AWS認定の基礎
AWS Certified Security - Specialty（SCS-C02）とは｜試験ガイドから6分野の配点と対象サービスを確認する
記事内に広告リンクを含みます
結論から言うと
AWS Certified Security - Specialty（SCS-C02）は、170分・65問・300 USD、合格ラインは100〜1000点スケールで750点のスペシャリティ試験です。出題は6分野で、インフラストラクチャセキュリティ20%／セキュリティログとモニタリング18%／データ保護18%／IDとアクセス管理16%／脅威検出とインシデント対応14%／管理とセキュリティガバナンス14%。前提資格は不要ですが、試験ガイドの想定受験者はセキュリティソリューションの設計・実装3〜5年相当かつAWSワークロード保護のハンズオン2年以上です。日本語での受験に対応し、テストセンターとオンライン監督付き試験を選べます。私はSAAとSAPしか取得しておらずSCS-C02は受験していないため、公式の認定ページと試験ガイド（Version 1.1）を読んで整理した調査記事です。
この記事でわかること
- 170分・65問（採点50＋非採点15）・300 USD・合格750点。SAAより時間も費用も一段重い
- 出題は6分野。インフラストラクチャセキュリティ20%が最大で、上位3分野で56%を占める
- 前提資格は不要。ただし想定受験者はセキュリティ設計3〜5年＋AWSワークロード保護2年以上
- 対象サービスはIAM・KMS・GuardDuty・Security Hub など16サービス。S3 は一覧に無いがバケットポリシーは出る
- 日本語で受験でき、テストセンターとオンライン監督付き試験のどちらも選べる
AWS Certified Data Engineer - Associate（DEA-C01）やCloudOps Engineer - Associate（SOA-C03）を調べているうちに、アソシエイト帯ばかり見ていてスペシャリティ帯をまったく整理していないことに気づきました。
なかでも AWS Certified Security - Specialty（SCS-C02）は、社内で「次に何を取るか」という話になると必ず名前が挙がる試験です。にもかかわらず、私は試験時間も配点も正確には答えられませんでした。そこで公式の試験ガイドを頭から読み直しました。
最初にお断りしておきます。私が取得しているのは SAA と SAP だけで、SCS-C02 は受験していません。この記事は合格体験記ではなく、AWS 公式の認定ページと公式試験ガイド（SCS-C02、Version 1.1）を読んで整理した調査記事です。数字はすべて 2026年8月3日時点に確認した公表値なので、受験を決めた時点でご自身でも公式を確認してください。
AWS認定全体の並びと受ける順番はAWS認定はどれから受けるべきかに書いています。
先に結論
✅ 公式で確認できたこと（2026年8月3日時点）
- 170分・65問・300 USD。採点対象50問＋非採点15問、合格ラインは 750点（100〜1000点スケール）
- 問題形式は 択一（Multiple choice）と複数回答（Multiple response）の2種類のみ
- 出題は 6分野。インフラ20% / ログ・監視18% / データ保護18% / IAM 16% / 脅威検出14% / ガバナンス14%
- レベルは Specialty。想定受験者はセキュリティ設計・実装3〜5年相当＋AWSワークロード保護2年以上
- 前提資格は不要。ただし「通常は SAA か SAP を取ってから受けている」と公式に但し書きあり
- 日本語で受験できる。ピアソンVUE テストセンターとオンライン監督付き試験の両方に対応
- 有効期間は 3年。AWS 認定を1つ持っていると次回受験が 50%割引
DEA-C01 を調べたときと違い、SCS-C02 は受験言語も受験方式も公式ページで明記されていたのが収穫でした。日本語で受けられるかどうかは、日本国内で受験計画を立てるうえで前提が変わる情報です。
SCS-C02 はどういう試験か
まず試験そのものの形から確認します。
| 項目 | 内容 |
|---|---|
| 正式名称 | AWS Certified Security - Specialty |
| 試験コード | SCS-C02 |
| レベル | Specialty |
| 試験時間 | 170分 |
| 出題数 | 65問（採点対象50問／非採点15問） |
| 問題形式 | 択一・複数回答の2種類 |
| 受験料 | 300 USD |
| 合格ライン | 750点（100〜1000点スケール） |
