6問、試験時間4時間
配点	MC60%・TBS40%(他の5科目は50%・50%。ISCだけMCの比重が高い)
Area I	情報システムとデータ管理:35〜45%
Area II	セキュリティ・機密性・プライバシー:35〜45%
Area III	SOC業務に関する考慮事項:15〜25%
スキルレベル	想起・理解55〜65%/適用20〜30%/分析10〜20%/評価0%
合格率	2024年58.00%、2025年67.79%、2026年Q2累計67.45%

出典:AICPA「Uniform CPA Examination Blueprints」ISC
Section(2026年1月1日適用版)、AICPA「Learn more about CPA Exam scoring
and pass rates」。2026年8月29日確認。

この表から読み取れるISCの特徴は3つあります。

1つ目は、Area IとArea
IIで70〜90%を占めることで、SOC業務(Area
III)は配点が小さい一方、用語の混同で落としやすい論点が集中しています。

2つ目は、想起・理解が55〜65%という点で、FAR(5〜15%)やBAR(10〜20%)と比べると桁違いに「知識そのもの」が問われます。

3つ目は、MCが配点の60%を占めることで、MC82問の正答率がそのまま合否を左右します。

ブループリントの読み方は「USCPAブループリントの読み方と活用法|4階層と配点の使い方」、他科目とのスキル配分の違いは「USCPA勉強法|問題演習から入る学習の是非と正しい手順」で扱っています。

頻出論点を「配点×落としやすさ」で優先順位づけする

ISCの論点を効率よく押さえるには、配点だけでなく「日本の受験者が落としやすいか」の軸を加えると優先順位が決まります。

優先度	論点群	配点の目安	落としやすさ	理由
最優先	IT全般統制(ITGC)と業務処理統制	Area Iの中核	中	AUDの内部統制と重なるが、ISCではより細かい統制の名称と目的を問う
最優先	SOC 1・2・3/Type 1・2/CUEC・CSOC	Area IIIの中核	高	用語が似ていて混同しやすく、MC・TBSの両方で出る
高	論理アクセス・認証・暗号化	Area IIの中核	中	定義を知っていれば取れる。横文字の暗記量が多い
高	フレームワーク・法規制(COSO・COBIT・NIST・PCI DSS・HIPAA・GDPR)	Area II	高	「どの枠組みが何を対象にするか」を混同しやすい
中	データ管理(データガバナンス・ライフサイクル・ETL)	Area I	低	用語は新しいが、問われ方は素直
中	変更管理・SDLC・可用性(BCP/DR)	Area I	中	プロセスの順番と責任分離を問う
中	脅威と攻撃・インシデント対応	Area II	低	攻撃の名称と対応手順の暗記

この記事では、この優先順位に沿ってArea順に頻出論点を整理します。

Area
I「情報システムとデータ管理」の頻出論点は?35〜45%を占める土台

Area
Iの頻出論点は、①取引処理の流れと業務処理統制(入力・処理・出力統制)
②IT全般統制(アクセス管理・変更管理・運用管理)
③システム開発ライフサイクル(SDLC)と変更管理
④可用性(バックアップ・BCP・DR) ⑤ERP・クラウド・アウトソーシング
⑥データガバナンスとデータライフサイクルの6つで、AUDの内部統制論点を「ITの言葉で細かくした」領域である。

Area Iは「A. 情報システム」と「B. データ管理」の2つに分かれます。

論点	出題されること	押さえるべきキーワード
取引処理の流れ	販売・購買・給与・固定資産などの業務プロセスで、どの段階にどの統制があるか	入力統制(エディットチェック・バッチ合計)、処理統制、出力統制、承認と職務分離
IT全般統制(ITGC)	アクセス管理・変更管理・運用管理の3領域と、不備が業務処理統制に与える影響	論理アクセス、権限の付与と削除、変更承認、本番環境と開発環境の分離、ジョブスケジューリング
SDLCと変更管理	開発の各段階と、変更が承認・テスト・移行される手順	要件定義→設計→開発→テスト→移行、緊急変更、パッチ管理、職務分離(開発者が本番へ移行しない)
可用性(BCP/DR)	バックアップ方式、復旧目標、代替サイトの種類	RTO(目標復旧時間)、RPO(目標復旧時点)、ホット/ウォーム/コールドサイト、フルバックアップと差分・増分
ERP・クラウド・外部委託	システム形態ごとのリスクと統制の所在	IaaS/PaaS/SaaSの責任分担、共有責任モデル、サービス提供者への依存とSOCレポート
データ管理	データガバナンスの役割と、データの収集から廃棄までの管理	データオーナー、データスチュワード、データライフサイクル、ETL、データウェアハウス、データ品質

