AWS Certified Security - Specialty（SCS-C03）の勉強方法と試験対策

最終更新：2026-08-03

SCS-C03はどんな試験か

AWS Certified Security - Specialty（AWS認定セキュリティ – 専門知識）は、AWS上でセキュリティを設計・実装・運用する力を検証するスペシャリティレベルの認定資格です。公式試験ガイドは対象を「クラウドソリューションを保護する責任を負う個人」と定め、AWSの製品とサービスを保護する知識を実証できるかを検証する試験と位置づけています。

最初に押さえておくべき点があります。この試験は2025年12月にSCS-C02からSCS-C03へ切り替わりました。公式試験ガイドの付録には、SCS-C02が2025年12月1日まで、SCS-C03が2025年12月2日から使用されると明記されています。今から受験できるのはSCS-C03のみです。Web上にはC02を前提とした情報がまだ多く残っているため、出題範囲やドメイン配分を調べる際は必ず現行版を参照してください。

公式試験ガイドが検証対象として挙げるのは、データ分類とAWSのデータ保護メカニズムの適用、暗号化方式の実装、安全なインターネットプロトコルに従うための仕組みの実装、AWSのセキュリティサービスと機能を用いた本番環境の保護、コスト・セキュリティ・デプロイの複雑さのトレードオフを踏まえた判断、そしてセキュリティ運用とリスクの理解です。単に安全な構成を知っているだけでなく、制約の中で現実的な落としどころを選べるかが問われる点は、実務に近い性格といえます。

誰が受けるべきか — スペシャリティという位置づけ

AWS認定は基礎・アソシエイト・プロフェッショナル・スペシャリティに分かれますが、スペシャリティはプロフェッショナルの上位ではありません。プロフェッショナル（SAPやDOP）が広範囲を横断して最適な設計を選ばせるのに対し、スペシャリティはセキュリティという一領域を深く掘り下げます。範囲は狭いぶん、KMSのキーポリシーとIAMポリシーの関係や、複数の統制が重なったときの最終的な可否といった細部の正確さが要求されます。

公式試験ガイドは対象者像としてクラウドソリューションのセキュリティ確保について3〜5年相当の経験を挙げ、推奨される知識として次を列挙しています。なお公式の認定ページ側には「ITセキュリティ5年、AWSワークロードの保護2年以上」という記述も残っており、ページによって表現に差があります。いずれにせよ相応の実務経験を前提とした試験だと理解しておけば十分です。

• 責任共有モデルとその適用、大規模環境でのID管理、マルチアカウントのガバナンス
• ソフトウェアサプライチェーンリスクの管理、クラウドにおける脆弱性管理
• セキュリティインシデントの予防と対応の戦略、根本原因分析、監査対応の経験
• レイヤー3〜7のファイアウォールルールを大規模に設計する能力
• ログとモニタリングの戦略、保存時・転送中の暗号化手法、バックアップを含む災害復旧の統制

逆に、暗号アルゴリズムの設計、パケットレベルのトラフィック解析、クラウド全体のアーキテクチャ設計、エンドユーザーコンピューティングの管理、機械学習モデルの学習は対象外の業務として公式に明示されています。学習範囲を広げすぎないための線引きとして役立ちます。

前提資格の要件はなく、どの認定からでも受験できます。ただしVPC・IAM・KMSの理解が組み込まれた設問が多いため、AWSの基礎に不安がある場合はSAAなどで土台を作ってから臨むほうが安定します。

試験の基本情報

65問を170分で解くため1問あたり平均157秒です。時間には比較的余裕がある部類ですが、SCSの設問は「複数の統制が重なった状態でアクセスが通るか」を追う形式が多く、選択肢ごとにポリシーの評価を頭の中で回す必要があります。読解より判定の手数で時間を使う試験だと考えておくとよいでしょう。

出題形式については注意点があります。公式試験ガイドは並べ替え（Ordering）と対応付け（Matching）を含む4形式を挙げている一方、認定ページの概要欄は「多肢選択または複数選択」という従来どおりの記載にとどまっています。記載に差があるため、実際に出題される形式は申込時に公式サイトでご確認ください。

採点については2点を押さえておきましょう。ひとつは補償的スコアリングモデルで、ドメインごとに合格ラインを超える必要はなく全体で750に届けば合格です。もうひとつは無回答が不正解として扱われ、推測によるペナルティはないことで、分からない問題も必ず何かを選んでおくべきということになります。