| 前提資格 | なし |
| 受験方式 | ピアソンVUE テストセンター／オンライン監督付き試験 |
| 対象言語 | 英語・日本語・韓国語・ポルトガル語（ブラジル）・中国語（簡体字）・スペイン語（ラテンアメリカ） |
| 有効期間 | 3年 |
アソシエイトの SAA が130分・65問・150 USD なので、問題数は同じまま、時間は40分増え、受験料は倍という枠になります。SAA 側の数字はAWS SAA の出題範囲と配点に整理しています。
170分という長さは、SAP（プロフェッショナル）と同じ帯です。SAP を受けたときは、時間そのものより集中力の維持のほうが問題でした。設問を読み直す余裕がある時間配分にはなっているものの、170分を通して同じ精度で読み続けるのは別の訓練が要ります。この感覚はAWS SAP の難易度に書いたとおりです。
合格ラインが750点であること
ここは見落としやすいところなので強調しておきます。SCS-C02 の合格ラインは750点です。SAA・DEA-C01 などのアソシエイト帯が720点なのに対し、30点ぶん高く設定されています。
100〜1000点のスケールドスコアは正答率そのものではないため「何問正解すればいいか」に単純換算はできません。ただし同じ土俵の点数で見たときに要求水準が一段上にあることは、試験ガイドの記載から読み取れます。
非採点15問の意味
65問のうち15問は採点されません。これは AWS 認定に共通する仕組みで、将来の出題候補を実地で検証するための設問です。試験ガイドには「これらの非採点問題は試験中に識別されない」と明記されています。どれが非採点かは受験者には分かりません。
ここから導かれる実務的な結論はひとつです。見慣れない設問に時間を溶かさない。 非採点かもしれませんし単に自分の弱点かもしれませんが、判別できない以上、そこで粘る価値は薄いということになります。
✅ 採点の考え方
採点は補償方式（compensatory scoring）と明記されています。分野ごとに合格ラインがあるわけではなく、総合点で判定されます。苦手分野が1つあっても他で取り返せる一方、配点20%のインフラストラクチャセキュリティを丸ごと捨てると総合点への打撃は大きくなります。また、未回答は誤答として採点され、当てずっぽうへのペナルティは無いとも書かれています。空欄で出すメリットはゼロです。
出題6分野と配点
試験ガイドに記載された6分野と重みは次のとおりです。分野名は英語の原文と、当サイトによる和訳を併記します。
| # | 分野（原文） | 和訳 | 配点 |
|---|---|---|---|
| 1 | Threat Detection and Incident Response | 脅威検出とインシデント対応 | 14% |
| 2 | Security Logging and Monitoring | セキュリティのログ記録とモニタリング | 18% |
| 3 | Infrastructure Security | インフラストラクチャセキュリティ | 20% |
| 4 | Identity and Access Management | IDとアクセス管理 | 16% |
| 5 | Data Protection | データ保護 | 18% |
| 6 | Management and Security Governance | 管理とセキュリティガバナンス | 14% |
特徴は、突出した1分野が無いことです。最大の20%と最小の14%の差は6ポイントしかありません。DEA-C01 が単一分野で34%を占めていたのとは対照的で、得意分野で一点突破する戦い方がしにくい構成になっています。
分野3 インフラストラクチャセキュリティ（20%）
最大配点の分野です。試験ガイドのタスクステートメントは4本あり、エッジサービス・ネットワーク・コンピュート・ネットワークのトラブルシューティングに分かれています。
登場する具体名を拾うと、エッジ側は AWS WAF・ロードバランサー・Route 53・CloudFront・Shield、想定する脅威として OWASP Top 10 と DDoS が挙がっています。ネットワーク側はセキュリティグループ・ネットワークACL・Network Firewall・Transit Gateway・VPC エンドポイント・Traffic Mirroring・VPC フローログ、オンプレ接続として AWS VPN と Direct Connect、さらに MACsec まで名前が出ています。
