AWSセキュリティ資格SCS-C03｜難易度と出題範囲

AWSセキュリティ資格SCS-C03｜難易度と出題範囲 のアイキャッチ画像 AWS資格
2026.10.05

「AWSのセキュリティ資格を取ろうと思うけれど、難易度はどれくらいなのか」「情報を探すと試験コードがSCS-C02だったりC03だったりして、どれが今の試験なのか分からない」

後者は無理もありません。AWS認定セキュリティ – 専門知識は2025年12月2日からSCS-C03に切り替わっており、出題分野の構成そのものが変わっています。古い情報のまま教材を選ぶと、削除された範囲を勉強することになります。

そしてもう一つ、この資格には見落とされがちな事情があります。AWSのSpecialty（専門知識）認定は現在2種類まで縮小しており、そのうち1つは終了が予告されています。つまりこの試験は、まもなくAWS唯一のSpecialty認定になります。

この記事では、AWS公式の試験ガイド（SCS-C03版）を読み込んだうえで、試験の中身・C02からの変更点・難易度・インフラエンジニアにとっての位置づけを整理します。

この記事でわかること：SCS-C03の試験概要と6つのコンテンツ分野の配点 / Specialtyが2つに減った現状 / C02からの変更点と教材選びの注意 / 難易度の実態 / 取るべき人・後回しでいい人

AWS認定セキュリティ – 専門知識（SCS-C03）とは

AWS認定のSpecialty（専門知識）レベルに位置づけられる資格です。難易度としてはProfessional相当で、AWS環境のセキュリティ設計・実装・運用を扱います。

試験の基本情報（執筆時点）

項目内容
試験コードSCS-C03（2025年12月2日から実施）
レベルSpecialty（専門知識）
試験時間170分
問題数65問（択一選択・複数選択）
合格スコア100〜1,000の換算スコアで750点
受験料300 USD
認定の有効期限3年
推奨される経験クラウドソリューションの保護について3〜5年相当
前提条件なし（誰でも受験可能）

推奨経験について補足します。試験ガイドには「クラウドソリューションの保護について3〜5年相当の経験」とありますが、AWS公式の認定ページには「ITセキュリティ経験5年、AWSワークロードのセキュリティ保護の実務経験2年以上」と書かれています。表現に幅がありますが、いずれにせよ実務経験を前提にした試験だと考えてください。もちろん受験資格ではないので、経験が足りなくても受験自体はできます。

6つのコンテンツ分野と配点

分野内容配点
分野1検出16%
分野2インシデント対応14%
分野3インフラストラクチャのセキュリティ18%
分野4Identity and Access Management20%
分野5データ保護18%
分野6セキュリティ基盤とガバナンス14%

最大配点はIAM（20%）です。認証と認可の設計・実装・トラブルシューティングが、この試験で最も比重の大きい領域になります。

まもなくAWS唯一のSpecialty資格になる

この資格を検討するうえで知っておいたほうがいい背景があります。

AWSのSpecialty認定は、かつて6種類ありました。それが次々と提供終了になっています。

Specialty認定状況
Database – Specialty（DBS-C01）提供終了
Data Analytics – Specialty（DAS-C01）提供終了
SAP on AWS – Specialty（PAS-C01）提供終了
Machine Learning – Specialty（MLS-C01）提供終了
Advanced Networking – Specialty（ANS-C01）最終受験日 2026年8月25日
Security – Specialty（SCS-C03）継続。C03へ改定

執筆時点でAWS公式の認定ページに、ANS-C01の最終受験日が2026年8月25日と記載されています。この日を過ぎると、Specialtyレベルに残るのはセキュリティだけになります。

これは単なる豆知識ではありません。廃止された分野を見ると、Database・Data Analytics・Machine Learningはいずれも、より新しいAssociate認定（Data Engineer、Machine Learning Engineer）へ役割が移されています。専門領域が役割別の認定に吸収されていくなかで、セキュリティだけがSpecialtyとして残されているという構図です。

裏を返せば、セキュリティはAWSが職種横断の専門領域として扱い続けている分野だということでもあります。資格の希少性という観点でも、取得する価値が下がりにくい位置にあると考えていいと思います。

AWS認定全体のラインナップは入れ替えが続いています。現行の全種類と取得順はAWS認定資格の一覧と取得順にまとめました。

SCS-C02から何が変わったのか

試験ガイドには、C02とC03の対照表が付録として載っています。分野の名前と配点が、かなり組み替えられています。

SCS-C02（2025年12月1日まで）SCS-C03（2025年12月2日から）
分野1: 脅威検出とインシデント対応（14%）分野1: 検出（16%）
分野2: セキュリティロギングとモニタリング（18%）分野2: インシデント対応（14%）
分野3: インフラストラクチャのセキュリティ（20%）分野3: インフラストラクチャのセキュリティ（18%）
分野4: Identity and Access Management（16%）分野4: Identity and Access Management（20%）
分野5: データ保護（18%）分野5: データ保護（18%）
分野6: 管理とセキュリティガバナンス（14%）分野6: セキュリティ基盤とガバナンス（14%）