出典:AICPA ISCブループリント Area I の各Group・Topic。

IT全般統制は「3つの領域」と「不備が及ぶ範囲」で覚える

Area
Iで最も配点が大きく、AUDから引き継げるのがIT全般統制(ITGC)です。

ITGCの領域	何を統制するか	典型的な出題
アクセス管理	誰がどのシステム・データに触れるか	退職者のIDが残っている場合のリスク、特権IDの管理、定期的なアクセスレビュー
変更管理	プログラムや設定の変更が承認・テストされて本番に反映されるか	開発者が本番環境に直接アクセスできる場合の不備、緊急変更の事後承認
運用管理	バッチ処理・バックアップ・障害対応が計画どおり行われるか	ジョブ失敗時の監視と再実行、バックアップの復元テスト

ISCで問われるのは、ITGCに不備があると、その上で動く業務処理統制の信頼性が保証できなくなるという関係です。

「変更管理に不備がある→売上計算プログラムが勝手に変えられるかもしれない→売上の自動計算という業務処理統制に依拠できない」という流れを、一つの文で説明できるようにしておくと、TBSで統制の不備を指摘する設問に対応できます。

AUD側の内部統制論点は「USCPA AUDサンプリング・IT監査の攻略|頻出パターン」で整理しています。

可用性の論点はRTO・RPOと代替サイトの表で覚える

可用性の論点は数字と名称の対応がそのまま出ます。

用語	定義	出題のされ方
RTO(Recovery Time Objective)	障害発生から業務を復旧させるまでの目標時間	「復旧に許容できる時間は4時間」→RTO=4時間
RPO(Recovery Point Objective)	失ってもよいデータの範囲を時点で示した目標	「直近1時間分のデータ喪失まで許容」→RPO=1時間、バックアップ頻度は1時間以内
ホットサイト	設備・システム・データが常時稼働し、即時切り替え可能	最も高コスト、RTOが最短
ウォームサイト	設備はあるがデータ・システムの一部は復旧作業が必要	中間
コールドサイト	場所と電源だけがあり、機器の搬入から始める	最も低コスト、RTOが最長

「RPOが短いほどバックアップの頻度を上げる必要がある」「RTOが短いほど高コストのサイトが必要」という2つの関係を押さえると、計算に近い応用問題も解けます。

Area
II「セキュリティ・機密性・プライバシー」の頻出論点は?暗記量が最大の領域

Area
IIの頻出論点は、①フレームワークと法規制(COSO・COBIT・NIST CSF・ISO
27001・PCI DSS・HIPAA・GDPR) ②論理アクセスと認証(多要素認証・最小権限)
③暗号化(共通鍵・公開鍵・ハッシュ・デジタル署名)
④ネットワークセキュリティ(ファイアウォール・IDS/IPS・VPN)
⑤脅威と攻撃(フィッシング・ランサムウェア・DDoS・ソーシャルエンジニアリング)
⑥機密性とプライバシーの区別
⑦インシデント対応の7つで、横文字の定義を正確に覚えられるかで得点が決まる。