コンピュート側は EC2 のパッチ適用・スナップショット・AMI・EC2 Image Builder、Amazon Inspector と Amazon ECR による脆弱性スキャン、ホストベースのファイアウォールとハードニングです。トラブルシューティングでは VPC Reachability Analyzer と Amazon Inspector Network Reachability が明示されています。
ネットワークの素養がそのまま効く分野です。オンプレのネットワーク運用経験がある人には有利に働く一方、アプリ側から入った人には重くなります。この非対称性はオンプレ運用からクラウドへ移るときにつまずいたことで書いた構図の裏返しだと思っています。
分野2 セキュリティのログ記録とモニタリング（18%）
タスクステートメントは5本と、6分野で最多です。設計だけでなくトラブルシューティングが2本含まれているのが目を引きます。「アラートが出なかったあとにサービスの機能・権限・リソース設定を分析する」「ログが欠落した原因を特定して是正する」といった、事後の切り分けを問う書き方になっています。
登場するのは VPC フローログ・DNS ログ・CloudTrail・CloudWatch Logs、分析側は Athena・CloudWatch Logs Insights・CloudTrail Insights・Security Hub insights です。ログの保持期間やライフサイクル管理、ログ出力に必要なアクセス権限（S3 バケット権限やパブリックアクセスの扱い）にも触れられています。
分野5 データ保護（18%）
転送中と保管時の両方が対象です。転送中は TLS・IPsec・SSH・Systems Manager Session Manager 経由の RDP、証明書と CloudFront／ロードバランサーの関係。保管時はクライアントサイド／サーバーサイド、対称／非対称の暗号化方式の選択、ハッシュや電子署名による完全性チェックです。
改ざん防止として S3 Object Lock・KMS キーポリシー・S3 Glacier Vault Lock・AWS Backup Vault Lock の4つが並びます。ライフサイクル管理では Amazon Data Lifecycle Manager と AWS Backup、シークレット管理では Secrets Manager と Systems Manager Parameter Store、キーマテリアルのインポートと削除まで含まれます。
分野4 IDとアクセス管理（16%）
認証と認可でタスクステートメントが2本に分かれています。認証はフェデレーション・IDプロバイダー・IAM Identity Center・Amazon Cognito・MFA・STS による一時認証情報。認可はマネージドポリシーとインラインポリシー、アイデンティティベースとリソースベース、セッション制御ポリシーの区別、そして Principal / Action / Resource / Condition の各要素です。
ABAC と RBAC の使い分け、最小権限の適用、職務分掌の徹底が明記されています。トラブルシューティング手段としては CloudTrail・IAM Access Advisor・IAM ポリシーシミュレーターが繰り返し登場します。
分野1 脅威検出とインシデント対応（14%）
インシデントレスポンス計画の設計、AWS サービスによる脅威検出、侵害されたリソースへの対応の3本です。GuardDuty・Security Hub・Macie・Inspector・AWS Config・Detective・IAM Access Analyzer が並び、findings の集約に ASFF（AWS Security Finding Format） と EventBridge が挙げられています。
フォレンジック寄りの記述があるのがこの分野の特徴です。EBS ボリュームのスナップショットとメモリダンプの取得、S3 Object Lock・隔離したフォレンジック用アカウント・S3 ライフサイクル・S3 レプリケーションによる証跡の保全、といった具体名が出てきます。
分野6 管理とセキュリティガバナンス（14%）
マルチアカウント戦略が中心です。AWS Organizations の構成、AWS Control Tower をいつどう展開するか（成功させるために無効化が必要なサービスの判断を含む）、SCP によるガードレール、ルートユーザー認証情報の保護、委任管理と AWS Config アグリゲーターによる集約が挙がっています。