変更点を整理すると次のとおりです。

  • C02の「脅威検出とインシデント対応」が、「検出」と「インシデント対応」の2分野に分割された
  • C02の「セキュリティロギングとモニタリング」は独立した分野ではなくなり、他分野に再分類された
  • IAMの配点が16%→20%に上がり、最大配点になった
  • インフラストラクチャのセキュリティは20%→18%に微減

C03で追加された内容

試験ガイドの対照表には、追加されたタスクも明記されています。時代を反映していて興味深い部分です。

  • 生成AIアプリケーションの保護とガードレールの実装（GenAI OWASP Top 10 for LLM Applications への対応など）
  • AWSエッジサービスとサードパーティーサービスの統合（OCSF形式のデータ取り込み、サードパーティーのWAFルールの使用など）
  • AWSのセキュリティサービスの検出結果を検証し、イベントの範囲と影響を評価する
  • インポートされたキーマテリアルと、AWSが生成したキーマテリアルの違い

生成AIのセキュリティが正式に出題範囲に入った、というのが最大のトピックだと思います。LLMアプリケーション特有の脅威（プロンプトインジェクションなど）とガードレールの考え方は、いまや実務でも避けて通れない話になっています。この領域の基礎を先に押さえておきたい場合は、AWS AI資格AIF-C01｜インフラエンジニアに必要かもあわせて読んでみてください。

削除された内容

逆に、C03では次の内容が削除されています。

  • TLSの概念
  • プライベートVIFとパブリックVIFを使用したクロスリージョンネットワークの設計
  • S3の静的ウェブホスティングの設定

教材を買うときは、対応する試験コードを必ず確認してください。C02向けの問題集で勉強すると、削除された範囲に時間を使い、追加された生成AI関連が抜け落ちます。分野の構成自体が変わっているので、「多少古くても大丈夫」とは言いにくい改定です。

難易度｜問われるのは知識より「トラブルシューティング」

試験ガイドのタスク一覧を読むと、この試験の性格がはっきり分かります。次のような書き方が繰り返し出てきます。

  • 認証戦略を設計、実装、トラブルシューティングする
  • 認可戦略を設計、実装、トラブルシューティングする
  • ネットワークセキュリティコントロールを設計し、トラブルシューティングする
  • セキュリティモニタリング、ロギング、アラートをトラブルシューティングする

「設計」だけでなく「トラブルシューティング」がタスク名に組み込まれています。サービス名と機能を覚えただけでは足りず、「うまく動いていない構成を見て、どこが原因かを判断できるか」が問われます。

典型的なのがIAMです。IAMポリシー、リソースベースのポリシー、SCP（サービスコントロールポリシー）、アクセス許可の境界。これらが重なったときに結局そのAPIコールが許可されるのか拒否されるのかを追える必要があります。実務でIAMのアクセス拒否を追いかけた経験があるかどうかで、体感難易度がかなり変わる部分です。

SAPと比べてどうか

よく比較されるAWS認定ソリューションアーキテクト プロフェッショナル（SAP-C02）との違いを整理します。

SCS-C03SAP-C02
試験時間／問題数170分／65問180分／75問
合格スコア750750
範囲の広さセキュリティに限定AWS全域
深さ1つの領域を深く広く、判断の複雑さで勝負

体感は人によります。範囲がセキュリティに絞られている分、SCSのほうが「何を勉強すればいいか」は明確です。一方で、その領域の深さはSAPより上です。「広く浅くが苦手で、一点を掘るのが得意」なタイプならSCSのほうが取りやすいと感じるはずです。

インフラエンジニアがこの資格を取ると、何が変わるか

試験の中身の話はここまでにして、実務でどう効いてくるかを書きます。セキュリティは、インフラの仕事と地続きの領域です。VPCの設計もIAMの設定も鍵の管理も、結局インフラ担当が握っています。

実務でも最初のうちはセキュリティが抜けやすい

私は現在、自社開発企業でインフラを担当しています。その中でセキュリティ関連で一番難しいと感じているのが、IAMの最小権限の設定です。

考え方自体は単純で、必要な権限だけを与える、それだけです。ところが実際にやると、絞れば絞るほど手間がかかります。やることが増えるたびにポリシーを見直すことになり、動かないときの切り分けも増えます。かといって広く取ってしまえば、最小権限にする意味がなくなります。

試験勉強では「最小権限の原則」という一行で済む話です。ですが実務では、その一行をどこで妥協するかを毎回決めることが仕事になります。ここは資格を取っただけでは身につかない部分だと感じています。逆に言えば、この判断を日常的にしている人にとって、SCSの出題は納得しやすいはずです。

