AWS SCS-C03 勉強法｜独学の勉強時間・出題範囲・用語の覚え方【2026】

PR　本記事にはアフィリエイト広告（Amazonアソシエイト）を含みます。リンクから購入された場合、当サイトが収益を得ることがあります。

SCS-C03は2025年12月2日から使われている現行版で、旧C02（2025年12月1日まで）とはドメイン構成そのものが違います。古い記事や旧版の教材のまま準備すると、増えた論点をまるごと落とします。まず「何が変わったか」から入るのが、この試験の一番の近道です。

AWS認定セキュリティ専門知識（SCS-C03）は、AWS上でワークロードを守る側の判断ができるかを見る専門（スペシャリティ）レベルの試験です。公式試験ガイドが想定する受験者像は「クラウドのセキュリティを担当し、3〜5年の経験がある人」。設問は知識のクイズではなく、与えられた要件のもとで、どの制御を、どのサービスで、どこに置くかを選ばせる形式が中心です。この記事では、C02からの変更点、6ドメインの重み、IAMと鍵管理という2大山場の攻め方、検知サービスの線引き、170分の使い方までを順に整理します。

本記事にはアフィリエイトリンク（広告）が含まれます。リンク先での購入・申込により当サイトが報酬を得る場合がありますが、紹介内容は編集部の基準で選んでいます。

SCS-C03はC02から何が変わったか｜ドメイン再編と新しい出題テーマ

C03でまず押さえるべきは、ドメインの名前と数え方が変わったことです。C02では「脅威検知とインシデントレスポンス」が1つのドメインにまとまり、「セキュリティのログ記録とモニタリング」が別枠でした。C03ではドメイン1が「検知（Detection）」、ドメイン2が「インシデントレスポンス」に分かれ、ログ・モニタリングは検知の中に統合されています。「ログの勉強はどのドメイン？」と迷ったら、C03では検知の側だと考えてください。

内容面では、公式試験ガイドの付録に記載されたとおり、次のような論点がC03で追加されています。

• AWSのセキュリティサービスが出した検出結果（findings）を検証し、事象の範囲と影響を評価する
• エッジサービスやサードパーティとの統合（OCSF形式でのデータ取り込み、サードパーティのWAFルールの利用など）
• 生成AIアプリケーションのガードレール（OWASP Top 10 for LLM Applicationsに対応した保護の適用など）
• リソース間の転送中の暗号化（Amazon EMR、Amazon EKS、SageMaker AI のノード間暗号化、Nitroの暗号化など）
• インポートした鍵マテリアルとAWSが生成した鍵マテリアルの違い
• 機密データのマスキング（CloudWatch Logsのデータ保護ポリシー、Amazon SNSのメッセージデータ保護など）
• 単一／複数リージョンにまたがる鍵と証明書の管理（KMSのカスタマー管理キー、AWS Private CA）

逆に、AWS Security Finding Format（ASFF）やAWSセキュリティインシデント対応ガイドへの言及、ログのフォーマットと構成要素といった記述は削られました。「古い教材で細かく覚えたのに出なかった」が起きうる部分です。最新の配分と項目は必ず公式試験ガイド（SCS-C03）で確認してください。

6ドメインの重み｜IAM 20%が単独最大、検知は16%に増えた

SCS-C03の採点対象は次の6ドメインです。C02の配分と並べると、力の入れどころの移動がはっきりします。

読み取れることは3つです。第一に、IAMが16%から20%へ上がり、単独最大になりました。第二に、インフラセキュリティは20%から18%へ下がり、相対的に比重が落ちています。第三に、データ保護は18%のまま据え置きですが、前述のとおり中身（インポート鍵、マスキング、マルチリージョンの鍵・証明書）が増えています。IAMとデータ保護で38%。ここが崩れると、他をどれだけ積んでも届きません。

採点は50問｜Ordering・Matchingという新しい形式への備え

SCS-C03は65問のうち採点対象は50問で、残る15問は採点されない評価用の問題です（どれが採点対象かは表示されません）。試験時間は170分、スコアは100〜1,000のスケールドスコアで、合格は750。ドメインごとの合格ラインはなく、全体で判定される補整（compensatory）方式なので、苦手ドメインは得意ドメインで補えます。