さらに CloudFormation テンプレートのハードニングとドリフト検出、タグ付け戦略、AWS Service Catalog、Firewall Manager、AWS RAM、Macie による機微データ特定、Audit Manager による証跡収集、Trusted Advisor と Cost Explorer による未使用リソースの洗い出し、AWS Well-Architected Tool でのセキュリティギャップ特定まで含まれます。
想定されている受験者像
ここは数字が2か所で微妙に食い違うので、両方そのまま書きます。
- 公式試験ガイド（Version 1.1）：セキュリティソリューションの設計・実装で 3〜5年相当の経験、加えて AWS ワークロードのセキュリティ保護で最低2年のハンズオン。別項に「AWS セキュリティサービスの本番デプロイ経験2年以上」の記載もあります
- 認定ページのよくある質問（日本語）：「5年の IT セキュリティ経験と2年以上の AWS ワークロードのセキュリティ保護に関する実務経験」
どちらも AWS の公表内容ですが、前段の年数の書き方が異なります。厳密な受験要件ではなく推奨なので実害は無いはずですが、「5年ないと受けられない」と読んでしまうと判断を誤ります。前提資格は不要で、年数はあくまで目安というのが正確なところです。
推奨知識としては、責任共有モデル、ログとモニタリングの戦略、脆弱性管理とセキュリティ自動化、サードパーティツールとの統合、バックアップを含む災害対策、暗号と鍵管理、データ保持とライフサイクル、マルチアカウントガバナンスが列挙されています。
⚠️ 注意点
「3〜5年」「5年」はいずれも推奨経験であって受験要件ではありません。年数を満たしていなくても申し込みは可能です。逆に、年数を満たしていても出題範囲の6分野を網羅しているとは限りません。合否は個人差が大きいので、この記事の内容をもって合格の可否を判断しないでください。年数の記載も含め、受験前に必ず公式ページと最新の試験ガイドをご自身で確認してください。
出題範囲に「入らない」もの
試験ガイドには、想定受験者ができなくてよいことが明示されています。範囲を絞るうえでここが効きます。
- 特定の言語（Python、Java など）でのソフトウェア開発
- 規制順守そのものの確認
- ソフトウェア開発ライフサイクルの管理
- ネットワークトポロジの設計
- クラウド全体のアーキテクチャ設計
- データレジデンシー要件に基づくストレージサービスの設定（GDPR など）
注目したいのはネットワークトポロジの設計とクラウド全体のアーキテクチャ設計が外れていることです。ネットワークの「設計」は Advanced Networking - Specialty、全体アーキテクチャは SAP の担当という棲み分けになっています。SCS-C02 で問われるのは、既にある構成にセキュリティ制御をどう当てるかという側面だ、と読めます。
サービス単位でも除外リストがあります。Amazon Managed Blockchain・Amazon QLDB・Amazon Connect・Amazon Chime・AWS Wickr・AppStream 2.0・Elemental 系のメディアサービス群・AWS DMS・AWS Transfer Family・Amazon Braket・AWS RoboMaker・AWS Ground Station などです。AWS Transfer Family と DMS が範囲外なのは、データ移行まわりを警戒していた人には朗報だと思います。
対象サービスの顔ぶれ
試験ガイドの付録に、対象サービスの一覧があります。
| カテゴリ | サービス |
|---|---|
| 管理とガバナンス | CloudTrail / CloudWatch / AWS Config / Organizations / Systems Manager / Trusted Advisor |
| ネットワークとコンテンツ配信 | Amazon VPC（Network Access Analyzer / ネットワークACL / セキュリティグループ / VPC エンドポイント） |
| セキュリティ・ID・コンプライアンス | Audit Manager / ACM / CloudHSM / Detective / Directory Service / Firewall Manager / GuardDuty / IAM Identity Center / IAM / Inspector / KMS / Macie / Network Firewall / Security Hub / Shield / WAF |
一覧そのものより重要なのが、付録に添えられた注意書きです。「セキュリティはすべての AWS サービスに影響する。サービス全体が範囲外のため一覧に載っていないものも多いが、そのサービスのセキュリティ面は範囲内である」と書かれています。