Area IIは「A. 規制・基準・フレームワーク」「B. セキュリティ」「C.
機密性とプライバシー」「D. インシデント対応」の4つに分かれます。

論点	出題されること	押さえるべきキーワード
フレームワーク・法規制	各枠組みが「誰を対象に」「何を」定めているか	COSO(内部統制)、COBIT(ITガバナンス)、NIST CSF(サイバーセキュリティの5〜6機能)、ISO 27001(情報セキュリティ管理)、PCI DSS(カード情報)、HIPAA(医療情報)、GDPR(EU個人データ)
論理アクセスと認証	認証の3要素と多要素認証、権限設計	知識・所持・生体の3要素、MFA、最小権限、職務分離、シングルサインオン、特権アクセス管理
暗号化	方式ごとの鍵の使い方と用途	共通鍵(対称)、公開鍵(非対称)、ハッシュ、デジタル署名、PKI、TLS
ネットワークセキュリティ	境界防御と検知の仕組み	ファイアウォール、DMZ、IDS/IPS、VPN、ゼロトラスト
脅威と攻撃	攻撃の名称と手口、対応する統制	フィッシング、ランサムウェア、マルウェア、DDoS、SQLインジェクション、中間者攻撃、ソーシャルエンジニアリング
機密性とプライバシー	2つの概念の違いと、プライバシー原則	機密性=秘密情報の保護、プライバシー=個人情報の適切な取扱い、通知・同意・利用目的の限定、データ主体の権利
インシデント対応	イベントとインシデントの区別、対応の手順	準備→検知→封じ込め→根絶→復旧→教訓、サイバー保険による移転

出典:AICPA ISCブループリント Area II
の各Group・Topic。2026年版ではHIPAAの用語定義条項が参照文献に追加され、NISTプライバシーフレームワークの版指定が削除されています。

フレームワークと法規制は「対象・主体・内容」の3列で覚える

日本の受験者が最も混同するのがこの論点で、似た名前の枠組みを「何が違うのか」で覚えないと選択肢を絞れません。

枠組み	発行主体	対象	内容の一言
COSO内部統制フレームワーク	COSO(トレッドウェイ委員会組織委員会)	組織全体の内部統制	5つの構成要素(統制環境・リスク評価・統制活動・情報と伝達・モニタリング)と17の原則
COSO ERM	COSO	全社的リスク管理	戦略と業績にリスク管理を組み込む枠組み
COBIT	ISACA	ITガバナンスとマネジメント	ITを経営目標に結びつける枠組み。IT統制の体系
NIST サイバーセキュリティフレームワーク	米国国立標準技術研究所	サイバーセキュリティ	特定・防御・検知・対応・復旧(2.0で「統治」を追加)の機能
ISO/IEC 27001	ISO/IEC	情報セキュリティマネジメントシステム	認証取得可能な国際規格
PCI DSS	PCI SSC(カード業界団体)	カード会員データを扱う事業者	12の要件。法律ではなく業界基準
HIPAA	米国連邦法	医療情報(PHI)を扱う事業者	プライバシー規則とセキュリティ規則
GDPR	EU	EU域内の個人データ	データ主体の権利、同意、72時間以内の侵害通知
Trust Services Criteria	AICPA	SOC 2・SOC 3の評価基準	セキュリティ・可用性・処理のインテグリティ・機密性・プライバシーの5カテゴリ

この表の「発行主体」列は、選択肢で「NISTが発行した内部統制フレームワーク」「ISACAが定めたカード基準」のような組み合わせ違いを見抜くために必要です。

「法律(HIPAA・GDPR)」と「業界基準(PCI
DSS)」と「任意の枠組み(COSO・COBIT・NIST)」を分けて覚えると、違反時の帰結(法的罰則か契約上の制裁か)を問う設問にも対応できます。

暗記の進め方は「USCPAの暗記はAnkiで|覚える論点の選び方とカードの作り方」で解説しています。

暗号化は「鍵の数」と「何を保証するか」で整理する

暗号化の論点は、方式ごとに「鍵がいくつあるか」「何を保証するか」を対応させると混同しません。

方式	鍵	保証するもの	典型的な用途
共通鍵暗号(対称)	送信側と受信側で同じ鍵1つ	機密性	大量データの暗号化(高速だが鍵の配送が課題)
公開鍵暗号(非対称)	公開鍵と秘密鍵のペア	機密性(公開鍵で暗号化→秘密鍵で復号)	鍵の配送、TLSの初期手続き
ハッシュ	鍵なし(一方向関数)	完全性(改ざん検知)	パスワードの保存、ファイルの改ざん検知
デジタル署名	送信者の秘密鍵で署名→公開鍵で検証	完全性・真正性・否認防止	契約書・電子メールの送信者確認