上記は2026年8月時点の情報です。最新の情報は公式サイトでご確認ください。受験料・提供言語・ポリシーは変更される場合があります。詳細は公式の認定ページおよび公式試験ガイド（SCS-C03）をご参照ください。再受験の待機期間など受験ポリシーの詳細も、公式のポリシーページで最新の内容をご確認ください。

出題範囲

出題範囲は6つのドメインに分かれ、採点対象コンテンツに占める比率が定められています。比率はそのまま学習時間の配分の目安になります。ドメイン3・4・5だけで全体の56%を占めるため、インフラ・IAM・データ保護が得点の土台です。

ドメイン1：検出（16%）

モニタリングとアラート、ログ、そしてそれらのトラブルシューティングの3タスクで構成されます。監視要件の分析、セキュリティイベントの集約、GuardDuty・Security Hub・Macie・Security Lakeを用いた異常検知の指標とダッシュボード、Config適合パックやSystems Manager State Managerによる定期的な評価の自動化が入口です。

ログ設計では、組織全体のCloudTrail証跡、CloudWatchログ専用アカウントの設計、Security Lakeによるログデータレイクとサードパーティツール連携、CloudWatch Logs InsightsやAthenaによる分析、OpenSearch ServiceやManaged Grafanaによる正規化と相関付けが対象です。ネットワーク設計と脅威に応じたログソースの選定（VPCフローログ、Transit Gatewayフローログ、Route 53 Resolverログ）も明示されており、「この攻撃を検知するにはどのログが要るか」という形の設問が想定されます。加えてタスク1.3として、ログが出ていない原因の切り分け（Lambdaの権限、API Gatewayのログ設定、CloudWatchエージェントの設定不備）が独立して置かれた点がC03の特徴です。

ドメイン2：インシデント対応（14%）

C02では検出と一体だった領域が独立しました。対応計画とランブックの設計（Systems Manager OpsCenter）、インシデントに備えた事前構成（アクセスの準備、セキュリティツールの展開、影響範囲の最小化、Shield Advancedの保護設定）、計画の有効性を検証する手段（AWS Fault Injection Service、AWS Resilience Hub）、そして自動修復（Systems Manager、Automated Forensics Orchestrator for Amazon EC2、Step Functions、Lambda）が対象です。

実際の対応としては、フォレンジック証跡としてのログの取得と保管、アプリケーションとAWSサービスをまたぐログの検索と相関付け、セキュリティサービスの検出結果を検証して影響範囲を評価すること、ネットワーク隔離やバックアップからの復旧による封じ込めと根絶、Detectiveを用いた根本原因分析が挙げられています。侵害されたインスタンスやIAMクレデンシャルへの対処手順は定番の出題領域なので、順序立てて説明できる状態にしておきましょう。

ドメイン3：インフラストラクチャのセキュリティ（18%）

エッジ・コンピュート・ネットワークの3層で構成されます。エッジではCloudFrontのヘッダー、AWS WAF、OWASP Top 10への対策、S3のCORS、Shield Advanced、地理情報やレート制限・クライアントフィンガープリンティングに基づくルール設計が対象です。C03ではOCSF（Open Cybersecurity Schema Framework）形式でのデータ取り込みやサードパーティWAFルールとの統合が新たに加わりました。

コンピュートでは、EC2 Image Builderによるハードニング済みAMIとコンテナイメージ、インスタンスプロファイルとサービスロールの適切な使い分け、Inspectorによるコンテナイメージ・Lambdaのスキャンとその活用、Patch Managerによるパッチ適用、Session ManagerやEC2 Instance Connectによる安全な管理アクセスが問われます。さらに生成AIアプリケーションの保護（OWASP Top 10 for LLM Applicationsに基づくガードレール）がC03で新設された点は見落とせません。ネットワークではセキュリティグループ・ネットワークACL・Network Firewallの使い分け、MACsecを含むハイブリッド接続、Verified Access、南北・東西トラフィックを意識したセグメンテーション、Network Access Analyzerによる不要なアクセス経路の洗い出しが中心です。