例として挙がっているのが S3 です。S3 のレプリケーション設定手順は問われないが、S3 バケットポリシーの設定は問われる可能性がある、と明記されています。つまり一覧に無いサービスを「出ない」と読むのは誤りです。実際、分野5のタスクステートメントには RDS・Redshift・DynamoDB・EFS・API Gateway・SQS・EBS が普通に登場します。
一覧は「主役として出るサービス」であって、範囲の全体ではないという読み方が要ります。
SAA・SAP との位置関係
認定ページのよくある質問には、この試験の前後関係についての記載があります。
- 前：特定の認定取得は必要ないが、受験者は通常 SAA または SAP を取得してから受験している
- 後：AWS Certified DevOps Engineer - Professional と AWS Certified Advanced Networking - Specialty が、ネットワークエンジニアや DevSecOps エンジニアなどの職種で次に取られている
つまり公式の想定は、SAA →（実務）→ SCS-C02 → DOP / ANS という並びです。SAP を経由する必然性は書かれていません。
同じページには、Lightcast の2022年10月時点の調査としてこの認定を要件とする求人が73%増（2021年10月〜2022年9月）、Skillsoft の IT Skills and Salary 調査（2024年10月結果）で米国で最も高収入につながる技術認定という言及もあります。ただしいずれも米国市場の第三者調査で、時点も数年前です。日本の求人にそのまま当てはめられる数字ではないので、そのつもりで見るのが妥当だと思います。日本の求人票から見た印象はAWS資格は転職でどう評価されるかとAWS資格で年収は上がるのかに書きました。
受験料と申し込みまわり
300 USD は AWS 認定のなかでプロフェッショナルと同額の帯です。円建ての表記は日本語ページにも無く、「300 USD」のままでした。為替の影響を直接受けるので、申し込み時点のレートで確認してください。
割引について、認定ページのよくある質問には AWS 認定を1つ取得すると次回受験する AWS 認定試験が50%割引になると記載があります。すでに SAA を持っている人にとっては、実質的な負担がかなり変わる話です。適用条件と有効期限は公式で確認してください。会社の受験料補助が使えるかどうかも含め、費用の整理はAWS認定の受験料まとめにまとめてあります。
受験方式はピアソンVUE のテストセンターとオンライン監督付き試験の両方が選べます。170分をどちらで受けるかは体力面でも判断が分かれるところで、選び方の観点はAWS SAA を自宅受験にするかテストセンターにするかに書いています。取得後の3年間の扱いはAWS認定の有効期限と再認定を参照してください。
教材と学習リソース
✅ まず一次情報を見る
どの教材を使う場合でも、最初に公式の試験ガイドを通しで読むのがいちばん確実です。6分野のタスクステートメントが「Knowledge of（知識）」「Skills in（スキル）」の2段構えで並び、サービス名まで具体的に書かれています。無料で読めて、しかも配点の一次情報です。AWS 認定の公式ページから各試験の試験ガイドとサンプル問題をたどれます。
公式ページで案内されている準備の流れは、①試験形式の問題を解く、②不足しているスキルのデジタルコースを受講し AWS Builder Labs・AWS Cloud Quest・AWS Jam で練習する、③試験範囲を確認しフラッシュカードや講師の解説で補強する、④AWS Certification Official Pretest で準備状況を測る、という4段階です。公式のデジタル教材は AWS Skill Builder（公式） から確認できます。
SCS-C02 は SAA と比べて日本語の市販教材が少ない領域です。この構図は SAP を調べたときと同じで、一次情報の比重を上げざるを得ないという結論になります。教材全般の選び方はAWS資格の教材を5種類くらべたに、独学でどこまでいけるかはAWS資格は独学で取れるかに書いています。どちらも SAA・SAP を独学で取ったときの実費と時間をもとにしたものです。
今回確認できなかったこと
正直に書いておきます。以下は調べたものの、確認できなかった項目です。
- 試験ガイドの改訂日：PDF には「Version 1.1」の表記しかなく、日付が記載されていませんでした。SCS-C01 から C02 へ切り替わった時期も、公式の告知ページを特定できていません