「デジタル署名は秘密鍵で作り、公開鍵で確かめる」と「暗号化は公開鍵で行い、秘密鍵で戻す」の向きが逆になる点が、MCで最も狙われます。

Area
III「SOC業務」の頻出論点は?配点15〜25%だが最も落としやすい

Area IIIの頻出論点は、①SOC 1・SOC 2・SOC
3の対象と利用者の違い ②Type 1(一時点の設計)とType
2(期間の運用状況)の違い
③CUEC(補完的利用者統制)とCSOC(補完的再委託先統制)
④カーブアウト法とインクルーシブ法 ⑤SOC 2の評価基準(Trust Services
Criteria)と記述基準
⑥報告書の構成と意見の種類の6つで、用語の組み合わせを正確に覚えれば確実に取れる領域である。

Area
IIIは配点こそ小さいものの、AUDで学んだ「保証業務の考え方」がそのまま使えるので、コア科目を終えた受験者には得点源にしやすい領域です。

論点	出題されること	押さえるべきキーワード
SOCレポートの種類	3種類の対象・利用者・配布範囲	SOC 1=利用者の財務報告に関わる統制、SOC 2=Trust Services Criteriaに基づく統制、SOC 3=SOC 2の一般公開版
Type 1とType 2	保証の対象と時点・期間の違い	Type 1=一時点での設計の適切性、Type 2=一定期間の運用の有効性(テスト結果を含む)
CUEC・CSOC	受託会社の統制が機能する前提となる他社の統制	CUEC=利用者側が実施すべき統制、CSOC=再委託先が実施すべき統制
カーブアウト法とインクルーシブ法	再委託先の統制を報告書に含めるかどうか	カーブアウト=再委託先を除外して記述、インクルーシブ=再委託先の統制も含めて記述・テスト
評価基準と記述基準	SOC 2の判断基準	Trust Services Criteriaの5カテゴリ、記述基準(DC section 200)、経営者の主張
報告書と意見	報告書の構成と、逸脱があった場合の扱い	無限定・限定・否定・意見不表明、逸脱の記載、後発事象の影響

出典:AICPA ISCブループリント Area III、AICPA「SOC 1
Guide」(2026年版で名称変更を反映)。

SOCレポートの6種類を1枚の表にする

「SOC 1のType 2」「SOC 2のType
1」のように、種類とタイプは組み合わせで出題されます。

	Type 1(一時点)	Type 2(期間)
SOC 1(財務報告に関わる統制)	ある日時点で、統制の記述が適切で設計が有効か	期間を通じて、統制の運用が有効だったか。利用者の財務諸表監査人が依拠する
SOC 2(Trust Services Criteriaに基づく統制)	ある日時点で、記述と設計が適切か	期間を通じて運用が有効か。利用者の経営者・規制当局など限定配布
SOC 3	通常はType 2に相当する要約報告書のみ	一般公開可能。詳細なテスト結果は含まない

財務諸表監査人が外部委託先の統制に依拠したいときに使うのはSOC
1 Type 2であり、「SOC 2 Type
2があれば監査に使える」という選択肢は誤りです。

筆者は監査法人時代、給与計算を外部委託しているクライアントの監査で、委託先のSOC
1 Type
2レポートを入手し、CUEC(利用者側が実施すべき統制)がクライアントで実際に運用されているかを確かめる手続を担当しました。

このとき「レポートを入手して終わり」ではなく、CUECを自社で運用していなければ、委託先の統制がいくら有効でも依拠できないという考え方を実務で学びました。

ISCではこの関係を、利用者側・受託会社側・監査人側の3つの視点から問われます。

逸脱と後発事象の扱いは「報告書のどこに書くか」で覚える

Type
2レポートで統制の逸脱(テストで例外が見つかった場合)があったとき、どう扱うかも頻出です。

状況	報告書での扱い
テストで逸脱があったが、統制目的の達成には影響しない	逸脱の内容とテスト結果を記載し、意見は無限定
逸脱により統制目的が達成されない	限定意見または否定意見
経営者の記述が事実と異なる	記述の適切性に関して限定または否定
期間終了後、報告書日までに統制環境に重要な変化があった	後発事象として、経営者の記述または報告書への記載を検討
再委託先の統制をカーブアウトした	再委託先の統制はテスト対象外である旨と、CSOCを記載

AUDの「意見の種類」の考え方をそのまま当てはめれば解ける論点なので、「USCPAのAUDとは|出題範囲・形式・難易度を監査経験者が解説」の意見形成の論点を復習してからISCに入ると、Area
IIIの学習時間は大きく短縮できます。