ドメイン4：アイデンティティとアクセスの管理（20%）

最大配分のドメインで、C02の16%から引き上げられました。認証側ではIAM Identity Center、Cognito、MFA、外部IdP連携による人・アプリケーション・システムの認証設計、STSやS3の署名付きURLによる一時的な認証情報の発行、そして認証失敗のトラブルシューティング（CloudTrail、権限セット、Directory Service）が対象です。

認可側は本試験の核心といえる部分です。Verified Permissions、IAMパス、IAM Roles Anywhere、クロスアカウント用のリソースポリシーとロール信頼ポリシー、タグや属性に基づくABACとRBACの設計、権限境界（Permissions Boundary）やセッションポリシーを含む最小権限のポリシー設計、IAM Policy SimulatorやIAM Access Analyzerによる認可失敗の原因分析、意図しない権限の是正が挙げられています。ポリシー評価ロジックを正確に扱えるかが、そのまま得点差になる領域です。

ドメイン5：データ保護（18%）

転送中・保存時・機密データの3タスクです。転送中はELBのセキュリティポリシーやTLS設定の強制、PrivateLink・VPCエンドポイント・Client VPN・Verified Accessによるプライベートアクセスに加え、C03でリソース間の転送中暗号化（EMR・EKS・SageMaker AIのノード間暗号化、Nitroの暗号化）が追加されました。

保存時はCloudHSMとKMSの選択、クライアントサイド暗号化とサーバーサイド暗号化の選択、S3 Object LockやGlacier Vault Lock・バージョニング・コード署名によるデータ完全性の保護、ライフサイクル管理、AWS BackupやDataSyncを用いたランサムウェア対策を含む複製・バックアップ設計が対象です。機密データの保護ではSecrets Managerによる資格情報のローテーション、インポートした鍵マテリアルの管理と外部キーストア、インポート鍵とAWS生成鍵の違い、CloudWatch Logsのデータ保護ポリシーやSNSメッセージデータ保護による機密データのマスキング、KMSカスタマーマネージドキーとAWS Private CAによる単一または複数のリージョンにわたる鍵と証明書の管理が挙げられています。このうち太字にした3項目がC03で新規に追加されたスキルです。

ドメイン6：セキュリティ基盤とガバナンス（14%）

C02の「管理とセキュリティガバナンス」から改称されたドメインです。Organizationsによる組織の構築、Control Towerの新規・既存環境への導入とカスタムコントロール、SCP・RCP・AIサービスオプトアウトポリシー・宣言型ポリシーによる権限管理、委任管理者アカウントによるセキュリティサービスの集中管理、そしてメンバーアカウントのルートアクセスの一元管理・MFA・ブレークグラス手順を含むルートユーザー認証情報の管理が対象です。

デプロイ面ではCloudFormation StackSets、CloudFormation Guardやcfn-lintを用いたIaCによる一貫した展開、タグによる整理、Firewall Managerによる中央からのポリシー強制、Service CatalogとAWS RAMによる安全なリソース共有。コンプライアンス評価ではConfigとSecurity Hubによる非準拠リソースの検出と修復、Audit ManagerとArtifactによる証跡収集、Well-Architectedツールによる評価が挙げられています。

SCS-C02から何が変わったか

公式試験ガイドにはC02とC03の比較が付録として収録されており、これは移行期の学習で非常に有用です。ドメインの対応関係は次のとおりです。

番号は並んでいますが1対1の対応ではありません。C02のドメイン1と2が解体され、「検出」と「インシデント対応」という軸で組み直されています。そのためドメイン1・2については表の左右で比率を引き算しても意味がなく、検出・ログ・インシデント対応をまとめた領域が32%（14+18）から30%（16+14）になったと捉えるのが実態に近い読み方です。一方、ドメイン3〜6は範囲がおおむね対応しているため比率の変化がそのまま読み取れ、IAMが16%から20%へ増え、インフラが20%から18%へ下がりました。学習配分としてはIAMの比重を上げるのが正解です。

追加された主な内容は、検出結果の検証による影響範囲の評価、OCSF形式の取り込みとサードパーティWAFルール、生成AIアプリケーションのガードレール、リソース間の転送中暗号化、インポート鍵とAWS生成鍵の違い、機密データのマスキング、マルチリージョンの鍵と証明書管理です。一方で削除された内容には、ASFF（AWS Security Finding Format）、AWS Security Incident Response Guide、CloudTrailログのフォーマットと構成要素、ホストベースセキュリティ、TCP/IPの基礎概念とVPC Reachability Analyzerによる到達性分析、IAMポリシーの構成要素（Principal・Action・Resource・Condition）、TLSの概念などがあります。