- SCS-C03 のような後継版の予定：告知は見当たりませんでしたが、「無い」ことを確認できたわけではありません
- 日本語版の試験ガイド：取得できたのは英語版のみです。本文中の分野名の和訳は当サイトによるもので、公式訳ではありません
- Skill Builder 上の個別コース名と無料・有料の切り分け：ページが動的に読み込まれる作りのため読み取れませんでした
- 円建ての受験料：日本語ページの記載も「300 USD」でした
✅ この記事を読んだ後の次の一歩
セキュリティ系の学習は、IAMやログだけでなく、公開サイトの証明書・DNS・配信設定まで触ると理解しやすくなります。独自ドメインを使った検証環境を持っておくと、Route 53、ACM、CloudFrontの確認にもつなげられます。
まとめ
SCS-C02 は、6分野が14〜20%の狭いレンジに収まった、穴を作りにくい試験です。最大配点はインフラストラクチャセキュリティの20%ですが、ログ・監視とデータ保護が18%で並び、上位3分野で56%を占めます。得意分野だけで押し切る形にはなりにくい構成です。
数字の枠は170分・65問・300 USD・合格750点。アソシエイト帯より合格ラインが30点高く、時間はプロフェッショナルと同じ帯です。前提資格は不要ですが、想定されているのはセキュリティ設計3〜5年＋AWSワークロード保護2年以上の層で、公式も「通常は SAA か SAP を取ってから受けている」と添えています。
範囲の輪郭として効くのは、ネットワークトポロジの設計とクラウド全体のアーキテクチャ設計が明示的に外れていることです。SCS-C02 が問うのは構成を一から描くことではなく、既にある構成に制御をどう当て、壊れたときにどう切り分けるか。ログとモニタリングの分野にトラブルシューティングのタスクが2本入っているのは、その性格をよく表していると思います。
私自身はこの試験を受験していません。数字はすべて2026年8月3日時点の公表値です。受験を決めた時点で、必ず公式ページと最新の試験ガイドをご自身で確認してください。
よくある質問
SCS-C02 の試験概要を教えてください。
AWS の認定ページおよび公式試験ガイドの記載では、試験時間170分、出題65問（うち採点対象50問・非採点15問）、受験料300 USD です。合格ラインは100〜1000点のスケールドスコアで750点、採点は補償方式（分野ごとに合格する必要はなく総合点で判定）と記載されています。受験はピアソンVUE のテストセンターまたはオンライン監督付き試験から選べます。いずれも2026年8月3日時点で確認した公表値です。
出題範囲の配点はどうなっていますか？
試験ガイド（Version 1.1）では、Threat Detection and Incident Response 14%、Security Logging and Monitoring 18%、Infrastructure Security 20%、Identity and Access Management 16%、Data Protection 18%、Management and Security Governance 14% と記載されています。いずれも採点対象コンテンツに対する比率です。インフラストラクチャセキュリティが最も重く、ログ／モニタリングとデータ保護が同率で続きます。
前提となる資格は必要ですか？
必要ありません。AWS の認定ページのよくある質問にも「この認定の準備をする前に、特定の認定を取得する必要はありません」と明記されています。ただし同じ箇所に、受験者は通常 AWS Certified Solutions Architect - Associate または Professional を取得してから受験している、という但し書きが添えられています。試験ガイド側の想定受験者はセキュリティソリューションの設計・実装3〜5年相当、かつ AWS ワークロード保護のハンズオン最低2年です。
日本語で受験できますか？
できます。認定ページの対象言語には、英語・日本語・韓国語・ポルトガル語（ブラジル）・中国語（簡体字）・スペイン語（ラテンアメリカ）が挙げられています。ただし公式の試験ガイド PDF は英語版を確認しており、当記事の分野名の和訳は当サイトによるものです。
受験料の割引はありますか？
認定ページのよくある質問には、AWS 認定を1つ取得すると次回受験する AWS 認定試験が50%割引になる旨が記載されています。すでに SAA などを保有している場合はこの対象になります。300 USD は為替で円建ての負担が動くので、申し込み時点のレートと割引の適用条件をご自身で確認してください。