ISCの頻出論点はどの順番で押さえる?配点と関連科目から決める学習順

ISCの頻出論点は、①AUDの内部統制論点の復習 ②Area
IのITGCと業務処理統制 ③Area IIIのSOC用語 ④Area
IIのフレームワークと暗号化 ⑤Area IIの脅威・インシデント対応 ⑥Area
Iのデータ管理・可用性の順に押さえると、AUDの知識を軸に横文字の暗記を後半に回せる。学習時間の目安は200〜250時間、IT経験者は120〜150時間である。

学習順は「AUDから引き継げる論点を先に固め、純粋な暗記論点を後ろに置く」のが基本です。

順番	論点群	時間の目安(全体200時間の場合)	理由
①	AUDの内部統制・保証業務の復習	10〜15時間	ISCの土台。AUD合格直後なら5時間で済む
②	Area I:ITGC・業務処理統制・SDLC・変更管理	45〜55時間	配点が最大で、AUDとの重なりが大きい
③	Area III:SOC用語・レポートの種類・逸脱の扱い	25〜35時間	配点は小さいが確実に取れる。AUDの意見形成を応用
④	Area II:フレームワーク・法規制・暗号化・認証	45〜55時間	暗記量が最大。表にして毎日回す
⑤	Area II:脅威と攻撃・インシデント対応・プライバシー	25〜35時間	名称の暗記が中心。AnkiなどのアプリでMCと並行
⑥	Area I:データ管理・可用性・クラウド	20〜30時間	用語は新しいが問われ方は素直。最後に一気に押さえる
⑦	模試・リリース問題・弱点の回転	20〜30時間	MC82問を90分で解く練習と、TBSの形式慣れ

ISCは選択科目のため受験できるのは1・4・7・10月に限られ、不合格時の再受験は翌四半期になります。

受験月から逆算した順番は「USCPA科目の受験順番|FARが最初の理由と選択科目別ルート」で、日程は「USCPA試験日程2026|コアは通年・選択科目は年4回の受験月」で確認してください。

MC60%の科目だからこそ「問題集の回し方」が合否を決める

ISCはMCの配点が60%と全科目で最も高く、TBSも「シナリオを読んで統制の不備を指摘する」形式で、計算問題はありません。

学習のポイント	具体的なやり方
MCを量でこなす	予備校の問題集を最低3周。2周目からは「他の3つの選択肢がなぜ誤りか」を1行で書く
用語は表で覚える	本記事のような「発行主体・対象・内容」「鍵・保証・用途」の表を自作し、Ankiに入れて毎日回す
TBSは「不備の指摘」に慣れる	職務分離の欠如、退職者IDの残存、変更の未承認など、典型的な不備パターンを20個リスト化する
時間配分	MC82問を約90分(1問1分強)で解き、TBS6問に約100分残す

問題集の回し方は「USCPAの問題集は何周?3周で仕上げる回し方と復習サイクル」、MCの解き方は「USCPAのMC問題の解き方7つのコツ|時間配分と消去法」で解説しています。

筆者と同僚の実例|監査法人でのSOC
1利用と、SIer出身者のISC合格

筆者は旧制度でBECを受験したためISCは未受験だが、監査法人でSOC
1 Type 2レポートとCUECの確認を担当し、コンサルではSOC 2・ISO
27001の対応支援に関わっている。SIer出身の同僚Cは、ERP会計モジュール開発8年の経験からISCを約120時間で合格し、「Area
IIIの用語だけは会計士の言葉で覚え直す必要があった」と振り返っている。

筆者が監査で見たISC論点|SOC
1レポートは「読む」より「確かめる」

筆者がBIG4監査法人で担当したクライアントの中に、給与計算と経費精算を外部のサービス会社に委託している会社がありました。

監査での場面	ISCの論点との対応
委託先のSOC 1 Type 2レポートを入手	Area III:SOC 1の対象、Type 2の意味、報告書の期間と監査対象期間のずれ(ブリッジレター)の確認
レポート末尾のCUEC一覧をクライアントに照合	Area III:CUECを利用者が運用していなければ依拠できない
クライアント側の「委託先から戻ってきた給与データの承認」を確認	Area I:業務処理統制(出力統制)と職務分離
委託先の再委託先(データセンター)がカーブアウトされていた	Area III:カーブアウト法とCSOC、必要に応じて再委託先のSOCレポートを別途入手