削除項目の傾向は明確で、用語や構成要素を知っているかを問う部分が減り、設計・実装・トラブルシューティングの比重が上がっています。古い教材で暗記中心の対策をしていると、方向性がずれる可能性がある点に注意してください。

頻出領域の押さえ方

SCSで差がつきやすい論点を挙げます。いずれも「知っている」だけでは足りず、条件が重なった状態で結論を出せるかが問われます。

典型的なひっかけは、技術的には可能だが要件に対して過剰、または権限の一部しか満たしていない選択肢です。KMSの設問では「キーポリシーは許可しているがIAMポリシー側が足りない」「リージョンをまたいでいるのに単一リージョンキーを使っている」といった形で、あと一歩で成立しない選択肢が並びます。

勉強法・学習ロードマップ

SCS-C03は2025年12月開始の新しいバージョンで、対応済みの市販教材はまだ限られます。一次情報と手を動かした経験の比重が通常より大きくなると考えてください。

ステップ1：公式試験ガイド（C03）を読み込む

まず公式試験ガイドを通読します。各スキル項目に「例えば〜」の形で具体的なAWSサービス名が列挙されているため、そのまま学習チェックリストとして使えます。あわせて対象内サービス・対象外サービス・技術と概念の各リストにも目を通し、範囲の外周を把握しておきましょう。C02から学習を始めていた方は、C02とC03の比較の付録を先に読むと、埋めるべき差分がすぐ分かります。

ステップ2：AWS Skill Builderの公式教材を使う

AWSは公式にAWS Skill Builder上でSCS-C03向けのExam Prepを提供しています。試験形式の練習問題やドメイン別のレッスンが含まれますが、一部コンテンツはサブスクリプションが必要な場合があるため、提供内容と条件は公式サイトでご確認ください。

ステップ3：一次情報で深さを補う

スペシャリティは細部の正確さが問われるため、サービスのドキュメントを直接読む価値が高い試験です。優先度が高いのは次の資料です。

• IAMポリシーの評価論理 — SCSの土台。図を追いながら評価順序を説明できる状態を目標に
• AWS KMS デベロッパーガイド — キーポリシー、グラント、マルチリージョンキー、外部キーストア
• AWS Well-Architected フレームワーク セキュリティの柱 — 試験の評価軸そのもの。設計判断の言語化に役立ちます
• AWS Black Belt Online Seminar 資料・動画 — GuardDuty・Security Hub・KMSなどをサービス単位で深く学べる日本語資料です

ステップ4：自分のアカウントで統制を組んでみる

この試験は実際に権限を弾かれた経験がそのまま得点になります。少なくとも次は自分で試しておきたいところです。

• 権限境界とSCP — 許可しているはずのIAMポリシーがなぜ効かないのかを、Access Analyzerとポリシーシミュレーターで追う（シミュレーターはSCPも評価対象に含められますが、RCPには対応していません）
• KMSのクロスアカウント利用 — キーポリシーと呼び出し側IAMポリシーの両方が要ることを体感する
• GuardDutyとSecurity Hub — サンプル検出結果を発生させ、EventBridge経由でLambdaを起動して自動修復する流れを一度通す
• VPCフローログとCloudTrail — 実際にクエリを書き、どのログに何が記録されないのかを確かめる
• S3のガードレール — バケットポリシーで非暗号化アップロードを拒否し、Object Lockの挙動を確認する

ステップ5：問題演習で「選べる形」に変える

ドキュメントを読んで分かったつもりでも、似た統制を並べられると選べない——これは資格学習で最も起きやすいギャップで、選択肢がいずれも「それらしく」見えるSCSでは特に顕著です。範囲を一巡した直後から演習に入り、正答率よりも間違えた問題について「なぜ他の選択肢が要件を満たさないのか」を説明できるようにすることを重視してください。