形式面で見落としがちなのが、多肢選択・複数選択に加えてOrdering（3〜5個の手順を正しい順に並べる）とMatching（3〜7個のプロンプトに選択肢を対応づける）が含まれることです。どちらも全部正解して初めて得点になります。並べ替えはインシデント対応の手順、対応づけはサービスと用途の組み合わせで出やすく、「なんとなく分かる」では点になりません。手順とサービスの役割は、順序と対応関係まで言えるところまで固めてください。

IAMの評価順序を体に入れる｜明示Deny・暗黙Deny・境界の三層構造

配点最大のIAMでは、JSONのポリシーを読んで「このリクエストは通るか」を判断させる設問が繰り返し出ます。迷わないための原則は3つです。

この三層を確認したうえで、Condition句（aws:SourceIp、aws:PrincipalOrgID、aws:SourceVpceなど）の条件が満たされるかを順に見ます。加えて、S3バケットポリシーやKMSキーポリシーのようなリソースベースのポリシーは、IDベースのポリシーとは別経路で評価される点も頻出です。クロスアカウントのアクセスでは「両側で許可が必要」という前提を忘れないでください。

鍵の話はKMSで9割決まる｜インポート鍵とAWS生成鍵の違いが新論点

データ保護18%の中心はKMSです。押さえるべき軸は次のとおり。

• キーポリシーが起点：KMSはキーポリシーでアクセスを制御します。IAMポリシーで許可していても、キーポリシーが許していなければ鍵は使えません。
• エンベロープ暗号化：データキーでデータを暗号化し、そのデータキーをKMSキーで暗号化する二段構え。大きなデータを扱う理由がここにあります。
• SSE-S3／SSE-KMS／SSE-C／クライアントサイド暗号化：誰が鍵を持ち、誰が監査できるかで選び分けます。
• KMSとCloudHSM：専用HSMや厳格なコンプライアンス要件があるかで分岐します。
• インポートした鍵マテリアルとAWS生成の鍵マテリアル：C03で明示的に追加された論点です。自分で鍵を持ち込む場合はローテーションや外部キーストアの扱いが変わります。

さらにC03では、マルチリージョンでの鍵と証明書の管理（マルチリージョンキー、AWS Private CA）や、機密データのマスキング（CloudWatch Logsのデータ保護ポリシー、SNSのメッセージデータ保護）まで範囲に入りました。「暗号化するか／しないか」ではなく、「どこで、誰の鍵で、どう見せないか」まで問われると考えてください。

検知サービスの守備範囲を線引きする｜GuardDuty・Inspector・Detective・Security Hub・Security Lake

ドメイン1で落としやすいのが、似た目的のサービスの取り違えです。役割で線を引いておきます。

C03では検出結果を検証して影響範囲を評価するタスクが追加されているので、「どのサービスが検知するか」だけでなく「その検出結果をどう裏取りするか」まで一段深く見ておくと安全です。

ログはどこから取り、どこで読むか｜CloudTrail・Config・各種フローログ・Athena

ログの設問は、取得元と読む道具の二段で考えると整理できます。取得元は、APIコールならCloudTrail、リソース構成の変化ならConfig、ネットワークの通信ならVPCフローログ／Transit Gatewayのフローログ／Route 53 Resolverのクエリログ。読む道具は、SQLで掘るならAthena、CloudWatch Logs上ならLogs Insights、大量ログの相関ならOpenSearch Service、可視化ならManaged Grafanaという対応です。

組織全体を対象にするなら、CloudTrailは組織証跡（organization trail）にする、ログ用の専用アカウントを分ける、といった設計判断も出ます。「どのログを、どのアカウントに、どれだけの期間置くか」を要件から決められるようにしておきましょう。

生成AIワークロードの防御｜C03で加わったガードレールの考え方

C03ではインフラセキュリティのタスクに、生成AIアプリケーションに対する保護とガードレールの実装が追加されました。公式試験ガイドは例としてOWASPの「Top 10 for LLM Applications」に沿った保護を挙げています。プロンプトインジェクション、機微情報の漏えい、過剰な権限付与といったリスクに対して、入出力のフィルタリング、モデル呼び出しに渡すIAM権限の最小化、ログとマスキングを組み合わせる——という発想です。