この経験で学んだのは、SOCレポートは「入手したかどうか」ではなく「報告書の期間・逸脱・CUECを読んで自社の手続に落とし込めたか」で価値が決まるということです。

ISCのTBSは、まさにこの「レポートを読んで何をすべきか判断する」形式で出題されるので、AUDで保証業務を学んだ人ほど、Area
IIIは実務の感覚で解きやすい領域だと思います。

SIer出身の同僚Cの実例|ISCは約120時間、Area
IIIだけ覚え直し

現在のコンサル会社の同僚C(33歳、SIerでERP会計モジュールの開発を8年経験)は、USCPA全体で約1,400時間、うちISCを約120時間で合格しました。

Area	Cの学習時間	Cの所感
Area I(情報システムとデータ管理)	約30時間	変更管理・SDLC・ITGCは「自分の仕事を会計士の言葉で説明し直す練習」で、ほぼ復習だった
Area II(セキュリティ・機密性・プライバシー)	約35時間	暗号化・認証・ネットワークは既知。COSO・COBIT・HIPAA・GDPRの「発行主体と対象」の表だけ新規に暗記
Area III(SOC業務)	約40時間	最も時間をかけた。SOC 1・2・3、Type 1・2、CUEC・CSOC、意見の種類はAUDの復習から入り直した
模試・リリース問題	約15時間	MCは1周目から8割。TBSの「統制の不備を指摘する」形式は、開発者としての目線と監査人の目線が違い、練習が必要だった

Cの言葉で印象に残っているのは、「開発者はシステムが正しく動くことを考えるが、ISCはシステムが正しく動いていると第三者に説明できるかを問う科目で、Area
IIIだけは別の言語だった」という一言です。

IT経験者がISCで有利な領域と、そうでない領域の切り分けは「理系・エンジニアにUSCPAは有利?ISC新設で広がるキャリア」で詳しく書いています。

頻出論点を確認したら、教材の問題数と用語集で学習計画を固める

ISCは「知っているか」で決まる科目なので、頻出論点の表を作ったら、次はそれを回すための教材を確認する段階です。

確認項目	なぜ重要か
ISCのMC問題数	MC60%の科目で、問題演習の量が合否に直結する
用語集・用語の日英対照	横文字の定義を「発行主体・対象・内容」で確認できるか
TBSの問題数と形式	「統制の不備を指摘する」形式のTBSが単元ごとにあるか
2026年版ブループリントへの対応	HIPAA・SOC 1 Guideの改訂など、参照文献の更新が反映されているか

日本語の対策教材が他の科目より少ない科目なので、講座選びの段階で「ISCの教材が揃っているか」を必ず確かめてください。

予備校ごとの選択科目の教材対応は「USCPA予備校おすすめ比較｜費用・教材・サポートで選ぶ3校」で比較しています。

ISCの教材の問題数と用語集の作りを自分の目で確かめたい方は、アビタスの資料請求でサンプル教材を取り寄せ、本記事の頻出論点表と照らし合わせて、どの論点がどの単元に対応するかを先に把握しておくと、学習計画が立てやすくなります。

よくある質問(FAQ)

Q1.
ISCで最も配点が大きい論点は何ですか?

Area I「情報システムとデータ管理」とArea
II「セキュリティ・機密性・プライバシー」がそれぞれ35〜45%で、この2領域で70〜90%を占めます。

論点単位では、Area IのIT全般統制(ITGC)と業務処理統制、Area
IIのフレームワーク・法規制と論理アクセス・暗号化が中核です。

Area
IIIのSOC業務は15〜25%ですが、用語の組み合わせを問う設問が多く、落としやすいため、配点以上に時間をかける価値があります。

Q2.
ISCはAUDに合格していないと難しいですか?

AUD合格は必須ではありませんが、AUDの内部統制・保証業務・意見形成の知識があると、Area
IのITGCとArea IIIのSOC業務の学習時間が大きく減ります。

AUDの直後にISCを受ける「FAR→AUD→ISC→REG」の順番が標準ルートとされるのはこのためです。

AUDより先にISCを受ける場合は、内部統制の5要素と保証業務の考え方だけ先に押さえてから始めてください。

Q3.
IT未経験でもISCの論点は覚えられますか?