トキヌクでもセキュリティ専門知識向けのオリジナル問題を200問（うち30問は登録なしで無料、本番同様の複数選択問題を20問含む）提供しています。無料のサンプル問題では解説まで読めるので、粒度を確かめてから教材を選んでください（問題集の詳細はこちら）。なおトキヌクの問題バンクはSCS-C02の試験ガイドに基づいて作成したもので、IAM・KMS・脅威検出・データ保護といったSCS-C03とも共通する中核論点をカバーしています。C03で追加された新規論点（生成AIアプリケーションの保護など）への対応は順次進める予定です。演習教材を選ぶ際は、実試験の問題を流用していないことと、誤答選択肢にも解説があることを基準にすると選びやすくなります。

ステップ6：仕上げ（直前1〜2週間）

本番と同じ65問・170分の分量で通し演習を行い、時間配分と集中力の持続を確認します。合格ラインに届かない場合はドメイン別の正答率を見て、配分の大きいドメイン4（IAM）とドメイン3・5から重点的に復習してください。あわせて、テストセンター受験なら会場と持ち物、オンライン監督付き受験なら有効な身分証明書・安定した回線・机上に余計な物を置かない環境も準備しておきましょう。

よくある質問

SCS-C02とSCS-C03は何が違いますか。今から受けるならどちらですか。

今から受験できるのはSCS-C03のみです。公式試験ガイドの付録には、SCS-C02は2025年12月1日まで、SCS-C03は2025年12月2日から使用されると明記されています。最も大きな変更はドメイン1と2の再編で、C02の「脅威検出とインシデント対応」「セキュリティのログ記録とモニタリング」が、C03では「検出」「インシデント対応」という切り口に組み替えられました。配分もドメイン1が16%、IAMが20%へと変わっています。加えて生成AIアプリケーションの保護やOCSF形式でのデータ取り込みなどが追加されています。

セキュリティ専門知識を受けるのに前提資格は必要ですか。

必要ありません。AWS認定に前提資格の要件はなく、どの認定からでも受験できます。ただし公式試験ガイドはクラウドソリューションのセキュリティ確保について3〜5年相当の経験を対象者像として挙げており、実務経験が実質的な難易度を決めます。VPC・IAM・KMSの理解が前提として組み込まれた設問が多いため、AWSの基礎に不安がある場合はSAAなどで土台を作ってから臨むほうが安定します。

スペシャリティはプロフェッショナルより難しいですか。

難易度の上下というより、問われ方が異なります。プロフェッショナル（SAPやDOP）は広い範囲を横断して最適な設計を選ばせるのに対し、スペシャリティはセキュリティという一領域を深く掘り下げます。SCSでは、KMSのキーポリシーとIAMポリシーの評価順序や、複数の統制が重なったときに最終的にアクセスが許可されるかどうかといった、細部の正確さが問われます。範囲は狭いぶん、曖昧な理解が通用しにくい試験です。

SCSは日本語で受験できますか。

できます。公式の認定ページによると、英語・日本語・韓国語・ポルトガル語（ブラジル）・簡体中国語・スペイン語（ラテンアメリカ）で提供されています。受験方式はPearson VUEのテストセンターとオンライン監督付き試験のどちらも選べます。提供言語や監督付き試験の対応時間は変更される場合があるため、申込時に公式サイトで最新の情報をご確認ください。

学習時間の目安はどれくらいですか。

AWS公式は目安時間を公表していません。AWSの実務経験があり日常的にIAMやKMSを触っている方であれば数十時間規模、セキュリティ業務の経験はあってもAWSの運用経験が浅い場合はその倍以上を見ておくと安全です。またSCS-C03は2025年12月開始の新しいバージョンで、合格者データの蓄積がまだ乏しい点にも留意してください。期間で区切るより、模擬演習で安定して合格ラインを超えているかを受験時期の判断材料にすることをおすすめします。

AWS SCSの問題演習はトキヌクで

トキヌクはAWS SCS対策のオリジナル問題を全200問収録（30問は登録なしで無料）。全選択肢に「なぜ正解か・なぜ違うか」の解説付きで、弱点テーマに合わせた出題で効率よく仕上げられます。

AWS SCS問題集の詳細 →　サンプル問題29問を読む →

本記事は学習の参考情報であり、合格を保証するものではありません。試験の仕様（受験料・出題範囲等）は変更されることがあります。必ず公式サイトで最新情報をご確認ください。本サービスは非公式の学習教材であり、各認定団体とは提携・承認・後援関係にありません。試験名は各団体の商標または登録商標です。
トキヌク トップページへ