情報セキュリティマネジメント試験の勉強方法をアプリにした｜AIで自分専用の学習アプリを2日で自作した実録

先に結論: 勉強方法を決めてから、アプリをその入れ物にした

情報セキュリティマネジメント試験（以下、SG）の勉強のために、自分専用の学習Webアプリを作った。
仮の名前は「セキュラボ」。
git に残った記録では、最初のコミットが10月24日の8時41分で、翌25日の夕方までに64コミット（24日が30、25日が34）。
実質2日だ。

最初に断っておくと、私はまだSGを受けていない。2027年3月までに受験するつもりで準備している段階だ。
だから「この勉強方法で受かった」とは書けないし、アプリの効き目も言い切れない。この記事で書けるのは2つ。
自分の勉強方法をどう設計して、アプリにどう組み込んだか。それと、AIに書かせた問題や解説の正しさをどう確かめたか。

25日の夕方の時点で、中身はこうなっている。

IPAの公開問題71問は、令和5〜8年度の公開問題とサンプル問題の全問だ。
作った目的は3つあって、合格すること、仕組みの本質を理解すること、実務で使えるようになること。
1つ目だけなら、過去問を回すやり方もあると思う。私は残りの2つも欲しかった。

情報セキュリティマネジメント試験の基本（2026年10月25日にIPAで確認）

この記事を書くにあたって、試験の形をIPAの公式ページと試験要綱で確かめ直した。AIに聞くと、古い制度の時間や問題数をそれらしく書くことがあるからだ。

出典は、IPAの情報セキュリティマネジメント試験 出題内容、情報セキュリティマネジメント試験とは、試験要綱 Ver.5.6（2026年10月の試験から適用）。
IRTは正答数をそのまま点数にする方式ではないので、「何問正解すれば600点」という目安は、IPAの資料からは出せなかった。

出題範囲は、科目Aが情報セキュリティの基礎から管理・対策・関連法規までと、ネットワークやシステム監査、経営管理などの周辺分野。
科目Bは、情報資産の管理、リスクアセスメント、委託先の管理、教育・訓練などをケーススタディの形で問う、とIPAのページにある。

制度の見直しも予定されている。
IPAの試験制度の見直しと2026年3月31日の検討状況によると、2027年度から新しい試験制度に移る予定で、SGは「継続」の区分として2027年度春頃に始まる見込みだ。
新制度でも120分・科目A 48問・科目B 12問で、出題範囲の変更は表記の変更などによるもので、問う知識・技能の範囲は変わらないとされている。
現行の制度は2026年度の試験で終わる予定。私の受験予定の2027年3月までは、2026年度のうちに入る。
いずれも検討中の内容で、変わる可能性があるとIPA自身が書いているので、受験前にもう一度確かめるつもりだ。

市販の問題集や過去問サイトではなく、自分用に作った理由

過去問を解けるサイトや問題集はたくさんある。それでも作ったのは、欲しいものが3つあったからだ。

1つ目は、自分の弱点と理解度に合わせて出てくること。
問題集は順番に並んでいて、解けた問題も解けない問題も同じ重さで出てくる。
忘れかけた頃に、苦手なところが多めに出てきてほしかった。

2つ目は、図と例え話。用語の説明が文字だけだと、読んだ瞬間はわかった気になっても、翌日には形が残っていない。自分専用なら、全部のカードに図を付けられる。

3つ目はゲームだ。これは使い始めてから「眠くなる」と言ったのがきっかけで入った。あとで書く。

自分専用にすれば、他人向けの作り込み（会員登録や、不特定の人が使う前提の設計）を省ける。
自分専用のメモアプリを作ったときと同じで、ログインはCloudflare Accessで本人だけが入れるようにして、その分の手間を中身に回した。

私の勉強方法の設計——アプリに入れた仕組み

ここが、SGの勉強方法を探している人にいちばん関係するところだと思う。繰り返しになるが、まだ受験前の設計で、効いたかどうかは受けてから書く。

忘れかけた頃に復習が出る（間隔反復）

復習のタイミングは、FSRSという間隔反復のアルゴリズムに任せた。覚えたものは、時間がたつほど思い出しにくくなる。
思い出せなくなる前に、復習が回ってくる作りだ。今日は何を復習するかを、自分で選ばなくていい。