そのうえで、IAMで実際に詰まった話を書きます。よくあったのは、お客さんにIAMの認証情報を渡したあとで「接続できない」と言われる場面です。これはちょこちょこありました。いま思えば、渡す前に自分で接続を試しておけばよかっただけの話です。試験では「トラブルシューティング」として出題される領域ですが、実務で詰まるのはたいていこういう地味なところでした。

取るべき人・後回しでいい人

該当する状況
取る価値があるAWS環境の設計・運用に日常的に関わっている／IAMやネットワークの設定を任されている／セキュリティ要件の相談を受ける立場になった／SAAは取ったが次にSAPは重いと感じている
後回しでいいAWSの実務経験がまだ浅い（SAA-C03が先）／未経験からの転職活動中（Specialtyより基礎とAssociateが評価される）／AWS認定を1つも持っていない

順序についてはっきり書いておきます。SAA-C03を飛ばしてSCS-C03に行くのは、まず勧めません。この試験はVPC、IAM、S3、KMSといったサービスの基本的な動きを知っている前提で「うまくいっていない状態」を出してきます。土台がないと、問題文が何を言っているのか分からないまま時間が過ぎます。SAAの中身はAWS SAA（ソリューションアーキテクト）の難易度と勉強法で解説しています。

「SAAの次に何を取るか」で迷っている方には、SAP-C02とSCS-C03は現実的な二択だと思います。設計の総合力を伸ばすならSAP、専門性で差をつけるならSCS。担当している業務に近いほうを選ぶのが素直です。

勉強の進め方

暗記中心の進め方が最も効きにくい試験です。優先順位をつけるなら次の順になります。

  1. IAMの権限評価ロジックを手で追えるようにする（最大配点20%）。アイデンティティベース／リソースベースのポリシー、SCP、アクセス許可の境界が重なったときの評価順序を、図に書けるまで
  2. 検出系サービスの役割を区別する。GuardDuty、Security Hub、Inspector、Macie、Detective、Config。名前は知っていても「どれがどこまでやるか」は混同しやすい部分です
  3. KMSとキー管理。カスタマーマネージドキー、キーポリシー、インポートしたキーマテリアルとの違いまで
  4. ログの種類と使い分け。CloudTrail、CloudTrail Lake、VPCフローログ、各種アクセスログ。「この調査にはどのログを見るか」で覚える
  5. ネットワークコントロール。セキュリティグループ、ネットワークACL、AWS Network Firewallの守備範囲の違い

特に2番目は、自分のアカウントで実際に有効化してみるのが早いです。GuardDutyの検出結果がSecurity Hubにどう集約されるかは、画面を見れば数分で腹落ちします。ただし検出系サービスは有効化したままにすると課金が発生するので、検証後に無効化するのを忘れないでください。料金アラートも設定しておくと安心です。

補足すると、GuardDutyとSecurity Hubは私も実務で使っています。使う側に回ると、この2つの役割の違いは自然に頭に入ります。試験対策として名前を暗記しようとすると混ざりますが、実際に検出結果が集約されていく画面を見ていれば迷いません。手を動かせる環境がある人は、そちらを先にやったほうが早いと思います。

教材という意味でも、私の場合は入口が実務のほうでした。いま挙げた2つに加えてAmazon Inspectorも触っていたので、セキュリティの知識はそこから逆引きで覚えた部分が大きいです。

検証環境でうっかり課金してしまった経験は、私自身にはありません。ただ、知り合いが数十万円の請求が来たと話していたり、会社の検証環境で数百万円かかったという話を聞いたことはあります（いずれも伝聞です）。検証だから安全、ということはないと考えておいたほうがいいと思います。

まとめ

AWS認定セキュリティ – 専門知識（SCS-C03）は、170分・65問・300 USD、合格スコア750点のSpecialty認定です。最大配点はIAMの20%で、「設計」だけでなく「トラブルシューティング」が各分野のタスクに組み込まれているのが特徴です。

2025年12月2日からC03に改定され、分野の構成が変わりました。生成AIアプリケーションの保護が追加され、TLSの概念などが削除されています。教材は必ずC03対応のものを選んでください。

そしてAdvanced Networkingが2026年8月25日で終了予定のため、この資格はまもなくAWS唯一のSpecialty認定になります。専門領域の認定が役割別のAssociateへ吸収されていくなかで残された1つ、という位置づけです。

優先順位としては、まずSAA-C03。そのうえで、AWS環境の設計・運用に関わっていてIAMやネットワークを任されているなら、SAPと並ぶ有力な選択肢になります。AWS認定全体の中での位置づけはAWS認定資格の一覧と取得順もあわせて確認してみてください。

※本記事の試験仕様・出題比率・改定内容は、執筆時点（2026年8月）のAWS公式試験ガイド（SCS-C03版）および認定ページで確認した内容です。改定される可能性があるため、申し込み前にAWS公式のセキュリティ認定ページで最新情報をご確認ください。

コメント

タイトルとURLをコピーしました