覚えられます。

ISCはスキルレベルの55〜65%が想起・理解で、プログラミングや設定作業の技術は問われません。

必要なのは「用語の定義」「枠組みの対象と主体」「統制の目的と不備の影響」を説明できることで、本記事のような対照表を作って毎日回せば、IT未経験でも200〜250時間で合格圏に届きます。

暗記量は多いので、Ankiなどの暗記アプリでMCと並行して用語を回す方法が向いています。

Q4. SOC 1とSOC
2の違いを一言で言うと?

SOC 1は「利用者の財務報告に関係する統制」、SOC 2は「Trust Services
Criteria(セキュリティ・可用性・処理のインテグリティ・機密性・プライバシー)に基づく統制」を対象にします。

財務諸表監査人が外部委託先の統制に依拠するために使うのはSOC 1で、SOC
2は利用者の経営者やIT部門がサービスの信頼性を評価するために使います。

SOC 3はSOC 2の要約版で、一般公開できる点が違います。

Q5. Type 1とType
2はどちらが監査に使えますか?

Type 2です。

Type
1は「ある一時点で統制の設計が適切か」を保証するだけで、期間を通じた運用の有効性は保証しません。

財務諸表監査で統制に依拠するには期間中の運用が有効であることが必要なので、Type
2レポートが求められます。

Type 1は新規にサービスを始めた委託先や、Type
2を取得するまでの暫定的な用途で使われます。

Q6.
ISCのTBSはどんな形式で出題されますか?

計算問題はなく、「業務プロセスの説明を読んで統制の不備を指摘する」「SOCレポートの抜粋を読んで利用者が取るべき対応を選ぶ」「セキュリティ設定の一覧から改善点を判断する」といった形式が中心です。

TBSは6問で配点40%、1問あたり約18分が目安です。

職務分離の欠如、退職者IDの残存、変更の未承認、バックアップの未テストなど、典型的な不備パターンをあらかじめリスト化しておくと対応しやすくなります。

TBSの一般的な解き方は「USCPAのTBS対策|出題形式5種類・部分点の取り方・時間配分」で解説しています。

Q7.
2026年のブループリント改訂でISCの論点は変わりましたか?

出題領域と配点に変更はありません。

2026年1月1日適用版では、AICPAのSOC 1
Guideの名称変更を参照文献に反映し、HIPAAの用語定義条項を追加、NISTプライバシーフレームワークの版指定を削除、PCI
DSSのクイックリファレンスガイドを更新するなど、参照文献の更新が中心です。

ISCは技術の変化が速い科目なので、受験前に最新のブループリントを確認してください。

制度変更の最新情報は「USCPA試験の制度変更ニュースまとめ【2026年8月更新】」で追っています。

まとめ:ISCの頻出論点はArea
I・IIの統制と用語、Area IIIのSOCを表で固める

この記事の要点を再掲します。

• ISCはArea I(情報システムとデータ管理)35〜45%、Area
  II(セキュリティ・機密性・プライバシー)35〜45%、Area
  III(SOC業務)15〜25%の3領域。想起・理解が55〜65%、MC配点60%で、6科目で最も「知っているか」を問う
• Area
  IはITGC(アクセス・変更・運用)と業務処理統制が中核。「ITGCの不備が業務処理統制の信頼性を崩す」関係を1文で説明できるようにする
• Area
  IIはフレームワーク・法規制を「発行主体・対象・内容」の3列で、暗号化を「鍵・保証・用途」で整理する。法律・業界基準・任意の枠組みを分けて覚える
• Area IIIはSOC 1・2・3×Type
  1・2の6種類を1枚の表にし、CUEC・CSOC・カーブアウト法・逸脱と意見の扱いをAUDの意見形成から応用する
• 学習順はAUD復習→Area I→Area III→Area
  II(暗記)→データ管理・可用性→模試。目安は200〜250時間、IT経験者は120〜150時間
• 筆者は監査でSOC 1 Type
  2とCUECの確認を担当し、同僚CはSIer経験を活かして約120時間で合格。Area
  IIIだけは会計士の言葉で覚え直す必要があった

ISCは横文字の多さに圧倒されがちですが、論点を「配点」と「落としやすさ」で並べ替えれば、覚える順番は決まります。

まずは本記事のSOCレポート6種類の表と、フレームワークの3列表を自分のノートに写すところから始めてみてください。