理解度を4段階で記録する

用語ごとに、理解度をL1〜L4の4段階で記録する。
ここで1つ決めたのが、最初に受ける事前テストの結果は理解度に数えないこと。
当てずっぽうで当たった問題まで「わかっている」側に数えると、本当は知らない用語が復習から外れてしまう。

ホームに「今日の15分」

開くと、ホームに「今日の15分」が出る。中身は、復習と新しい用語と、日替わりの事件簿。
毎週の学習量は、作る前にAIから受けた8つの質問の1つとして答えてある。
開いたらやることが決まっている、という形にした。

試験月の1日から逆算した学習計画

受験する月を入れると、その月の1日から逆算して学習計画を立てる。最初は月末で数えていたが、これは使いながら直した（後述）。

本番と同じ数の模擬試験

模擬試験は、科目A 48問・科目B 12問。上の表のとおり、本番と同じ数にそろえた。

学習マップと、場面で考える練習

12のテーマを路線図のように並べた学習マップで、いま全体のどこにいるかを見られる。もう1つ、攻防ミッションを入れた。
ある場面について、攻撃者は何をするか、何が起きるか、守る側はどうするか、管理者はどうするか、を順に選んでいく。
ニュースから作る事件簿もある。IPAのページによると、科目Bはケーススタディの形で問われる。
用語を覚えるだけでは届かない部分を、場面で考える仕組みで補えるのではないか、と私は見ている。
本番で役に立ったかは、受けたあとに書く。

2日の時系列と、AIの体制

作業の流れを、git の時刻と記録から並べる。

体制は、窓口を1つにした。PM役のClaude Codeだ。
実装のまとまった塊はCodexに渡し、ビルドと、画面を目で見る確認と、本番への反映はClaude Codeがやる。
この分け方はClaude CodeとCodexの併用の実録に書いたものと同じ。

用語カードと問題は、Claudeのサブエージェント（作業を手分けする小さなAI）がテーマごとに並列で書いた。
そして、書いた側とは別に「監査役」のエージェントを立て、出典を開いて照らし、誤りを直させた。監査は全部で9回。
私はコードを書かないので、ここで私がしたのは、8問に答えることと、出来たものを使って「ここが嫌だ」と言うことだった。

品質の守り方——AIの「それらしい値」を出典で止める

試験勉強のアプリで怖いのは、間違ったことを正しい顔で覚えてしまうことだ。AIに任せると、それらしい値をすらすら書く。
そこで最初に「出典で確かめた値だけを載せる」という決まりを置いた。

監査役が実際に直した例を3つ挙げる。

• PM役のAI自身が書いた例で、委託先に関する例外の向きが逆になっていた。監査役が条文を開いて訂正した
• 証明書の有効期間の上限のように、年ごとに変わる値があった。古い値のまま書かれていたものを、最新の値に合わせた
• 「証明書に入っているのは公開鍵だけ」という説明は言い過ぎだった。実際には名前や有効期間、署名なども入る。そこを直した

1つ目は、作業を割り振る側のAIが書いた例だった。指示を出す側も間違える。書く役と確かめる役を分けておいたから拾えた、と思っている。

IPAの公開問題は、照合を2段階にした。PDFから文字を機械で取り出すだけだと、図や表、記号の取りこぼしがありうる。
そこで、ページを画像にして目で照らす段階を足した。
正解はIPAが出している解答のPDFで確かめ、解説はすべて自分のアプリ用に書き下ろしている。

使いながら直したこと——「眠くなる」からゲームへ

作ったあと、iPhoneで実際に使いながら気になったことをそのまま口にして、直してもらった。言ったことと、直したことを並べる。

相棒の絵はChatGPTの画像生成で作り、切り抜きと背景の透過、切り分けはAIがやった。場面イラストは手描きのSVG（コードで描く図）だ。

この表でいちばん書き残したいのは「眠くなる」の行だ。正直に言うと、勉強していると眠くなる。そう伝えたら、ゲームが2つ入った。

1つはボス戦クイズ。テーマごとにボスがいて、正解するとボスに15ダメージ、3問続けて正解すると必殺技で25ダメージ。
間違えると自分のハートが減る。ボスのセリフには、試験の引っかけを言わせている。
敵の言うことが、そのまま試験の落とし穴の復習になる。
アイキャッチの画面がこのボス戦の一覧で、12のテーマに1体ずつ並んでいる。

