CISSP認定試験の問題は

以前にご紹介した「情報セキュリティプロフェッショナル総合教科書」によると、選択式問題のタイプは、

・タイプ1：言葉を問う問題
　解答の選択肢が「SPAM」「DES」などの単語の形で表現されるもの。その知識項目について知っているかどうかが問われる。

・タイプ2：意味を問う問題
　解答の選択肢が、文章の形で問われるもの。知識項目として正しく理解しているかが問われる。

・タイプ3：プロセスを問う問題
　問題文が比較的長く、その文中に解答を選択する条件としての状況設定や、問題内容にいたるまでのプロセスが記述され、こうした状況の下で正解を求めるもの。具体的に設定された状況の下での判断力が問われる。

という3つに分類されています。（実は、この分類を検討し決定するWGに私も参加していたのですが･･･）

そして、この3つは、タイプ1（やさしい→難しい）タイプ3、となるわけです。

ですから、CISSP認定試験のようにスケールドスコア（傾斜配点、などとも呼ばれます）の場合は、タイプ3のような問題の配点ウエイトが通常は高くなると考えていいわけです。
CISSP認定試験は、このタイプ3のような問題がかなり多く出題されます。
さらに、 「具体的に設定された状況の下」が微妙に違うと答えも変わってくる、という問題が出題されたりします。例えば、経営者、管理者、利用者という立場で答えが違ってくるよというよう問題です。
そのため、どれも正解に見えてしまったり、違うものが正解に見えてしまったりします。
「紛らわしい」とか「ひっかけ」だとか、言われることもありますが、本質を理解し状況に応じた正しい判断ができるか、ということを問うものなのです。

この話は、また別の機会にも書いてみます。