細かいサービス仕様を暗記するより、「新しいワークロードにも、既存の統制（最小権限・暗号化・ログ・検知）をどう当てるか」という視点で読むほうが得点につながります。ここは教材の対応が遅れやすい領域なので、公式試験ガイドの該当タスクを直接読むのが確実です。

用語の即答化から入る｜SCS-C03ドリルの使い方

ここまで見たとおり、SCS-C03は判断を問う試験です。それでも入口が用語なのは、選択肢が4つ並んだ瞬間に各サービスの守備範囲が思い出せないと、比較そのものが始まらないからです。読み返して覚えた気になるより、隠して答える形式のほうが定着が速いことは、記憶研究で繰り返し確認されています。きおくるのSCS-C03用語ドリルは、検知・ログ・インフラ・IAM・データ保護・ガバナンス・生成AIセキュリティの頻出用語をこの形式に整えています。

合格体験記に多い学習時間と到達スコア｜数字で見る目安

SCS-C03の合格体験記で報告される学習時間は、SAA取得済みなら60〜100時間、セキュリティ実務経験があれば40〜60時間が中心帯です。期間にすると1日1〜1.5時間で6〜10週間。SAA未取得で挑む場合は基礎サービスの学習が上乗せされ、120時間を超える報告が目立ちます。

到達スコアの目安は、Udemy等の模試で初回50〜60%、直前期に80%前後に乗った受験者の合格報告が多い傾向です。模試の正答率より重要なのは「IAMの評価順序」「KMSの鍵の種類」「検知サービスの線引き」の3領域でミスが消えているかで、ここが安定すれば本番の合格ライン（1000点満点中750点）は十分射程に入ります。用語の即答化を先に済ませておくと、模試の周回に使える時間が増え、忘却曲線に逆らう反復回数を確保できます。

学習時間の組み立て｜SAAからの上積みをどこに置くか

SCS-C03に前提資格はありませんが、SAA相当のAWS知識があると読解の速度がまったく違います。自分の位置に近いモデルを目安にしてください。

教材ルート｜和書が薄いぶんSkill Builderと公式試験ガイドが主役

C03対応の日本語書籍はまだ数が限られます。そのぶん、公式試験ガイドを一次資料として読み、AWS Skill Builderの試験対策プランで穴を埋めるのが現実的なルートです。試験ガイドはタスクとスキルが箇条書きで並んでいるので、そのまま学習チェックリストとして使えます。

模試でシナリオ耐性をつける｜Udemyの使いどころ

C03は新しいコードのため、最新版に対応した模擬試験は貴重です。用語と公式ガイドで土台を作ったあと、長文を読み切る体力と、Ordering／Matching形式への慣れを作る目的で使うと効果が出ます。

170分の配分と見直しフラグの使い方

65問／170分は1問あたり約2分36秒。ただし実際には、長文シナリオに4分かかる問題と、30秒で終わる問題が混ざります。

合格後にできるようになること｜守りの主担当へ

SCS-C03の学習範囲は、そのまま日々のセキュリティ運用の設計図になります。

SCS-C03で落ちる人に共通する3つの癖

SCS-C03についてよくある疑問

📚 SCS対策に使える和書

要点の再確認

• SCS-C03は2025年12月2日開始の現行版。C02とはドメインの区切りが違い、生成AI・インポート鍵・マスキングなどが追加された。
• 配分はIAM 20%が単独最大、データ保護18%、インフラ18%、検知16%、インシデントレスポンス14%、基盤とガバナンス14%。
• 65問／170分、採点50問、合格は1,000点満点中750点。Ordering・Matchingは全問正解でのみ得点。
• 「用語の即答化 → 公式試験ガイド＋Skill Builder → 模試」の順で、判断力を積み上げる。

AWS Security Specialty Drill 5秒で答えるAWS Security Specialty（SCS-C03）用語ドリルを試す 脅威検知・ログ監視・インフラ・IAM・データ保護・ガバナンス・生成AIセキュリティ / 頻出42＋発展32 / 無料・登録不要 ドリルを開く →