もう1つは怪しいところ探し。偽のSMSやメール、ログイン画面が出てきて、怪しいところを時間内にタップする。
文字を読むだけだった勉強に、指を動かす時間ができた。これで点が上がるかどうかは、まだわからない。

画面が落ちた件は、原因が地味だった。
カードのデータの1行を、見出しのあとに半角のコロンを置いて本文を続ける形で書いていた。
その書き方だと、文字としてではなく、別の形のデータとして読み込まれてしまう。その1行が入ったカードだけが落ちていた。
直したうえで、同じ書き方を公開前の点検で止める仕掛けを足し、全487ページを開いて落ちないことを確かめた。
1か所直して終わりにせず、同じ種類の誤りが次に入らないようにするところまでを1つの直しとした。

AI機能の費用の天井と、本番で全部止まっていた話

アプリにはAIの機能を4つ入れた。AI先生への質問、「もっと簡単に」「別の例で」の言い換え、「図で説明して」、説明問題の採点だ。

モデルは用途で分けた。長い説明と採点はClaude Opus 5.5、短い言い換えはSonnet 5.5、図の型選びとニュースの仕分けはHaiku 5.5。

費用は、作る前の8問の中で天井を決めていた。1日30回、月10ドルまで。
データベースで「使う前に枠を予約して、使ったら確定する」形にして、上限を超えないようにした。
金額を後から眺めるのではなく、超えられない上限を先に作っておく、という考え方だ。

つまずいたのは、この4機能が本番で全部止まっていたことだ。
AIに決まった形（JSON）で答えさせる機能で、形の決まりの中に「最大で何個まで」「何文字まで」といった条件を書いていた。
この条件をAPIが受け付けず、エラー（400）が返っていた。
テストではAIの代わりに偽の返事を返す仕組み（モック）を使っていたので、テストは全部通る。
本物のAIに投げたときだけ落ちる。

ここから決まりを1つ足した。AIの機能は、本番で1回ずつ実際に呼んで確かめる。
手元のテストが全部通っていても、本物にしか分からない失敗がある。
Cloudflare Workersで公開した実録でも、本番だけ壊れる経験をした。
今回もまた、似た場所で同じ教訓を拾ったことになる。

技術の構成は、Next.jsとCloudflare Workers、データベースにCloudflare D1、本人だけが入るためのCloudflare Access。
リポジトリは非公開にしている。

公開していない理由

このアプリは、いまは私だけが使う非公開のものだ。理由は2つある。

1つは、自分専用として作ったこと。理解度も復習の予定も、私1人の記録を前提に組んでいる。

もう1つは、IPAの問題の扱いだ。
IPAの試験に関するよくある質問（2026年10月25日に確認）には、公表している過去の試験問題の使用は、法令に特別の定めがある場合を除いて許諾や使用料は不要で、年度・期・試験区分・問番号などの出典を明記すること、問題を一部改変した場合はその旨も書くこと、とある。
教育目的などで問題集やテキストに使う場合の記述もある。
ただ、Webアプリで一般に公開する場合について書かれた箇所は、私には見つけられなかった。
個人で使う範囲として出典を明記し、解説は自作して使っている。
公開版を作るなら、IPAに確かめるか、IPAの問題を外して作ることになる。一般公開するかどうかは、検討中だ。

まとめ: 勉強方法は自分で決めて、正しさは出典で確かめる

情報セキュリティマネジメント試験の勉強方法を、自分の弱点と理解度に合わせて設計し、AIで自分専用の学習アプリにした。
最初のコミットから2日で64コミット。
間隔反復、4段階の理解度、今日の15分、試験月の1日から逆算した計画、本番と同じ数の模擬試験、学習マップ、それに眠気対策のボス戦まで入った。

まだ受験していないので、この勉強方法が効くかどうかは書けない。書けるのは作り方の手応えだ。
AIに中身を書かせるなら、書く役とは別に出典を開いて照らす役を置く。載せる値は出典で確かめたものだけにする。
AIの機能は本番で1回ずつ呼んでみる。どれも、自分専用の小さなアプリでも省かなかったことだ。
受験したら、結果と、効いた仕組み・効かなかった仕組みをこの記事に足す。

AIで作ったほかのものと、かかった時間はバイブコーディングの始め方にまとめている。
Claude Codeを窓口にCodexへ実装を渡す分業は併用の実録に、自分専用アプリを作る考え方はメモアプリの制作記録に書いた。